Integrierte RBAC-Rollen in Azure Enklave

Der Zugriff auf Azure Enclave-Ressourcen wird durch integrierte Azure-Rollenzuweisungen für die rollenbasierte Zugriffssteuerung (RBAC) gesteuert. Sie können den ständigen Zugriff weiter reduzieren, indem Sie Microsoft Entra Privileged Identity Management (PIM) für just-in-time-Zugriff verwenden.

RBAC-Rollen für Gemeinschaften und Enklaven

Azure Enklave bietet integrierte RBAC-Rollen zum Steuern des Zugriffs auf Community- und Enklavenbereiche.

• Community-Besitzer - Kann Communitys, Enklaven, Community-Endpunkte und Transit-Hub-Ressourcen erstellen und löschen. Schreibgeschützter Zugriff auf Workloads, Enklavenverbindungen und Enklavenendpunkte.
• Community-Mitwirkender – Dasselbe wie Community-Eigentümer, nur dass Community-Mitwirkende nicht löschen können.
• Community Reader - Nur-Lesezugriff auf Communities, Enklaven, Community-Endpunkte und den Transit-Hub.
• Enklavebesitzer – Erstellt, löscht und verwaltet Arbeitslasten, Endpunkte und Verbindungsressourcen für eine oder mehrere Enklaven.
• Enclave-Contributor – Erstellt und verwaltet Workloads, Endpunkte und Verbindungsressourcen für eine oder mehrere Enklaven.
• Enclave Reader – Nur-Lesezugriff auf eine oder mehrere Enclave-Ressourcen sowie zugrunde liegende Workloads, Endpunkte und Verbindungen.
• Genehmigerrolle der Enklave – Schreibgeschützter Zugriff auf alle Azure Enclave-Ressourcentypen und ausdrückliche Berechtigungen zum Genehmigen von Aktionen, die eine Genehmigung erfordern. Weitere Informationen finden Sie unter Verwalten von Genehmigungsanforderungen.

Diese integrierten Rollen können je nach Szenario unterschiedlichen Bereichen zugewiesen werden.

Beispielsweise kann ein Benutzer mit einer Besitzerzuweisung für eine Community auf Abonnementebene Communityressourcen in diesem Abonnement erstellen und löschen. Wenn die Zuordnung auf eine bestimmte Communityressource festgelegt ist, kann der Benutzer Endpunkte und Transithubs in dieser Community verwalten. Ähnlich erlaubt eine Enklave-Besitzerzuweisung, die auf eine bestimmte Enklave beschränkt ist, dem Benutzer, Arbeitslasten und Endpunkte in dieser Enklave zu verwalten, gewährt jedoch nicht automatisch Berechtigungen an nicht verwandte Ressourcengruppen. Enclave-Verbindungen sind ein separater Ressourcentyp, der nicht unter der Enclave-Ressource verschachtelt ist, daher erfordert die Verwaltung von Verbindungen eine Rollenzuweisung, die auf die Ressourcengruppe (oder das Abonnement) zugeschnitten ist, die die Enclave-Verbindungsressource enthält.

RBAC für Workloads

Azure Enklave bietet mehrere Optionen zum Steuern des Zugriffs auf Arbeitsauslastungsressourcen. Sichern Sie Workloads mit Ablehnungszuweisungen, die die standardmäßige RBAC-Vererbung blockieren, oder verwalten Sie Workloads mit der standardmäßigen rollenbasierten Azure-Zugriffssteuerung (RBAC).

Weitere Informationen zu Azure RBAC

Integration von Privileged Identity Management (PIM)

Kontrollieren Sie den privilegierten Zugriff auf Azure Enclave-Ressourcen, indem Sie Microsoft Entra PIM verwenden, um Berechtigungen anstelle von dauerhaftem Zugriff zuzuweisen.

Zeitbasierte Zugriffssteuerung

Sie können Microsoft Entra PIM mit integrierten Rollen verwenden, um Benutzern die Berechtigung für bestimmte Rollenzuweisungen zu gewähren. Sie können Zuordnungen für Community-, Enklaven- und Workloadressourcen festlegen, sodass Benutzer nur die Berechtigungen erhalten, die sie für einen begrenzten Zeitraum benötigen.

Genehmigungen für privilegierten Zugriff anfordern

Sie können die PIM-Aktivierung so konfigurieren, dass eine Genehmigung von einer zweiten Person erforderlich ist, bevor Berechtigungen erteilt werden.

Nächste Schritte

• Rollenbasierte Zugriffskontrolle (RBAC) in Azure Enclave
• Verwalten von Genehmigungsanforderungen
• Just-in-time-Zugriff in Azure Enclave mit Privileged Identity Management konfigurieren