Konfigurieren von Genehmigungen in Azure Enklave

In diesem Artikel wird erläutert, wie Sie das Feature "Genehmigungen" in Azure Enklave konfigurieren, um Governance und Aufsicht für kritische Infrastrukturvorgänge zu erzwingen.

Important

Das Feature "Genehmigungen" befindet sich derzeit in der Vorschau. Dieses Feature wird zum Testen empfohlen, sollte aber während der Vorschau nicht für Produktionsworkloads verwendet werden.

Voraussetzungen

Stellen Sie vor dem Konfigurieren von Genehmigungen sicher, dass Folgendes vorhanden ist:

  • Ein aktives Azure-Abonnement
  • Zugriff auf die Vorschau der Genehmigungen
  • Eine der folgenden Rollen:
    • Communitybesitzer
    • Community-Mitwirkender
    • Abonnementbesitzer/Mitwirkender
  • Mindestens eine Community, die in Ihrer Umgebung erstellt wurde
  • Benutzer oder Gruppen, die als genehmigende Personen festgelegt sind

Genehmigungsbereiche

Genehmigungseinstellungen können in verschiedenen Bereichen konfiguriert werden:

Geltungsbereich Gilt für:
Gemeinschaft Ressourcen auf Community-Ebene, z. B. Community-Endpunkte und Verkehrsknotenpunkte.
Enklave Ressourcen auf Enklaveebene, z. B. Enklavenendpunkte und Enklavenverbindungen.

Genehmigungseinstellungen für Communityressourcen werden beim Erstellen oder Aktualisieren einer Community konfiguriert. Genehmigungseinstellungen für Enklavenressourcen können beim Erstellen von Communities und Enklaven konfiguriert werden. Wenn beide Bereiche Anforderungen für denselben Enklavenressourcentyp definieren, wendet Azure Enklave die erzwungene Anforderung auf höherer Ebene an. Sie können unterschiedliche Genehmigungsanforderungen basierend auf dem Typ der Ressource oder des Vorgangs konfigurieren.

Communitybesitzer können auch festlegen, keine Genehmigungseinstellung auf Community-Ebene für einen Ressourcentyp zu definieren. Wenn die Konfiguration auf Communityebene leer bleibt, können Genehmigungseinstellungen auf Enklaveebene verwendet werden, ohne eine Anforderung auf Communityebene für diesen Ressourcentyp zu erben.

Mindestanzahl an Genehmigenden und erforderliche Genehmiger

Die Genehmigungskonfiguration umfasst zwei verwandte Konzepte:

  • Minimum approvers: Die Anzahl der Genehmiger, die eine Anfrage genehmigen müssen, bevor Azure Enclave die Änderung anwenden kann.
  • Required approvers: Die Benutzer oder Gruppen, die Anfragen für einen Ressourcentyp überprüfen dürfen oder müssen.

Beispielsweise kann ein Ressourcentyp mindestens zwei Genehmigungen erfordern und eine Genehmigung aus einer bestimmten Sicherheitsoperationsgruppe anfordern. Konfigurieren Sie in diesem Fall Minimum approvers für die Anzahl und Required approvers für die Genehmigeridentitäten oder die Gruppe.

Tip

Wenn Sie erforderliche Genehmiger hinzufügen, sollten Sie eine Sicherheitsgruppe auswählen, damit eine Person, die Ihre Organisation verlässt, keine Ressourcenbereitstellungen blockiert.

Genehmigungseinstellungen der Community fließen nach unten

Diagramm, das zeigt, wie sich die Einstellungen für Communitygenehmigungen auf die Erstellung von Enklaven, Updates für Communityendpunkte und das Ändern des Community-Wartungsmodus auswirken.

Die Genehmigungseinstellungen auf Community-Ebene sind die einzigen Genehmigungseinstellungen, die sich auf die Erstellung von Enklaven, Community-Endpunktupdates oder Änderungen am Wartungsmodus auswirken. Für jeden aktivierten Genehmigungstyp müssen die Mindestanzahl an Genehmigenden sowie die Liste der erforderlichen Genehmigenden erfüllt sein, bevor diese Änderungen an den Ressourcen vorgenommen werden können.

Einstellungen für Enklavengenehmigungen fließen nach unten

Diagramm, das zeigt, wie sich die Genehmigungseinstellungen für Communitys und Enklaven auf die Erstellung oder Aktualisierung von Enklavenverbindungen, die Aktualisierung von Enklavenverbindungen oder Änderungen am Wartungsmodus auswirken.

Die Genehmigungseinstellungen auf Community- und Enklave-Ebene wirken sich auf die Erstellung oder Aktualisierung von Enklave-Verbindungen, die Aktualisierung von Enklave-Verbindungen oder Änderungen am Wartungsmodus aus. Für jeden aktivierten Genehmigungstyp müssen die Mindestanzahl an Genehmigenden sowie die Liste der erforderlichen Genehmigenden erfüllt sein, bevor diese Änderungen an den Ressourcen vorgenommen werden können.

Genehmigungen für eine Community konfigurieren

Genehmigungen werden auf Ebene der Community konfiguriert. Sie entscheiden, welche Ressourcenaktionen Genehmigungen erfordern, und diese Einstellungen gelten dann für alle Ressourcen dieses Typs innerhalb der Community.

So konfigurieren Sie Genehmigungseinstellungen beim Erstellen einer Community:

  1. Starten Sie im Azure-Portal den Workflow für die Communityerstellung.
  2. Wechseln Sie zur Approvals Registerkarte "Konfiguration".
  3. Konfigurieren Sie für jeden unterstützten Community- oder Enklavenressourcentyp, ob Genehmigungen erforderlich sind.
    • Aktualisierungen von Community-Endpunkten: Genehmigung erforderlich, wenn Community-Endpunkte geändert werden.
    • Enklave-Endpunkt-Aktualisierungen: Erfordern eine Genehmigung beim Ändern von Enklav-Endpunkten.
    • Enklave-Erstellung: Erfordert eine Genehmigung, bevor eine neue Enklave erstellt wird.
    • Enklaven-Verbindungserstellung: Erfordert Genehmigung beim Erstellen von Enklavenverbindungen.
    • Enklaven-Verbindungsupdates: Erfordern eine Genehmigung beim Ändern von Enklavenverbindungen.
    • Änderungen am Wartungsmodus: Vor Änderungen am Wartungsmodus für eine Enklave, einschließlich des Aktivierens oder Deaktivierens, ist eine Genehmigung erforderlich.
  4. Legen Sie den Minimum approvers-Wert fest.
  5. Wählen Sie die Benutzer oder Gruppen für Required approvers.
  6. Überprüfen Sie die Konfiguration, und erstellen Sie die Community.

Genehmigungseinstellungen auf Ebene der Community gelten für Ressourcen der Community. Sie können auch geerbte Anforderungen für Enklavenressourcentypen bereitstellen, es sei denn, die Konfiguration auf Communityebene lässt diesen Ressourcentyp leer.

Konfigurieren von Genehmigungen für eine Enklave

So konfigurieren Sie die Genehmigungseinstellungen beim Erstellen einer Enklave:

  1. Starten Sie im Azure-Portal den Enklavenerstellungsworkflow.
  2. Wechseln Sie zur Approvals Registerkarte "Konfiguration".
  3. Überprüfen Sie alle Genehmigungsvorgaben, die aus der Community übernommen wurden.
  4. Konfigurieren Sie für jeden unterstützten Enklavenressourcentyp, ob Genehmigungen erforderlich sind.
    • Enklave-Endpunkt-Aktualisierungen: Erfordern eine Genehmigung beim Ändern von Enklav-Endpunkten.
    • Enklaven-Verbindungserstellung: Erfordert Genehmigung beim Erstellen von Enklavenverbindungen.
    • Enklaven-Verbindungsupdates: Erfordern eine Genehmigung beim Ändern von Enklavenverbindungen.
    • Änderungen des Wartungsmodus: Es ist eine Genehmigung erforderlich, ehe der Wartungsmodus auf einer Enklave geändert werden kann. Umfasst auch das Ein- oder Ausschalten.
  5. Legen Sie den Minimum approvers-Wert fest.
  6. Wählen Sie die Benutzer oder Gruppen für Required approvers.
  7. Überprüfen Sie die Konfiguration, und erstellen Sie die Enklave.

Wenn sowohl die Community als auch die Enklave Anforderungen für einen Enklaven-Ressourcentyp definieren, wird das Maximum Minimum approvers verwendet, und die Required approvers aus der Community und Enklave werden in einer Reihe von Required approverskombiniert.

Aktualisieren von Genehmigungseinstellungen

Besitzer einer Community können die Freigabeeinstellungen auch nach der Erstellung von Ressourcen aktualisieren. Verwenden Sie das in Ihrer Umgebung verfügbare Azure Portal oder CLI-Unterstützung, um Genehmigungseinstellungen für Community- oder Enklavenressourcentypen zu aktualisieren.

Überprüfen Sie vor dem Ändern der Genehmigungseinstellungen Folgendes:

  • Welche Ressourcentypen betroffen sind, und suchen Sie nach ausstehenden Genehmigungen dieses Ressourcentyps.
  • Gibt an, ob die Einstellung im Communitybereich, Enklavenbereich oder beidem definiert ist.
  • Gibt an, ob die Änderung geerbte Anforderungen hinzufügt oder entfernt.
  • Welche Benutzer oder Gruppen als erforderliche Genehmiger aufgeführt sind.

Enklave Genehmigerrolle zuweisen

Nachdem Sie die Genehmigungen aktiviert haben, weisen Sie die Enclave-Prüferrolle Benutzern oder Gruppen zu, die Anfragen prüfen und genehmigen.

  1. Navigieren Sie zu dem Abonnement oder der Ressourcengruppe, der Sie Genehmiger zuweisen möchten.

  2. Wählen Sie im linken Navigationsmenü die Option Access control (IAM)aus.

  3. Wählen Sie + Add>Add role assignment aus.

  4. Suchen Sie auf der Registerkarte Role nach Enclave Approver Role und wählen Sie die Option aus.

  5. Wähle Next aus.

  6. Wählen Sie auf der Registerkarte Members die Option + Select members aus.

  7. Suchen Sie nach den Benutzern, Gruppen oder Dienstprinzipalen, die Sie als Genehmiger festlegen möchten, und wählen Sie sie aus.

  8. Wählen Sie Next und dann Review + assign.

Benachrichtigungsverhalten

Wenn Sie Benachrichtigungen über Genehmigungsanforderungen benötigen, erstellen Sie ihren eigenen Überwachungsworkflow mithilfe von Azure Aktivitätsprotokollen und den Warnungstools Ihrer Organisation.

Integration mit Microsoft Entra Privileged Identity Management (PIM)

Kombinieren Sie Genehmigungen für mehr Sicherheit mit PIM, um Genehmigerberechtigungen zeitlich begrenzt zu erteilen.

PIM für die Enclave-Genehmigerrolle konfigurieren

  1. Navigieren Sie im Azure-Portal zu Microsoft Entra Privileged Identity Management.

  2. Wählen Sie Azure resources>Discover resources aus.

  3. Wählen Sie Ihr Abonnement oder Ihre Ressourcengruppe aus, die die Community enthält.

  4. Geh zu Rollen und suche nach Enclave Approver Role.

  5. Wählen Sie ausEnclave Approver Role>Role settings>Edit.

  6. Konfigurieren Sie die Rolleneinstellungen:

    • Require approval to activate: Aktivieren Sie diese Einstellung.
    • Select approvers: Wählen Sie, wer Anfragen für den Genehmigerzugriff genehmigen kann.
    • Maximum activation duration: Auf 8 Stunden oder weniger festgelegt.
    • Require multifactor authentication: Aktivieren Sie die Sicherheit.

  7. Wählen Sie diese Option Update aus, um die Einstellungen zu speichern.

  8. Weisen Sie Benutzern die Berechtigung für die Enclave Approver-Rolle zu, anstatt sie dauerhaft zuzuweisen.

Weitere Informationen zur Microsoft Entra PIM-Integration

Bewährte Methoden für die Konfiguration von Genehmigungen

Beim Konfigurieren von Genehmigungen in Ihrer Umgebung:

  1. Beginnen Sie mit Hochrisiko-Operationen: Beginnen Sie damit, die Genehmigung für die kritischsten Operationen wie Community-Endpunkte und Modifikationen an Verkehrsknotenpunkten zu verlangen.

  2. Definieren Sie klare Genehmigungsrichtlinien: Dokumentieren Sie, welche Operationen eine Genehmigung benötigen und welche Kriterien für Genehmigungsentscheidungen erforderlich sind.

  3. Mehrere Gutachter zuweisen: Stellen Sie sicher, dass mindestens zwei Benutzer die Enclave-Prüferrolle haben, um Verzögerungen zu vermeiden, wenn ein Gutachter nicht verfügbar ist.

  4. Verwenden Sie Azure PIM für Genehmigerzugriff: Gewähren Sie Genehmigerberechtigungen nach dem Just-in-Time-Prinzip für kritische Umgebungen.

  5. Planen Sie den Ablauf der Genehmigung: Definieren Sie einen operativen Prozess, damit Genehmigungspersonen ausstehende Anfragen zügig prüfen.

  6. Regelmäßige Überprüfungen: Regelmäßig prüfen, welche Abläufe eine Genehmigung benötigen, und Einstellungen basierend auf operativer Erfahrung anpassen.

  7. Testen Sie den Workflow: Testen Sie vor der Produktion den Genehmigungsworkflow in einer Entwicklungsumgebung.

Überprüfen der Genehmigungskonfiguration

Überprüfen Sie nach dem Konfigurieren von Genehmigungen, ob das Setup ordnungsgemäß funktioniert:

  1. Versuchen Sie als Nutzer mit Enclave-Contributor-Berechtigungen, eine Enclave-Verbindung zu erstellen, die eine Genehmigung benötigt.

  2. Stellen Sie sicher, dass die Verbindung in einen Pending Zustand wechselt.

  3. Als Benutzer mit Enclave-Approver-Berechtigungen wählen Sie Approvals in der Enklave auf der linken Seite aus.

  4. Überprüfen Sie, dass die ausstehende Anfrage in der Genehmigungswarteschlange erscheint.

  5. Genehmigen Sie die Anfrage und überprüfen Sie, ob die Verbindung aktiv wird.

Genehmigungen deaktivieren

Wenn Sie das Feature "Genehmigungen" deaktivieren müssen:

Warning

Durch deaktivieren von Genehmigungen können neue Vorgänge fortgesetzt werden, ohne neue Genehmigungsanforderungen zu erstellen. Vorhandene ausstehende Genehmigungsanforderungen verbleiben in der Warteschlange. Um Übergangsprobleme zu vermeiden, überprüfen und lösen Sie ausstehende Anforderungen im Rahmen Ihres Änderungsprozesses, oder brechen Sie sie ab.

  1. Navigieren Sie im Azure-Portal zu Ihrer Communityressource.

  2. Wählen Sie im linken Navigationsmenü Configuration oder Governance aus.

  3. Umschalten der Enable Approvals Einstellung auf Off.

  4. Wählen Sie diese Option Save aus, um die Änderungen anzuwenden.

Troubleshooting

Genehmiger können keine ausstehenden Anfragen sehen

Ursache: Der Benutzer verfügt nicht über die Enklave Approver-Rolle, oder die Rolle wird im falschen Bereich zugewiesen.

Lösung: Überprüfen Sie, ob dem Benutzer die Genehmigerrolle für die Enklave auf Enklaven- oder Community-Ebene zugewiesen ist.

Genehmigte Anforderungen werden nicht implementiert

Ursache: Möglicherweise besteht ein Ressourcenkonflikt oder unzureichende Berechtigungen zum Implementieren der Änderung.

Lösung: Überprüfen Sie das Azure Aktivitätsprotokoll auf Fehlermeldungen, und stellen Sie sicher, dass das System über die erforderlichen Berechtigungen zum Implementieren der genehmigten Änderung verfügt.

Nächste Schritte

  • Zuletzt aktualisiert um