Wartungsmodus

Azure Enclave schützt gemeinschafts- und enklavverwaltete Ressourcen mit Deny-Assignments. Sie können routinemäßige Operationen ausführen, die Azure Enclave unterstützt, indem Sie die entsprechenden rollenbasierten Zugriffskontrollberechtigungen (RBAC) verwenden, ohne den Wartungsmodus zu aktivieren.

Bewährte Methoden

  • Nutzung begrenzen: Wartungsmodus nur für vertrauenswürdige privilegierte Benutzer während geplanter Wartungsfenster aktivieren. Halte Sicherheit und Isolation über Azure Enclave-Ressourcen aufrecht.
  • Verstehen Sie die Auswirkungen: Privilegierte Nutzer sollten die von ihnen vorgenommenen Änderungen und die Schritte zur Rückgängigmachung oder Behebung dieser Änderungen vollständig verstehen. Manuelle Änderungen an zugrunde liegenden verwalteten Ressourcen in einer Community oder Enklave während des Wartungsmodus verursachen möglicherweise unbeabsichtigte Abweichung in Ihrer Umgebung von idealen Zuständen.

Wartungsmodusoptionen

  • Off - Von Azure Enclave erstellte Ablehnungszuweisungen sind eingerichtet, um zugrunde liegende verwaltete Ressourcengruppen für eine Enklave oder Community zu schützen.
  • General - Die Allow Dataplane Actions-Ablehnungszuweisung bleibt bestehen, während ausgewählte Prinzipale von der pauschalen Ablehnungszuweisung ausgeschlossen sind. Dieser Modus ermöglicht es diesen Hauptverantwortlichen, unterstützte Operationen auf geschützten Ressourcen durchzuführen, vorbehaltlich ihrer zugewiesenen RBAC-Rollen.
  • Advanced- Die von Azure erstellte Deny-Zuweisung wird vorübergehend entfernt, um privilegierten Benutzern zu ermöglichen, erhöhte Änderungen an den zugrunde liegenden verwalteten Ressourcen vorzunehmen. Diese Option ist die Break-Glass-Option für Randfälle, die nicht von den normalen RBAC-Berechtigungen abgedeckt sind.

Denken Sie daran, den Wartungsmodus wieder auf Off zu setzen, wenn die Änderung abgeschlossen ist.

Begründungsoptionen

  • Netzwerk : Verwalten privilegierter oder benutzerdefinierter Änderungen an verwalteten Ressourcen.
  • Governance – Verwalten von Protokollierung, Richtlinien oder anderen governancebezogenen Änderungen.
  • Deaktiviert – Wartungsmodus nicht mehr erforderlich.

Gemeinschafts-Wartungsmodus

Der Community-Wartungsmodus schützt verwaltete Ressourcen, die die Community ausmachen, einschließlich Azure vWAN, Azure Firewall, Firewall Policy und Log Analytics Workspace. Wenn der erweiterte Wartungsmodus aktiviert ist, können die angegebenen Hauptverantwortlichen erhöhte RBAC-Aktionen für eine genehmigte Break-Glass-Aufgabe durchführen.

Szenarien für den Community-Wartungsmodus

Gängige Szenarien für den Community-Wartungsmodus sind:

  • Erstellen/Ändern von Tabellen für virtuelle Hubrouten zur Unterstützung komplexer Netzwerkkonfigurationen
  • Erstellen/Ändern von benutzerdefinierten virtuellen Hubs innerhalb der Community vWAN
  • Erstellen/Ändern einzelner Netzwerksicherheitsgruppenregeln, die für bestimmte Azure Dienste erforderlich sind
  • Erstellung von Ressourcen innerhalb der Community Managed Resource Group, um private Netzwerke zu ermöglichen, wie private DNS-Zonen und private Links.

Allgemeine Wartungsmodus der Gemeinschaft

Wenn Sie den General Wartungsmodus für eine Community aktivieren, sind die konfigurierten Wartungsmodus-Prinzipale von der globalen Verweigerungszuweisung für die von der Community verwaltete Ressourcengruppe ausgeschlossen. Die Allow Dataplane Actions Ablehnungszuweisungen gelten weiterhin für alle Prinzipale, einschließlich der Prinzipale im Wartungsmodus. Die einem Principal zugewiesenen RBAC-Rollen schränken weiterhin die Aktionen ein, die er ausführen kann.

Folgende Berechtigungen sind für die gemeinschaftlich verwaltete Ressourcengruppe zulässig, wenn General der Wartungsmodus aktiviert ist:

Community-Ablehnungszuweisung: Deny All

Operation Aktionstyp Explanation
* Maßnahme Alle Aktionen außer den in dieser Tabelle angegebenen Aktionen verweigern.
*/read NotAction Erlaube Lesezugriffe auf alle Ressourcen.
Microsoft.Resources/tags/* NotAction Tags-Aktionen für alle Ressourcen zulassen.

Community – Erweiterter Wartungsmodus

Die folgenden Berechtigungen sind über die gemeinschaftlich verwaltete Ressourcengruppe erlaubt, wenn der erweiterte Wartungsmodus aktiviert ist.

Community-Ablehnungszuweisung: Allow Dataplane Actions

Operation Art der Maßnahme Explanation
* Maßnahme Alle Aktionen verweigern, außer den in dieser Tabelle angegebenen.
*/read NotAction „Lesen“-Aktionen für alle Ressourcen zulassen
Microsoft.Insights/alertRules/* NotAction Alle Aktionen für "alertRules" zulassen
Microsoft.Support/* NotAction Alle Aktionen für „Support“ zulassen
Microsoft.Resources/tags/* NotAction „Tags“-Aktionen für alle Ressourcen zulassen
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Schreibaktionen für networkRuleCollections zulassen
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Zulassen von „Schreibvorgängen“ für applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction „Schreibvorgänge“ für natRuleCollections zulassen
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction „Schreiben“-Aktionen für ruleGroups zulassen
Microsoft.Network/virtualHubs/write NotAction Zulassen von „Schreibvorgängen“ auf virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction "Lesen"-Aktionen auf virtualHubs zulassen
Microsoft.Network/virtualWans/join/action NotAction Zulassen von "Join"-Aktionen für virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction „Schreib“-Aktionen für Routingtabellen des virtuellen Hubs zulassen

Enklaven-Wartungsmodus

Der Enklave-Wartungsmodus schützt verwaltete Ressourcen, die die Enklave bilden, einschließlich Azure-virtuelles Netzwerk, Netzwerksicherheitsgruppen und Log Analytics-Arbeitsbereich. Wenn der erweiterte Wartungsmodus aktiviert ist, können die angegebenen Hauptverantwortlichen erhöhte RBAC-Aktionen für eine genehmigte Break-Glass-Aufgabe durchführen.

Enklaven-Wartungsmodus-Szenarien

Gängige Szenarien für die Verwendung des Enklav-Wartungsmodus sind:

  • Ausführen von Subnetz-/vnet-Verknüpfungsvorgängen während der Workloadbereitstellung
  • Erstellen/Ändern einzelner Netzwerksicherheitsgruppenregeln, die für bestimmte Azure Dienste erforderlich sind
  • Einrichtung von Ressourcen innerhalb der von der Enklave verwalteten Ressourcengruppe, um private Netzwerke wie private DNS-Zonen und private Verbindungen zu ermöglichen.

Enclave allgemeiner Wartungsmodus

Wenn Sie den General-Wartungsmodus für eine Enklave aktivieren, werden die für den Wartungsmodus konfigurierten Prinzipale von der pauschalen Verweigerungszuweisung für die von der Enklave verwaltete Ressourcengruppe ausgenommen. Die Allow Dataplane Actions Verweigerungszuweisung bleibt für alle Sicherheitsprinzipale in Kraft, einschließlich der Sicherheitsprinzipale des Wartungsmodus. Die einem Principal zugewiesenen RBAC-Rollen schränken weiterhin die Aktionen ein, die er ausführen kann.

Folgende Berechtigungen sind über die verwaltete Ressourcengruppe der Enklave erlaubt, wenn General der Wartungsmodus aktiviert ist:

Ablehnungszuweisung der Enklave: Deny All

Operation Aktionstyp Explanation
* Maßnahme Alle Aktionen außer den in dieser Tabelle angegebenen Aktionen verweigern.
*/read NotAction Erlaube Leseaktionen auf allen Ressourcen.
Microsoft.Resources/tags/* NotAction Tag-Aktionen auf allen Ressourcen erlauben.

Enclave Erweiterter Wartungsmodus

Die folgenden Berechtigungen sind über die verwaltete Ressourcengruppe der Enklaven erlaubt, wenn der erweiterte Wartungsmodus aktiviert ist.

Ablehnungszuweisung der Enklave: Allow Dataplane Actions

Operation Art der Maßnahme Explanation
* Maßnahme Alle Aktionen verweigern, außer den in dieser Tabelle angegebenen.
*/read NotAction „Lesen“-Aktionen für alle Ressourcen zulassen
Microsoft.Insights/alertRules/* NotAction Alle Aktionen für "alertRules" zulassen
Microsoft.Resources/deployments/* NotAction Alle Aktionen für „Bereitstellungen“ zulassen
Microsoft.Support/* NotAction Alle Aktionen für „Support“ zulassen
Microsoft.Network/privateDnsZones/* NotAction Alle Aktionen für "privateDnsZones" zulassen
Microsoft.Network/privateDnsOperationResults/* NotAction Alle Aktionen für "privateDnsOperationResults" zulassen
Microsoft.Network/privateDnsOperationStatuses/* NotAction Alle Aktionen für "privateDnsOperationStatuses" zulassen
Microsoft.Network/virtualNetworks/join/action NotAction vNet-/Beitrittsvorgängen über das Enklaven-vNet zulassen
Microsoft.Network/virtuelleNetzwerke/Unternetze/beitreten/Aktion NotAction Subnetz-/Verknüpfungsvorgänge über das Enklaven-vNet zulassen
Microsoft.Authorization/policyExemptions/* NotAction Alle Aktionen für "policyExemptions" zulassen
Microsoft.Network/routeTables/routes/write NotAction "Schreiben"-Aktionen für Routentabellen virtueller Netzwerke zulassen

So verwenden Sie den Wartungsmodus

1. Aktivieren des Wartungsmodus während der Community- oder Enklavenerstellung

  1. Wechseln Sie im Formular zum Erstellen einer Community oder Enklave zur Registerkarte Wartungsmodus.
  2. Wählen Sie die Modusoption Off, General, oder Advanced.
  3. Wählen Sie die Dienstprinzipale aus, die Sie einbeziehen möchten.
  4. Wählen Sie die Begründung für den Eintritt in den Wartungsmodus: Netzwerken oder Governance. Wähle Off aus, wenn auch der Wartungsmodus Off ist.
  5. Überprüfen Sie die Community oder Enklave und erstellen Sie sie wie gewohnt.

2. Aktivieren des Wartungsmodus für eine vorhandene Community oder Enklave

  1. Navigieren Sie zu der Community oder Enklave, für die Sie den Wartungsmodus aktivieren.
  2. Gehen Sie zur Registerkarte Wartungsmodus.
  3. Wählen Sie den Modus General oder Advanced.
  4. Wählen Sie die Dienstprinzipale aus, die Sie einbeziehen möchten.
  5. Wählen Sie die Begründung für den Eintritt in den Wartungsmodus: Netzwerk oder Governance.
  6. Bestätigen und speichern.

3. Ausführen von Wartungsaufgaben

  • Nachdem Sie den Fortgeschrittenen Wartungsmodus aktiviert haben, führen Sie nur die genehmigte Glasbruch-Aufgabe aus.

4. Wartungsmodus deaktivieren

  1. Navigieren Sie nach Abschluss Ihrer Aufgaben zurück zur Registerkarte "Wartungsmodus".
  2. Wähle den Aus-Modus .
  3. Bestätigen und speichern.

Weitere Informationen

  • Zuletzt aktualisiert um