Configurer les approbations dans Azure enclave

Cet article explique comment configurer la fonctionnalité Approbations dans Azure Enclave pour appliquer la gouvernance et la supervision des opérations d’infrastructure critiques.

Prerequisites

Avant de configurer les approbations, vérifiez que vous disposez des options suivantes :

• Un abonnement Azure actif
• Accès à la version préliminaire des approbations
• L’un des rôles suivants :
  • Propriétaire de la communauté
  • Contributeur de la communauté
  • Propriétaire/Contributeur de l’abonnement
• Au moins une communauté créée dans votre environnement
• Utilisateurs ou groupes désignés en tant qu’approbateurs

Étendues d’approbation

Les paramètres d’approbation peuvent être configurés dans différentes étendues :

Les paramètres d’approbation des ressources de la communauté sont configurés lorsque vous créez ou mettez à jour une communauté. Les paramètres d’approbation des ressources d’enclave peuvent être configurés lors de la création de la communauté et de la création d’enclaves. Lorsque les deux étendues définissent des exigences pour le même type de ressource d’enclave, Azure Enclave applique l’exigence appliquée de niveau supérieur. Vous pouvez configurer différentes exigences d’approbation en fonction du type de ressource ou d’opération.

Les propriétaires de la communauté peuvent également choisir de ne pas définir de paramètre d’approbation au niveau de la communauté pour un type de ressource. Lorsque la configuration au niveau de la communauté est laissée vide, les paramètres d’approbation au niveau de l’enclave peuvent être utilisés sans hériter d’une exigence au niveau de la communauté pour ce type de ressource.

Approbateurs minimaux et approbateurs requis

La configuration d’approbation comprend deux concepts connexes :

• Minimum approvers: nombre d’approbateurs qui doivent approuver une demande avant que Azure Enclave puisse appliquer la modification.
• Required approvers: utilisateurs ou groupes autorisés ou requis pour passer en revue les demandes d’un type de ressource.

Par exemple, un type de ressource peut nécessiter au moins deux approbations et exiger une approbation d’un groupe d’opérations de sécurité spécifique. Dans ce cas, configurez Minimum approvers le nombre et configurez Required approvers les identités ou groupes d’approbateurs.

Paramètres des approbations de communauté hérités

Les paramètres d’approbation au niveau de la communauté sont les seuls paramètres d’approbation qui affectent la création d’enclave, les mises à jour de point de terminaison de la communauté ou les modifications apportées au mode de maintenance. Lorsque chaque type d’approbation est activé, le nombre minimal d’approbateurs et la liste des approbateurs requis doivent être satisfaits avant que ces modifications de ressources puissent se produire.

Paramètres des approbations d'enclave hérités

Les paramètres d’approbation au niveau de la communauté et des enclaves ont pour effet la création ou les mises à jour de la connexion d’enclave, la mise à jour de la connexion d’enclave ou les modifications apportées au mode maintenance. Lorsque chaque type d’approbation est activé, le nombre minimal d’approbateurs et la liste des approbateurs requis doivent être satisfaits avant que ces modifications de ressources puissent se produire.

Configurer des approbations pour une communauté

Les approbations sont configurées au niveau de la communauté. Vous décidez quelles actions de ressources nécessitent des approbations, puis ces paramètres s’appliquent à toutes les ressources de ce type au sein de la communauté.

Pour configurer les paramètres d’approbation lorsque vous créez une communauté :

1. Dans le portail Azure, démarrez le flux de travail de création de la communauté.
2. Accédez à l’onglet Approvals configuration.
3. Pour chaque type de ressource de communauté ou d’enclave pris en charge, configurez si les approbations sont requises.
   • Mises à jour des points de terminaison communautaires : Besoin d’approbation lors de la modification des points de terminaison communautaires.
   • Mises à jour des terminaux Enclave : Approbation requise lors de la modification des terminaux Enclave.
   • Création d’enclave : Exigez une approbation avant la création d’une nouvelle enclave.
   • Création de connexion enclave : exigez une approbation lors de la création de connexions enclave.
   • Mises à jour des connexions de l’enclave : Besoin d’approbation lors de la modification des connexions de l’enclave.
   • Changements de mode maintenance : Besoin d’une approbation avant de modifier le mode maintenance sur une enclave, y compris l’activer ou le désactiver.
4. Définissez la valeur Minimum approvers.
5. Sélectionnez les utilisateurs ou les groupes pour Required approvers.
6. Passez en revue la configuration et créez la communauté.

Les paramètres d’approbation au niveau de la communauté sont utilisés pour les ressources de la communauté. Ils peuvent également fournir des exigences héritées pour les types de ressources d’enclave, sauf si la configuration au niveau de la communauté laisse ce type de ressource vide.

Configurer des approbations pour une enclave

Pour configurer les paramètres d’approbation lorsque vous créez une enclave :

1. Dans le portail Azure, démarrez le flux de travail de création d’enclave.
2. Accédez à l’onglet Approvals configuration.
3. Passez en revue les exigences d’approbation héritées de la communauté.
4. Pour chaque type de ressource d’enclave pris en charge, configurez si les approbations sont requises.
   • Mises à jour des terminaux Enclave : Approbation requise lors de la modification des terminaux Enclave.
   • Création de connexion enclave : exigez une approbation lors de la création de connexions enclave.
   • Mises à jour des connexions de l’enclave : Besoin d’approbation lors de la modification des connexions de l’enclave.
   • Changements de mode maintenance : Besoin d’une approbation avant de modifier le mode maintenance sur une enclave, y compris l’activer ou le désactiver.
5. Définissez la valeur Minimum approvers.
6. Sélectionnez les utilisateurs ou les groupes pour Required approvers.
7. Passez en revue la configuration et créez l’enclave.

Si la communauté et l’enclave définissent toutes deux des exigences pour un type de ressource d’enclave, le maximum de Minimum approvers est utilisé et les Required approvers de la communauté et de l’enclave sont combinés dans un ensemble de Required approvers.

Mettre à jour les paramètres d’approbation

Les propriétaires de la communauté peuvent mettre à jour les paramètres d’approbation une fois les ressources créées. Utilisez le portail Azure ou la prise en charge de l’interface CLI disponible dans votre environnement pour mettre à jour les paramètres d’approbation pour les types de ressources de communauté ou d’enclave.

Avant de modifier les paramètres d’approbation, passez en revue :

• Déterminez quels types de ressources sont affectés et vérifiez s’il existe des approbations en attente pour ce type de ressource.
• Indique si le paramètre est défini au niveau de l’étendue de la communauté, de l’étendue de l’enclave ou des deux.
• Indique si la modification ajoute ou supprime les exigences héritées.
• Quels utilisateurs ou groupes sont répertoriés en tant qu’approbateurs requis.

Attribuer un rôle d’approbateur d’enclave

Après avoir activé les approbations, attribuez le rôle d’approver Enclave aux utilisateurs ou groupes qui examinent et approuvent les demandes.

az role assignment create \
  --assignee <user-or-group-id> \
  --role "Enclave Approver Role" \
  --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Mission/virtualEnclaves/<enclave-name>"

az role assignment create \
  --assignee <user-or-group-id> \
  --role "Enclave Approver Role" \
  --scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Mission/communities/<community-name>"

New-AzRoleAssignment `
  -ObjectId <user-or-group-id> `
  -RoleDefinitionName "Enclave Approver Role" `
  -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Mission/virtualEnclaves/<enclave-name>"

New-AzRoleAssignment `
  -ObjectId <user-or-group-id> `
  -RoleDefinitionName "Enclave Approver Role" `
  -Scope "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.Mission/communities/<community-name>"

Comportement de notification

Si vous avez besoin de notifications de demandes d'approbation, créez votre propre workflow de surveillance à l'aide de Azure journaux d'activité et des outils d'alerte de votre organisation.

Intégration à Microsoft Entra Privileged Identity Management (PIM)

Pour renforcer la sécurité, combinez les approbations avec PIM pour accorder des autorisations d’approbateur sur une base limitée dans le temps.

Configurer PIM pour le rôle d’approbateur d’enclave

1. Accédez à Microsoft Entra Privileged Identity Management dans le portail Azure.

2. Sélectionnez Azure resources>Discover resources.

3. Sélectionnez votre abonnement ou groupe de ressources contenant la communauté.

4. Accédez à Rôles et recherchez le rôle d’approbateur Enclave.

5. Sélectionnez Enclave Approver Role>Role settings>Edit.

6. Configurez les paramètres de rôle :

   • Require approval to activate: activez ce paramètre.
   • Select approvers: choisissez qui peut approuver les demandes d'accès approbateur.
   • Maximum activation duration: réglé sur 8 heures ou moins.
   • Require multifactor authentication: Activer pour la sécurité.

7. Sélectionnez cette option Update pour enregistrer les paramètres.

8. Rendez les utilisateurs éligibles au rôle d’approbateur d’enclave plutôt que de le leur attribuer définitivement.

En savoir plus sur l’intégration Microsoft Entra PIM

Meilleures pratiques pour la configuration d’approbation

Lors de la configuration des approbations dans votre environnement :

1. Commencez par des opérations à haut risque : commencez par exiger l’approbation pour les opérations les plus critiques, telles que les points d’extrémité communautaires et les modifications des hubs de transport.

2. Définir des politiques d’approbation claires : Documenter quelles opérations nécessitent une approbation et les critères pour les décisions d’approbation.

3. Attribuer plusieurs approbateurs : Assurez-vous qu’au moins deux utilisateurs disposent du rôle d’approver Enclave pour éviter les retards lorsqu’un approver n’est pas disponible.

4. Utilisez Azure PIM pour l’accès d’approbateur : accordez des autorisations d’approbateur selon le principe du juste-à-temps pour les environnements sensibles.

5. Planifiez le flux de travail des approbateurs : Définissez un processus opérationnel afin que les approbateurs examinent rapidement les demandes en attente.

6. Examens réguliers : Examinez périodiquement quelles opérations nécessitent une approbation et ajustez les paramètres en fonction de l’expérience opérationnelle.

7. Testez le flux de travail : avant de passer en production, testez le flux d’approbation dans un environnement de développement.

Vérifier la configuration de l’approbation

Après avoir configuré les approbations, vérifiez que l’installation fonctionne correctement :

1. En tant qu’utilisateur disposant des autorisations Enclave Contributor, essayez de créer une connexion enclave nécessitant une approbation.

2. Vérifiez que la connexion entre dans un Pending état.

3. En tant qu’utilisateur disposant des autorisations Enclave Approver, sélectionnez Approvals dans l’enclave de gauche.

4. Vérifiez que la demande en attente apparaît dans la file d’attente d’approbation.

5. Approuvez la demande et vérifiez que la connexion devient active.

Désactiver les approbations

Si vous devez désactiver la fonctionnalité Approbations :

1. Accédez à votre ressource de communauté dans le portail Azure.

2. Sélectionnez Configuration ou Governance dans le menu de navigation de gauche.

3. Basculez le Enable Approvals paramètre sur Off.

4. Sélectionnez cette option Save pour appliquer les modifications.

Troubleshooting

Les approbateurs ne peuvent pas voir les demandes en attente

Cause : l’utilisateur ne dispose pas du rôle d’approbateur de l’enclave, ou ce rôle est attribué à un niveau d’étendue incorrect.

Solution : vérifiez que l’utilisateur dispose du rôle Approbateur d’enclave affecté au niveau de l’enclave ou de la communauté.

Les demandes approuvées ne sont pas implémentées

Cause : il peut y avoir un conflit de ressources ou des autorisations insuffisantes pour implémenter la modification.

Solution : vérifiez le journal d’activité Azure pour les messages d’erreur et vérifiez que le système dispose des autorisations nécessaires pour implémenter la modification approuvée.

Étapes suivantes

• Gérer les demandes d’approbation
• En savoir plus sur la fonctionnalité Approbations
• Configurer l’accès juste-à-temps avec PIM
• Comprendre le contrôle d’accès à Azure Enclave
• Créer une connexion d’enclave