Goedkeuringen configureren in Azure Enclave

In dit artikel wordt uitgelegd hoe u de functie Goedkeuringen in Azure Enclave configureert om governance en toezicht af te dwingen voor kritieke infrastructuurbewerkingen.

Important

De functie Goedkeuringen is momenteel beschikbaar als preview-versie. Deze functie wordt aangemoedigd voor testen, maar mag niet worden gebruikt voor productieworkloads in de preview-fase.

Prerequisites

Voordat u goedkeuringen configureert, moet u het volgende doen:

  • Een actief Azure-abonnement
  • Toegang tot de preview-versie van Goedkeuringen
  • Een van de volgende rollen:
    • Eigenaar van de community
    • Communitybijdrager
    • Abonnementseigenaar/inzender
  • Ten minste één community die in uw omgeving is gemaakt
  • Gebruikers of groepen die zijn aangewezen als goedkeurders

Goedkeuringsbereiken

Goedkeuringsinstellingen kunnen op verschillende niveaus worden ingesteld:

Scope Van toepassing op:
Gemeenschap Resources op communityniveau, zoals community-eindpunten en transithubs.
Enclave Resources op enclaveniveau, zoals enclave-eindpunten en enclaveverbindingen.

Goedkeuringsinstellingen voor communitybronnen worden geconfigureerd wanneer u een community maakt of bijwerkt. Goedkeuringsinstellingen voor enclaveresources kunnen worden ingesteld tijdens het maken van een community en een enclave. Wanneer beide bereikniveaus vereisten definiëren voor hetzelfde type enclave-resource, past Azure Enclave de vereiste toe die op het hogere niveau wordt afgedwongen. U kunt verschillende goedkeuringsvereisten configureren op basis van het type resource of bewerking.

Community-eigenaren kunnen er ook voor kiezen om geen goedkeuringsinstelling op communityniveau voor een resourcetype te definiëren. Wanneer de configuratie op communityniveau leeg blijft, kunnen goedkeuringsinstellingen op enclaveniveau worden gebruikt zonder een vereiste op communityniveau voor dat resourcetype over te nemen.

Minimale goedkeurders en vereiste goedkeurders

Goedkeuringsconfiguratie bevat twee gerelateerde concepten:

  • Minimum approvers: Het aantal goedkeurders dat een aanvraag moet goedkeuren voordat Azure Enclave de wijziging kan toepassen.
  • Required approvers: De gebruikers of groepen die zijn toegestaan of vereist om aanvragen voor een resourcetype te controleren.

Een resourcetype kan bijvoorbeeld ten minste twee goedkeuringen vereisen en één goedkeuring van een specifieke beveiligingsbewerkingsgroep vereisen. In dat geval configureert u Minimum approvers voor het aantal en configureert u Required approvers voor de identiteiten van de fiatteur of de groep.

Tip

Als u vereiste goedkeurders toevoegt, moet u een beveiligingsgroep selecteren, zodat een persoon die uw organisatie verlaat, geen resource-implementaties blokkeert.

Instellingen voor communitygoedkeuringen gaan omlaag

Diagram waarin wordt getoond hoe de instellingen voor communitygoedkeuring van invloed zijn op het maken van enclaves, updates voor community-eindpunten en het wijzigen van de modus voor communityonderhoud.

De instellingen voor goedkeuringen op communityniveau zijn de enige instellingen voor goedkeuringen die van invloed zijn op het maken van enclaves, updates van community-eindpunten of wijzigingen in de onderhoudsmodus. Wanneer elk goedkeuringstype is ingeschakeld, moet aan het aantal minimale goedkeurders en de lijst met vereiste goedkeurders worden voldaan voordat deze resourcewijzigingen kunnen plaatsvinden.

Instellingen voor enclavegoedkeuringen gaan omlaag

Diagram waarin wordt getoond hoe de instellingen voor community- en enclavegoedkeuringen van invloed zijn op het maken of bijwerken van enclaveverbindingen, het bijwerken van een enclaveverbinding of wijzigingen in de onderhoudsmodus.

De instellingen voor goedkeuringen op community- en enclaveniveaus zijn van invloed op het maken of bijwerken van enclaveverbindingen, het bijwerken van enclaveverbindingen of wijzigingen in de onderhoudsmodus. Wanneer elk goedkeuringstype is ingeschakeld, moet aan het aantal minimale goedkeurders en de lijst met vereiste goedkeurders worden voldaan voordat deze resourcewijzigingen kunnen plaatsvinden.

Goedkeuringen voor een community configureren

Goedkeuringen worden geconfigureerd op het niveau van de community. U bepaalt welke resourceacties goedkeuringen vereisen en vervolgens zijn deze instellingen van toepassing op alle resources van dat type binnen de community.

Goedkeuringsinstellingen configureren wanneer u een community maakt:

  1. Start in de Azure-portal de workflow voor het maken van een community.
  2. Ga naar het Approvals configuratietabblad.
  3. Voor elk ondersteund resourcetype community of enclave configureert u of goedkeuringen vereist zijn.
    • Community-endpointupdates: Vereist goedkeuring bij het wijzigen van community-endpoints.
    • Updates voor enclave-eindpunten: Goedkeuring vereisen bij het wijzigen van enclave-eindpunten.
    • Enclave-creatie: Vereist goedkeuring voordat een nieuwe enclave wordt aangemaakt.
    • Enclave-verbinding: Vereist goedkeuring bij het aanmaken van enclave-verbindingen.
    • Updates van enclaveverbindingen: Goedkeuring vereisen bij het wijzigen van enclaveverbindingen.
    • Wijzigingen in onderhoudsmodus: Vereis goedkeuring voordat onderhoudsmodus op een enclave wordt gewijzigd, inclusief het aan- of uitzetten ervan.
  4. Stel de Minimum approvers-waarde in.
  5. Selecteer de gebruikers of groepen voor Required approvers.
  6. Controleer de configuratie en maak de community.

Goedkeuringsinstellingen op gemeenschapsniveau worden gebruikt voor gemeenschapsbronnen. Ze kunnen ook overgenomen vereisten bieden voor enclave-resourcetypen, tenzij de configuratie op communityniveau dat resourcetype leeg laat.

Goedkeuringen voor een enclave configureren

Goedkeuringsinstellingen configureren wanneer u een enclave maakt:

  1. Start in de Azure portal de werkstroom voor het maken van enclaves.
  2. Ga naar het Approvals configuratietabblad.
  3. Bekijk eventuele goedkeuringsvereisten die zijn overgenomen van de community.
  4. Configureer voor elk ondersteund enclaveresourcetype of goedkeuringen vereist zijn.
    • Updates van enclave-eindpunten: Goedkeuring vereisen bij het wijzigen van enclave-eindpunten.
    • Enclave-verbinding: Vereist goedkeuring bij het aanmaken van enclave-verbindingen.
    • Updates van enclaveverbindingen: Goedkeuring vereisen bij het wijzigen van enclaveverbindingen.
    • Wijzigingen in onderhoudsmodus: Vereis goedkeuring voordat onderhoudsmodus op een enclave wordt gewijzigd, inclusief het aan- of uitzetten ervan.
  5. Stel de Minimum approvers-waarde in.
  6. Selecteer de gebruikers of groepen voor Required approvers.
  7. Controleer de configuratie en maak de enclave.

Als zowel de community als de enclave vereisten definiëren voor een resourcetype van een enclave, wordt het maximum van Minimum approvers gebruikt en worden de Required approvers van zowel de community als de enclave gecombineerd tot een set van Required approvers.

Goedkeuringsinstellingen bijwerken

Eigenaren van community's kunnen de instellingen voor goedkeuring bijwerken nadat resources zijn aangemaakt. Gebruik de Azure-portal of CLI-ondersteuning die beschikbaar is in uw omgeving om goedkeuringsinstellingen voor community- of enclaveresourcetypen bij te werken.

Controleer voordat u goedkeuringsinstellingen wijzigt:

  • Welke resourcetypen worden beïnvloed en zoek naar eventuele openstaande goedkeuringen voor dat resourcetype.
  • Of de instelling is ingesteld op communityniveau, enclaveniveau of beide.
  • Of de wijziging overgenomen vereisten toevoegt of verwijdert.
  • Welke gebruikers of groepen worden vermeld als vereiste goedkeurders.

De Enclave-goedkeurderrol toewijzen

Na het inschakelen van goedkeuringen wijs je de Enclave Keuringsrol toe aan gebruikers of groepen die verzoeken beoordelen en goedkeuren.

  1. Navigeer naar het abonnement of de resourcegroep waaraan u goedkeurders wilt toewijzen.

  2. Selecteer Access control (IAM) in het linkernavigatiemenu.

  3. Selecteer + Add>Add role assignment.

  4. Zoek op het tabblad Role naar Enclave Approver Role en selecteer deze.

  5. Selecteer Next.

  6. Selecteer Membersop het + Select members tabblad .

  7. Zoek en selecteer de gebruikers, groepen of service-principals die u als goedkeurders wilt aanwijzen.

  8. Selecteer Nexten vervolgens Review + assign.

Gedrag van meldingen

Als u meldingen van goedkeuringsaanvragen nodig hebt, maakt u uw eigen bewakingswerkstroom met behulp van Azure activiteitenlogboeken en de waarschuwingshulpprogramma's van uw organisatie.

Integratie met Microsoft Entra Privileged Identity Management (PIM)

Voor verbeterde beveiliging combineert u Goedkeuringen met PIM om fiatteurmachtigingen op tijdslimiet te verlenen.

PIM configureren voor enclave-goedkeurfunctie

  1. Ga in de Azure-portal naar Microsoft Entra Privileged Identity Management.

  2. Selecteer Azure resources>Discover resources.

  3. Selecteer uw abonnement of resourcegroep waarin de community zich bevindt.

  4. Ga naar Rollen en zoek naar Enclave-goedkeurdersrol.

  5. Selecteer Enclave Approver Role>Role settings>Edit.

  6. Configureer de rolinstellingen:

    • Require approval to activate: Schakel deze instelling in.
    • Select approvers: Kies wie aanvragen voor toegang als fiatteur kan goedkeuren.
    • Maximum activation duration: Ingesteld op 8 uur of minder.
    • Require multifactor authentication: Inschakelen voor beveiliging.

  7. Selecteer Update deze optie om de instellingen op te slaan.

  8. Wijs gebruikers toe als in aanmerking komend voor de rol Enclave-goedkeurer in plaats van deze permanent toe te wijzen.

Meer informatie over Microsoft Entra PIM-integratie

Aanbevolen procedures voor goedkeuringsconfiguratie

Bij het configureren van goedkeuringen in uw omgeving:

  1. Begin met risicovolle operaties: Begin met het eisen van goedkeuring voor de meest kritieke operaties, zoals gemeenschapseindpunten en aanpassingen aan transithubs.

  2. Definieer duidelijke goedkeuringsbeleid: Documenteer welke operaties goedkeuring vereisen en de criteria voor goedkeuringsbeslissingen.

  3. Wijs meerdere approvers toe: Zorg ervoor dat minstens twee gebruikers de Enclave Approver Role hebben om vertragingen te voorkomen wanneer een approover niet beschikbaar is.

  4. Gebruik Azure PIM voor approver-toegang: Verleen approver-rechten op just-in-time basis voor gevoelige omgevingen.

  5. Plan approver workflow: Definieer een operationeel proces zodat goedkeurers openstaande verzoeken snel beoordelen.

  6. Regelmatige beoordelingen: Periodiek beoordelen welke operaties goedkeuring vereisen en instellingen aanpassen op basis van operationele ervaring.

  7. Test de workflow: Voordat je naar productie gaat, test je de goedkeuringsworkflow in een ontwikkelomgeving.

Goedkeuringsconfiguratie controleren

Nadat u Goedkeuringen hebt geconfigureerd, controleert u of de installatie correct werkt:

  1. Als gebruiker met Enclave Contributor-rechten probeer je een enclave-verbinding aan te maken die goedkeuring vereist.

  2. Controleer of de verbinding in een Pending toestand komt.

  3. Als gebruiker met goedkeuringsmachtigingen voor Enclave selecteert u Approvals in de enclave aan de linkerkant.

  4. Controleer of het openstaande verzoek in de goedkeuringswachtrij verschijnt.

  5. Keur het verzoek goed en controleer of de verbinding actief wordt.

Goedkeuringen uitschakelen

Als u de functie Goedkeuringen wilt uitschakelen:

Warning

Als u Goedkeuringen uitschakelt, kunnen nieuwe bewerkingen worden voortgezet zonder nieuwe goedkeuringsaanvragen te maken. Bestaande goedkeuringsaanvragen die in behandeling zijn, blijven in de wachtrij. Als u overgangsproblemen wilt voorkomen, controleert en annuleert u aanvragen die in behandeling zijn als onderdeel van uw wijzigingsproces.

  1. Navigeer naar uw communityresource in de Azure-portal.

  2. Selecteer Configuration of Governance in het navigatiemenu aan de linkerkant.

  3. Zet de Enable Approvals instelling op Off.

  4. Selecteer Save deze optie om de wijzigingen toe te passen.

Troubleshooting

Goedkeurders kunnen geen aanvragen zien die in behandeling zijn

Oorzaak: De gebruiker heeft de Enclave Approver-rol niet of de rol is toegewezen op het verkeerde bereikniveau.

Oplossing: Controleer of aan de gebruiker de rol Enclave-goedkeurder is toegewezen op enclave- of communityniveau.

Goedgekeurde aanvragen worden niet geïmplementeerd

Oorzaak: er is mogelijk een resourceconflict of onvoldoende machtigingen om de wijziging te implementeren.

Oplossing: Controleer het Azure activiteitenlogboek op foutberichten en zorg ervoor dat het systeem over de benodigde machtigingen beschikt om de goedgekeurde wijziging te implementeren.

Volgende stappen 

  • Laatst bijgewerkt om