Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Beheerde identiteiten maken beveiligde en referentievrije toegang tot Azure-services mogelijk door een automatisch beheerde identiteit in Microsoft Entra-id te bieden. Deze identiteiten kunnen worden gebruikt voor verificatie bij services die ondersteuning bieden voor Microsoft Entra-verificatie, zonder dat u referenties in code hoeft te beheren. Voor meer informatie, zie Beheerde identiteiten voor Azure-resources.
Stroomlogboeken voor virtuele netwerken kunnen door de gebruiker toegewezen beheerde identiteiten gebruiken om veilig te verifiëren bij het opslagaccount waarin stroomlogboeken worden opgeslagen. Deze aanpak elimineert de noodzaak om referenties in te sluiten in scripts of configuratiebestanden, waardoor het risico op het lekken van referenties wordt verminderd en het operationele beheer wordt vereenvoudigd.
Voordelen van het gebruik van beheerde identiteit met stroomlogboeken voor virtuele netwerken
Het gebruik van beheerde identiteiten met stroomlogboeken voor virtuele netwerken biedt verschillende voordelen:
- Beheerders kunnen veilig toegang verlenen tot het opslagaccount met behulp van op rollen gebaseerd toegangsbeheer (RBAC).
- Identiteitsbeheer wordt gecentraliseerd via Microsoft Entra-id.
- Nuttig in grootschalige omgevingen waarbij stroomlogboeken zijn ingeschakeld in meerdere virtuele netwerken.
Integratie met verkeersanalyse
Traffic Analytics profiteert van door de gebruiker toegewezen beheerde identiteiten door beveiligde opname van stroomlogboeken in de Log Analytics-werkruimte in te schakelen zonder referenties te hoeven beheren. Deze aanpak:
- Stroomlijnt toegangsbeheer voor geautomatiseerde implementaties.
- Komt overeen met Zero Trust-principes.
- Verbetert de algehele beveiligingspostuur.
Vereiste voorwaarden
Een virtueel netwerk waarvoor stroomlogboeken zijn ingeschakeld. Zie Stroomlogboeken voor virtuele netwerken maken voor meer informatie.
Een opslagaccount van Azure. Zie Een opslagaccount maken voor meer informatie.
Een Log Analytics-werkruimte voor traffic analytics. Zie Een Log Analytics-werkruimte maken voor meer informatie.
Een door een gebruiker toegewezen beheerde identiteit. Zie Een door de gebruiker toegewezen beheerde identiteit maken voor meer informatie.
Bijdrager voor opslagblobgegevens rol die is toegewezen aan de beheerde identiteit. Zie Een beheerde identiteit toegang verlenen tot een resource voor meer informatie.
Azure Cloud Shell of Azure PowerShell.
Met de stappen in dit artikel worden de Azure PowerShell-cmdlets interactief uitgevoerd in Azure Cloud Shell. Als u de cmdlets in Cloud Shell wilt uitvoeren, selecteert u Cloud Shell openen in de rechterbovenhoek van een codeblok. Selecteer Kopiëren om de code te kopiëren en plak deze in Cloud Shell om deze uit te voeren. U kunt Cloud Shell ook uitvoeren vanuit Azure Portal.
U kunt Azure PowerShell ook lokaal installeren om de cmdlets uit te voeren. Als u PowerShell lokaal uitvoert, meldt u zich aan bij Azure met behulp van de cmdlet Connect-AzAccount .
Een door de gebruiker toegewezen beheerde identiteit gebruiken met stroomlogboeken voor virtuele netwerken
Als u een nieuw stroomlogboek voor een virtueel netwerk wilt maken met behulp van een door de gebruiker toegewezen beheerde identiteit, gebruikt u de cmdlet New-AzNetworkWatcherFlowLog met de parameter -UserAssignedIdentityId.
New-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_{REGION} -ResourceGroupName NetworkWatcherRG -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>
Gebruik de cmdlet Set-AzNetworkWatcherFlowLog met de parameter -UserAssignedIdentityIdom een door de gebruiker toegewezen beheerde identiteit aan een bestaand stroomlogboek voor virtuele netwerken te koppelen of los te koppelen.
# Associate a user-assigned managed identity to an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>
# Dissociate a user-assigned managed identity from an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId {None}