Beheerde identiteit voor stroomlogboeken voor virtuele netwerken

Beheerde identiteiten maken beveiligde en referentievrije toegang tot Azure-services mogelijk door een automatisch beheerde identiteit in Microsoft Entra-id te bieden. Deze identiteiten kunnen worden gebruikt voor verificatie bij services die ondersteuning bieden voor Microsoft Entra-verificatie, zonder dat u referenties in code hoeft te beheren. Voor meer informatie, zie Beheerde identiteiten voor Azure-resources.

Stroomlogboeken voor virtuele netwerken kunnen door de gebruiker toegewezen beheerde identiteiten gebruiken om veilig te verifiëren bij het opslagaccount waarin stroomlogboeken worden opgeslagen. Deze aanpak elimineert de noodzaak om referenties in te sluiten in scripts of configuratiebestanden, waardoor het risico op het lekken van referenties wordt verminderd en het operationele beheer wordt vereenvoudigd.

Voordelen van het gebruik van beheerde identiteit met stroomlogboeken voor virtuele netwerken

Het gebruik van beheerde identiteiten met stroomlogboeken voor virtuele netwerken biedt verschillende voordelen:

  • Beheerders kunnen veilig toegang verlenen tot het opslagaccount met behulp van op rollen gebaseerd toegangsbeheer (RBAC).
  • Identiteitsbeheer wordt gecentraliseerd via Microsoft Entra-id.
  • Nuttig in grootschalige omgevingen waarbij stroomlogboeken zijn ingeschakeld in meerdere virtuele netwerken.

Integratie met verkeersanalyse

Traffic Analytics profiteert van door de gebruiker toegewezen beheerde identiteiten door beveiligde opname van stroomlogboeken in de Log Analytics-werkruimte in te schakelen zonder referenties te hoeven beheren. Deze aanpak:

  • Stroomlijnt toegangsbeheer voor geautomatiseerde implementaties.
  • Komt overeen met Zero Trust-principes.
  • Verbetert de algehele beveiligingspostuur.

Vereiste voorwaarden

Een door de gebruiker toegewezen beheerde identiteit gebruiken met stroomlogboeken voor virtuele netwerken

Als u een nieuw stroomlogboek voor een virtueel netwerk wilt maken met behulp van een door de gebruiker toegewezen beheerde identiteit, gebruikt u de cmdlet New-AzNetworkWatcherFlowLog met de parameter -UserAssignedIdentityId.

New-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_{REGION} -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>

Gebruik de cmdlet Set-AzNetworkWatcherFlowLog met de parameter -UserAssignedIdentityIdom een door de gebruiker toegewezen beheerde identiteit aan een bestaand stroomlogboek voor virtuele netwerken te koppelen of los te koppelen.

# Associate a user-assigned managed identity to an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>
# Dissociate a user-assigned managed identity from an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId {None}