Zarządzana tożsamość dla logów przepływu sieci wirtualnej

Tożsamości zarządzane umożliwiają bezpieczny dostęp do usług platformy Azure bez użycia poświadczeń, zapewniając automatycznie zarządzaną tożsamość w usłudze Microsoft Entra ID. Te tożsamości mogą służyć do uwierzytelniania w usługach, które wspierają uwierzytelnianie Microsoft Entra, bez konieczności zarządzania poświadczeniami w kodzie. Aby uzyskać więcej informacji, zobacz Tożsamości zarządzane dla zasobów Azure.

Dzienniki przepływu sieci wirtualnej mogą używać tożsamości zarządzanych przypisanych użytkownikowi do bezpiecznego uwierzytelniania na koncie magazynowym, gdzie są przechowywane dzienniki przepływu. Takie podejście eliminuje konieczność osadzania poświadczeń w skryptach lub plikach konfiguracji, co zmniejsza ryzyko wycieku poświadczeń i upraszcza zarządzanie operacyjne.

Korzyści wynikające z używania tożsamości zarządzanej z dziennikami przepływu sieci wirtualnej

Korzystanie z tożsamości zarządzanych z dziennikami przepływu sieci wirtualnej ma kilka zalet:

  • Administratorzy mogą bezpiecznie udzielić dostępu do konta magazynu przy użyciu kontroli dostępu opartej na rolach (RBAC).
  • Zarządzanie tożsamościami jest scentralizowane za pośrednictwem identyfikatora Entra firmy Microsoft.
  • Korzystne w środowiskach na dużą skalę, w których dzienniki przepływów są włączone w wielu sieciach wirtualnych.

Integracja z analizą ruchu

Analiza ruchu korzysta z tożsamości zarządzanych przypisanych przez użytkownika, umożliwiając bezpieczne pozyskiwanie dzienników przepływu w obszarze roboczym usługi Log Analytics bez konieczności zarządzania poświadczeniami. Takie podejście:

  • Usprawnia kontrolę dostępu w przypadku wdrożeń automatycznych.
  • Jest zgodna z zasadami zerowego zaufania.
  • Zwiększa ogólny poziom zabezpieczeń.

Wymagania wstępne

  • Sieć wirtualna z włączonymi dziennikami przepływu. Aby uzyskać więcej informacji, zobacz Tworzenie dzienników przepływu sieci wirtualnej.

  • Konto usługi Azure Storage. Aby uzyskać więcej informacji, zobacz temat Tworzenie konta.

  • Obszar roboczy usługi Log Analytics na potrzeby analizy ruchu. Aby uzyskać więcej informacji, zobacz Tworzenie obszaru roboczego usługi Log Analytics.

  • Tożsamość zarządzana, przypisana przez użytkownika. Aby uzyskać więcej informacji, zobacz Tworzenie tożsamości zarządzanej przypisanej przez użytkownika.

  • Rola Współtwórcy danych Storage Blob przypisana do tożsamości zarządzanej. Aby uzyskać więcej informacji, zobacz Udzielanie tożsamości zarządzanej dostępu do zasobu.

  • Azure Cloud Shell lub Azure PowerShell.

    Kroki opisane w tym artykule uruchamiają interaktywne polecenia cmdlet programu Azure PowerShell w usłudze Azure Cloud Shell. Aby uruchomić polecenia cmdlet w usłudze Cloud Shell, wybierz pozycję Otwórz usługę Cloud Shell w prawym górnym rogu bloku kodu. Wybierz pozycję Kopiuj , aby skopiować kod, a następnie wklej go w usłudze Cloud Shell, aby go uruchomić. Możesz również uruchomić usługę Cloud Shell z poziomu witryny Azure Portal.

    Możesz również zainstalować program Azure PowerShell lokalnie , aby uruchomić polecenia cmdlet. Jeśli uruchomisz program PowerShell lokalnie, zaloguj się do platformy Azure przy użyciu polecenia cmdlet Connect-AzAccount .

Używanie przypisanej przez użytkownika tożsamości zarządzanej z dziennikami przepływu w sieci wirtualnej

Aby utworzyć nowy dziennik przepływu sieci wirtualnej przy użyciu tożsamości zarządzanej przypisanej przez użytkownika, użyj polecenia cmdlet New-AzNetworkWatcherFlowLog z parametrem -UserAssignedIdentityId.

New-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_{REGION} -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>

Aby powiązać lub odłączyć tożsamość zarządzaną przypisaną przez użytkownika z istniejącego dziennika przepływu sieci wirtualnej, użyj polecenia cmdlet Set-AzNetworkWatcherFlowLog z parametrem -UserAssignedIdentityId.

# Associate a user-assigned managed identity to an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId <USER ASSIGNED MANAGED IDENTITY ID>

# Dissociate a user-assigned managed identity from an existing flow log
Set-AzNetworkWatcherFlowLog -Enabled $true -Name <FLOW LOG NAME> -NetworkWatcherName NetworkWatcher_<REGION> -ResourceGroupName NetworkWatcherRG  -StorageId <STORAGE ID> -TargetResourceId <VNET ID> -UserAssignedIdentityId {None}

Treści powiązane

  • Ostatnia aktualizacja o