Co to jest obwód zabezpieczeń sieci?

Azure Network Security Perimeter tworzy logiczne granice sieci wokół zasobów platformy jako usługi (PaaS), które wdrażasz poza sieciami wirtualnymi. Dzięki ustanowieniu bezpiecznego obrębu obręb zabezpieczeń sieci pomaga kontrolować publiczny dostęp sieciowy do zasobów takich jak konta Azure Storage i Azure Key Vault.

Domyślnie obwód zabezpieczeń sieci ogranicza publiczny dostęp do zasobów PaaS w granicach. Wyjątki można udzielać za pomocą jawnych reguł dostępu dla ruchu przychodzącego i wychodzącego. Takie podejście pomaga zapobiegać eksfiltracji danych przy zachowaniu niezbędnej łączności dla aplikacji.

Aby poznać wzorce dostępu związane z ruchem z sieci wirtualnych do zasobów PaaS, zobacz: Co to jest Azure Private Link?

Funkcje obwodu zabezpieczeń sieci obejmują:

  • Komunikacja między zasobami między członkami perymetru, co zapobiega wydostawaniu danych do nieautoryzowanych miejsc docelowych.
  • Zewnętrzne zarządzanie dostępem publicznym z jawnymi regułami dla zasobów PaaS skojarzonych z obwodem.
  • Dzienniki dostępu do audytu i zgodności.
  • Ujednolicone doświadczenie w korzystaniu z zasobów PaaS.

Zrzut ekranu diagramu przedstawiającego zabezpieczenie usługi z obwodem bezpieczeństwa sieciowego.

Important

Obwód zabezpieczeń sieciowych jest teraz powszechnie dostępny we wszystkich regionach publicznej chmury Azure oraz w regionach Azure Government (US Gov Virginia, US Gov Texas, US Gov Arizona, US DoD East i US DoD Central). Aby uzyskać informacje na temat obsługiwanych usług, zobacz Dołączane zasoby łącza prywatnego dla obsługiwanych usług PaaS.

Składniki obwodu zabezpieczeń sieci

Obwód zabezpieczeń sieci obejmuje następujące składniki:

Składnik Description
Perimeter zabezpieczeń sieci Zasób najwyższego poziomu definiujący granicę sieci logicznej w celu zabezpieczenia zasobów PaaS.
Profil Kolekcja reguł dostępu, które mają zastosowanie do zasobów skojarzonych z profilem.
Zasada dostępu Reguły ruchu przychodzącego i wychodzącego dla zasobów w obwodzie umożliwiające dostęp poza obwodem.
Powiązanie zasobu Członkostwo w strefie dla zasobu PaaS.
Identyfikator sieci Publiczny adres IP lub prefiks skojarzony z podsiecią punktu końcowego usługi, umożliwiający obwodowi zabezpieczeń sieci identyfikację i autoryzację ruchu przychodzącego z zasobów IaaS. Używany ze standardowym punktem końcowym usługi.
Ustawienia diagnostyki Zasób rozszerzenia hostowany przez usługę Microsoft Insights w celu zbierania dzienników i metryk dla wszystkich zasobów w obwodzie.

Note

W przypadku bezpieczeństwa organizacyjnego i informacyjnego nie należy uwzględniać żadnych danych osobowych ani poufnych w regułach obwodu zabezpieczeń sieci ani innych konfiguracjach obwodowych zabezpieczeń sieci.

Właściwości obwodu zabezpieczeń sieci

Podczas tworzenia obwodu zabezpieczeń sieci można określić następujące właściwości:

Właściwość Description
Nazwa Unikatowa nazwa w grupie zasobów.
Lokalizacja Obsługiwany region Azure, w którym znajduje się zasób.
Nazwa grupy zasobów Nazwa grupy zasobów, w której powinien znajdować się obwód zabezpieczeń sieci.

Tryby dostępu w obwodzie zabezpieczeń sieci

Administratorzy dodają zasoby PaaS do obwodu, tworząc skojarzenia zasobów. Możesz tworzyć te powiązania w dwóch trybach dostępu. Tryby dostępu to:

Tryb Description
Tryb przejścia (dawniej tryb uczenia) - Domyślny tryb dostępu.
- Pomaga administratorom sieci zrozumieć istniejące wzorce dostępu do zasobów PaaS.
- Zalecany tryb użytkowania przed przejściem do trybu wymuszonego.
Tryb wymuszony - Ustawione przez administratora.
- Domyślnie odmawia się wszelkiego ruchu z wyjątkiem ruchu w obrębie perymetru, chyba że istnieje reguła dostępu Zezwalaj.

Aby dowiedzieć się więcej o przejściu z trybu przejściowego (dawniej trybu nauki) do trybu wymuszania, zobacz Przechodzenie do strefy bezpieczeństwa sieci.

Dlaczego warto używać obwodu zabezpieczeń sieci?

Perymetr bezpieczeństwa sieci zapewnia bezpieczny perymetr komunikacji usług PaaS wdrożonych poza siecią wirtualną. Pozwala ona kontrolować dostęp sieciowy do Azure zasobów PaaS. Oto niektóre typowe przypadki użycia:

  • Utwórz bezpieczną granicę wokół zasobów PaaS.
  • Zapobiegaj eksfiltracji danych przez skojarzenie zasobów PaaS z obwodem.
  • Włącz reguły dostępu, aby udzielić dostępu poza bezpiecznym obwodem.
  • Zarządzaj regułami dostępu dla wszystkich zasobów PaaS w obrębie obwodu zabezpieczeń sieci w jednym okienku szkła.
  • Włącz ustawienia diagnostyczne do generowania logów dostępu do zasobów PaaS w obrębie obwodu w celu audytu i zgodności.
  • Zezwalaj na ruch prywatnych punktów końcowych bez konieczności jawnego używania reguł dostępu.

Jak działa obwód zabezpieczeń sieci?

Gdy tworzysz obwód bezpieczeństwa sieci i przypisujesz zasoby PaaS do tego obwodu w trybie wymuszonym, domyślnie odmawiasz całego ruchu publicznego. Takie rozwiązanie zapobiega wydostawaniu danych poza perymetr.

Używaj reguł dostępu, aby zezwalać na publiczny ruch przychodzący i wychodzący poza obwodem. Zatwierdzaj publiczny dostęp przychodzący, korzystając z atrybutów sieci i tożsamości klienta, takich jak źródłowe adresy IP i subskrypcje. Zezwalaj na publiczny dostęp wychodzący, używając nazw FQDN (Fully Qualified Domain Names) zewnętrznych miejsc docelowych.

Korzystając ze standardowego punktu końcowego usługi, perymetr bezpieczeństwa sieciowego może również autoryzować ruch przychodzący za pomocą identyfikatorów sieciowych — publicznych adresów IP lub prefiksów powiązanych z podsieciami punktów końcowych usługi. Takie podejście zapewnia skalowalną, opartą na tożsamości łączność IaaS-to-PaaS bez konieczności stosowania indywidualnych reguł dostępu opartych na IP.

Na przykład, gdy tworzysz perymetr bezpieczeństwa sieciowego i przypisujesz zestaw zasobów PaaS do tego obwodu, takich jak Azure Key Vault i Azure Storage, w trybie wymuszonym, domyślnie odmawiasz wszelkiego ruchu publicznego przychodzącego i wychodzącego do tych zasobów PaaS. Aby umożliwić jakikolwiek dostęp poza perymetrem, należy utworzyć niezbędne zasady dostępu. W obrębie tego samego obrębu twórz profile, aby grupować zasoby PaaS z podobnymi zestawami wymagań dotyczących dostępu przychodzącego i wychodzącego.

Prywatny zasób łącza uwzględniający granicę zabezpieczeń sieci to zasób PaaS, który możesz powiązać z granicą zabezpieczeń sieci. Obecnie wdrożone zasoby prywatnych linków przedstawiają się następująco:

Nazwa zasobu łącza prywatnego Typ zasobu Resources Dostępność chmury publicznej Dostępność chmury dla instytucji rządowych
Azure Monitor Microsoft.Insights/dataCollectionEndpoints
Microsoft.Insights/ScheduledQueryRules
Microsoft.Insights/actionGroups
Microsoft.OperationalInsights/workspaces		 obszar roboczy Log Analytics, usługa Application Insights, alerty, usługa powiadomień Ogólnie dostępne Niedostępne
Wyszukiwanie AI platformy Azure Microsoft.Search/searchServices Dostępne ogólnie Niedostępne
Azure App Configuration Microsoft. AppConfiguration/configurationStores Podgląd publiczny Niedostępne
Cosmos DB Microsoft. DocumentDB/databaseAccounts Podgląd publiczny Niedostępne
Event Hubs Microsoft.EventHub/przestrzenie nazw Dostępne ogólnie Niedostępne
Key Vault Microsoft. KeyVault/vaults Dostępne ogólnie Dostępne ogólnie
SQL DB Microsoft.Sql/servers Podgląd publiczny Niedostępne
Przechowywanie Microsoft. Storage/storageAccounts Dostępne ogólnie Dostępne ogólnie
Azure OpenAI service Microsoft.CognitiveServices(kind="OpenAI") Podgląd publiczny Niedostępne
Microsoft Foundry Microsoft.CognitiveServices/accounts
Microsoft. CognitiveServices(kind="AIServices")		 Dostępne ogólnie Dostępne ogólnie
Azure Service Bus Microsoft.ServiceBus/namespaces Dostępne ogólnie Niedostępne
Event Grid Microsoft. EventGrid/domeny Podgląd publiczny Niedostępne

Important

Następujące dołączone usługi są w publicznej wersji zapoznawczej z obwodem zabezpieczeń sieci:

  • Azure App Configuration
  • Cosmos DB
  • BAZA danych SQL
  • Azure OpenAI Service
  • Event Grid

Te podglądy są udostępniane bez umowy o poziomie usług i nie używaj ich do obciążeń produkcyjnych. Niektóre funkcje mogą być nieobsługiwane lub ograniczone. Aby uzyskać więcej informacji, zobacz Wygólne warunki użytkowania Microsoft Azure Previews.

Note

Aby uzyskać informacje o obecnie nieobsługiwanych scenariuszach, zapoznaj się z odpowiednią dokumentacją zasobu Private Link.

Gdzie jest dostępny obwód zabezpieczeń sieci?

Obwód bezpieczeństwa sieciowego jest obecnie dostępny we wszystkich regionach chmury publicznej Azure oraz w regionach Azure Government (US Gov Virginia, US Gov Texas, US Gov Arizona, US DoD East i US DoD Central).

Obsługiwane typy reguł dostępu

Obwód zabezpieczeń sieci obsługuje następujące typy reguł dostępu:

Direction Typ reguły dostępu
Inbound Reguły oparte na subskrypcji
Inbound Reguły oparte na adresach IP (sprawdź odpowiednie zasoby prywatnego łącza włączone do systemu pod kątem obsługi wersji 6)
Inbound Tagi usługi
Outbound Reguły oparte na nazwach FQDN

Note

Ruch wewnątrz obwodowy i reguły dostępu przychodzącego, które są oparte na subskrypcji, nie obsługują uwierzytelniania za pośrednictwem tokenu sygnatury dostępu współdzielonego (SAS). W tych scenariuszach żądania używające tokenu SAS są odrzucane i wyświetlają błąd uwierzytelniania. Użyj alternatywnej obsługiwanej metody uwierzytelniania dla określonego zasobu.

Ograniczenia obwodu zabezpieczeń sieci

Ograniczenia rejestrowania

Podczas włączania logów dostępu dla obwodu bezpieczeństwa sieci, przestrzeń robocza Log Analytics do powiązania z obwodem bezpieczeństwa sieci musi znajdować się w jednym z regionów obsługiwanych przez Azure Monitor.

Note

Dla logów zasobów PaaS użyj Log Analytics Workspace, Storage lub Event Hub jako miejsca docelowego logu powiązanego z tym samym obwodem co zasób PaaS.

ograniczenia Microsoft Sentinel

Znane są następujące ograniczenia:

  • Obwody ochronne sieci nie są obsługiwane w przypadku obszarów roboczych Log Analytics obsługujących Microsoft Sentinel. Jeśli włączysz strefę ochrony sieci w przestrzeni roboczej, reguły analityczne są automatycznie wyłączane. Aby uzyskać więcej informacji, zobacz Wymagania wstępne do wdrażania Microsoft Sentinel.
  • Azure Backup nie jest obsługiwany dla kont pamięci z włączonym network security perimeter. Nie kojarz konta pamięci z obwodem bezpieczeństwa sieciowego, jeśli włączasz kopie zapasowe lub planujesz korzystać z Azure Backup.
  • Nie są obsługiwane zapytania do przestrzeni roboczych z łączem prywatnym w funkcji Advanced hunting.

Ograniczenia skalowania

Funkcje obwodu zabezpieczeń sieci mogą służyć do obsługi wdrożeń zasobów PaaS z typowymi mechanizmami kontroli sieci publicznej z następującymi ograniczeniami skalowania:

Ograniczenia Description
Liczba perymetrów bezpieczeństwa sieci Obsługiwane jest do 100 jako zalecany limit na subskrypcję.
Profile dla perymetrów bezpieczeństwa sieci Obsługiwane do 200 jako zalecany maksymalny limit.
Liczba elementów reguły w profilu Obsługuje do 200 dla ruchu przychodzącego i wychodzącego każdy jako twardy limit.
Liczba zasobów PaaS w ramach subskrypcji powiązanych z tym samym obwodem bezpieczeństwa sieci Obsługiwany jest do 1000 jako zalecany limit.

Inne ograniczenia

Obwód zabezpieczeń sieci ma inne ograniczenia w następujący sposób:

Ograniczenie/Problem Description
Brakujące pole w logach dostępu do obwodu zabezpieczeń sieci Dzienniki dostępu obwodowego zabezpieczeń sieci można agregować. Jeśli brakuje pól "count" i "timeGeneratedEndTime", rozważ liczbę agregacji jako 1.
Tworzenie skojarzeń przez SDK kończy się niepowodzeniem z powodu problemów z uprawnieniami "Status: 403 (Zabronione); ErrorCode: AuthorizationFailed może być otrzymany podczas wykonywania akcji 'Microsoft.Network/locations/networkSecurityPerimeterOperationStatuses/read' w zakresie '/subscriptions/xyz/providers/Microsoft.Network/locations/xyz/networkSecurityPerimeterOperationStatuses/xyz'."

Do momentu naprawienia używaj uprawnienia „Microsoft.Network/locations/*/read” lub użyj funkcji WaitUntil.Started w interfejsie API SDK CreateOrUpdateAsync do tworzenia powiązań.
Nazwy zasobów nie mogą być dłuższe niż 44 znaki ze względu na obsługę sieciowego obwodu zabezpieczeń Skojarzenie zasobów obwodowych zabezpieczeń sieci utworzonych w portalu Azure ma format {resourceName}-{perimeter-guid}. Aby dostosować się do ograniczenia, że nazwa wymagania nie może mieć więcej niż 80 znaków, nazwy zasobów musiałyby być ograniczone do 44 znaków.

Note

Aby uzyskać odpowiednie ograniczenia dla każdej usługi, zapoznaj się z dokumentacją usługi PaaS.

Dalsze kroki

Utwórz obwód bezpieczeństwa sieciowego w portalu Azure

  • Ostatnia aktualizacja o