Modo de manutenção

Azure Enclave protege os recursos da comunidade e os recursos gerenciados pelo enclave por meio de atribuições de negação. Você pode realizar operações rotineiras que o Azure Enclave suporta usando as permissões apropriadas de controle de acesso baseado em função (RBAC) sem ativar o modo de manutenção.

Práticas recomendadas

  • Limitar o uso: Ative-se o modo de manutenção apenas para usuários privilegiados confiáveis durante as janelas de manutenção planejadas. Mantenha segurança e isolamento sobre os recursos do Azure Enclave.
  • Entenda o impacto: Usuários privilegiados devem compreender plenamente as mudanças que estão fazendo e os passos para desfazer ou remediar essas mudanças. Fazer alterações manuais nos recursos gerenciados subjacentes de uma comunidade ou enclave quando estiver em modo de manutenção pode causar desvios não intencionais no seu ambiente em relação aos estados ideais.

Opções de modo de manutenção

  • Off - As atribuições de bloqueio criadas pelo Azure Enclave são aplicadas diretamente para proteger os grupos de recursos gerenciados subjacentes de um enclave ou comunidade.
  • General - A Allow Dataplane Actions atribuição de negação permanece em vigor, enquanto os diretores selecionados são excluídos da atribuição de negação geral. Esse modo permite que esses principais realizem operações suportadas em recursos protegidos, sujeitos às suas funções atribuídas no RBAC.
  • Advanced- A atribuição de negação criada pelo Azure é temporariamente removida para permitir que usuários privilegiados façam alterações elevadas nos recursos gerenciados subjacentes. Essa opção é a solução definitiva para casos extremos que não são cobertos pelas permissões normais do RBAC.

Lembre-se de retornar o modo de manutenção para Off quando a mudança estiver concluída.

Opções de justificativa

  • Rede – Gerenciamento de alterações privilegiadas ou personalizadas em recursos gerenciados.
  • Governança - Gerenciamento do registro em log, de políticas ou de outras alterações relacionadas à governança.
  • Desativado – O modo de manutenção não é mais necessário.

Modo de manutenção comunitária

O modo de manutenção comunitária protege os recursos gerenciados que compõem a comunidade, incluindo Azure vWAN, Firewall do Azure, Firewall Policy e Log Analytics workspace. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações elevadas de RBAC para uma tarefa de "break-glass" aprovada.

Cenários de manutenção comunitária

Cenários comuns para o modo de manutenção comunitária incluem:

  • Criar/modificar tabelas de rotas de hub virtual para dar suporte a configurações de rede complexas.
  • Criando/modificando hubs virtuais personalizados no vWAN da Comunidade
  • Criar/modificar regras de grupo de segurança de rede individuais necessárias para serviços Azure específicos
  • Criar recursos dentro do grupo de recursos gerenciados pela comunidade para viabilizar redes privadas, como zonas DNS privadas e links privados.

Modo de manutenção geral comunitária

Quando você ativa General o modo de manutenção para uma comunidade, os princípios do modo de manutenção configurados são excluídos da atribuição geral de negação para o grupo de recursos gerenciados pela comunidade. A atribuição de negação Allow Dataplane Actions permanece em vigor para todas as entidades de segurança, incluindo as entidades de segurança do modo de manutenção. As funções de RBAC atribuídas a um principal continuam a limitar as ações que ele pode executar.

As seguintes permissões são permitidas sobre o grupo de recursos gerenciados pela comunidade quando General o modo de manutenção está ativado:

Atribuição de negação da comunidade: Deny All

Operação Tipo de ação Explanation
* Ação Nege todas as ações, exceto aquelas especificadas nesta tabela.
*/read NotAction Permita ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permita ações de etiquetagem em todos os recursos.

Modo de manutenção avançada comunitária

As seguintes permissões são permitidas sobre o grupo de recursos gerenciados pela Comunidade quando o modo de manutenção avançada está ativado.

Atribuição de Negação da Comunidade: Allow Dataplane Actions

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Resources/tags/* NotAction Permitir ações relacionadas a "tags" em todos os recursos
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Permitir ações de "escrita" em networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Permitir ações de "escrita" em applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Permitir ações de "escrita" em natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Permitir ações de "escrita" em ruleGroups
Microsoft.Network/virtualHubs/write NotAction Permitir ações de "escrita" em virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Permitir ações de "leitura" em virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Permitir ações de "junção" em virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Permitir ações de "escrita" em tabelas de rotas do hub virtual

Modo de manutenção do enclave

O modo de manutenção do enclave protege os recursos gerenciados que compõem o enclave, incluindo a rede virtual do Azure, os grupos de segurança da rede e o espaço de trabalho Log Analytics. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações elevadas de RBAC para uma tarefa de quebra-vidro aprovada.

Cenários do modo de manutenção do enclave

Cenários comuns para usar o modo de manutenção do enclave incluem:

  • Executando operações de associação entre sub-rede e rede virtual durante as implantações de cargas de trabalho
  • Criar/modificar regras de grupo de segurança de rede individuais necessárias para serviços Azure específicos
  • Criar recursos dentro do grupo de recursos gerenciados do enclave para viabilizar redes privadas, como zonas DNS privadas e links privados.

Modo de manutenção geral do Enclave

Quando você ativa o modo de manutenção General para um enclave, as entidades de serviço configuradas para o modo de manutenção são excluídas da atribuição de negação abrangente para o grupo de recursos gerenciado do enclave. A Allow Dataplane Actions atribuição de negação permanece em vigor para todos os principals, incluindo os principais do modo manutenção. As funções de RBAC atribuídas a um principal continuam a limitar as ações que ele pode executar.

As seguintes permissões são permitidas sobre o grupo de recursos gerenciados do enclave quando General o modo de manutenção está ativado:

Atribuição de negação de enclave: Deny All

Operação Tipo de ação Explanation
* Ação Nege todas as ações, exceto aquelas especificadas nesta tabela.
*/read NotAction Permita ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permitir ações de tag em todos os recursos.

Modo avançado de manutenção do Enclave

As seguintes permissões são permitidas sobre o grupo de recursos gerenciados pelo enclave quando o modo de manutenção avançada está ativado.

Atribuição de negação de enclave: Allow Dataplane Actions

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Resources/deployments/* NotAction Permitir todas as ações em "implantações"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Network/privateDnsZones/* NotAction Permitir todas as ações em "privateDnsZones"
Microsoft.Network/privateDnsOperationResults/* NotAction Permitir todas as ações em "privateDnsOperationResults"
Microsoft.Network/privateDnsOperationStatuses/* NotAction Permitir todas as ações em "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Permitir operações de vNet/junção pela vNet do enclave
Microsoft.Network/virtualNetworks/subnets/join/action NotAction Permitir operações de sub-rede/junção pela vNet do enclave
Microsoft.Authorization/policyExemptions/* NotAction Permitir todas as ações em "policyExemptions"
Microsoft.Network/routeTables/routes/write NotAction Permitir ações de "escrita" nas tabelas de rotas da Rede Virtual

Como usar o modo de manutenção

1. Ativar o modo de manutenção durante a criação da comunidade ou do enclave

  1. Vá para a aba Modo de manutenção no formulário de criação de comunidade ou enclave.
  2. Selecione a opção de modo Off, General ou Advanced.
  3. Selecione as entidades de serviço que você deseja incluir.
  4. Selecione a justificativa para entrar no modo de manutenção: Rede ou Governança. Selecione Off se o modo de manutenção também estiver Off.
  5. Revise e crie a comunidade ou o enclave como de costume.

2. Ativar o modo de manutenção para uma comunidade ou enclave existente

  1. Navegue até a comunidade ou enclave na qual você habilitará o modo de manutenção.
  2. Vá para a aba Modo Manutenção .
  3. Selecione o modo General ou Advanced.
  4. Selecione as entidades de serviço que você deseja incluir.
  5. Selecione a justificativa para entrar no modo de manutenção: Rede ou Governança.
  6. Confirme e salve.

3. Executar tarefas de manutenção

  • Após ativar o modo de manutenção avançada , execute apenas a tarefa aprovada de quebra-vidro.

4. Desativar o modo de manutenção

  1. Depois de concluir suas tarefas, navegue de volta para a guia Modo de Manutenção.
  2. Selecione o modo Desligado .
  3. Confirme e salve.

Saiba mais

  • Última atualização em