Ativar a Segurança de Rede para conectores de blobs de Armazenamento Azure

Overview

Este artigo fornece instruções passo a passo sobre como ativar a segurança de rede nos recursos de armazenamento integrados com o conector de Armazenamento do Azure. Azure perímetro de segurança de rede (NSP) é uma funcionalidade nativa Azure que cria um limite de isolamento lógico para os seus recursos PaaS. Ao associar recursos como contas de armazenamento ou bases de dados a um NSP, pode gerir centralmente o acesso à rede através de um conjunto de regras simplificado. Para obter mais informações, veja Conceitos de perímetro de segurança de rede.

Pré-requisitos

Antes de começar, você deve ter os seguintes recursos do conector Armazenamento do Azure já implantados e configurados:

  • Conta Armazenamento do Azure: A conta de armazenamento integrada ao seu conector Armazenamento do Azure.
  • Fila Armazenamento do Azure: A fila que recebe notificações de eventos de criação de blob.
  • Tema do sistema Grade de Eventos: O tópico do sistema na conta de armazenamento que transmite eventos de criação de blobs para a fila de armazenamento.

Se você ainda não criou esses recursos, consulte Configurar seu conector Armazenamento do Azure para transmitir logs para Microsoft Sentinel.

Para concluir esta configuração, certifique-se de que tem as seguintes permissões:

  • Proprietário ou Colaborador da assinatura deve criar recursos de perímetro de segurança de rede.
  • Colaborador da Conta de Armazenamento para associar a conta de armazenamento ao NSP.
  • Administrador de Acesso do Usuário da Conta de Armazenamento ou Proprietário para atribuir funções RBAC à identidade gerenciada do Event Grid.
  • Contribuidor do Event Grid para ativar a identidade gerida e gerir subscrições de eventos.

Ativar a Segurança de Rede

Para ativar a segurança de rede nos recursos de armazenamento integrados com o conector de Armazenamento do Azure, crie um Perímetro de Segurança de Rede (NSP), associe a conta de armazenamento à mesma e configure as regras para permitir o tráfego do Event Grid e de outras origens necessárias enquanto bloqueia o acesso não autorizado. Use as etapas a seguir para concluir a configuração do Perímetro de Segurança de Rede para a conta de armazenamento.

Criar um Perímetro de Segurança de Rede

Para criar um Perímetro de Segurança de Rede no portal Azure, execute as seguintes etapas:

  1. No portal do Azure, procure Perímetros de Segurança de Rede

  2. Selecione Criar.

  3. Selecione uma Subscrição e um Grupo de recursos.

  4. Introduza Nome, por exemplo storageblob-connectors-nsp

  5. Selecione uma Região. A região tem de ser a mesma região que a conta de armazenamento.

  6. Introduza um Nome do perfil ou aceite a predefinição. O perfil define o conjunto de regras que são aplicadas aos recursos associados. Pode ter vários perfis num único NSP para aplicar regras diferentes a recursos diferentes, se necessário.

  7. Selecione Examinar + criar e, em seguida, selecione Criar.

    Captura de ecrã a mostrar a criação de um Perímetro de Segurança de Rede no portal do Azure.

Associar a Conta de Armazenamento ao Perímetro de Segurança de Rede

Para associar a conta de armazenamento ao Perímetro de Segurança de Rede, execute as seguintes etapas:

  1. Abra o recurso de Perímetro de Segurança de Rede recentemente criado no portal do Azure.

  2. Selecione Perfis e, em seguida, selecione o nome do perfil que utilizou ao criar o recurso NSP.

  3. Selecione Recursos associados.

  4. Selecione Adicionar.

  5. Procure e adicione a sua conta de armazenamento e, em seguida, selecione Selecionar.

  6. Selecione Associar.

O modo de acesso está definido como Transição por predefinição , o que lhe permite validar a configuração antes de impor restrições.

Captura de ecrã a mostrar como associar uma conta de armazenamento ao Perímetro de Segurança de Rede no portal do Azure.

Ativar a identidade atribuída pelo sistema no tópico do sistema do Event Grid

Para habilitar uma identidade gerenciada atribuída pelo sistema no tópico do sistema da Grade de Eventos, execute as seguintes etapas:

  1. A partir da sua conta de armazenamento, navegue para o separador Eventos .

  2. Selecione o Tópico de Sistema utilizado para transmitir eventos de criação de blobs para a fila de armazenamento.

    Captura de ecrã a mostrar o separador Evento para Contas de Armazenamento no portal do Azure.

  3. Selecione Identidade.

  4. No separador Sistema atribuído , defina o Estado como Ativado.

  5. Selecione Salvar, depois copie o ID do Objeto da identidade gerenciada. Você precisará desse ID do objeto ao atribuir a função Remetente de mensagens de dados da fila de armazenamento na próxima seção.

    Uma captura de ecrã a mostrar a criação de uma identidade gerida para um Tópico do Sistema do Event Grid no portal do Azure.

Conceder permissões RBAC na Fila de Armazenamento

Para conceder à identidade gerenciada do tópico do sistema do Event Grid permissão para enviar mensagens à fila de armazenamento, execute as etapas a seguir:

  1. Acesse a sua conta de armazenamento.
  2. Selecione Controle de Acesso (IAM).
  3. Selecione Adicionar.
  4. Pesquise e selecione a função Storage Queue Data Message Sender (escopo: conta de armazenamento).
  5. Selecione o separador Membros e, em seguida , Selecione membros.
  6. No painel Selecionar membros, cole a ID de objeto da identidade gerenciada atribuída pelo sistema para o tópico do sistema do Event Grid.
  7. Selecione a identidade gerida e, em seguida, selecione Selecionar.
  8. Selecione Examinar + atribuir para concluir a atribuição de função. Captura de ecrã a mostrar a atribuição da função Remetente de Mensagens de Dados da Fila de Armazenamento a uma identidade gerida no portal do Azure.

Habilitar a identidade gerenciada na assinatura de evento

Para habilitar a identidade gerenciada na assinatura do evento, execute as seguintes etapas:

  1. Abra o Tópico do Sistema do Event Grid.
  2. Selecione a assinatura de evento que tem como destino a fila.
  3. Selecione o separador Definições adicionais .
  4. Defina o Tipo de identidade geridacomo Atribuído pelo sistema.
  5. Selecione Salvar.
  6. Reveja as métricas da subscrição do Event Grid para validar que as mensagens são publicadas com êxito na fila de armazenamento após esta atualização.

Captura de ecrã a mostrar a ativação da identidade gerida para uma subscrição do Event Grid no portal do Azure.

Configurar regras de Acesso de Entrada no perfil de Perímetro de Segurança de Rede

São necessárias as seguintes regras para permitir que o Event Grid entregue mensagens à conta de armazenamento enquanto bloqueia o acesso não autorizado. Consoante o sistema que está a enviar dados para a conta de armazenamento ou o acesso aos recursos de armazenamento, poderá ter de adicionar regras de entrada adicionais. Analise seu cenário e os padrões de tráfego para determinar se você precisa apenas das regras necessárias do Event Grid ou de regras NSP de entrada adicionais, e aguarde a propagação das regras.

Regra 1: Permitir a Subscrição (Entrega do Event Grid)

A entrega do Event Grid não tem origem em IPs públicos fixos. O NSP valida a entrega usando a identidade da assinatura.

  1. Navegue para Perímetro de Segurança de Rede e selecione o NSP.

  2. Selecione Perfis e, em seguida, selecione o perfil associado à sua conta de armazenamento.

  3. Selecione Regras de acesso de entrada e, em seguida, selecione Adicionar.

    Captura de tela mostrando a página de Regras de acesso de entrada no portal do Azure.

  4. Insira o nome de uma Regra; por exemplo, Allow-Subscription.

  5. Selecione Subscrição no menu pendente Tipo de origem.

  6. Selecione a sua subscrição no menu pendente Origens Permitidas .

  7. Selecione Adicionar para criar a regra.

    Captura de ecrã a mostrar a criação de uma regra de acesso de entrada para permitir uma subscrição no portal do Azure.

Observação

As regras podem demorar alguns minutos a aparecer na lista após a criação.

Regra 2: Permitir intervalos de IP do serviço Scuba

Crie uma regra de entrada que permita os intervalos de IP do serviço Scuba necessários para esse cenário.

  1. Crie uma segunda Regra de acesso de entrada.

  2. Insira o nome de uma Regra; por exemplo, Allow-Scuba.

  3. Selecione Intervalos de endereços IP na lista suspensa Tipo de origem.

  4. Abra a página Baixar arquivos JSON de marcas de serviço do Azure.

  5. Selecione sua nuvem; por exemplo, Azure Public.

  6. Selecione o botão Transferir e abra o ficheiro transferido para obter a lista de intervalos de IP.

  7. Localize a etiqueta de Scuba serviço e copie os intervalos IPv4 associados.

    Importante

    Remova as aspas dos intervalos de IP e certifique-se de que não existe nenhuma vírgula à direita na última entrada antes de colá-las no campo Origens Permitidas . Os intervalos de tags de serviço são atualizados com o tempo; atualize-os regularmente para manter as regras em dia.

  8. Cole as faixas de IPv4 no campo Origens Permitidas após remover as aspas e as vírgulas finais.

  9. Selecione Adicionar para criar a regra.

    Captura de ecrã a mostrar uma parte do ficheiro ServiceTags_Public.json com a etiqueta de serviço Scuba e os intervalos IPv4 realçados.

Validar e impor

Depois de configurar as regras, monitorize os registos de diagnóstico do Perímetro de Segurança de Rede para validar que o tráfego legítimo é permitido e não existem interrupções. Depois de confirmar que as regras permitem corretamente o tráfego necessário, você pode alternar do modo de transição para o modo de imposição para bloquear o acesso não autorizado.

Modo de transição

Ative os registos de diagnóstico do Perímetro de Segurança de Rede e reveja a telemetria recolhida para validar os padrões de comunicação antes da imposição. Para obter mais informações, veja Registos de diagnóstico do Perímetro de Segurança de Rede.

Aplicar modo de Imposição

Assim que a validação for bem-sucedida, defina o modo de acesso como Aplicado da seguinte forma:

  1. Na página Perímetro de Segurança de Rede, em Definições, selecione Recursos associados.

  2. Selecione a conta de armazenamento.

  3. Selecione Alterar modo de acesso.

  4. Selecione Aplicado e, em seguida, Salvar.

    Captura de ecrã a mostrar como alterar o modo de acesso de uma conta de armazenamento associada a um Perímetro de Segurança de Rede no portal do Azure.

Validação pós-aplicação

Depois de definir o modo de acesso NSP como Aplicado, monitore atentamente o ambiente em busca de qualquer tráfego bloqueado que possa indicar erros de configuração. Valide se a configuração do Event Grid não é afetada ao rever as métricas de subscrição do tópico do sistema do Event Grid.

Utilize os registos de diagnóstico para investigar e resolve quaisquer problemas que surjam. Revise as métricas da conta de armazenamento (entrada na fila e erros) e do Event Grid (sucesso na entrega) para verificar se há erros. Reverter para o Modo de Transição se ocorrer alguma interrupção e repetir a investigação com os registos de diagnóstico.

Definir Protegido por Perímetro na Conta de Armazenamento (Opcional)

Definir a conta de armazenamento como Protegida por Perímetro garante que todo o tráfego para a conta de armazenamento é avaliado em relação às regras de Perímetro de Segurança de Rede e bloqueia o acesso à rede pública.

  1. Acesse a sua conta de armazenamento.
  2. Em Segurança + rede, selecione Rede.
  3. Em Acesso à rede pública, selecione Gerir.
  4. Definir Protegido por Perímetro (Mais restrito).
  5. Selecione Salvar.

Uma captura de ecrã a mostrar como definir uma conta de armazenamento como

Conteúdo relacionado

  • Last updated on