Modo de manutenção

O modo de manutenção controla quando podes fazer alterações aos recursos que o Azure Enclave gere para uma comunidade ou enclave.

Neste artigo, os recursos geridos pelo Azure Enclave referem-se à comunidade subjacente ou ao enclave grupo de recursos geridos e aos seus recursos. Utilize o modo General para a maioria das tarefas operacionais planeadas. Reserve o modo Advanced para cenários de quebra-vidro, recuperação ou emergência onde é necessário acesso privilegiado mais amplo.

Melhores práticas

  • Limitar a utilização: Ativar o modo de manutenção apenas para utilizadores privilegiados de confiança durante as janelas de manutenção planeada. Mantenha a segurança e o isolamento sobre os recursos do Azure Enclave.
  • Compreenda o impacto: Os utilizadores privilegiados devem compreender plenamente as alterações que estão a fazer e os passos para desfazer ou remediar essas alterações. Fazer alterações manuais aos recursos geridos subjacentes numa comunidade ou enclave enquanto está em modo de manutenção pode causar desvios não intencionais no seu ambiente em relação aos estados ideais.

Opções de modo de manutenção

  • Off - As atribuições de negação criadas pelo Azure Enclave estão em vigor para proteger os grupos de recursos geridos subjacentes de uma comunidade ou enclave.
  • General - A opção de modo de manutenção para a maioria das operações rotineiras que realiza em recursos geridos pela comunidade ou pelo enclave. O Azure Enclave mantém a Allow Dataplane Actions atribuição de negação e exclui os principais de modo de manutenção selecionados da Deny All atribuição de negação. O RBAC continua a controlar o que essas entidades podem fazer. Por defeito, as comunidades e enclaves são implementados no Off modo, mas pode escolher General o modo durante a criação e fornecer as identidades Microsoft Entra ID apropriadas.
  • Advanced - Reservado para cenários de break-glass, recuperação ou emergência onde é necessário acesso privilegiado irrestrito a recursos geridos. O Azure Enclave remove temporariamente a sua atribuição de negação para que as entidades aprovadas possam realizar alterações elevadas.

Opções de justificação

  • Rede - Gerir alterações privilegiadas ou personalizadas em recursos geridos.
  • Governação - Gestão de alterações relacionadas com registo, políticas ou outros aspetos de governação.
  • Desligado - O modo de manutenção já não é necessário.

Modo de manutenção comunitária

O modo de manutenção comunitária protege os recursos geridos que compõem a comunidade, incluindo Azure vWAN, Azure Firewall, Firewall Policy e Log Analytics workspace. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações RBAC elevadas para uma tarefa de quebra-vidro aprovada.

Cenários de modo de manutenção comunitária

Cenários comuns para o modo de manutenção comunitária incluem:

  • Criar/modificar tabelas de roteamento centrais virtuais para suportar configurações complexas de rede.
  • Criação/modificação de hubs virtuais personalizados dentro do vWAN da Comunidade
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • Criar recursos dentro do grupo de recursos geridos pela comunidade para permitir redes privadas, como zonas DNS privadas e ligações privadas.

Modo de manutenção global da comunidade

Quando ativa General o modo de manutenção para uma comunidade, os princípios do modo de manutenção configurados são excluídos da atribuição geral de negação para o grupo de recursos geridos pela comunidade. A Allow Dataplane Actions atribuição de recusa mantém-se em vigor para todos os diretores, incluindo os responsáveis do modo de manutenção. Os papéis atribuídos ao principal no RBAC continuam a limitar as ações que pode realizar.

As seguintes permissões são permitidas sobre o grupo de recursos gerido pela comunidade quando General o modo de manutenção está ativado:

Negação de atribuição comunitária: Deny All

Funcionamento Tipo de ação Explanation
* Action Negue todas as ações, exceto as especificadas nesta tabela.
*/read NotAction Permitir ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permitir ações de tag em todos os recursos.

Modo de manutenção avançada comunitária

As seguintes permissões são permitidas sobre o grupo de recursos geridos pela Comunidade quando o modo de manutenção avançada está ativado.

Comunidade Nega Atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Resources/tags/* NotAction Permitir ações de "etiquetas" em todos os recursos
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Permitir ações de escrita em networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Permitir ações de escrita em applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Permitir ações de "escrita" em natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Permitir ações de "escrita" em RuleGroups
Microsoft.Network/virtualHubs/write NotAction Permitir ações de "escrita" nos virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Permitir ações de "leitura" nos virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Permitir ações de associação em virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Permitir ações de "escrita" sobre tabelas de rotas de hub virtuais

Modo de manutenção do enclave

O modo de manutenção do enclave protege os recursos geridos que compõem o enclave, incluindo a rede virtual do Azure, os grupos de segurança da rede e o espaço de trabalho Log Analytics. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações RBAC elevadas para uma tarefa de quebra-vidro aprovada.

Cenários do modo de manutenção do enclave

Cenários comuns para usar o modo de manutenção do enclave incluem:

  • Efetuar operações de associação de sub-redes/VNET durante a implementação de cargas de trabalho
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • A criação de recursos dentro do grupo de recursos geridos do enclave permitia a criação de redes privadas, como zonas DNS privadas e ligações privadas.

Modo de manutenção geral do Enclave

Quando ativa General o modo de manutenção para um enclave, os princípios configurados do modo de manutenção são excluídos da atribuição geral de negação para o grupo de recursos geridos do enclave. A Allow Dataplane Actions atribuição de recusa mantém-se em vigor para todos os diretores, incluindo os responsáveis do modo de manutenção. Os papéis atribuídos ao principal no RBAC continuam a limitar as ações que pode realizar.

As seguintes permissões são permitidas sobre o grupo de recursos geridos pelo enclave quando General o modo de manutenção está ativado:

Enclave nega atribuição: Deny All

Funcionamento Tipo de ação Explanation
* Action Negue todas as ações, exceto as especificadas nesta tabela.
*/read NotAction Permitir ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permitir ações de tag em todos os recursos.

Modo avançado de manutenção do Enclave

As seguintes permissões são permitidas sobre o grupo de recursos geridos pelo enclave quando o modo de manutenção avançada está ativado.

Enclave nega atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Recursos/implantações/* NotAction Permitir todas as ações em "implementações"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Network/privateDnsZones/* NotAction Permitir todas as ações em "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* NotAction Permitir todas as ações em "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* NotAction Permitir todas as ações em "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Permitir operações vNet/join através do enclave vNet
Microsoft.Network/redesVirtuais/subredes/ligação/ação NotAction Permitir operações de sub-rede/join através do enclave vNet
Microsoft. Autorização/políticaIsenções/* NotAction Permitir todas as ações em "isenções de política"
Microsoft.Network/routeTables/routes/write NotAction Permitir ações de "escrita" sobre tabelas de rotas da Rede Virtual

Como usar o modo de manutenção

1. Ativar o modo de manutenção durante a criação de comunidade ou enclave

  1. Vá ao separador Modo de manutenção no formulário de criação da comunidade ou do enclave.
  2. Selecione a opção de modo Off, General ou Advanced.
  3. Selecione os princípios de serviço que pretende incluir.
  4. Selecione a justificação para entrar no modo de manutenção: Rede ou Governação. Selecione Off se o modo de manutenção também estiver Off.
  5. Reveja e crie a comunidade ou enclave como habitualmente.

2. Ativar o modo de manutenção para uma comunidade ou enclave existente

  1. Navega até à comunidade ou enclave onde estás a ativar o modo de manutenção.
  2. Vai ao separador Modo de Manutenção .
  3. Selecione o modo General ou o modo Advanced.
  4. Selecione os princípios de serviço que pretende incluir.
  5. Selecione a justificação para entrar no modo de manutenção: Rede ou Governação.
  6. Confirma e guarda.

3. Realizar tarefas de manutenção

  • Depois de ativar o modo de manutenção avançada , execute apenas a tarefa aprovada de quebra-vidro.

4. Desativar o modo de manutenção

  1. Depois de concluir as suas tarefas, volte ao separador do modo de Manutenção.
  2. Selecione o modo Desligado.
  3. Confirma e guarda.

Saiba mais

  • Última atualização a