Modo de manutenção

O Azure Enclave protege os recursos geridos pela comunidade e pelo enclave com atribuições de negação. Pode realizar operações rotineiras que o Azure Enclave suporta usando as permissões de controlo de acesso baseadas em funções (RBAC) apropriadas sem ativar o modo de manutenção.

Melhores práticas

  • Limitar a utilização: Ativar o modo de manutenção apenas para utilizadores privilegiados de confiança durante as janelas de manutenção planeada. Mantenha a segurança e o isolamento sobre os recursos do Azure Enclave.
  • Compreenda o impacto: Os utilizadores privilegiados devem compreender plenamente as alterações que estão a fazer e os passos para desfazer ou remediar essas alterações. Fazer alterações manuais aos recursos geridos subjacentes numa comunidade ou enclave enquanto está em modo de manutenção pode causar desvios não intencionais no seu ambiente em relação aos estados ideais.

Opções de modo de manutenção

  • Off - As atribuições de negação criadas pelo Azure Enclave estão implementadas para proteger os grupos de recursos geridos subjacentes de um enclave ou de uma comunidade.
  • General - A atribuição de negação Allow Dataplane Actions mantém-se em vigor, enquanto as entidades principais selecionadas são excluídas da atribuição de negação geral. Este modo permite que esses principais realizem operações suportadas em recursos protegidos, sujeitos às suas funções atribuídas no RBAC.
  • Advanced- A atribuição de negação criada pelo Azure é temporariamente removida para permitir que utilizadores privilegiados façam alterações elevadas nos recursos geridos subjacentes. Esta opção é a opção de quebra para casos extremos que não estão cobertos pelas permissões normais do RBAC.

Lembre-se de repor o modo de manutenção para Off quando a alteração estiver concluída.

Opções de justificação

  • Rede - Gerir alterações privilegiadas ou personalizadas em recursos geridos.
  • Governação - Gestão de alterações relacionadas com registo, políticas ou outros aspetos de governação.
  • Desligado - O modo de manutenção já não é necessário.

Modo de manutenção comunitária

O modo de manutenção comunitária protege os recursos geridos que compõem a comunidade, incluindo Azure vWAN, Azure Firewall, Firewall Policy e Log Analytics workspace. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações RBAC elevadas para uma tarefa de quebra-vidro aprovada.

Cenários de modo de manutenção comunitária

Cenários comuns para o modo de manutenção comunitária incluem:

  • Criar/modificar tabelas de roteamento centrais virtuais para suportar configurações complexas de rede.
  • Criação/modificação de hubs virtuais personalizados dentro do vWAN da Comunidade
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • Criar recursos dentro do grupo de recursos geridos pela comunidade para permitir redes privadas, como zonas DNS privadas e ligações privadas.

Modo de manutenção global da comunidade

Quando ativa General o modo de manutenção para uma comunidade, os princípios do modo de manutenção configurados são excluídos da atribuição geral de negação para o grupo de recursos geridos pela comunidade. A Allow Dataplane Actions atribuição de recusa mantém-se em vigor para todos os diretores, incluindo os responsáveis do modo de manutenção. Os papéis atribuídos ao principal no RBAC continuam a limitar as ações que pode realizar.

As seguintes permissões são permitidas sobre o grupo de recursos gerido pela comunidade quando General o modo de manutenção está ativado:

Negação de atribuição comunitária: Deny All

Funcionamento Tipo de ação Explanation
* Action Negue todas as ações, exceto as especificadas nesta tabela.
*/read NotAction Permitir ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permitir ações de tag em todos os recursos.

Modo de manutenção avançada comunitária

As seguintes permissões são permitidas sobre o grupo de recursos geridos pela Comunidade quando o modo de manutenção avançada está ativado.

Comunidade Nega Atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Resources/tags/* NotAction Permitir ações de "etiquetas" em todos os recursos
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Permitir ações de escrita em networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Permitir ações de escrita em applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Permitir ações de "escrita" em natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Permitir ações de "escrita" em RuleGroups
Microsoft.Network/virtualHubs/write NotAction Permitir ações de "escrita" nos virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Permitir ações de "leitura" nos virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Permitir ações de associação em virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Permitir ações de "escrita" sobre tabelas de rotas de hub virtuais

Modo de manutenção do enclave

O modo de manutenção do enclave protege os recursos geridos que compõem o enclave, incluindo a rede virtual do Azure, os grupos de segurança da rede e o espaço de trabalho Log Analytics. Quando o modo de manutenção avançada está ativado, os princípios especificados podem realizar ações RBAC elevadas para uma tarefa de quebra-vidro aprovada.

Cenários do modo de manutenção do enclave

Cenários comuns para usar o modo de manutenção do enclave incluem:

  • Efetuar operações de associação de sub-redes/VNET durante a implementação de cargas de trabalho
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • A criação de recursos dentro do grupo de recursos geridos do enclave permitia a criação de redes privadas, como zonas DNS privadas e ligações privadas.

Modo de manutenção geral do Enclave

Quando ativa General o modo de manutenção para um enclave, os princípios configurados do modo de manutenção são excluídos da atribuição geral de negação para o grupo de recursos geridos do enclave. A Allow Dataplane Actions atribuição de recusa mantém-se em vigor para todos os diretores, incluindo os responsáveis do modo de manutenção. Os papéis atribuídos ao principal no RBAC continuam a limitar as ações que pode realizar.

As seguintes permissões são permitidas sobre o grupo de recursos geridos pelo enclave quando General o modo de manutenção está ativado:

Enclave nega atribuição: Deny All

Funcionamento Tipo de ação Explanation
* Action Negue todas as ações, exceto as especificadas nesta tabela.
*/read NotAction Permitir ações de leitura em todos os recursos.
Microsoft.Resources/tags/* NotAction Permitir ações de etiqueta em todos os recursos.

Modo avançado de manutenção do Enclave

As seguintes permissões são permitidas sobre o grupo de recursos geridos pelo enclave quando o modo de manutenção avançada está ativado.

Enclave nega atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Recursos/implantações/* NotAction Permitir todas as ações em "implementações"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Network/privateDnsZones/* NotAction Permitir todas as ações em "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* NotAction Permitir todas as ações em "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* NotAction Permitir todas as ações em "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Permitir operações vNet/join através do enclave vNet
Microsoft.Network/redesVirtuais/subredes/ligação/ação NotAction Permitir operações de sub-rede/join através do enclave vNet
Microsoft. Autorização/políticaIsenções/* NotAction Permitir todas as ações em "isenções de política"
Microsoft.Network/routeTables/routes/write NotAction Permitir ações de "escrita" sobre tabelas de rotas da Rede Virtual

Como usar o modo de manutenção

1. Ativar o modo de manutenção durante a criação de comunidade ou enclave

  1. Vá ao separador Modo de manutenção no formulário de criação da comunidade ou do enclave.
  2. Selecione a opção de modo Off, General ou Advanced.
  3. Selecione os princípios de serviço que pretende incluir.
  4. Selecione a justificação para entrar no modo de manutenção: Rede ou Governação. Selecione Off se o modo de manutenção também estiver Off.
  5. Reveja e crie a comunidade ou enclave como habitualmente.

2. Ativar o modo de manutenção para uma comunidade ou enclave existente

  1. Navega até à comunidade ou enclave onde estás a ativar o modo de manutenção.
  2. Vai ao separador Modo de Manutenção .
  3. Selecione o modo General ou o modo Advanced.
  4. Selecione os princípios de serviço que pretende incluir.
  5. Selecione a justificação para entrar no modo de manutenção: Rede ou Governação.
  6. Confirma e guarda.

3. Realizar tarefas de manutenção

  • Depois de ativar o modo de manutenção avançada , execute apenas a tarefa aprovada de quebra-vidro.

4. Desativar o modo de manutenção

  1. Depois de concluir as suas tarefas, volte ao separador do modo de Manutenção.
  2. Selecione o modo Desligado.
  3. Confirma e guarda.

Saiba mais

  • Última atualização a