Underhållsläge

Underhållsläge är en funktion som gör det möjligt för community- eller enklaverägare att tillfälligt placera sina community- eller enklaver i ett "underhållsläge"-tillstånd där ändringar tillåts. Med det här läget kan privilegierade användare göra vissa ändringar i de underliggande hanterade resurser som normalt skyddas av Neka tilldelningar. Detta bidrar till att upprätthålla isolering och nätverksgräns för communityn och enklaver.

Metodtips

  • Begränsa användning: Aktivera underhållsläge endast för betrodda privilegierade användare under planerade underhållsfönster. Upprätthåll säkerhet och isolering över Azure Enclave-resurser.
  • Förstå konsekvenserna: Privilegierade användare bör fullt ut förstå de förändringar de gör och vilka steg som krävs för att ångra eller åtgärda dem. Manuella ändringar av underliggande hanterade resurser i en community eller en enklav i underhållsläge kan orsaka oavsiktliga avvikelser i din miljö från idealiska tillstånd.

Alternativ för underhållsläge

  • Off– Neka tilldelningar som skapats av Azure Enclave finns på plats för att skydda underliggande hanterade resursgrupper för en enklav eller community.
  • General - Den nekningstilldelning som skapats av Azure gör det möjligt för privilegierade användare att ändra vissa befintliga resurser enbart i de underliggande hanterade resurserna. För en enklav omfattar dessa åtgärder resurser som ansluter till det virtuella enklavens nätverk och skapar Private DNS Zone-poster. För en community omfattar dessa åtgärder att göra ändringar i de Virtual WAN resurserna. Som standard distribueras communities och enklaver i Off läge, men välj General läge när de skapas och tillhandahålla lämpliga Microsoft Entra ID identiteter för att tillåta ändringar i de skyddade resurserna.
  • Advanced - Nekningstilldelningen som skapats av Azure tas tillfälligt bort så att privilegierade användare kan göra ändringar med utökade behörigheter i de underliggande hanterade resurserna.

Justeringsalternativ

  • Nätverk – Hantera privilegierade eller anpassade ändringar av hanterade resurser.
  • Styrning – Hantera loggning, princip eller andra styrningsrelaterade ändringar.
  • Av – Underhållsläge behövs inte längre.

Gemenskapens underhållsläge

Underhållsläget för Communityn används för att skydda de hanterade resurser som utgör Communityn, inklusive Azure vWAN, Azure Firewall, brandväggsprincip och Log Analytics-arbetsyta. Neka tilldelningar används för att förhindra obehöriga åtgärder för dessa resurser. När underhållsläget är aktiverat ges de angivna säkerhetsobjekten undantag från nekningstilldelningarna så att de kan utföra privilegierade RBAC-åtgärder.

Scenarier för underhållsläge i communityn

Vanliga scenarier för Community Maintenance Mode inkluderar:

  • Skapa/ändra routningstabeller för virtuell hubb för att stödja komplexa nätverkskonfigurationer.
  • Skapa/ändra anpassade virtuella hubbar i communityn vWAN
  • Skapa/ändra regler för enskilda nätverkssäkerhetsgrupper som krävs för specifika Azure tjänster
  • Skapa resurser i den enklavens hanterade resursgrupp för att aktivera privata nätverk (t.ex. Private DNS zoner, privata länkar osv.)

Community – Allmänt underhållsläge

När General underhållsläge är aktiverat för en **Community **-resurs undantas de principals för underhållsläge (till exempel användare eller grupper) från Deny All nekningstilldelningen för den communityhanterade resursgruppen.

Detta gör att de användare som identifieras i underhållslägets huvudnamn kan utföra de åtgärder som annars skulle blockeras av neka-tilldelningen Deny All . Allow Dataplane Actions nekningstilldelningarna är fortfarande i kraft för alla säkerhetsobjekt (inklusive säkerhetsobjekten i underhållsläge). En användare kan fortfarande begränsas av sina tilldelade roller.

Följande behörigheter är tillåtna över den communityhanterade resursgruppen när allmänt underhållsläge är aktiverat.

Tilldelning av communitynekelse: Deny All

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Resources/tags/* NotAction Tillåt taggningsåtgärder på alla resurser

Community – Avancerat underhållsläge

Följande behörigheter är tillåtna över den kommunalt hanterade resursgruppen när avancerat underhållsläge är aktiverat.

Tilldelning av communitynekelse: Allow Dataplane Actions

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Insights/alertRules/* NotAction Tillåt alla åtgärder i "alertRules"
Microsoft.Support/* NotAction Tillåt alla åtgärder i "Support"
Microsoft.Resources/tags/* NotAction Tillåt taggningsåtgärder på alla resurser
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Tillåt "skrivåtgärder" i networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Tillåt "skrivåtgärder" på applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Tillåt "skrivåtgärder" på natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Tillåt "skrivåtgärder" på ruleGroups
Microsoft.Network/virtualHubs/write NotAction Tillåt "skrivåtgärder" på virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Tillåt "read"-åtgärder på virtualHubs
Microsoft.Network/virtualWANs/anslut/åtgärd NotAction Tillåt "join"-åtgärder på virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Tillåt "skrivåtgärder" över routningstabeller för virtuell hubb

Enklavens underhållsläge

Underhållsläget för Enclave används för att skydda hanterade resurser som ingår i Enclave, inklusive virtuella Azure-nätverk, nätverkssäkerhetsgrupper och Log Analytics-arbetsytor. Neka tilldelningar används för att förhindra obehöriga åtgärder för dessa resurser. När underhållsläget är aktiverat beviljas de angivna huvudkontona undantag från neka-tilldelningarna för att utföra privilegierade RBAC-åtgärder över den enklavens hanterade resursgrupp.

Enklavunderhållslägesscenarier

Vanliga scenarier för att använda enklavunderhållsläge inkluderar:

  • Utföra åtgärder för att ansluta undernät/virtuella nätverk vid driftsättning av arbetsbelastningar
  • Skapa/ändra regler för enskilda nätverkssäkerhetsgrupper som krävs för specifika Azure tjänster
  • Skapa resurser i den enklaverhanterade resursgruppen för att aktivera privata nätverk (t.ex. Private DNS zoner, privata länkar osv.)

Enclave – allmänt underhållsläge

När General underhållsläget är aktiverat på en enklavresurs undantas underhållsläget principals (användare, grupper eller tjänstens huvudnamn) från neka-tilldelningen Deny All för den enklavens hanterade resursgrupp. Detta gör att de användare som identifieras i underhållslägets huvudnamn kan utföra de åtgärder som annars skulle blockeras av neka-tilldelningen Deny All . Allow Dataplane Actions nekningstilldelningarna är fortfarande i kraft för alla säkerhetsobjekt (inklusive säkerhetsobjekten i underhållsläge). En användare kan fortfarande begränsas av sina tilldelade roller.

Följande behörigheter tillåts över enklavens hanterade resursgrupp när allmänt underhållsläge är aktiverat.

Enklav nekar tilldelning: Deny All

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Resources/tags/* NotAction Tillåt taggningsåtgärder på alla resurser

Enklaver – avancerat underhållsläge

Följande behörigheter tillåts över enklavens hanterade resursgrupp när avancerat underhållsläge är aktiverat.

Enklav nekar tilldelning: Allow Dataplane Actions

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Insights/alertRules/* NotAction Tillåt alla åtgärder i "alertRules"
Microsoft.Resources/deployments/* NotAction Tillåt alla åtgärder för "distributioner"
Microsoft.Support/* NotAction Tillåt alla åtgärder i "Support"
Microsoft.Network/privateDnsZones/* NotAction Tillåt alla åtgärder på "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* NotAction Tillåt alla åtgärder på "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* NotAction Tillåt alla åtgärder på "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Tillåt vNet/kopplingsåtgärder över enklavens virtuella nätverk
Microsoft.Network/virtualNetworks/undernät/ansluta/åtgärd NotAction Tillåt undernäts-/kopplingsåtgärder över enklavens virtuella nätverk
Microsoft. Authorization/policyExemptions/* NotAction Tillåt alla åtgärder för "policyExemptions"
Microsoft.Network/routeTables/routes/write NotAction Tillåt "skriv"-åtgärder för routningstabeller för virtuella nätverk

Så här använder du underhållsläge

1. Aktivera underhållsläge när communityn eller enklaven skapas

  1. Gå till fliken Underhållsläge i formuläret för att skapa en community eller enklav.
  2. Välj lägesalternativet [Off / General / Advanced].
  3. Välj de tjänsthuvudnamn som du vill inkludera.
  4. Välj motiveringen för varför du anger underhållsläge [OFF / NETWORKING / GOVERNANCE].
  5. Granska och skapa communityn eller enklaven som vanligt.

2. Aktivera underhållsläge för en befintlig community eller en enklav

  1. Navigera till communityn eller enklaven som du aktiverar underhållsläge för.
  2. Gå till fliken Underhållsläge.
  3. Välj lägesalternativet [Advanced / General].
  4. Välj de tjänsthuvudnamn som du vill inkludera.
  5. Välj motiveringen för varför du anger underhållsläge [NETWORKING / GOVERNANCE].
  6. Bekräfta och spara.

3. Utföra underhållsaktiviteter

  • När underhållsläget har aktiverats fortsätter du med dina underhållsaktiviteter eller skapar komplexa arbetsbelastningar efter behov.

4. Inaktivera underhållsläge

  1. När du har slutfört dina uppgifter går du tillbaka till fliken Underhållsläge.
  2. Välj läget OFF .
  3. Bekräfta och spara.

Learn more

  • Last updated on