Ställ in underhållsläge

Underhållsläget styr när du kan göra ändringar i resurser som Azure Enclave hanterar för en community eller enklav.

I den här artikeln avses med resurser som hanteras av Azure Enclave den underliggande community- eller enklavhanterad resursgrupp och dess resurser. Använd General läget för de flesta planerade operativa uppgifter. Reservera Advanced-läget för nödåtkomst, återställning eller nödsituationer där bredare privilegierad åtkomst krävs.

Metodtips

  • Begränsa användning: Aktivera underhållsläge endast för betrodda privilegierade användare under planerade underhållsfönster. Upprätthåll säkerhet och isolering över Azure Enclave-resurser.
  • Förstå konsekvenserna: Privilegierade användare bör fullt ut förstå de förändringar de gör och vilka steg som krävs för att ångra eller åtgärda dem. Manuella ändringar av underliggande hanterade resurser i en community eller en enklav i underhållsläge kan orsaka oavsiktliga avvikelser i din miljö från idealiska tillstånd.

Alternativ för underhållsläge

  • Off - Nekande tilldelningar som skapats av Azure Enclave finns på plats för att skydda underliggande hanterade resursgrupper för en gemenskap eller enklav.
  • General - Alternativet för underhållsläge för de flesta rutinmässiga operationer som du utför på community- eller enklavhanterade resurser. Azure Enclave behåller Allow Dataplane Actions nekandetilldelningen och exkluderar utvalda underhållslägesprinciper från ney-tilldelningenDeny All. RBAC kontrollerar fortfarande vad dessa principer kan göra. Som standard driftsätts samhällen och enklaver i Off-läge, men du kan välja General-läge under skapandet och ange lämpliga Microsoft Entra ID-identiteter.
  • Advanced - Reserverat för krossglas, återvinning eller nödsituationer där obegränsad privilegierad åtkomst till hanterade resurser behövs. Azure Enclave tar tillfälligt bort sin nekningstilldelning så att godkända säkerhetsobjekt kan utföra höjda ändringar.

Justeringsalternativ

  • Nätverk – Hantera privilegierade eller anpassade ändringar av hanterade resurser.
  • Styrning – Hantera loggning, princip eller andra styrningsrelaterade ändringar.
  • Av – Underhållsläge behövs inte längre.

Underhållsläge för communityn

Community-underhållsläget skyddar hanterade resurser som utgör communityn, inklusive Azure vWAN, Azure Firewall, Firewall Policy och Log Analytics-arbetsytan. När avancerat underhållsläge är aktiverat kan de angivna huvudpersonerna utföra förhöjda RBAC-åtgärder för en godkänd brytglasuppgift.

Scenarier för gemenskapsunderhållsläge

Vanliga scenarier för community-underhållsläge inkluderar:

  • Skapa/ändra routningstabeller för virtuell hubb för att stödja komplexa nätverkskonfigurationer.
  • Skapa/ändra anpassade virtuella hubbar i communityn vWAN
  • Skapa/ändra regler för enskilda nätverkssäkerhetsgrupper som krävs för specifika Azure tjänster
  • Skapar resurser inom den communitystyrda resursgruppen för att möjliggöra privata nätverk, såsom privata DNS-zoner och privata länkar.

Allmänt underhållsläge i samhället

När du aktiverar General underhållsläget för en community undantas de konfigurerade huvudobjekten för underhållsläge från den generella neka-tilldelningen för den communityhanterade resursgruppen. Avslagsuppdelningen Allow Dataplane Actions gäller fortfarande för alla huvudansvariga, inklusive underhållsmetodens huvudansvariga. En huvudmans tilldelade RBAC-roller fortsätter att begränsa vilka åtgärder den kan utföra.

Följande behörigheter tillåts över den community-hanterade resursgruppen när General underhållsläget är aktiverat:

Community-nektilldelning: Deny All

Operation Åtgärdstyp Explanation
* Action Neka alla handlingar utom de som anges i denna tabell.
*/read NotAction Tillåt läsåtgärder på alla resurser.
Microsoft.Resources/tags/* NotAction Tillåt taggåtgärder på alla resurser.

Communityns avancerade underhållsläge

Följande behörigheter tillåts över den communityhanterade resursgruppen när avancerat underhållsläge är aktiverat.

Tilldelning av communitynekelse: Allow Dataplane Actions

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Insights/alertRules/* NotAction Tillåt alla åtgärder i "alertRules"
Microsoft.Support/* NotAction Tillåt alla åtgärder i "Support"
Microsoft.Resources/tags/* NotAction Tillåt taggningsåtgärder på alla resurser
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Tillåt "skrivåtgärder" i networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Tillåt "skrivåtgärder" på applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Tillåt "skrivåtgärder" på natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Tillåt "skrivåtgärder" på ruleGroups
Microsoft.Network/virtualHubs/write NotAction Tillåt "skrivåtgärder" på virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Tillåt "read"-åtgärder på virtualHubs
Microsoft.Network/virtualWANs/anslut/åtgärd NotAction Tillåt "join"-åtgärder på virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Tillåt "skrivåtgärder" över routningstabeller för virtuell hubb

Enklavunderhållsläge

Enklavunderhållsläget skyddar hanterade resurser som utgör enklaven, inklusive Azure-virtuellt nätverk, nätverkssäkerhetsgrupper och Log Analytics-arbetsytan. När avancerat underhållsläge är aktiverat kan de angivna huvudpersonerna utföra förhöjda RBAC-åtgärder för en godkänd brytglasuppgift.

Scenarier för enklavens underhållsläge

Vanliga scenarier för att använda enklavunderhållsläge inkluderar:

  • Utföra åtgärder för att ansluta undernät/virtuella nätverk vid driftsättning av arbetsbelastningar
  • Skapa/ändra regler för enskilda nätverkssäkerhetsgrupper som krävs för specifika Azure tjänster
  • Skapa resurser inom den enklavhanterade resursgruppen för att möjliggöra privata nätverk, såsom privata DNS-zoner och privata länkar.

Enklavens allmänna underhållsläge

När du aktiverar General underhållsläge för en enklav utesluts de konfigurerade underhållslägesprinciperna från den generella nekartilldelningen för enklavens hanterade resursgrupp. Avslagsuppdelningen Allow Dataplane Actions gäller fortfarande för alla huvudansvariga, inklusive underhållsmetodens huvudansvariga. En huvudmans tilldelade RBAC-roller fortsätter att begränsa vilka åtgärder den kan utföra.

Följande behörigheter är tillåtna över enklavens hanterade resursgrupp när General underhållsläge är aktiverat:

Enklav nekar tilldelning: Deny All

Operation Åtgärdstyp Explanation
* Action Neka alla handlingar utom de som anges i denna tabell.
*/read NotAction Tillåt läsåtgärder på alla resurser.
Microsoft.Resources/tags/* NotAction Tillåt taggåtgärder på alla resurser.

Enclave avancerat underhållsläge

Följande behörigheter tillåts över enklavens hanterade resursgrupp när avancerat underhållsläge är aktiverat.

Enklav nekar tilldelning: Allow Dataplane Actions

Operation Typ av åtgärd Explanation
* Action Neka alla åtgärder förutom de som anges i den här tabellen
*/read NotAction Tillåt "läs"-åtgärder för alla resurser
Microsoft.Insights/alertRules/* NotAction Tillåt alla åtgärder i "alertRules"
Microsoft.Resources/deployments/* NotAction Tillåt alla åtgärder för "distributioner"
Microsoft.Support/* NotAction Tillåt alla åtgärder i "Support"
Microsoft.Network/privateDnsZones/* NotAction Tillåt alla åtgärder på "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* NotAction Tillåt alla åtgärder på "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* NotAction Tillåt alla åtgärder på "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Tillåt vNet/kopplingsåtgärder över enklavens virtuella nätverk
Microsoft.Network/virtualNetworks/undernät/ansluta/åtgärd NotAction Tillåt undernäts-/kopplingsåtgärder över enklavens virtuella nätverk
Microsoft. Authorization/policyExemptions/* NotAction Tillåt alla åtgärder för "policyExemptions"
Microsoft.Network/routeTables/routes/write NotAction Tillåt "skriv"-åtgärder för routningstabeller för virtuella nätverk

Så här använder du underhållsläge

1. Aktivera underhållsläge när communityn eller enklaven skapas

  1. Gå till fliken Underhållsläge på formuläret för att skapa gemenskap eller enklav.
  2. Välj lägesalternativet Off, General, eller Advanced.
  3. Välj de tjänsthuvudnamn som du vill inkludera.
  4. Välj motiveringen för att gå in i underhållsläge: Nätverk eller Styrning. Välj Off om underhållsläget också är Off.
  5. Granska och skapa communityn eller enklaven som vanligt.

2. Aktivera underhållsläge för en befintlig community eller en enklav

  1. Navigera till communityn eller enklaven som du aktiverar underhållsläge för.
  2. Gå till fliken Underhållsläge .
  3. Välj General eller-läget Advanced .
  4. Välj de tjänsthuvudnamn som du vill inkludera.
  5. Välj motiveringen för att gå in i underhållsläge: Nätverk eller styrning.
  6. Bekräfta och spara.

3. Utföra underhållsaktiviteter

  • Efter att du aktiverat avancerat underhållsläge, utför endast den godkända brytglasuppgiften.

4. Inaktivera underhållsläge

  1. När du har slutfört dina uppgifter går du tillbaka till fliken Underhållsläge.
  2. Välj av-läget .
  3. Bekräfta och spara.

Learn more

  • Uppdaterades senast