Aktivera nätverkssäkerhet för blobanslutningar för Azure Storage

Översikt

Den här artikeln innehåller stegvisa instruktioner om hur du aktiverar nätverkssäkerhet på de lagringsresurser som är integrerade med din Azure Storage-anslutningsapp. Azure nätverkssäkerhetsperimeter (NSP) är en Azure inbyggd funktion som skapar en gräns för logisk isolering för dina PaaS-resurser. Genom att associera resurser som lagringskonton eller databaser med en NSP kan du centralt hantera nätverksåtkomst med hjälp av en förenklad regeluppsättning. Mer information finns i Begrepp för nätverkssäkerhetsperimeter.

Förhandskrav

Innan du börjar måste du ha följande Azure Storage anslutningsresurser redan distribuerade och konfigurerade:

  • Azure Storage-konto: Lagringskontot integrerat med din Azure Storage-anslutning.
  • Azure Storage-kö: Kön som tar emot blob-skapande-notiser.
  • Händelsenätssystemtema: Systemämnet på lagringskontot som strömmar blob-skapandehändelser till lagringskön.

Om du inte har skapat dessa resurser ännu kan du läsa Konfigurera din Azure Storage Connector för att strömma loggar till Microsoft Sentinel.

Kontrollera att du har följande behörigheter för att slutföra den här installationen:

  • Ägare av prenumeration eller Deltagare för att skapa resurser för nätverkssäkerhetsperimetrar.
  • Lagringskontodeltagare för att koppla lagringskontot till NSP.
  • Administratör för användaråtkomst för lagringskontot eller Ägare för att tilldela RBAC-roller till den hanterade identiteten för Event Grid.
  • Event Grid Contributor för att aktivera en hanterad identitet och hantera händelseprenumerationer.

Aktivera nätverkssäkerhet

Om du vill aktivera nätverkssäkerhet på lagringsresurserna som är integrerade med din Azure Storage-anslutningsapp skapar du en nätverkssäkerhetsperimeter (NSP), associerar lagringskontot med det och konfigurerar reglerna för att tillåta trafik från Event Grid och andra nödvändiga källor samtidigt som obehörig åtkomst blockeras. Följ stegen nedan för att slutföra konfigurationen av nätverkssäkerhetsperimeter för lagringskontot.

Skapa en nätverkssäkerhetsperimeter

Utför följande steg för att skapa en nätverkssäkerhetsperimeter i Azure portalen:

  1. I Azure Portal söker du efter nätverkssäkerhetsperimeter

  2. Välj Skapa.

  3. Välj en prenumeration och resursgrupp.

  4. Ange namn, till exempel storageblob-connectors-nsp

  5. Välj en region. Regionen måste vara samma region som lagringskontot.

  6. Ange ett profilnamn eller acceptera standardinställningen. Profilen definierar den uppsättning regler som tillämpas på associerade resurser. Du kan ha flera profiler i en enda NSP för att tillämpa olika regler på olika resurser om det behövs.

  7. Välj Granska + skapaoch välj sedan Skapa.

    En skärmbild som visar skapandet av en nätverkssäkerhetsperimeter i Azure Portal.

Associera lagringskontot med nätverkssäkerhetsperimetern

Utför följande steg för att associera lagringskontot med nätverkssäkerhetsperimetern:

  1. Öppna den nyligen skapade nätverkssäkerhetsperimeterresursen i Azure Portal.

  2. Välj Profiler och välj sedan det profilnamn som du använde när du skapade NSP-resursen.

  3. Välj Associerade resurser.

  4. Välj Lägg till.

  5. Sök efter och lägg till ditt lagringskonto och välj sedan Välj.

  6. Välj Associera.

Åtkomstläget är inställt på Övergång som standard, så att du kan verifiera konfigurationen innan du tillämpar begränsningar.

En skärmbild som visar hur du associerar ett lagringskonto med nätverkssäkerhetsperimetern i Azure Portal.

Aktivera systemtilldelad identitet på Event Grid-systemämnet

Utför följande steg för att aktivera en systemtilldelad hanterad identitet i systemavsnittet Event Grid:

  1. Gå till fliken Händelser från ditt lagringskonto.

  2. Välj det System Topic som används för att strömma händelser om blobskapande till lagringskön.

    En skärmbild som visar fliken Händelse för lagringskonton i Azure Portal.

  3. Välj Identitet.

  4. På fliken Systemtilldelat anger du Status till På.

  5. Välj Spara och kopiera sedan den hanterade identitetens objekt-ID. Du behöver det här objekt-ID:t när du tilldelar rollen Storage Queue Data Message Sender i nästa avsnitt.

    En skärmbild som visar skapandet av en hanterad identitet för ett Event Grid-systemämne i Azure Portal.

Bevilja RBAC-behörigheter för lagringskön

Utför följande steg för att ge den hanterade identiteten för Event Grid-systemämnet behörighet att skicka meddelanden till lagringskön:

  1. Gå till ditt lagringskonto.
  2. Välj Access Control (IAM).
  3. Välj Lägg till.
  4. Sök efter och välj rollen Storage Queue Data Message Sender (omfattning: lagringskontot).
  5. Välj fliken Medlemmar och sedan Välj medlemmar.
  6. I fönstret Välj medlemmar klistrar du in objekt-ID för den systemtilldelade hanterade identiteten för event grid-systemavsnittet.
  7. Välj den hanterade identiteten och välj sedan Välj.
  8. Välj Granska + tilldela för att slutföra rolltilldelningen. En skärmbild som visar tilldelningen av rollen Storage Queue Data Message Sender till en hanterad identitet i Azure Portal.

Aktivera hanterad identitet i händelseprenumerationen

Utför följande steg för att aktivera hanterad identitet i händelseprenumerationen:

  1. Öppna Event Grid-systemavsnittet.
  2. Välj den händelseprenumeration som riktar sig mot kön.
  3. Välj fliken Ytterligare inställningar .
  4. Ange Hanterad identitetstyp till Systemtilldelad.
  5. Välj Spara.
  6. Granska måtten för Event Grid-prenumerationen för att bekräfta att meddelanden publiceras till lagringskön efter den här uppdateringen.

En skärmbild som visar aktivering av hanterad identitet för en Event Grid-prenumeration i Azure Portal.

Konfigurera regler för inkommande åtkomst på profilen för nätverkssäkerhetsperimetern

Följande regler krävs för att event grid ska kunna leverera meddelanden till lagringskontot samtidigt som obehörig åtkomst blockeras. Beroende på vilket system som skickar data till lagringskontot eller åtkomst till lagringsresurserna kan du behöva lägga till ytterligare regler för inkommande trafik. Granska scenariot och trafikmönstren för att avgöra om du bara behöver nödvändiga Event Grid-regler eller ytterligare inkommande NSP-regler och ge tid för regelspridning.

Regel 1: Tillåt prenumerationen (Event Grid-leverans)

Event Grid-leveransen kommer inte från fasta offentliga IP-adresser. NSP verifierar leveransen med hjälp av prenumerationsidentitet.

  1. Gå till Nätverkssäkerhetsperimeter och välj din NSP.

  2. Välj Profiler och välj sedan den profil som är associerad med ditt lagringskonto.

  3. Välj Regler för inkommande åtkomst och välj sedan Lägg till.

    En skärmbild som visar sidan Regler för inkommande åtkomst i Azure Portal.

  4. Ange ett regelnamn; till exempel . Allow-Subscription

  5. Välj Prenumeration i listrutan Källtyp .

  6. Välj din prenumeration i listrutan Tillåtna källor .

  7. Välj Lägg till för att skapa regeln.

    En skärmbild som visar skapandet av en regel för inkommande åtkomst för att tillåta en prenumeration i Azure Portal.

Obs!

Det kan ta några minuter innan regler visas i listan när de har skapats.

Regel 2: Tillåt SCUBA-tjänstens IP-intervall

Skapa en inkommande regel som tillåter de IP-intervall som krävs för Scuba-tjänsten i detta scenario.

  1. Skapa en andra regler för inkommande åtkomst.

  2. Ange ett regelnamn; till exempel . Allow-Scuba

  3. Välj IP-adressintervall i listrutan Källtyp .

  4. Öppna sidan Ladda ned Azure tjänsttaggar för JSON-filer.

  5. Välj ditt moln; till exempel Azure Public.

  6. Välj knappen Ladda ned och öppna den nedladdade filen för att hämta listan över IP-intervall.

  7. Leta upp Scuba tjänsttaggen och kopiera tillhörande IPv4-intervall.

    Viktigt

    Ta bort citattecken från IP-intervallen och se till att det inte finns något avslutande kommatecken på den sista posten innan du klistrar in dem i fältet Tillåtna källor . Intervall för tjänsttaggar uppdateras över tid; uppdatera dem regelbundet för att hålla reglerna aktuella.

  8. Klistra in IPv4-intervallen i fältet Tillåtna källor när du har tagit bort eventuella citattecken och avslutande kommatecken.

  9. Välj Lägg till för att skapa regeln.

    En skärmbild som visar en del av ServiceTags_Public.json-filen med Scuba Service-taggen och IPv4-intervallen markerade.

Verifiera och framtvinga

När du har konfigurerat reglerna övervakar du diagnostikloggarna för nätverkssäkerhetsperimetern för att verifiera att legitim trafik tillåts och att det inte finns några avbrott. När du har bekräftat att reglerna tillåter nödvändig trafik korrekt kan du växla från övergångsläge till Framtvingat läge för att blockera obehörig åtkomst.

Övergångsläge

Aktivera diagnostikloggar för nätverkssäkerhetsperimeter och granska insamlad telemetri för att verifiera kommunikationsmönster före tvingande. Mer information finns i Diagnostikloggar för nätverkssäkerhetsperimeter.

Använd framtvingat läge

När valideringen är klar anger du åtkomstläget till Framtvingat på följande sätt:

  1. På sidan Nätverkssäkerhetsperimeter går du till Inställningar och väljer Associerade resurser.

  2. Välj lagringskontot.

  3. Välj Ändra åtkomstläge.

  4. Välj Tvingande och sedan Spara.

    En skärmbild som visar hur du ändrar åtkomstläget för ett lagringskonto som är associerat med en nätverkssäkerhetsperimeter i Azure Portal.

Validering efter tillämpning

När du har angett NSP-åtkomstläget till Framtvingat övervakar du miljön noggrant för all blockerad trafik som kan tyda på felkonfigurationer. Kontrollera att Event Grid-konfigurationen inte påverkas genom att granska prenumerationsmåtten för Event Grid-systemämnet.

Använd diagnostikloggarna för att undersöka och lösa eventuella problem som uppstår. Granska mått för lagringskontot (inkommande kötrafik och fel) och Event Grid (lyckade leveranser) för att kontrollera om det finns några fel. Återställ till övergångsläget om du upplever störningar och upprepar undersökningen med hjälp av diagnostikloggarna.

Ange Skyddat av perimeter på lagringskontot (valfritt)

Genom att ställa in lagringskontot på Skyddat av perimeter ser du till att all trafik till lagringskontot utvärderas mot reglerna för nätverkssäkerhetsperimeter och blockerar åtkomsten till det offentliga nätverket.

  1. Gå till ditt lagringskonto.
  2. Under Säkerhet + nätverk väljer du Nätverk.
  3. Under Åtkomst till offentligt nätverk väljer du Hantera.
  4. Ange Skyddad av perimeter (mest begränsad).
  5. Välj Spara.

En skärmbild som visar hur du ställer in ett lagringskonto på

Relaterat innehåll

  • Last updated on