本文詳細說明安全執行自動化作業的最佳做法。 Azure 自動化 提供平臺來協調頻繁、耗時、容易出錯的基礎結構管理和作業工作，以及任務關鍵性作業。 此服務可讓您在雲端和混合式環境中順暢地執行稱為「自動化 Runbook」的指令碼。
Azure 自動化的平台元件會主動受到保護並強化。 該服務經過嚴格的安全性與合規性檢查。 Microsoft雲端安全性基準檢驗會詳細說明最佳做法和建議，以協助改善 Azure 上的工作負載、數據和服務的安全性。 另請參閱適用於 Azure 自動化的 Azure 安全性基準。
自動化帳戶的安全性設定
本節將引導您安全設定您的自動化帳戶。
權限
在授與存取自動化資源權限時，遵循完成工作的最低權限原則。 實作自動化細微 RBAC 角色，並避免指派更廣泛的角色或範圍，例如訂用帳戶層級。 建立自訂角色時，只包含使用者需要的權限。 藉由限制角色和範圍，您可以在安全性主體一旦遭到入侵時，將面臨風險的資源限制在較小範圍內。 如需角色型存取控制概念的詳細資訊，請參閱Azure 角色型存取控制最佳做法。
避免使用包含帶有萬用字元 (*) 的 Actions 的角色，因為這意味著可完整存取自動化資源或子資源，例如 automationaccounts/*/read。 相反地，務必使用必要權限可行的特定動作。
如果使用者不需要自動化帳戶中所有 Runbook 的存取權，請在 Runbook 層級設定角色型存取。
限制高度特殊權限角色的數量，例如自動化參與者，以降低因擁有者帳戶遭到入侵所衍生的風險。
使用 Microsoft Entra Privileged Identity Management 來保護特殊權限帳戶免於惡意網路攻擊，透過報告和警示讓您清楚瞭解其使用方式。
保護 Hybrid Runbook 背景工作角色
安裝 Hybrid 背景工作時使用未相依於 Log Analytics 代理程式的 Hybrid Runbook 背景工作角色 VM 擴充功能。 建議此平台，因為其會利用 Microsoft Entra ID 型驗證。 Azure 自動化 的 Hybrid Runbook 背景工作功能可讓您直接在裝載角色於 Azure 或非 Azure 等機器上執行執行 Runbook，以便在本機環境下執行自動化工作。
- 針對負責管理作業的使用者，務必使用高度特殊權限使用者或 Hybrid 背景工作角色自訂角色，管理作業範例如下：註冊或取消註冊 Hybrid 背景工作角色和 Hybrid 群組，以及針對 Hybrid Runbook 背景工作角色群組執行 Runbook。
- 同一位使用者也需要在裝載 Hybrid 背景工作角色之電腦的 VM 參與者存取權。 由於 VM 參與者角色屬於高權限角色，請務必確保只有少數經授權的使用者可存取並管理 Hybrid Works，以降低擁有者帳戶遭入侵時發生安全性漏洞的風險。
請遵循 Azure RBAC 最佳做法。
遵循最低權限原則，且僅授與使用者在 Hybrid 背景工作角色上執行 Runbook 所需權限。 請勿向裝載有 Hybrid Runbook 背景工作角色的電腦授與將不受限制的存取權。 如果可不受限制地存取，具備 VM 參與者權限的使用者，或具有可對混合式背景工作站電腦執行命令之權限的使用者，便可使用該混合式背景工作站電腦上的自動化帳戶 Run As 憑證，進而可能讓惡意使用者取得訂用帳戶參與者權限。 這可能會危害 Azure 環境的安全性。 若使用者負責在 Hybrid Runbook 背景工作和 Hybrid Runbook 背景工作群組上管理自動化 Runbook，請使用 Hybrid 背景工作自訂角色。
取消註冊未使用或未回應的 Hybrid 背景工作。
我們強烈建議您不要在裝載網域控制站的虛擬機器上設定 Hybrid Worker 擴充功能。 基於透過 Azure 自動化 作業讓網域控制站暴露於可能的攻擊途徑所帶來的高風險，安全性最佳做法不建議採用這種設定。 域控制器應受到高度保護，並與非基本服務隔離，以防止未經授權的存取和維護 Active Directory 網域服務 （ADDS） 環境的完整性。
驗證認證和身分識別
針對 Runbook 驗證，建議您使用受控身分識別。 Microsoft Entra ID 的受控識別，可讓 Runbook 輕鬆存取其他受到 Microsoft Entra 保護的資源 (例如 Azure Key Vault)。 身分識別由 Azure 平台負責管理，因此您不需要佈建或輪替任何密碼。 如需 Azure 自動化中受控識別的詳細資訊，請參閱 Azure 自動化的受控識別
您可使用兩種類型的受控識別來驗證自動化帳戶：
- 系統指派的身分識別會繫結至您的應用程式，如果您的應用程式已刪除，則會被刪除。 應用程式只能有一個系統指派的身分識別。
- 使用者指派的身分識別是一項獨立 Azure 資源，可指派給您的應用程式。 應用程式可以有多個使用者指派的身分識別。
如需詳細資料，請遵循受控識別最佳做法建議。
定期輪替 Azure 自動化金鑰。 重新產生金鑰可防止未來的 DSC 或混合式背景工作節點註冊使用先前的金鑰。 建議使用 Microsoft Entra 驗證而非自動化金鑰的擴充型混合式背景工作。 Microsoft Entra ID 會集中控制和管理身分識別與資源認證。
資料安全性
保護 Azure 自動化中的資產，包括認證、憑證、連接和加密的變數。 這些資產會在 Azure 自動化中使用多層級加密進行保護。 根據預設，資料是以使用 Microsoft 管理的金鑰加密。 若要進一步控制加密金鑰，您可提供客戶管理的金鑰，以用於加密自動化資產。 這些金鑰必須存在於 Azure Key Vault 中，自動化服務才能存取金鑰。 請參閱使用客戶自控金鑰來加密安全資產。
請勿在作業輸出時列印認證或憑證詳細資料。 作為低權限使用者的自動化作業操作員可檢視敏感性資訊。
維護有效的自動化備份設定 (例如 Runbook 和資產)，可確保備份經過驗證並受到保護，藉以在發生非預期事件之後維護商務持續性。
網路隔離
- 使用 Azure 私人連結，以安全將 Hybrid Runbook 背景工作連線至 Azure 自動化。 Azure 私人端點是一種網路介面，可讓您私下且安全地連線到由 Azure Private Link 提供的 Azure 自動化服務。 私人端點會使用您虛擬網路 (VNet) 中的私人 IP 位址，有效將自動化服務帶入您的 Vnet 中。
如果您想要自 Azure VNet 透過 Runbook 私下存取和管理其他服務，而無須開啟網際網路的輸出連線，則您可在連線至 Azure VNet 的混合式背景工作角色上執行 Runbook。
Azure 自動化的原則
檢閱 Azure 自動化 的 Azure 原則 建議，並視情況採取適當動作。 請參閱 Azure 自動化原則。
下一步
- 若要了解如何使用 Azure 角色型存取控制 (Azure RBAC)，請參閱管理 Azure 自動化中的角色權限與安全性。
- 如需 Azure 如何保護隱私權和保護資料的詳細資訊，請參閱 Azure 自動化資料安全性。
- 若要了解如何設定自動化帳戶以使用加密，請參閱 Azure 自動化中的安全資產加密。
- 有關執行時版本支援、退休及安全更新的資訊，請參見 Azure 自動化 的語言執行時支援與退休政策。