وضع الصيَانة

يحمي Azure Enclave الموارد المدارة من قبل المجتمع والمناطق من خلال تعيينات الرفض. يمكنك تنفيذ العمليات الروتينية التي يدعمها Azure Enclave باستخدام صلاحيات التحكم في الوصول القائم على الأدوار (RBAC) المناسبة دون تفعيل وضع الصيانة.

أفضل الممارسات

  • الحد من الاستخدام: تفعيل وضع الصيانة فقط للمستخدمين الموثوقين ذوي الامتيازات خلال فترات الصيانة المخطط لها. الحفاظ على الأمان والعزل عبر موارد Azure Enclave.
  • فهم التأثير: يجب على المستخدمين المميزين فهم التغييرات التي يقومون بها، والخطوات اللازمة لإلغاء أو إصلاح تلك التغييرات. إجراء تغييرات يدوية على الموارد المدارة الأساسية في مجتمع أو منطقة أثناء وضع الصيانة قد يؤدي إلى انحراف غير مقصود في بيئتك عن الحالات المثالية.

خيارات وضع الصيانة

  • Off- تعيينات الرفض التي أنشأها Azure Enclave موجودة لحماية مجموعات الموارد المدارة الأساسية للمنطقة أو المجتمع.
  • General - يبقى الرفض Allow Dataplane Actions ساريا، بينما يتم استبعاد المديرين المختارين من الرفض الشامل. يسمح هذا الوضع لهؤلاء المديرين بأداء عمليات مدعومة على الموارد المحمية، مع مراعاة أدوارهم المخصصة ل RBAC.
  • Advanced- يتم إزالة تعيين الرفض الذي أنشأته Azure مؤقتا للسماح للمستخدمين ذوي الامتيازات بإجراء تغييرات متقدمة على الموارد المدارة الأساسية. هذا الخيار هو خيار كسر الزجاج للحالات الجانبية التي لا تغطيها صلاحيات RBAC العادية.

تذكر أن تعيد وضع الصيانة إلى Off ما يكتمل التغيير.

خيارات التبرير

  • الشبكات - إدارة التغييرات المميزة أو المخصصة على الموارد المدارة.
  • الحوكمة - إدارة التغييرات المتعلقة بالتسجيل أو السياسات أو غيرها من التغييرات المتعلقة بالحوكمة.
  • إيقاف - لم يعد وضع الصيانة ضروريا.

وضع صيانة المجتمع

يحمي وضع صيانة المجتمع الموارد المدارة التي تشكل المجتمع، بما في ذلك Azure vWAN، Azure Firewall، Firewall Policy، ومساحة Log Analytics. عند تفعيل وضع الصيانة المتقدمة ، يمكن للمديرين المعينين تنفيذ إجراءات RBAC مرتفعة لمهمة كسر زجاج معتمدة.

سيناريوهات وضع صيانة المجتمع

السيناريوهات الشائعة لوضع صيانة المجتمع تشمل:

  • إنشاء/تعديل جداول مسارات المركز الافتراضي لدعم تكوينات الشبكات المعقدة.
  • إنشاء/تعديل مراكز افتراضية مخصصة داخل شبكة المجتمع vWAN
  • إنشاء/تعديل قواعد مجموعة أمان الشبكة الفردية المطلوبة لخدمات Azure المحددة
  • إنشاء موارد ضمن مجموعة الموارد المدارة من قبل المجتمع لتمكين الشبكات الخاصة، مثل مناطق DNS الخاصة والروابط الخاصة.

وضع الصيانة العامة للمجتمع

عند تفعيل General وضع الصيانة لمجتمع، يتم استبعاد المبادئ المكونة لوضع الصيانة من تعيين الرفض الشامل لمجموعة الموارد المدارة من المجتمع. يبقى تعيين Allow Dataplane Actions الرفض ساريا لجميع الرؤساء، بما في ذلك مديري نمط الصيانة. تستمر الأدوار الموكلة للمدير في تحديد الإجراءات التي يمكنه تنفيذها.

تسمح بالأذونات التالية عبر مجموعة الموارد المدارة من قبل المجتمع عند General تفعيل وضع الصيانة:

مهمة رفض المجتمع: Deny All

العملية نوع الإجراء الشرح
* الإجراء ارفض جميع الإجراءات باستثناء تلك المحددة في هذا الجدول.
*/read نوت أكشن اترك إجراءات قراءة على جميع الموارد.
Microsoft. الموارد/الوسوم/* نوت أكشن السماح بإجراءات الوسوم على جميع الموارد.

وضع الصيانة المتقدمة للمجتمع

يسمح بالأجازات التالية عبر مجموعة الموارد المدارة في المجتمع عند تفعيل وضع الصيانة المتقدمة .

مهمة رفض المجتمع: Allow Dataplane Actions

العملية نوع الإجراء الشرح
* الإجراء رفض جميع الإجراءات ما عدا التحديد في هذا الجدول
*/read نوت أكشن السماح بإجراءات "القراءة" على جميع الموارد
Microsoft.Insights/alertRules/* نوت أكشن السماح بجميع الإجراءات في "alertRules"
Microsoft.Support/* نوت أكشن السماح بجميع الإجراءات في "الدعم"
Microsoft. الموارد/الوسوم/* نوت أكشن السماح بإجراء "العلامات" على جميع الموارد
Microsoft.Network/azureFirewalls/networkRuleCollections/write نوت أكشن السماح بإجراءات "الكتابة" على networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write نوت أكشن السماح بإجراءات "كتابة" على applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write نوت أكشن السماح بإجراءات "الكتابة" على natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write نوت أكشن السماح بإجراءات "الكتابة" على مجموعات القواعد
Microsoft.Network/virtualHubs/write نوت أكشن السماح بإجراءات "الكتابة" على المراكز الافتراضية
Microsoft.Network/virtualWans/virtualHubs/read نوت أكشن السماح بإجراء "القراءة" على المراكز الافتراضية
Microsoft.Network/virtualWans/join/action نوت أكشن السماح بإجراءات "الانضمام" على الشبكات الافتراضية
Microsoft.Network/virtualHubs/routeTables/write نوت أكشن السماح بإجراءات "الكتابة" عبر جداول المسار في المركز الافتراضي

وضع صيانة الإنكليف

يحمي وضع صيانة Enclave الموارد المدارة التي تشكل المجموعة، بما في ذلك شبكة Azure الافتراضية، ومجموعات أمن الشبكات، ومساحة Log Analytics. عند تفعيل وضع الصيانة المتقدمة، يمكن للمديرين المعينين تنفيذ إجراءات RBAC مرتفعة لمهمة كسر زجاج معتمدة.

سيناريوهات وضع صيانة الإنكليف

السيناريوهات الشائعة لاستخدام وضع صيانة الجيب تشمل:

  • تنفيذ عمليات الانضمام إلى subnet/vnet أثناء نشر عبء العمل
  • إنشاء/تعديل قواعد مجموعة أمان الشبكة الفردية المطلوبة لخدمات Azure المحددة
  • إنشاء موارد داخل مجموعة الموارد المدارة في ال enclave لتمكين الشبكات الخاصة، مثل مناطق DNS الخاصة والروابط الخاصة.

وضع الصيانة العامة في إنكليف

عند تفعيل General وضع الصيانة لمنطقة إنكليف، يتم استبعاد مبادئ وضع الصيانة المكونة من تعيين الرفض الشامل لمجموعة الموارد المدارة في الجيب. يبقى تعيين Allow Dataplane Actions الرفض ساريا لجميع الرؤساء، بما في ذلك مديري نمط الصيانة. تستمر الأدوار الموكلة للمدير في تحديد الإجراءات التي يمكنه تنفيذها.

يسمح بالحصول على الأذونات التالية عبر مجموعة الموارد المدارة في ال enclave عند General تفعيل وضع الصيانة:

إنكليف يرفض التعيين: Deny All

العملية نوع الإجراء الشرح
* الإجراء ارفض جميع الإجراءات باستثناء تلك المحددة في هذا الجدول.
*/read نوت أكشن اترك إجراءات قراءة على جميع الموارد.
Microsoft. الموارد/الوسوم/* نوت أكشن السماح بإجراءات الوسوم على جميع الموارد.

وضع الصيانة المتقدم في إنكليف

تسمح بالأجنحة التالية عبر مجموعة الموارد المدارة في الشبكة عند تفعيل وضع الصيانة المتقدمة .

إنكليف يرفض التعيين: Allow Dataplane Actions

العملية نوع الإجراء الشرح
* الإجراء رفض جميع الإجراءات ما عدا التحديد في هذا الجدول
*/read نوت أكشن السماح بإجراءات "القراءة" على جميع الموارد
Microsoft.Insights/alertRules/* نوت أكشن السماح بجميع الإجراءات في "alertRules"
Microsoft.Resources/deployments/* نوت أكشن السماح بجميع الإجراءات في "النشرات"
Microsoft.Support/* نوت أكشن السماح بجميع الإجراءات في "الدعم"
Microsoft.Network/privateDnsZones/* نوت أكشن السماح بجميع الإجراءات على "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* نوت أكشن السماح بجميع الإجراءات على "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* نوت أكشن السماح بجميع الإجراءات على "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action نوت أكشن السماح بعمليات vNet/الانضمام عبر شبكة vNet التابعة للمنطقة
Microsoft.Network/virtualNetworks/subnets/join/action نوت أكشن السماح بعمليات الشبكة الفرعية/الربط عبر شبكة vNet في الشبكة
Microsoft. التفويض/السياسة الإعفاءات/* نوت أكشن السماح بجميع الإجراءات المتعلقة ب "سياسة الإعفاءات"
Microsoft.Network/routeTables/routes/write نوت أكشن السماح بإجراءات "الكتابة" عبر جداول مسار Virtual Network

كيفية استخدام وضع الصيانة

1. تفعيل وضع الصيانة أثناء إنشاء المجتمع أو الجيوب

  1. اذهب إلى تبويب وضع الصيانة في نموذج إنشاء المجتمع أو الجماعة.
  2. اختر خيار Offالوضع ، Generalأو Advanced.
  3. اختر المبادئ الأساسية للخدمة التي ترغب في تضمينها.
  4. اختر مبرر الدخول في وضع الصيانة: الشبكات، أو الحوكمة. اختر Off إذا كان وضع الصيانة كذلك Off .
  5. راجع وأنشئ المجتمع أو الدائرة كالمعتاد.

2. تفعيل وضع الصيانة لمجتمع أو جيب قائم

  1. انتقل إلى المجتمع أو الجيب الذي تفعل فيه وضع الصيانة.
  2. اذهب إلى تبويب وضع الصيانة .
  3. اختر وضع General أو.Advanced
  4. اختر المبادئ الأساسية للخدمة التي ترغب في تضمينها.
  5. اختر المبرر للدخول في وضع الصيانة: الشبكات أو الحوكمة.
  6. أكد وأحفظ.

3. أداء مهام الصيانة

  • بعد تفعيل وضع الصيانة المتقدمة ، قم فقط بمهمة كسر الزجاج المعتمدة.

4. تعطيل وضع الصيانة

  1. بعد إكمال مهامك، انتقل إلى تبويب وضع الصيانة.
  2. اختر وضع الإيقاف .
  3. أكد وأحفظ.

التعرف على المزيد

  • تاريخ آخر تحديث في