Lernprogramm: Erstellen eines Resource Guard und Aktivieren der Mehrbenutzerautorisierung in Azure Backup

In diesem Tutorial wird beschrieben, wie Sie eine Resource Guard-Instanz erstellen und die Mehrbenutzerautorisierung (Multi-User Authorization, MUA) für einen Recovery Services- und einen Backup-Tresor aktivieren. Dies bietet zusätzlichen Schutz für kritische Vorgänge in Ihren Tresoren.

Hinweis

  • Die Mehrbenutzerautorisierung ist jetzt sowohl für Recovery Services-Tresore als auch für Backup-Tresore allgemein verfügbar.
  • Die Multi-User-Autorisierung für Azure Backup ist in allen öffentlichen Azure-Regionen verfügbar.

Erfahren Sie mehr zu MUA-Konzepten.

Voraussetzungen

Bevor Sie beginnen:

Auswählen eines Tresors

  • Stellen Sie sicher, dass die Resource Guard-Instanz und der Recovery Services-Tresor sich in derselben Azure-Region befinden.
  • Stellen Sie sicher, dass der Sicherungsadministrator über keineMitwirkendenberechtigungen für Resource Guard verfügt. Sie können sich entscheiden, die Resource Guard-Instanz in einem anderen Abonnement desselben Verzeichnisses oder in einem anderen Verzeichnis auszuführen, um maximale Isolation sicherzustellen.
  • Stellen Sie sicher, dass Ihre Abonnements, die den Recovery Services-Tresor sowie Resource Guard (in verschiedenen Abonnements oder Mandanten) enthalten, für die Verwendung des Microsoft.RecoveryServices-Anbieters registriert sind. Weitere Informationen finden Sie unter Azure-Ressourcenanbieter und -typen.

Erfahren Sie mehr über verschiedene MUA-Nutzungsszenarien.

Erstellen einer Resource Guard-Instanz

Der Sicherheitsadministrator erstellt die Resource Guard-Instanz. Es wird empfohlen, sie in einem anderen Abonnement oder einem anderen Mandanten als den Tresor zu erstellen. Sie sollte sich jedoch in der gleichen Region wie der Tresor befinden.

Hinweis

Der Sicherungsadministrator darf keinenMitwirkendenzugriff auf den Resource Guard oder das Abonnement haben, das es enthält.

Auswählen eines Tresors

Um Resource Guard in einem anderen Mandanten als dem Tresormandanten als Sicherheitsadministrator zu erstellen, gehen Sie wie folgt vor:

  1. Wechseln Sie im Azure-Portal zu dem Verzeichnis, unter dem Sie Resource Guard erstellen möchten.

  2. Suchen Sie in der Suchleiste nach Resource Guards , und wählen Sie das entsprechende Element aus der Dropdownliste aus.

    1. Wählen Sie Erstellen aus, um mit der Erstellung einer Resource Guard-Instanz zu beginnen.
    2. Geben Sie auf dem Blatt Erstellen die erforderlichen Details für diese Resource Guard-Instanz ein.
      • Vergewissern Sie sich, dass sich die Resource Guard-Instanz in der gleichen Azure-Region wie der Recovery Services-Tresor befindet.
      • Außerdem ist es nützlich, eine Beschreibung hinzuzufügen, wie Sie bei Bedarf Zugriff zum Ausführen von Aktionen für zugeordnete Tresore erhalten oder anfordern. Diese Beschreibung wird auch in den zugeordneten Tresoren angezeigt, um den Backupadministrator beim Abrufen der erforderlichen Berechtigungen zu leiten. Sie können die Beschreibung bei Bedarf später bearbeiten, es ist jedoch empfehlenswert, jederzeit eine klar definierte Beschreibung zu haben.

  3. Wählen Sie auf der Registerkarte Geschützte Vorgänge die Vorgänge aus, die Sie mit dieser Resource Guard-Instanz schützen müssen.

    Sie können auch die Vorgänge auswählen, die nach dem Erstellen des Resource Guard geschützt werden sollen.

  4. Fügen Sie optional alle Tags zu Resource Guard hinzu, die den Anforderungen entsprechen.

  5. Wählen Sie "Überprüfen " + Erstellen" aus, und folgen Sie dann Benachrichtigungen für Status und erfolgreiche Erstellung von Resource Guard.

Auswählen von Vorgängen zum Schützen durch Resource Guard

Nach der Erstellung des Tresors kann der Sicherheitsadministrator unter allen unterstützten kritischen Vorgängen auch die Vorgänge auswählen, die mit der Resource Guard-Instanz geschützt werden sollen. Standardmäßig sind alle unterstützten kritischen Vorgänge aktiviert. Jedoch kann der Sicherheitsadministrator bestimmte Vorgänge von der Kontrolle durch MUA mithilfe von Resource Guard ausschließen.

Auswählen eines Tresors

Gehen Sie folgendermaßen vor, um die zu schützenden Vorgänge auszuwählen:

  1. Wechseln Sie in der oben erstellten Resource Guard-Instanz zu Eigenschaften>Registerkarte „Recovery Services-Tresor“.

  2. Wählen Sie "Deaktivieren" für Vorgänge aus, die Sie ausschließen möchten, dass sie mithilfe von Resource Guard autorisiert werden.

    Hinweis

    Die Vorgänge "Vorläufiges Löschen deaktivieren " und " MUA-Schutz entfernen " können nicht deaktiviert werden.

  3. Optional können Sie auf diesem Blatt auch die Beschreibung für die Resource Guard-Instanz aktualisieren.

  4. Wählen Sie Speichern aus.

Zuweisen von Berechtigungen für den Backupadministrator in der Resource Guard-Instanz zum Aktivieren von MUA

Der Backupadministrator muss über die Rolle Leser auf der Resource Guard-Instanz oder im Abonnement verfügen, das die Resource Guard-Instanz enthält, um MUA für einen Tresor zu aktivieren. Der Sicherheitsadministrator muss diese Rolle dem Backupadministrator zuweisen.

Auswählen eines Tresors

Gehen Sie wie folgt vor, um die Rolle Leser zur Resource Guard-Instanz zuzuweisen:

  1. Wechseln Sie in der oben erstellten Resource Guard-Instanz zum Blatt „Zugriffssteuerung (IAM)“ und dann zu Rollenzuweisung hinzufügen.
  2. Wählen Sie "Reader " aus der Liste der integrierten Rollen und dann "Weiter" aus.
  3. Klicken Sie auf Mitglieder auswählen, und fügen Sie die E-Mail-ID des Backupadministrators ein, um ihn als den Leser hinzuzufügen. Da sich die für die Backup-Administration zuständige Person in diesem Fall in einem anderen Mandanten befindet, wird sie dem Mandanten, der die Resource Guard-Instanz enthält, als Gast hinzugefügt.
  4. Klicken Sie auf Auswählen, und fahren Sie dann mit Überprüfen + zuweisen fort, um die Rollenzuweisung abzuschließen.

Aktivieren von MUA für einen Tresor

Nachdem der Backupadministrator über die Rolle „Leser“ für die Resource Guard-Instanz verfügt, kann er die Autorisierung für mehrere Benutzer für die verwalteten Tresore aktivieren, indem er die folgenden Schritte ausführt:

Auswählen eines Tresors

  1. Navigieren Sie zum Recovery Services-Tresor.

  2. Wechseln Sie zu "Eigenschaften>mit mehrfacher Benutzerautorisierung", und wählen Sie dann "Aktualisieren" aus.

  3. Nun haben Sie die Möglichkeit, MUA zu aktivieren und einen Resource Guard mit einer der folgenden Möglichkeiten auszuwählen:

    1. Sie können einerseits den URI der Resource Guard-Instanz angeben. Achten Sie darauf, dass Sie den URI einer Resource Guard-Instanz angeben, auf die Sie Zugriff als Leser haben, und dass sie sich in der gleichen Region wie der Tresor befindet. Sie finden den URI (Resource Guard-ID) der Resource Guard-Instanz auf dem Übersichtsbildschirm:

    2. Oder Sie können den Resource Guard aus der Liste der Resource Guards auswählen, auf die Sie Lesezugriff haben, und diejenigen, die in der Region verfügbar sind.

      1. Klicken Sie auf Ressource Guard auswählen
      2. Klicken Sie auf die Dropdownliste, und wählen Sie das Verzeichnis aus, in dem sich die Resource Guard-Instanz befindet.
      3. Wählen Sie Authentifizieren aus, um Ihre Identität und den Zugriff zu überprüfen.
      4. Wählen Sie nach der Authentifizierung die Resource Guard-Instanz in der angezeigten Liste aus.

  4. Wählen Sie Speichern aus, um MUA zu aktivieren.

Nächste Schritte

  • Zuletzt aktualisiert um