Mode de maintenance

Le mode maintenance est une fonctionnalité qui permet aux propriétaires de communautés ou d’enclaves de placer temporairement leur communauté ou enclaves dans un état de « mode maintenance » dans lequel les modifications sont autorisées. Ce mode permet aux utilisateurs privilégiés d’apporter certaines modifications aux ressources gérées sous-jacentes qui sont normalement protégées par des attributions de refus. Cela permet de maintenir l’isolation de la communauté et de l’enclave et la limite réseau.

Options du mode maintenance

  • Off - Des attributions de refus créées par Azure Enclave sont appliquées pour protéger les groupes de ressources gérés sous-jacents d’une enclave ou d’une communauté.
  • General- L’attribution Allow Dataplane Actions de refus créée par Azure permet aux utilisateurs privilégiés de modifier certaines ressources existantes uniquement dans les ressources managées sous-jacentes. Pour une enclave, ces opérations incluent des ressources qui rejoignent le réseau virtuel d’enclave et créent des enregistrements de zone DNS privé. Pour une communauté, ces opérations incluent des modifications apportées aux ressources Virtual WAN. Par défaut, les communautés et enclaves sont déployées en Off mode, mais choisissez General le mode lors de la création et fournissez les identités appropriées Microsoft Entra ID pour autoriser les modifications apportées aux ressources protégées.
  • Advanced- L’attribution de refus créée par Azure est temporairement supprimée pour permettre aux utilisateurs privilégiés d’apporter des modifications élevées sur les ressources managées sous-jacentes.

Options de justification

  • Mise en réseau : gestion des modifications privilégiées ou personnalisées apportées aux ressources gérées.
  • Gouvernance : gestion de la journalisation, de la stratégie ou d’autres modifications liées à la gouvernance.
  • Désactivé : le mode maintenance n’est plus nécessaire.

Mode de maintenance communautaire

Le mode Maintenance de la communauté utilise la protection des ressources managées qui composent la communauté, notamment Azure vWAN, Pare-feu Azure, stratégie de pare-feu et espace de travail Log Analytics. Les attributions de refus sont utilisées pour empêcher toute action non autorisée sur ces ressources. Lorsque le mode maintenance est activé, les principaux spécifiés bénéficient d'exclusions des affectations de refus afin d'effectuer des actions RBAC privilégiées.

Scénarios du mode de maintenance de la communauté

Les scénarios courants du mode de maintenance de la communauté comprennent :

  • Création/modification de tables de routage de hub virtuel pour prendre en charge des configurations réseau complexes.
  • Création/modification de hubs virtuels personnalisés au sein de la communauté vWAN
  • Création/modification des règles de groupe de sécurité réseau individuelles requises pour des services Azure spécifiques
  • Création de ressources dans le groupe de ressources managé enclave pour activer la mise en réseau privée (par exemple, zones DNS privé, liaisons privées, etc.)

Communauté - Mode de maintenance générale

Lorsque General le mode de maintenance est activé sur une ressource **Community **, le mode principals de maintenance (par exemple, les utilisateurs ou les groupes) est exclu de l’attribution Deny All de refus pour le groupe de ressources géré par la communauté.

Cela permet aux utilisateurs identifiés dans les principaux du mode maintenance d'effectuer des actions qui seraient autrement bloquées par l'affectation de refus Deny All. Les affectations de refus Allow Dataplane Actions restent en vigueur pour tous les principaux (y compris les principaux du mode maintenance). Un utilisateur peut toujours être limité par ses rôles attribués.

Les autorisations suivantes sont autorisées sur le groupe de ressources géré par la communauté lorsque le mode maintanence général est activé.

Affectation de refus de communauté : Deny All

Operation Type d'action Explanation
* Action Refuser toutes les actions sauf spécifiées dans cette table
*/read NotAction Autorisé Autoriser les actions de « lecture » sur toutes les ressources
Microsoft.Resources/tags/* NotAction Autoriser les actions "tags" sur toutes les ressources

Communauté - Mode de maintenance avancé

Les autorisations suivantes sont autorisées sur le groupe de ressources managée Communtiy lorsque le mode maintanence avancé est activé.

Affectation de refus de communauté : Allow Dataplane Actions

Operation Type d'action Explanation
* Action Refuser toutes les actions sauf spécifiées dans cette table
*/read NotAction Autoriser les actions de « lecture » sur toutes les ressources
Microsoft.Insights/alertRules/* NotAction Autoriser toutes les actions sur « alertRules »
Microsoft.Support/* NotAction Autoriser toutes les actions sur « Support »
Microsoft.Resources/tags/* NotAction Autoriser les actions "tags" sur toutes les ressources
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Autoriser les actions « write » sur networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Autoriser les actions « write » sur applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Autoriser les actions d’écriture sur natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Autoriser les actions d’écriture sur les groupes de règles
Microsoft.Network/virtualHubs/write NotAction Autoriser les opérations d’écriture pour virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Autoriser les actions de « lecture » sur virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Autoriser les actions de « jointure » sur virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Autoriser les actions « write » sur les tables de routage du hub virtuel

Mode de maintenance des enclaves

Le mode Maintenance des enclaves est utilisé pour protéger les ressources managées qui composent l’enclave, notamment Azure réseau virtuel, les groupes de sécurité réseau et l’espace de travail Log Analytics. Les attributions de refus sont utilisées pour empêcher toute action non autorisée sur ces ressources. Lorsque le mode maintenance est activé, les principaux spécifiés bénéficient d'exclusions des affectations de refus afin d'effectuer des actions RBAC privilégiées sur le groupe de ressources managé de l'enclave.

Scénarios du mode de maintenance de l’enclave

Les scénarios courants d’utilisation du mode maintanence d’enclave sont les suivants :

  • Exécution d’opérations de jointure de sous-réseau/réseau virtuel pendant les déploiements de charge de travail
  • Création/modification des règles de groupe de sécurité réseau individuelles requises pour des services Azure spécifiques
  • Création de ressources dans le groupe de ressources managé de l’enclave pour activer la mise en réseau privée (par exemple, zones DNS privé, liaisons privées, etc.)

Enclave - Mode de maintenance général

Lorsque le mode maintenance General est activé sur une ressource d'enclave, les principals du mode maintenance (utilisateurs, groupes ou principaux de service) sont exclus de l'affectation de refus Deny All pour le groupe de ressources managé de l'enclave. Cela permet aux utilisateurs identifiés dans les principaux du mode maintenance d'effectuer des actions qui seraient autrement bloquées par l'affectation de refus Deny All. Les affectations de refus Allow Dataplane Actions restent en vigueur pour tous les principaux (y compris les principaux du mode maintenance). Un utilisateur peut toujours être limité par ses rôles attribués.

Les autorisations suivantes sont autorisées sur le groupe de ressources managé de l’enclave lorsque le mode maintanence général est activé.

Affectation de refus d'enclave : Deny All

Operation Type d'action Explanation
* Action Refuser toutes les actions sauf spécifiées dans cette table
*/read NotAction Autoriser les actions de « lecture » sur toutes les ressources
Microsoft.Resources/tags/* NotAction Autoriser les actions "tags" sur toutes les ressources

Enclave - Mode de maintenance avancé

Les autorisations suivantes sont autorisées sur le groupe de ressources géré par enclave lorsque le mode maintanence avancé est activé.

Affectation de refus d'enclave : Allow Dataplane Actions

Operation Type d'action Explanation
* Action Refuser toutes les actions sauf spécifiées dans cette table
*/read NotAction Autoriser les actions de « lecture » sur toutes les ressources
Microsoft.Insights/alertRules/* NotAction Autoriser toutes les actions sur « alertRules »
Microsoft.Resources/deployments/* NotAction Autoriser toutes les actions sur les « déploiements »
Microsoft.Support/* NotAction Autoriser toutes les actions sur « Support »
Microsoft.Network/privateDnsZones/* NotAction Autoriser toutes les actions sur « privateDnsZones »
Microsoft.Network/privateDnsOperationResults/* NotAction Autoriser toutes les actions sur « privateDnsOperationResults »
Microsoft.Network/privateDnsOperationStatuses/* NotAction Autoriser toutes les actions sur « privateDnsOperationStatuses »
Microsoft.Network/virtualNetworks/join/action NotAction Autoriser les opérations de réseau virtuel/de jonction sur le réseau virtuel d’enclave
Microsoft.Network/virtualNetworks/subnets/join/action NotAction Autoriser les opérations subnet/join sur le réseau virtuel de l'enclave
Microsoft.Authorization/policyExemptions/* NotAction Autoriser toutes les actions sur "policyExemptions"
Microsoft.Network/routeTables/routes/write NotAction Autoriser les actions d’écriture sur les tables de routage du réseau virtuel

Comment utiliser le mode maintenance

1. Activer le mode de maintenance lors de la création de la communauté ou de l’enclave

  1. Accédez à l’onglet Mode maintenance dans la communauté ou le formulaire de création d’enclave.
  2. Sélectionnez l’option de mode [Off / General / Advanced].
  3. Sélectionnez les principaux de service que vous souhaitez inclure.
  4. Sélectionnez la justification de la raison pour laquelle vous entrez en mode maintenance [OFF / NETWORKING / GOVERNANCE].
  5. Vérifiez et créez la communauté ou l’enclave comme d’habitude.

2. Activer le mode de maintenance pour une communauté ou une enclave existante

  1. Accédez à la communauté ou à l’enclave pour laquelle vous activez le mode de maintenance.
  2. Accédez à l’onglet « Mode maintenance ».
  3. Sélectionnez l’option de mode [Advanced / General].
  4. Sélectionnez les principaux de service que vous souhaitez inclure.
  5. Sélectionnez la justification de la raison pour laquelle vous entrez en mode maintenance [NETWORKING / GOVERNANCE].
  6. Confirmez et enregistrez.

3. Effectuer des tâches de maintenance

  • Une fois le mode maintenance activé, effectuez vos tâches de maintenance ou créez des charges de travail complexes en fonction des besoins.

4. Désactiver le mode maintenance

  1. Une fois vos tâches terminées, revenez à l’onglet Mode Maintenance.
  2. Sélectionnez le OFF mode.
  3. Confirmez et enregistrez.

Bonnes pratiques

  • Limitez l’utilisation : assurez-vous que le mode de maintenance est activé uniquement pour les utilisateurs privilégiés de confiance pendant les périodes de maintenance planifiées, et veillez à maintenir la sécurité et l’isolation des ressources Azure Enclave.
  • Comprendre l’impact : les utilisateurs privilégiés doivent bien comprendre les modifications qu’ils effectuent et les étapes d’annulation ou de correction de ces modifications. Apporter des modifications manuelles aux ressources managées sous-jacentes dans une communauté ou une enclave alors qu’en mode maintenance peut entraîner une dérive involontaire dans votre environnement à partir d’états idéaux.

Learn more

  • Last updated on