À propos de l’autorisation multi-utilisateur à l’aide de la protection des ressources
L’autorisation multi-utilisateur (MUA) pour Sauvegarde Azure vous permet d’ajouter une couche supplémentaire de protection aux opérations critiques sur vos coffres de sauvegarde et vos coffres Recovery Services. Pour MUA, Sauvegarde Azure utilise une autre ressource Azure appelée protection des ressources pour garantir que les opérations critiques sont effectuées uniquement avec l’autorisation applicable.
Remarque
L’autorisation multi-utilisateur avec la protection de ressources pour le coffre de sauvegarde est désormais en disponibilité générale.
Comment fonctionne MUA pour la sauvegarde ?
Sauvegarde Azure utilise la protection de ressources comme mécanisme d’autorisation additionnel pour un coffre Recovery Services ou un coffre de sauvegarde. Par conséquent, pour effectuer une opération critique (décrite ci-dessous), vous devez également disposer des autorisations suffisantes de protection des ressources associées.
Important
Pour fonctionner comme prévu, la protection de ressources doit appartenir à un autre utilisateur et l’administrateur du coffre ne doit pas avoir d’autorisations de contributeur. Vous pouvez placer la protection de ressources dans un abonnement ou un locataire différent de celui contenant les coffres pour offrir une meilleure protection.
Opérations critiques
Le tableau suivant répertorie les opérations définies en tant qu’opérations critiques et peut être protégée par une protection des ressources. Vous pouvez choisir d’empêcher certaines opérations d’être protégées à l’aide de la protection de ressource lors de l’association de coffres à celle-ci.
Notes
Vous ne pouvez pas exclure les opérations marquées « obligatoires » de la protection de ressources pour les coffres associés. En outre, les opérations critiques exclues s’appliquent à tous les coffres associés à un service de protection des ressources.
Choisir un coffre
| Opération | Obligatoire/facultatif |
|---|---|
| Désactiver la suppression réversible | Obligatoire |
| Désactiver la protection MUA | Obligatoire |
| Modifier la stratégie de sauvegarde (rétention réduite) | Facultatif |
| Modifier la protection (rétention réduite) | Facultatif |
| Arrêter la protection avec données supprimées | Facultatif |
| Modifier le code PIN de sécurité MARS | Facultatif |
Concepts et processus
Les concepts et les processus impliqués lors de l’utilisation de l’autorisation multi-utilisateur pour Sauvegarde Azure sont expliqués ci-dessous.
Examinons les deux utilisateurs suivants pour une compréhension claire du processus et des responsabilités. Ces deux rôles sont référencés tout au long de cet article.
Administrateur de sauvegarde : propriétaire du coffre Recovery Services ou du coffre de sauvegarde qui effectue des opérations de gestion sur le coffre. Pour commencer, l’administrateur de sauvegarde ne doit pas avoir d’autorisations sur le service de protection des ressources.
Administrateur de la sécurité : propriétaire du service de protection des ressources et sert d’opérateur de sécurité pour les opérations critiques sur le coffre. Par conséquent, l’administrateur de la sécurité contrôle les autorisations dont l’administrateur de sauvegarde a besoin pour effectuer des opérations critiques sur le coffre.
Vous trouverez ci-dessous une représentation schématique pour effectuer une opération critique sur un coffre sur lequel MUA est configuré à l’aide d’un service de protection des ressources.
Voici comment se déroulent les événements dans un scénario classique :
L’administrateur de sauvegarde crée le coffre de Recovery Services ou le coffre de sauvegarde.
L’administrateur de la sécurité crée la protection des ressources. La protection de ressource peut se trouver dans un autre abonnement ou un autre locataire que le coffre. Vous devez vérifier que l’administrateur de sauvegarde ne dispose pas des autorisations de contributeur sur le service de protection de ressources.
L’administrateur de la sécurité accorde le rôle Lecteur à l’administrateur de sauvegarde pour la protection de ressource (ou une étendue appropriée). L’administrateur de sauvegarde a besoin du rôle lecteur pour activer MUA sur le coffre.
L’administrateur de sauvegarde configure désormais le coffre pour qu’il soit protégé par l’autorisation multi-utilisateur via le service de protection de ressources.
Désormais, si l’administrateur de sauvegarde souhaite effectuer une opération critique sur le coffre, il doit demander l’accès au service de protection des ressources. L’administrateur de sauvegarde peut contacter l’administrateur de la sécurité pour plus d’informations sur l’accès à ces opérations. Ils peuvent le faire à l’aide de Privileged Identity Management (PIM) ou d’autres processus tels que mandatés par l’organisation.
L’administrateur de la sécurité accorde temporairement le rôle Contributeur au service de protection des ressources à l’administrateur de sauvegarde pour effectuer des opérations critiques.
À présent, l’administrateur de sauvegarde lance l’opération critique.
Azure Resource Manager vérifie si l’administrateur de sauvegarde dispose des autorisations suffisantes. Dans la mesure où l’administrateur de sauvegarde dispose désormais du rôle Contributeur sur la protection des ressources, la demande est terminée.
Si l’administrateur de sauvegarde ne dispose pas des autorisations/rôles requis, la demande échoue.
L’administrateur de la sécurité s’assure que les privilèges d’exécution des opérations critiques sont révoqués après l’exécution des actions autorisées ou après une durée définie. L’utilisation des outils JAT Microsoft Entra Privileged Identity Management peut être utile pour s’en assurer.
Remarque
L’autorisation multi-utilisateur fournit une protection sur les opérations listées ci-dessus effectuées sur les coffres de sauvegarde uniquement. Toutes les opérations effectuées directement sur la source de données (par exemple, la ressource/charge de travail Azure protégée) dépassent l’étendue de la protection de ressources.
Scénarios d’usage
Le tableau suivant répertorie les scénarios de création de votre service de protection de données et de vos coffres (coffre Recovery Services et coffre de sauvegarde), ainsi que la protection relative offerte par chacun.
Important
Dans tous les scénarios, l’administrateur de sauvegarde ne doit pas avoir d’autorisations de contributeur au service de protection des ressources.
| Scénario d’usage | Protection due à MUA | Simplicité d’implémentation | Remarques |
|---|---|---|---|
| Le coffre et la protection de ressources se trouvent dans le même abonnement. L’administrateur de sauvegarde n’a pas accès à la protection de ressources. | Isolement minimal entre l’administrateur de sauvegarde et l’administrateur de la sécurité. | Relativement facile à implémenter, car un seul abonnement est requis. | Il est nécessaire de vérifier que les autorisations/rôles au niveau des ressources sont correctement attribués. |
| Le coffre et la protection de ressources se trouvent dans des abonnements différents, mais dans le même locataire.L’administrateur de sauvegarde n’a pas accès à la protection de ressources ni à l’abonnement correspondant. | Isolement moyen entre l’administrateur de sauvegarde et l’administrateur de la sécurité. | La facilité d’implémentation est relativement moyenne, car deux abonnements (mais un seul locataire) sont requis. | Vérifiez que les autorisations/rôles sont correctement attribués à la ressource ou à l’abonnement. |
| Le coffre et la protection de ressources se trouvent dans des locataires différents.L’administrateur de sauvegarde n’a pas accès à la protection de ressources, à l’abonnement correspondant ni au locataire correspondant. | Isolement maximal entre l’administrateur de sauvegarde et l’administrateur de la sécurité, par conséquent, une sécurité maximale. | Relativement difficile à tester, car nécessite deux locataires ou répertoires pour le test. | Vérifiez que les autorisations/rôles sont correctement attribués pour la ressource, l’abonnement ou le répertoire. |
Étapes suivantes
Configurer l’autorisation multi-utilisateur à l’aide de la protection de ressources.