Tentang otorisasi Multi-pengguna menggunakan Resource Guard

Otorisasi multi-pengguna (MUA) untuk Azure Backup memungkinkan Anda menambahkan lapisan perlindungan tambahan ke operasi penting pada vault Layanan Pemulihan dan brankas Cadangan Anda. Untuk MUA, Azure Backup menggunakan sumber daya Azure lain yang disebut Resource Guard untuk memastikan operasi penting dilakukan hanya dengan otorisasi yang berlaku.

Catatan

Otorisasi multi-pengguna menggunakan Resource Guard untuk brankas Backup sekarang tersedia secara umum.

Bagaimana cara kerja MUA untuk Backup?

Azure Backup menggunakan Resource Guard sebagai mekanisme otorisasi tambahan untuk vault Layanan Pemulihan atau brankas Cadangan. Oleh karena itu, untuk melakukan operasi penting (dijelaskan di bawah) dengan sukses, Anda juga harus memiliki izin yang memadai pada Resource Guard terkait.

Penting

Agar berfungsi sebagaimana dimaksud, Resource Guard harus dimiliki oleh pengguna yang berbeda, dan admin brankas tidak boleh memiliki izin Kontributor. Anda dapat menempatkan Resource Guard dalam langganan atau penyewa yang berbeda dari yang berisi vault untuk memberikan perlindungan yang lebih baik.

Operasi penting

Tabel berikut mencantumkan operasi yang dijelaskan sebagai operasi penting dan dapat dilindungi oleh Resource Guard. Anda dapat memilih untuk mengecualikan operasi tertentu agar tidak dilindungi menggunakan Resource Guard saat mengaitkan brankas dengan Resource Guard.

Catatan

Anda tidak dapat mengecualikan operasi yang ditandai sebagai Wajib agar tidak dilindungi menggunakan Resource Guard untuk brankas yang terkait dengannya. Selain itu, operasi penting yang dikecualikan akan berlaku untuk semua brankas yang terkait dengan Resource Guard.

Pilih vault

Vault Layanan Pemulihan

Operasi	Wajib/Opsional
Menonaktifkan penghapusan sementara	Wajib
Nonaktifkan perlindungan MUA	Wajib
Ubah kebijakan pencadangan (retensi berkurang)	Opsional
Ubah perlindungan (retensi berkurang)	Opsional
Menghentikan perlindungan dengan menghapus data	Opsional
Ubah PIN keamanan MARS	Opsional

Brankas cadangan

Operasi	Wajib/Opsional
Nonaktifkan perlindungan MUA	Wajib
Menghapus instans cadangan	Opsional

Konsep dan proses

Konsep dan proses yang terlibat saat menggunakan MUA untuk Azure Backup dijelaskan di bawah ini.

Mari kita pertimbangkan dua pengguna berikut untuk pemahaman yang jelas tentang proses dan tanggung jawab. Kedua peran ini direferensikan di seluruh artikel ini.

Admin cadangan: Pemilik vault Layanan Pemulihan atau brankas Cadangan yang melakukan operasi manajemen pada vault. Untuk memulainya, admin Cadangan tidak boleh memiliki izin apa pun di Resource Guard.

Admin keamanan: Pemilik Resource Guard dan berfungsi sebagai penjaga gerbang operasi penting di brankas. Oleh karena itu, admin Keamanan mengontrol izin yang diperlukan admin Cadangan untuk melakukan operasi penting di brankas.

Berikut ini adalah representasi diagram untuk melakukan operasi penting pada brankas yang telah dikonfigurasi MUA menggunakan Resource Guard.

Berikut adalah alur peristiwa dalam skenario umum:

1. Admin Cadangan membuat vault Layanan Pemulihan atau brankas Cadangan.

2. Admin keamanan membuat Resource Guard. Resource Guard dapat berada dalam langganan yang berbeda atau penyewa yang berbeda sehubungan dengan vault. Ini harus dipastikan bahwa admin Cadangan tidak memiliki izin Kontributor di Resource Guard.

3. Admin Keamanan memberikan peran Pembaca ke Admin Cadangan untuk Resource Guard (atau cakupan yang relevan). Admin Cadangan memerlukan peran pembaca untuk mengaktifkan MUA di brankas.

4. Admin Cadangan sekarang mengonfigurasi vault untuk dilindungi oleh MUA melalui Resource Guard.

5. Sekarang, jika admin Cadangan ingin melakukan operasi penting di brankas, mereka perlu meminta akses ke Resource Guard. Admin Cadangan dapat menghubungi admin Keamanan untuk detail tentang mendapatkan akses untuk melakukan operasi tersebut. Admin Cadangan dapat melakukan ini menggunakan Privileged Identity Management (PIM) atau proses lain sebagaimana diamanatkan oleh organisasi.

6. Admin Keamanan untuk sementara memberikan peran Kontributor di Resource Guard kepada admin Cadangan untuk melakukan operasi penting.

7. Sekarang, admin Cadangan memulai operasi penting.

8. Azure Resource Manager memeriksa apakah admin Cadangan memiliki izin yang memadai atau tidak. Karena admin Cadangan sekarang memiliki peran Kontributor di Resource Guard, permintaan selesai.

   Jika admin Cadangan tidak memiliki izin/peran yang diperlukan, permintaan akan gagal.

9. Admin keamanan memastikan bahwa hak istimewa untuk melakukan operasi penting dicabut setelah tindakan sah dilakukan atau setelah durasi yang ditentukan. Menggunakan alat JIT Microsoft Entra Privileged Identity Management mungkin berguna dalam memastikan hal ini.

Catatan

MUA memberikan perlindungan pada operasi yang tercantum di atas yang dilakukan pada cadangan yang dikubahkan saja. Setiap operasi yang dilakukan langsung pada sumber data (yaitu, sumber daya/beban kerja Azure yang dilindungi) berada di luar cakupan Resource Guard.

Skenario penggunaan

Tabel berikut mencantumkan skenario untuk membuat Resource Guard dan vault Anda (vault Layanan Pemulihan dan brankas Backup), bersama dengan perlindungan relatif yang ditawarkan oleh masing-masing.

Penting

Admin Cadangan tidak boleh memiliki izin Kontributor ke Resource Guard dalam skenario apa pun.

Skenario penggunaan	Perlindungan karena MUA	Kemudahan implementasi	Catatan
Vault dan Resource Guard berada dalam langganan yang sama. Admin Cadangan tidak memiliki akses ke Resource Guard.	Isolasi minimal antara admin Cadangan dan admin Keamanan.	Relatif mudah diterapkan karena hanya satu langganan yang diperlukan.	Izin/ peran tingkat sumber daya perlu dipastikan telah ditetapkan dengan benar.
Vault dan Resource Guard berada dalam langganan yang berbeda tetapi penyewa yang sama. Admin Cadangan tidak memiliki akses ke Resource Guard atau langganan yang sesuai.	Isolasi sedang antara admin Cadangan dan admin Keamanan.	Kemudahan implementasi yang relatif sedang karena dua langganan (tetapi satu penyewa) diperlukan.	Pastikan bahwa izin/peran ditetapkan dengan benar untuk sumber daya atau langganan.
Vault dan Resource Guard berada di penyewa yang berbeda. Admin Cadangan tidak memiliki akses ke Resource Guard, langganan yang sesuai, atau penyewa yang sesuai.	Isolasi maksimum antara admin Cadangan dan admin Keamanan, oleh karena itu, keamanan maksimum.	Relatif sulit untuk diuji karena membutuhkan dua penyewa atau direktori untuk diuji.	Pastikan bahwa izin/ peran ditetapkan dengan benar untuk sumber daya, langganan, atau direktori.

Langkah berikutnya

Konfigurasikan Otorisasi multi-pengguna menggunakan Resource Guard.