Catatan
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba masuk atau mengubah direktori.
Akses ke halaman ini memerlukan otorisasi. Anda dapat mencoba mengubah direktori.
Azure Enclave mendukung delegasi izin terperinci menggunakan kontrol akses berbasis peran asli (RBAC) Azure. Pendelegasian memastikan bahwa Anda dapat mengisolasi tanggung jawab pada batas-batas komunitas, enklave, dan beban kerja tanpa mengorbankan keamanan atau integritas operasional lingkungan Anda.
Artikel ini menjelaskan bagaimana Azure Enclave mengimplementasikan RBAC dan memperkenalkan peran bawaan yang membantu Anda mengelola akses di seluruh hierarki enklave Azure.
Gambaran umum hierarki sumber daya enklave Azure
Azure Enclave mengatur sumber daya menjadi tiga lapisan logis:
- Komunitas – Batas tata kelola akar untuk lingkungan Terisolasi Anda.
- Enklave – Zona pendaratan yang aman dan terisolasi jaringan virtual yang dibuat dalam komunitas.
- Beban kerja – Aplikasi dan layanan yang diterapkan dalam grup sumber daya enklave.
Setiap lapisan mengekspos operasi manajemen yang berbeda, dan Azure Enclave menyediakan peran yang dibuat khusus untuk mengisolasi akses di seluruhnya.
RBAC di Azure Enclave
RBAC di Azure Enclave diterapkan menggunakan penetapan peran standar RBAC yang dikombinasikan dengan penetapan penolakan untuk memungkinkan kontrol yang terperinci atas sumber daya dan beban kerja yang dikelola oleh Community/Enclave.
Konsep RBAC utama:
- Kontrol Akses Komunitas dan Enklave - Penetapan penolakan akses diterapkan pada grup sumber daya yang dikelola oleh Komunitas dan Enklave untuk mencegah perubahan yang tidak sah. Pengaturan Admin Komunitas/Enklave menentukan pengguna/grup mana yang mendapatkan penetapan peran atas sumber daya terkelola. Mode Pemeliharaan menentukan siapa yang dapat melakukan tindakan istimewa tertentu yang dapat memengaruhi keamanan dan isolasi.
- Kontrol Akses Beban Kerja - Grup sumber daya beban kerja juga secara opsional dilindungi dengan penugasan penolakan untuk memastikan bahwa hanya pengguna/grup yang ditentukan secara eksplisit yang memiliki akses istimewa melalui sumber daya beban kerja.
- Mode Pemeliharaan - Memberikan pengecualian kepada pengguna/grup yang ditentukan secara eksplisit dari penetapan penolakan pada grup sumber daya yang dikelola Community dan Enclave untuk melakukan tindakan dengan hak istimewa pada sumber daya terkelola.
Peran bawaan untuk Azure Enklave
Peran RBAC bawaan berikut disediakan di Azure Enclave untuk menyesuaikan dengan pola operasional umum pada jenis sumber daya Microsoft.Mission. Peran ini memungkinkan Anda untuk mengikuti prinsip hak istimewa paling sedikit dengan menetapkan akses hanya ke apa yang diperlukan.
Peran tingkat komunitas
Peran yang berlaku di tingkat komunitas.
| Nama Peran | Deskripsi |
|---|---|
| Pemilik Komunitas | Kontrol penuh terhadap komunitas, termasuk membuat enklave dan mengelola pengelogan dan diagnostik. |
| Kontributor Komunitas | Dapat membuat dan mengelola sumber daya enklave dalam komunitas tetapi tidak dapat menetapkan peran. |
| Pembaca Komunitas | Akses khusus tampilan ke Komunitas dan semua enklave di dalamnya. |
Peran Enklave
Peran yang berlaku pada tingkat enklave.
| Nama Peran | Deskripsi |
|---|---|
| Pemilik Enklave | Kontrol penuh terhadap enklave, termasuk jaringan, konfigurasi titik akhir, dan pembuatan beban kerja. |
| Kontributor Enclave | Dapat mengubah pengaturan enklave dan menyebarkan beban kerja tetapi tidak dapat menetapkan peran RBAC. |
| Enclave Reader | Akses khusus tampilan ke metadata enklave, titik akhir, dan beban kerja terkait. |
| Peran Pemberi Izin Enklave | Dapat melihat detail enklave dan menyetujui permintaan penyebaran atau pembaruan dalam alur kerja yang terjaga. |
Akses beban kerja
Azure Enclave tidak memperkenalkan peran khusus beban kerja baru. Sebagai gantinya, Anda menggunakan peran RBAC Azure standar (misalnya, Kontributor, Pembaca, Pemilik) di tingkat grup sumber daya beban kerja untuk mengontrol akses ke aplikasi dan layanan yang disebarkan.
Mengisolasi akses di Azure Enclave
RBAC di Azure Enclave sengaja dilapisi untuk memungkinkan Anda menetapkan tim atau persona diskrit ke cakupan yang berbeda:
- Tim Platform menetapkan Pemilik Komunitas untuk menyiapkan batas tata kelola.
- Teknisi Jaringan Cloud menerima akses Pemilik Enklave untuk mengelola sumber daya tingkat enklave.
- Pengembang Aplikasi atau Administrator Beban Kerja diberikan peran Kontributor atau Pembaca hanya di tingkat grup sumber daya beban kerja.
- Tim Keamanan dan Audit diberi Enclave Reader atau Community Reader untuk memantau infrastruktur tanpa berisiko mengubah konfigurasi.
Model ini memastikan pemisahan kekhawatiran yang ketat dan meminimalkan konsekuensi negatif karena kesalahan konfigurasi atau kompromi.
Praktik terbaik penetapan peran
Untuk menerapkan kontrol akses yang aman dan efektif di enklave Azure:
- Gunakan prinsip hak istimewa paling sedikit : tetapkan peran paling ketat yang memungkinkan pengguna melakukan pekerjaan mereka.
- Tetapkan peran pada cakupan serendah mungkin (grup sumber daya alih-alih langganan jika memungkinkan).
- Pantau penugasan peran secara teratur menggunakan Azure Policy dan log audit.
- Pertimbangkan untuk menggabungkan peran Azure Enclave dengan Azure PIM (Privileged Identity Management) guna akses just-in-time.