Mengaktifkan Keamanan Jaringan untuk konektor blob Azure Storage

Overview

Artikel ini menyediakan instruksi langkah demi langkah tentang cara mengaktifkan keamanan jaringan pada sumber daya penyimpanan yang terintegrasi dengan konektor Azure Storage Anda. Perimeter keamanan jaringan Azure (NSP) adalah fitur asli Azure yang membuat batas isolasi logis untuk sumber daya PaaS Anda. Dengan mengaitkan sumber daya seperti akun penyimpanan atau database dengan NSP, Anda dapat mengelola akses jaringan secara terpusat menggunakan seperangkat aturan yang disederhanakan. Untuk informasi selengkapnya, lihat Konsep perimeter keamanan jaringan.

Prasyarat

Sebelum memulai, Anda harus memiliki sumber daya konektor Azure Storage berikut yang sudah disebarkan dan dikonfigurasi:

  • Akun Azure Storage: Akun penyimpanan yang terintegrasi dengan konektor Azure Storage Anda.
  • Azure Storage queue: Antrean yang menerima notifikasi event pembuatan blob.
  • Topik sistem Event Grid: Topik sistem pada akun penyimpanan yang mengalirkan event pembuatan blob ke antrean penyimpanan.

Jika Anda belum membuat sumber daya ini, lihat Menyiapkan Konektor Azure Storage Anda untuk mengalirkan log ke Microsoft Sentinel.

Untuk menyelesaikan penyiapan ini, pastikan Anda memiliki izin berikut:

  • Pemilik langganan atau Kontributor untuk membuat sumber daya perimeter keamanan jaringan.
  • Kontributor Akun Penyimpanan untuk mengaitkan akun penyimpanan dengan NSP.
  • Administrator Akses Pengguna Penyimpanan atau Pemilik untuk menetapkan peran RBAC ke identitas terkelola Event Grid.
  • Kontributor Event Grid untuk mengaktifkan identitas terkelola dan mengelola langganan peristiwa.

Aktifkan Keamanan Jaringan

Untuk mengaktifkan keamanan jaringan pada sumber daya penyimpanan yang terintegrasi dengan konektor Azure Storage Anda, buat Perimeter Keamanan Jaringan (NSP), kaitkan akun penyimpanan dengannya, dan konfigurasikan aturan untuk mengizinkan lalu lintas dari Event Grid dan sumber lain yang diperlukan sambil memblokir akses yang tidak sah. Gunakan langkah-langkah berikut untuk menyelesaikan konfigurasi Perimeter Keamanan Jaringan untuk akun penyimpanan.

Membuat Perimeter Keamanan Jaringan

Untuk membuat Perimeter Keamanan Jaringan di portal Azure, lakukan langkah-langkah berikut:

  1. Di portal Microsoft Azure, cari Perimeter Keamanan Jaringan

  2. Pilih Buat.

  3. Pilih Grup Langganan dan Sumber Daya.

  4. Masukkan Nama, misalnya storageblob-connectors-nsp

  5. Pilih wilayah . Wilayah harus sama dengan akun penyimpanan.

  6. Masukkan Nama profil atau terima default. Profil menentukan sekumpulan aturan yang diterapkan ke sumber daya terkait. Anda dapat memiliki beberapa profil dalam satu NSP untuk menerapkan aturan yang berbeda ke sumber daya yang berbeda jika diperlukan.

  7. Pilih Tinjau + buat, lalu pilih Buat.

    Cuplikan layar memperlihatkan pembuatan Perimeter Keamanan Jaringan di portal Microsoft Azure.

Mengaitkan Akun Penyimpanan dengan Perimeter Keamanan Jaringan

Untuk mengaitkan akun penyimpanan dengan Perimeter Keamanan Jaringan, lakukan langkah-langkah berikut:

  1. Buka sumber daya Perimeter Keamanan Jaringan yang baru dibuat di portal Microsoft Azure.

  2. Pilih Profil, lalu pilih nama profil yang Anda gunakan saat membuat sumber daya NSP.

  3. Pilih Sumber daya terkait.

  4. Pilih Tambahkan.

  5. Cari dan tambahkan akun penyimpanan Anda, lalu pilih Pilih.

  6. Pilih Hubungkan.

Mode akses diatur ke Transisi secara default, memungkinkan Anda memvalidasi konfigurasi sebelum memberlakukan pembatasan.

Cuplikan layar memperlihatkan cara mengaitkan akun penyimpanan dengan Perimeter Keamanan Jaringan di portal Microsoft Azure.

Mengaktifkan Identitas System-Assigned pada Topik Sistem Event Grid

Untuk mengaktifkan identitas terkelola yang ditetapkan sistem pada topik sistem Event Grid, lakukan langkah-langkah berikut:

  1. Dari akun penyimpanan Anda, navigasikan ke tab Peristiwa .

  2. Pilih Topik Sistem yang digunakan untuk mengalirkan data peristiwa pembuatan blob ke antrian penyimpanan.

    Cuplikan layar memperlihatkan tab Peristiwa untuk Akun Penyimpanan di portal Microsoft Azure.

  3. Pilih Identitas.

  4. Pada tab Sistem yang ditetapkan , atur Status ke Aktif.

  5. Pilih Simpan, lalu salin ID Objek identitas yang dikelola. Anda memerlukan ID Objek ini saat menetapkan peran Pengirim Pesan Data Antrean Penyimpanan di bagian berikutnya.

    Cuplikan layar memperlihatkan pembuatan identitas terkelola untuk Topik Sistem Event Grid di portal Microsoft Azure.

Memberikan izin RBAC pada Antrian Penyimpanan

Untuk memberikan izin kepada identitas terkelola topik sistem Event Grid agar dapat mengirim pesan ke antrean penyimpanan, lakukan langkah-langkah berikut:

  1. Navigasi ke Akun Penyimpanan Anda.
  2. Pilih Access Control (IAM).
  3. Pilih Tambahkan.
  4. Cari dan pilih peran Pengirim Pesan Data Antrean Penyimpanan (cakupan: akun penyimpanan).
  5. Pilih tab Anggota lalu Pilih anggota.
  6. Di panel Pilih anggota , tempelkan ID Objek identitas terkelola yang ditetapkan sistem untuk topik sistem Event Grid.
  7. Pilih identitas terkelola lalu pilih Pilih.
  8. Pilih Tinjau + tetapkan untuk menyelesaikan penugasan peran. Cuplikan layar memperlihatkan penetapan peran Pengirim Pesan Data Antrean Penyimpanan ke identitas terkelola di portal Microsoft Azure.

Mengaktifkan Identitas Terkelola pada langganan peristiwa

Untuk mengaktifkan identitas terkelola pada langganan peristiwa, lakukan langkah-langkah berikut:

  1. Buka Topik Sistem Event Grid.
  2. Pilih langganan acara yang menargetkan antrean.
  3. Pilih tab Pengaturan tambahan.
  4. Atur Jenis identitas terkelola ke Ditetapkan sistem.
  5. Pilih Simpan.
  6. Tinjau metrik langganan Event Grid untuk memvalidasi bahwa pesan telah berhasil diterbitkan ke antrian penyimpanan setelah pembaruan ini.

Cuplikan layar memperlihatkan pengaktifan identitas terkelola untuk langganan Event Grid di portal Microsoft Azure.

Mengonfigurasi aturan Akses Masuk pada profil Perimeter Keamanan Jaringan

Aturan berikut diperlukan untuk mengizinkan Event Grid mengirimkan pesan ke akun penyimpanan sambil memblokir akses yang tidak sah. Bergantung pada sistem yang mengirim data ke akun penyimpanan atau mengakses sumber daya penyimpanan, Anda mungkin perlu menambahkan aturan masuk tambahan. Tinjau skenario dan pola lalu lintas Anda untuk menentukan apakah Anda hanya memerlukan aturan Event Grid yang diperlukan atau aturan NSP masuk tambahan, dan izinkan waktu untuk penyebaran aturan.

Aturan 1: Izinkan Langganan (Pengiriman Event Grid)

Pengiriman Event Grid tidak berasal dari IP publik tetap. NSP memvalidasi pengiriman menggunakan identitas langganan.

  1. Buka Perimeter Keamanan Jaringan dan pilih NSP Anda.

  2. Pilih Profil lalu pilih profil yang terkait dengan akun penyimpanan Anda.

  3. Pilih Aturan akses masuk lalu pilih Tambahkan.

    Cuplikan layar memperlihatkan halaman Aturan akses masuk di portal Microsoft Azure.

  4. Masukkan nama Aturan; misalnya, Allow-Subscription.

  5. Pilih Langganan dari menu drop-down Jenis sumber .

  6. Pilih langganan Anda dari menu drop-down Sumber yang Diizinkan .

  7. Pilih Tambahkan untuk membuat aturan.

    Cuplikan layar memperlihatkan pembuatan aturan akses masuk untuk mengizinkan langganan di portal Microsoft Azure.

Note

Aturan dapat memakan waktu beberapa menit untuk muncul dalam daftar setelah pembuatan.

Aturan 2: Izinkan rentang IP layanan Scuba

Buat aturan masuk yang memungkinkan rentang IP layanan Scuba yang diperlukan untuk skenario ini.

  1. Buat aturan akses masuk kedua.

  2. Masukkan nama Aturan; misalnya, Allow-Scuba.

  3. Pilih Rentang alamat IP dari menu drop-down Jenis sumber .

  4. Buka halaman Unduh file JSON tag layanan Azure.

  5. Pilih cloud Anda; misalnya, Azure Public.

  6. Pilih tombol Unduh dan buka file yang diunduh untuk mendapatkan daftar rentang IP.

  7. Scuba Temukan tag layanan dan salin rentang IPv4 terkait.

    Penting

    Hapus tanda kutip dari rentang IP dan pastikan bahwa tidak ada koma berikutnya pada entri terakhir sebelum menempelkannya ke bidang Sumber yang Diizinkan . Pembaruan rentang tag layanan dari waktu ke waktu; perbarui secara teratur untuk menjaga aturan yang tetap terkini.

  8. Tempelkan rentang IPv4 ke bidang Sumber yang Diizinkan setelah menghapus tanda kutip dan koma berikutnya.

  9. Pilih Tambahkan untuk membuat aturan.

    Cuplikan layar memperlihatkan bagian dari file ServiceTags_Public.json dengan tag layanan Scuba dan rentang IPv4 disorot.

Memvalidasi dan memberlakukan

Setelah mengonfigurasi aturan, pantau log diagnostik untuk Perimeter Keamanan Jaringan untuk memvalidasi bahwa lalu lintas yang sah diizinkan dan tidak ada gangguan. Setelah Anda mengonfirmasi bahwa aturan mengizinkan lalu lintas yang diperlukan dengan benar, Anda dapat beralih dari mode Transisi ke mode Diberlakukan untuk memblokir akses yang tidak sah.

Mode transisi

Aktifkan log diagnostik Perimeter Keamanan Jaringan dan tinjau telemetri yang dikumpulkan untuk memvalidasi pola komunikasi sebelum penerapan. Untuk informasi selengkapnya, lihat Log diagnostik untuk Perimeter Keamanan Jaringan.

Terapkan mode Penegakan

Setelah validasi berhasil, atur mode akses ke Diberlakukan sebagai berikut:

  1. Dari halaman Perimeter Keamanan Jaringan, di bawah Pengaturan, pilih Sumber daya terkait.

  2. Pilih akun penyimpanan.

  3. Pilih Ubah mode akses.

  4. Pilih Diberlakukan lalu Simpan.

    Cuplikan layar memperlihatkan cara mengubah mode akses akun penyimpanan yang terkait dengan Perimeter Keamanan Jaringan di portal Microsoft Azure.

Validasi pasca-penegakan

Setelah Anda mengatur mode akses NSP ke Diberlakukan, pantau lingkungan dengan cermat untuk setiap lalu lintas yang diblokir yang mungkin menunjukkan kesalahan konfigurasi. Pastikan bahwa konfigurasi Event Grid tidak terpengaruh dengan memeriksa metrik langganan topik sistem Event Grid.

Gunakan log diagnostik untuk menyelidiki dan menyelesaikan masalah apa pun yang muncul. Tinjau metrik pada Event Grid (kesuksesan pengiriman) dan akun penyimpanan (keterampilan antrean dan kesalahan) untuk memeriksa apakah ada kesalahan. Kembali ke Mode Transisi jika Anda mengalami gangguan dan mengulangi penyelidikan menggunakan log diagnostik.

Atur Keamanan menggunakan Perimeter untuk Akun Penyimpanan (Opsional)

Mengatur akun penyimpanan ke Diamankan oleh Perimeter memastikan bahwa semua lalu lintas ke akun penyimpanan dievaluasi terhadap aturan Perimeter Keamanan Jaringan dan memblokir akses jaringan publik.

  1. Navigasi ke Akun Penyimpanan Anda.
  2. Di bawah Keamanan + jaringan, pilih Jaringan.
  3. Di bawah Akses jaringan publik, pilih Kelola.
  4. Atur Diamankan oleh Perimeter (Paling dibatasi).
  5. Pilih Simpan.

Cuplikan layar memperlihatkan cara mengatur akun penyimpanan ke 'Secured by Perimeter' di portal Microsoft Azure.

Konten terkait

  • Terakhir diperbarui pada