Condividi tramite

Informazioni sull'autorizzazione multiutente con Resource Guard

  • Articolo

L'autorizzazione multiutente (MUA) per Backup di Azure consente di aggiungere un ulteriore livello di protezione alle operazioni critiche sugli insiemi di credenziali di Servizi di ripristino e sugli insiemi di credenziali di backup. Per MUA, Backup di Azure usa un'altra risorsa di Azure denominata Resource Guard per garantire che le operazioni critiche vengano eseguite solo con l'autorizzazione applicabile.

Nota

L'autorizzazione multiutente che usa Resource Guard per l'insieme di credenziali di backup è ora disponibile a livello generale.

Come funziona MUA per il backup?

Backup di Azure usa Resource Guard come meccanismo di autorizzazione aggiuntivo per un insieme di credenziali di Servizi di ripristino o un insieme di credenziali di backup. Pertanto, per eseguire correttamente un'operazione critica (descritta di seguito), è necessario disporre di autorizzazioni sufficienti anche per Resource Guard associato.

Importante

Per funzionare come previsto, Resource Guard deve essere di proprietà di un utente diverso e l'amministratore dell'insieme di credenziali non deve disporre delle autorizzazioni Collaboratore, Amministratore MUA backup o Operatore MUA di backup per Resource Guard. È possibile posizionare Resource Guard in una sottoscrizione o in un tenant diverso da quello contenente gli insiemi di credenziali per garantire una migliore protezione.

Operazioni critiche

La tabella seguente elenca le operazioni definite come operazioni critiche e può essere protetta da Resource Guard. È possibile scegliere di escludere determinate operazioni dalla protezione usando Resource Guard quando si associano insiemi di credenziali.

Nota

Non è possibile escludere le operazioni indicate come Obbligatorio da proteggere usando Resource Guard per gli insiemi di credenziali associati. Inoltre, le operazioni critiche escluse si applicano a tutti gli insiemi di credenziali associati a Resource Guard.

Scegliere un insieme di credenziali

Operazione Obbligatorio/Facoltativo Descrizione
Disabilitare l'eliminazione temporanea o le funzionalità di sicurezza Obbligatorio Disabilitare l'impostazione di eliminazione temporanea in un insieme di credenziali.
Rimuovere la protezione MUA Obbligatorio Disabilitare la protezione MUA in un insieme di credenziali.
Eliminare la protezione Facoltativo Eliminare la protezione arrestando i backup ed eseguendo l'eliminazione dei dati.
Modificare la protezione Facoltativo Aggiungere un nuovo criterio di backup con una riduzione della conservazione o una frequenza dei criteri di modifica per aumentare l'RPO.
Modificare i criteri Facoltativo Modificare i criteri di backup per ridurre la frequenza dei criteri di conservazione o modifica per aumentare il valore RPO.
Ottenere il PIN di sicurezza del backup Facoltativo Modificare il PIN di sicurezza mars.
Arrestare il backup e conservare i dati Facoltativo Eliminare la protezione arrestando i backup e mantenendo i dati per sempre o conservando i dati in base ai criteri.
Disabilitare l'immutabilità Facoltativo Disabilitare l'impostazione di immutabilità in un insieme di credenziali.

Concetti e processi

Di seguito sono illustrati i concetti e i processi coinvolti quando si usa MUA per Backup di Azure.

Si considerino i due utenti seguenti per una chiara comprensione del processo e delle responsabilità. In questo articolo viene fatto riferimento a questi due utenti.

Amministratore di backup: proprietario dell'insieme di credenziali di Servizi di ripristino o dell'insieme di credenziali di Backup che esegue operazioni di gestione nell'insieme di credenziali. Per iniziare, l'amministratore di Backup non deve avere autorizzazioni per Resource Guard. Può trattarsi di un ruolo di operatore di backup o di controllo degli accessi in base al ruolo collaboratore per il backup nell'insieme di credenziali di Servizi di ripristino.

Amministratore della sicurezza: proprietario di Resource Guard e funge da gatekeeper delle operazioni critiche nell'insieme di credenziali. Di conseguenza, l'amministratore della sicurezza controlla le autorizzazioni necessarie all'amministratore di Backup per eseguire operazioni critiche nell'insieme di credenziali. Può trattarsi del ruolo Di controllo degli accessi in base al ruolo amministratore MUA di backup in Resource Guard.

Di seguito è riportata una rappresentazione diagrammatica per l'esecuzione di un'operazione critica in un insieme di credenziali con MUA configurato tramite Resource Guard.

Rappresentazione diagrammatica sulla configurazione di MUA tramite Resource Guard.

Ecco il flusso di eventi in uno scenario tipico:

  1. L'amministratore di Backup crea l'insieme di credenziali di Servizi di ripristino o l'insieme di credenziali di Backup.

  2. L'amministratore della sicurezza crea Resource Guard.

    Resource Guard può trovarsi in una sottoscrizione diversa o in un tenant diverso rispetto all'insieme di credenziali. Assicurarsi che l'amministratore di Backup non disponga delle autorizzazioni Collaboratore, Amministratore MUA backup o Operatore MUA di backup per Resource Guard.

  3. L'amministratore della sicurezza concede il ruolo lettore all'amministratore di backup per Resource Guard (o un ambito pertinente). L'amministratore di Backup richiede il ruolo lettore per abilitare MUA nell'insieme di credenziali.

  4. L'amministratore di Backup configura ora l'insieme di credenziali in modo che sia protetto da MUA tramite Resource Guard.

  5. Ora, se l'amministratore di Backup o qualsiasi utente che ha accesso in scrittura all'insieme di credenziali vuole eseguire un'operazione critica protetta con Resource Guard nell'insieme di credenziali, è necessario richiedere l'accesso a Resource Guard. L'amministratore del backup può contattare l'amministratore della sicurezza per informazioni dettagliate su come ottenere l'accesso per eseguire tali operazioni. A tale scopo, è possibile usare Privileged Identity Management (PIM) o altri processi come imposto dall'organizzazione. Possono richiedere il ruolo di controllo degli accessi in base al ruolo "Operatore MUA di backup" che consente agli utenti di eseguire solo operazioni critiche protette da Resource Guard e non consente di eliminare la risorsa Guard.

  6. L'amministratore della sicurezza concede temporaneamente il ruolo "Operatore MUA di backup" in Resource Guard all'amministratore di backup per eseguire operazioni critiche.

  7. L'amministratore di Backup avvia quindi l'operazione critica.

  8. Azure Resource Manager controlla se l'amministratore di Backup dispone o meno di autorizzazioni sufficienti. Poiché l'amministratore di backup ha ora il ruolo "Operatore MUA di backup" in Resource Guard, la richiesta viene completata. Se l'amministratore di backup non dispone delle autorizzazioni o dei ruoli necessari, la richiesta avrà esito negativo.

  9. L'amministratore della sicurezza deve assicurarsi di revocare i privilegi per eseguire operazioni critiche dopo l'esecuzione di azioni autorizzate o dopo una durata definita. È possibile usare gli strumenti JIT di Microsoft Entra Privileged Identity Management per garantire lo stesso.

Nota

  • Se si concede il ruolo di amministratore MUA di collaboratore o backup nell'accesso temporaneamente a Resource Guard all'amministratore di backup, fornisce anche le autorizzazioni di eliminazione per Resource Guard. È consigliabile fornire solo le autorizzazioni dell'operatore MUA di backup.
  • MUA offre protezione solo per le operazioni elencate sopra eseguite sui backup con insieme di credenziali. Tutte le operazioni eseguite direttamente nell'origine dati, ovvero la risorsa o il carico di lavoro di Azure protetti, non rientrano nell'ambito di Resource Guard.

Scenari di utilizzo

La tabella seguente elenca gli scenari per la creazione di Resource Guard e insiemi di credenziali (insieme di credenziali di Servizi di ripristino e insieme di credenziali di backup), insieme alla protezione relativa offerta da ognuno.

Importante

L'amministratore di backup non deve disporre delle autorizzazioni collaboratore, amministratore MUA di backup o operatore MUA di backup per Resource Guard in qualsiasi scenario, in quanto esegue l'override dell'aggiunta della protezione MUA nell'insieme di credenziali.

Scenario di utilizzo Protezione dovuta a MUA Facilità di implementazione Note
Insieme di credenziali e Resource Guard si trovano nella stessa sottoscrizione.
L'amministratore di Backup non ha accesso a Resource Guard.		 Isolamento minimo tra l'amministratore di backup e l'amministratore della sicurezza. Implementazione relativamente semplice perché è necessaria una sola sottoscrizione. Le autorizzazioni/i ruoli a livello di risorsa devono essere assicurati che siano assegnati correttamente.
Insieme di credenziali e Resource Guard si trovano in sottoscrizioni diverse, ma lo stesso tenant.
L'amministratore di Backup non ha accesso a Resource Guard o alla sottoscrizione corrispondente.		 Isolamento medio tra l'amministratore di Backup e l'amministratore della sicurezza. Semplicità relativamente media di implementazione perché sono necessarie due sottoscrizioni (ma un singolo tenant). Assicurarsi che le autorizzazioni o i ruoli siano assegnati correttamente per la risorsa o la sottoscrizione.
Insieme di credenziali e Resource Guard si trovano in tenant diversi.
L'amministratore di Backup non ha accesso a Resource Guard, alla sottoscrizione corrispondente o al tenant corrispondente.		 Isolamento massimo tra l'amministratore di Backup e l'amministratore della sicurezza, pertanto la massima sicurezza. Relativamente difficile da testare perché richiede due tenant o directory da testare. Assicurarsi che le autorizzazioni o i ruoli siano assegnati correttamente per la risorsa, la sottoscrizione o la directory.

Passaggi successivi

Configurare l'autorizzazione multiutente usando Resource Guard.