Limitare l'importazione o l'esportazione di dischi gestiti

Questo articolo offre una panoramica delle opzioni disponibili per impedire l'importazione o l'esportazione dei dischi gestiti di Azure.

Ruolo personalizzato

Per limitare il numero di persone che possono importare o esportare dischi gestiti o snapshot usando il controllo degli accessi in base al ruolo di Azure, creare un ruolo controllo degli accessi in base al ruolo personalizzato che non dispone delle autorizzazioni seguenti:

• Microsoft.Compute/disks/beginGetAccess/action
• Microsoft.Compute/disks/endGetAccess/action
• Microsoft.Compute/snapshots/beginGetAccess/action
• Microsoft.Compute/snapshots/endGetAccess/action

Qualsiasi ruolo personalizzato senza tali autorizzazioni non può caricare o scaricare dischi gestiti.

Autenticazione Microsoft Entra

Se si usa Microsoft Entra ID per controllare l'accesso alle risorse, può essere utilizzato anche per limitare i caricamenti dei dischi gestiti di Azure. Se un utente tenta di caricare un disco, Azure convalida l'identità dell'utente che fa la richiesta in Microsoft Entra ID, quindi conferma che l'utente dispone delle autorizzazioni necessarie. Per altre informazioni, vedere gli articoli su PowerShell o sull'interfaccia della riga di comando.

Collegamenti privati

È possibile usare endpoint privati per limitare il caricamento e il download di dischi gestiti e accedere in modo più sicuro ai dati tramite un collegamento privato dai client nella rete virtuale di Azure. L'endpoint privato usa un indirizzo IP dello spazio di indirizzi della rete virtuale per i dischi gestiti. Il traffico di rete tra i client nella rete virtuale e i dischi gestiti passa soltanto attraverso la rete virtuale e un collegamento privato sulla rete backbone Microsoft, eliminando l'esposizione alla rete Internet pubblica. Per altre informazioni, vedere gli articoli sul portale o sull'interfaccia della riga di comando.

Criteri di Azure

Configurare Criteri di Azure per disabilitare l'accesso alla rete pubblica per i dischi gestiti.

Configurare criteri di accesso alla rete

Ogni disco gestito e snapshot ha un proprio parametro NetworkAccessPolicy che può impedire l'esportazione della risorsa. È possibile usare l'interfaccia della riga di comando di Azure o il modulo di Azure PowerShell per impostare il parametro su DenyAll, che impedisce l'esportazione della risorsa.