メンテナンス モードは、コミュニティまたはエンクレーブの所有者がコミュニティまたはエンクレーブを、変更が許可されている "メンテナンス モード" 状態に一時的に配置できるようにする機能です。 このモードでは、権限を持つユーザーが、通常は拒否割り当てによって保護されている基になるマネージド リソースに対して特定の変更を行うことができます。 これは、コミュニティとエンクレーブの分離とネットワーク境界を維持するのに役立ちます。
メンテナンス モードのオプション
-
Off- Azure エンクレーブによって作成された拒否割り当ては、エンクレーブまたはコミュニティの基になるマネージド リソース グループを保護するためにインプレースです。 -
General- Azureによって作成されたAllow Dataplane Actions拒否割り当てにより、特権ユーザーは、基になるマネージド リソース内の特定の既存のリソースのみを変更できます。 エンクレーブの場合、これらの操作には、エンクレーブ仮想ネットワークに参加し、ゾーン レコードプライベート DNS作成するリソースが含まれます。 コミュニティの場合、これらの操作には、Virtual WAN リソースの変更が含まれます。 既定では、コミュニティとエンクレーブはOffモードでデプロイされますが、作成時にGeneralモードを選択し、保護されたリソースに対する変更を許可する適切なMicrosoft Entra ID ID を提供します。 -
Advanced- Azureによって作成された拒否割り当ては一時的に削除され、特権ユーザーは基になるマネージド リソースに対して昇格された変更を行うことができます。
理由オプション
- ネットワーク - マネージド リソースに対する特権またはカスタムの変更の管理。
- ガバナンス - ログ記録、ポリシー、またはその他のガバナンス関連の変更の管理。
- オフ - メンテナンス モードは不要です。
コミュニティ メンテナンス モード
コミュニティ メンテナンス モードでは、Azure vWAN、Azure Firewall、ファイアウォール ポリシー、Log Analytics ワークスペースなど、コミュニティを構成するマネージド リソースを保護します。 拒否割り当ては、これらのリソースに対する承認されていないアクションを防ぐために使用されます。 保守モードが有効になっている場合、指定されたプリンシパルには、特権 RBAC アクションを実行するための拒否割り当てからの除外が付与されます。
コミュニティのメインタンス モードのシナリオ
Community Maintanence Mode の一般的なシナリオは次のとおりです。
- 複雑なネットワーク構成をサポートするための仮想ハブ ルート テーブルの作成/変更。
- Community vWAN 内でのカスタム仮想ハブの作成/変更
- 特定のAzure サービスに必要な個々のネットワーク セキュリティ グループ規則の作成/変更
- プライベート ネットワークを有効にするエンクレーブ マネージド リソース グループ内のリソースの作成 (プライベート DNS Zones、Private Links など)
コミュニティ - 一般的なメンテナンス モード
**Community** リソースでGeneralメンテナンス モードが有効になっている場合、メンテナンス モードのprincipals (ユーザーやグループなど) は、Deny Allの拒否割り当てから除外されます。
これにより、メンテナンス モード プリンシパルで識別されたユーザーは、 Deny All 拒否割り当てによってブロックされるアクションを実行できます。
Allow Dataplane Actions拒否の割り当ては、すべてのプリンシパル (メンテナンス モード プリンシパルを含む) に対して引き続き有効です。 ユーザーは、割り当てられたロールによって引き続き制限される場合があります。
一般的なメインタンス モードが有効になっている場合、Community マネージド リソース グループに対して次のアクセス許可が許可されます。
コミュニティ拒否割り当て: Deny All
| Operation | アクションの種類 | 説明 | |
|---|---|---|---|
| * | アクション | この表で指定されているアクションを除くすべてのアクションを拒否する | |
| */read | NotAction | 許可 | すべてのリソースに対して "読み取り" アクションを許可する |
| Microsoft.Resources/tags/* | NotAction | すべてのリソースに対して "タグ" アクションを許可する |
コミュニティ - 高度なメンテナンス モード
高度なメインタンス モードが有効になっている場合、Communtiy マネージド リソース グループに対して次のアクセス許可が許可されます。
コミュニティの拒否の割り当て: Allow Dataplane Actions
| Operation | アクションの種類 | 説明 |
|---|---|---|
| * | アクション | この表で指定されているアクションを除くすべてのアクションを拒否する |
| */read | NotAction | すべてのリソースに対して "読み取り" アクションを許可する |
| Microsoft.Insights/alertRules/* | NotAction | "alertRules" に対するすべてのアクションを許可する |
| Microsoft.Support/* | NotAction | "サポート" のすべてのアクションを許可する |
| Microsoft.Resources/tags/* | NotAction | すべてのリソースに対して "タグ" アクションを許可する |
| Microsoft.Network/azureFirewalls/networkRuleCollections/write | NotAction | networkRuleCollections で "書き込み" アクションを許可する |
| Microsoft.Network/azureFirewalls/applicationRuleCollections/write | NotAction | applicationRuleCollections で "書き込み" アクションを許可する |
| Microsoft.Network/azureFirewalls/natRuleCollections/write | NotAction | natRuleCollections で "書き込み" アクションを許可する |
| Microsoft.Network/firewallPolicies/ruleGroups/write | NotAction | ruleGroups で "書き込み" アクションを許可する |
| Microsoft.Network/virtualHubs/write | NotAction | virtualHubs で "書き込み" アクションを許可する |
| Microsoft.Network/virtualWans/virtualHubs/read | NotAction | virtualHubs で "読み取り" アクションを許可する |
| Microsoft.Network/virtualWans/join/action | NotAction | virtualWans で "参加" アクションを許可する |
| Microsoft.Network/virtualHubs/routeTables/write | NotAction | 仮想ハブ ルート テーブルに対する "書き込み" アクションを許可する |
エンクレーブ メンテナンス モード
エンクレーブ メンテナンス モードでは、仮想ネットワーク、ネットワーク セキュリティ グループ、およびログ分析ワークスペースAzure含め、エンクレーブを構成するマネージド リソースを保護します。 拒否割り当ては、これらのリソースに対する承認されていないアクションを防ぐために使用されます。 保守モードが有効になっている場合、指定したプリンシパルには、エンクレーブマネージド リソース グループに対して特権 RBAC アクションを実行するための拒否割り当てからの除外が付与されます。
エンクレーブのメンテナンス モードのシナリオ
エンクレーブのメンテナンス モードを使用する一般的なケースには、次のようなものがあります。
- ワークロードのデプロイ時にサブネット/VNet の結合操作を実行する
- 特定のAzure サービスに必要な個々のネットワーク セキュリティ グループ規則の作成/変更
- プライベート ネットワークを有効にするエンクレーブ マネージド リソース グループ内にリソースを作成する (プライベート DNS Zones、Private Links など)
エンクレーブ - 一般メンテナンス モード
エンクレーブ リソースGeneralメンテナンス モードが有効になっている場合、メンテナンス モードのprincipals (ユーザー、グループ、またはサービス プリンシパル) は、Deny Allの拒否割り当てから除外されます。 これにより、メンテナンス モード プリンシパルで識別されたユーザーは、 Deny All 拒否割り当てによってブロックされるアクションを実行できます。
Allow Dataplane Actions拒否の割り当ては、すべてのプリンシパル (メンテナンス モード プリンシパルを含む) に対して引き続き有効です。 ユーザーは、割り当てられたロールによって引き続き制限される場合があります。
一般的なメインタンス モードが有効になっている場合、エンクレーブ マネージド リソース グループに対して次のアクセス許可が許可されます。
エンクレーブの拒否の割り当て: Deny All
| Operation | アクションの種類 | 説明 |
|---|---|---|
| * | アクション | この表で指定されているアクションを除くすべてのアクションを拒否する |
| */read | NotAction | すべてのリソースに対して "読み取り" アクションを許可する |
| Microsoft.Resources/tags/* | NotAction | すべてのリソースに対して "タグ" アクションを許可する |
エンクレーブ - 高度なメンテナンス モード
高度なメインタンス モードが有効になっている場合、エンクレーブ マネージド リソース グループに対して次のアクセス許可が許可されます。
エンクレーブ拒否割り当て: Allow Dataplane Actions
| Operation | アクションの種類 | 説明 |
|---|---|---|
| * | アクション | この表で指定されているアクションを除くすべてのアクションを拒否する |
| */read | NotAction | すべてのリソースに対して "読み取り" アクションを許可する |
| Microsoft.Insights/alertRules/* | NotAction | "alertRules" に対するすべてのアクションを許可する |
| Microsoft.Resources/deployments/* | NotAction | "デプロイ" に対するすべてのアクションを許可する |
| Microsoft.Support/* | NotAction | "サポート" のすべてのアクションを許可する |
| Microsoft.Network/privateDnsZones/* | NotAction | "privateDnsZones" に対するすべてのアクションを許可する |
| Microsoft.Network/privateDnsOperationResults/* | NotAction | "privateDnsOperationResults" に対するすべてのアクションを許可する |
| Microsoft.Network/privateDnsOperationStatuses/* | NotAction | "privateDnsOperationStatuses" のすべてのアクションを許可する |
| Microsoft.Network/virtualNetworks/join/action | NotAction | エンクレーブ vNet に対する vNet/結合操作を許可する |
| Microsoft.Network/virtualNetworks/subnets/join/action | NotAction | エンクレーブ vNet 上でのサブネット化/接続操作を許可する |
| Microsoft.Authorization/policyExemptions/* | NotAction | "policyExemptions" に対するすべてのアクションを許可する |
| Microsoft.Network/routeTables/routes/write | NotAction | 仮想ネットワークのルート テーブルに対する "書き込み" アクションを許可する |
メンテナンス モードの使用方法
1. コミュニティまたはエンクレーブの作成時にメンテナンス モードをアクティブにする
- コミュニティまたはエンクレーブ作成フォームの [メンテナンス モード] タブに移動します。
- モード オプション [
Off/General/Advanced] を選択します。 - 含めるサービス プリンシパルを選択します。
- メンテナンス モード [
OFF/NETWORKING/GOVERNANCE] に入る理由の理由を選択します。 - 通常どおり、コミュニティまたはエンクレーブを確認し、作成します。
2. 既存のコミュニティまたはエンクレーブのメンテナンス モードをアクティブにする
- メンテナンス モードを有効にするコミュニティまたはエンクレーブに移動します。
- [メンテナンス モード] タブに移動します。
- モード オプション [
Advanced/General] を選択します。 - 含めるサービス プリンシパルを選択します。
- メンテナンス モード [
NETWORKING/GOVERNANCE] に入る理由の理由を選択します。 - 確認して保存します。
3. メンテナンス タスクを実行する
- メンテナンス モードがアクティブになったら、メンテナンス タスクに進むか、必要に応じて複雑なワークロードを作成します。
4. メンテナンス モードを非アクティブ化する
- タスクが完了したら、[メンテナンス モード] タブに戻ります。
-
OFFモードを選択します。 - 確認して保存します。
ベスト プラクティス
- 使用を制限: 計画されたメンテナンス期間中にのみ、信頼できる特権ユーザーに対してメンテナンス モードが有効化されるようにし、Azure Enclave リソースのセキュリティと分離を維持してください。
- 影響を理解する: 特権ユーザーは、自分が行っている変更と、それらの変更を元に戻すか修復する手順を完全に理解する必要があります。 メンテナンス モード中に、コミュニティまたはエンクレーブ内の基になるマネージド リソースを手動で変更すると、理想的な状態から環境に意図しないドリフトが発生する可能性があります。