유지 관리 모드는 커뮤니티 또는 enclave 소유자가 변경이 허용되는 "유지 관리 모드" 상태로 커뮤니티 또는 enclave를 일시적으로 배치할 수 있는 기능입니다. 이 모드를 사용하면 권한 있는 사용자가 일반적으로 거부 할당으로 보호되는 기본 관리되는 리소스를 특정하게 변경할 수 있습니다. 이렇게 하면 커뮤니티 및 Enclave 격리 및 네트워크 경계를 유지하는 데 도움이 됩니다.
유지 관리 모드 옵션
-
Off- enclave 또는 community의 기반이 되는 관리되는 리소스 그룹을 보호하기 위해 Azure Enclave에서 생성한 거부 할당이 적용되어 있습니다. -
GeneralAllow Dataplane Actions- Azure 만든 거부 할당을 사용하면 권한 있는 사용자가 기본 관리되는 리소스에서만 특정 기존 리소스를 수정할 수 있습니다. enclave의 경우 이러한 작업에는 enclave 가상 네트워크에 조인하고 프라이빗 DNS 영역 레코드를 만드는 리소스가 포함됩니다. 커뮤니티의 경우 이러한 작업에는 Virtual WAN 리소스를 변경하는 작업이 포함됩니다. 기본적으로 커뮤니티와 엔클레이브는Off모드로 배포되지만, 생성하는 동안General모드를 선택하고 보호된 리소스를 변경할 수 있도록 적절한 Microsoft Entra ID 자격 증명을 제공해야 합니다. -
Advanced- 권한 있는 사용자가 기반 관리 리소스에 대해 상승된 권한으로 변경할 수 있도록 Azure에서 생성한 거부 할당이 일시적으로 제거됩니다.
근거 옵션
- 네트워킹 - 관리되는 리소스에 대한 권한 있는 변경 또는 사용자 지정 변경 관리
- 거버넌스 - 로깅, 정책 또는 기타 거버넌스 관련 변경 내용 관리
- Off - 유지 관리 모드가 더 이상 필요하지 않습니다.
커뮤니티 유지 관리 모드
커뮤니티 유지 관리 모드는 Azure vWAN, Azure Firewall, 방화벽 정책 및 Log Analytics 작업 영역을 포함하여 커뮤니티를 구성하는 보호 관리되는 리소스를 사용합니다. 거부 할당은 이러한 리소스에 대한 무단 작업을 방지하는 데 사용됩니다. 유지 관리 모드를 사용하도록 설정하면 지정된 보안 주체에 권한 있는 RBAC 작업을 수행할 수 있도록 거부 할당의 예외가 부여됩니다.
커뮤니티 유지 관리 모드 시나리오
커뮤니티 주타펜스 모드의 일반적인 시나리오는 다음과 같습니다.
- 복잡한 네트워킹 구성을 지원하도록 가상 허브 경로 테이블 만들기/수정
- Community vWAN 내에서 사용자 지정 가상 허브 만들기/수정
- 특정 Azure 서비스에 필요한 개별 네트워크 보안 그룹 규칙 만들기/수정
- 프라이빗 네트워킹을 사용하도록 Enclave에서 관리되는 리소스 그룹 내에 리소스 생성(예: 프라이빗 DNS 영역, 프라이빗 링크 등)
커뮤니티 - 일반 유지 관리 모드
**커뮤니티 ** 리소스에서 유지 관리 모드를 사용하도록 설정하면 General 유지 관리 모드 principals (예: 사용자 또는 그룹)가 Deny All 대한 거부 할당에서 제외됩니다.
이렇게 하면 유지 관리 모드 보안 주체에서 식별된 사용자가 그렇지 않으면 Deny All 거부 할당에 의해 차단될 해당 작업을 수행할 수 있습니다.
Allow Dataplane Actions 거부 할당은 모든 보안 주체(유지 관리 모드 보안 주체 포함)에 대해 계속 유효합니다. 사용자는 할당된 역할에 의해 여전히 제한될 수 있습니다.
일반 주체 모드를 사용하는 경우 커뮤니티 관리 리소스 그룹을 통해 다음 권한이 허용됩니다.
커뮤니티 거부 할당: Deny All
| Operation | 작업 유형 | Explanation | |
|---|---|---|---|
| * | 조치 | 이 표에 지정된 작업을 제외한 모든 작업 거부 | |
| */read | NotAction | 허용됨 | 모든 리소스에 대해 "읽기" 작업 허용 |
| Microsoft. 리소스/태그/* | NotAction | 모든 리소스에 대해 "태그" 작업 허용 |
커뮤니티 - 고급 유지 관리 모드
고급 maintanence 모드를 사용하는 경우 Communtiy 관리 리소스 그룹을 통해 다음 권한이 허용됩니다.
커뮤니티 거부 할당: Allow Dataplane Actions
| Operation | 작업 유형 | Explanation |
|---|---|---|
| * | 조치 | 이 표에 지정된 작업을 제외한 모든 작업 거부 |
| */read | NotAction | 모든 리소스에 대해 "읽기" 작업 허용 |
| Microsoft.Insights/alertRules/* | NotAction | "alertRules"에 대한 모든 작업 허용 |
| Microsoft.Support/* | NotAction | "지원"에 대한 모든 작업 허용 |
| Microsoft. 리소스/태그/* | NotAction | 모든 리소스에 대해 "태그" 작업 허용 |
| Microsoft.Network/azureFirewalls/networkRuleCollections/write | NotAction | networkRuleCollections에서 "쓰기" 작업 허용 |
| Microsoft.Network/azureFirewalls/applicationRuleCollections/write | NotAction | applicationRuleCollections에서 "쓰기" 작업 허용 |
| Microsoft.Network/azureFirewalls/natRuleCollections/write | NotAction | natRuleCollections에서 "쓰기" 작업 허용 |
| Microsoft.Network/firewallPolicies/ruleGroups/write | NotAction | ruleGroups에서 "쓰기" 작업 허용 |
| Microsoft.Network/virtualHubs/write | NotAction | virtualHubs에서 "쓰기" 작업 허용 |
| Microsoft.Network/virtualWans/virtualHubs/read | NotAction | virtualHubs에서 "읽기" 작업 허용 |
| Microsoft.Network/virtualWans/join/action | NotAction | virtualWans에서 "조인" 작업 허용 |
| Microsoft.Network/virtualHubs/routeTables/write | NotAction | 가상 허브 경로 테이블을 통해 "쓰기" 작업 허용 |
Enclave 유지 관리 모드
Enclave 유지 관리 모드는 Azure 가상 네트워크, 네트워크 보안 그룹 및 로그 분석 작업 영역을 포함하여 Enclave를 구성하는 보호 관리되는 리소스를 사용합니다. 거부 할당은 이러한 리소스에 대한 무단 작업을 방지하는 데 사용됩니다. 유지 관리 모드를 활성화하면 지정된 보안 주체에 Enclave 관리 리소스 그룹에 대해 권한 있는 RBAC 작업을 수행할 수 있도록 거부 할당의 예외가 부여됩니다.
Enclave 유지 관리 모드 시나리오
Enclave 유지 관리 모드를 사용하는 일반적인 시나리오는 다음과 같습니다:
- 워크로드 배포 중 서브넷/vnet 조인 작업 수행
- 특정 Azure 서비스에 필요한 개별 네트워크 보안 그룹 규칙 만들기/수정
- 프라이빗 네트워킹을 지원하기 위해 enclave에서 관리되는 리소스 그룹 내에 리소스 만들기(예: 프라이빗 DNS 영역, 프라이빗 링크 등)
Enclave - 일반 유지 관리 모드
Enclave 리소스에서 유지 관리 모드를 사용하도록 설정하면 General 유지 관리 모드 principals (사용자, 그룹 또는 서비스 주체)가 Deny All 대한 거부 할당에서 제외됩니다. 이렇게 하면 유지 관리 모드 보안 주체에서 식별된 사용자가 그렇지 않으면 Deny All 거부 할당에 의해 차단될 해당 작업을 수행할 수 있습니다.
Allow Dataplane Actions 거부 할당은 모든 보안 주체(유지 관리 모드 보안 주체 포함)에 대해 계속 유효합니다. 사용자는 할당된 역할에 의해 여전히 제한될 수 있습니다.
일반 메인타펜스 모드를 사용하는 경우 enclave 관리 리소스 그룹에 대해 다음 사용 권한이 허용됩니다.
enclave 거부 할당: Deny All
| Operation | 작업 유형 | Explanation |
|---|---|---|
| * | 조치 | 이 표에 지정된 작업을 제외한 모든 작업 거부 |
| */read | NotAction | 모든 리소스에 대해 "읽기" 작업 허용 |
| Microsoft. 리소스/태그/* | NotAction | 모든 리소스에 대해 "태그" 작업 허용 |
Enclave - 고급 유지 관리 모드
고급 maintanence 모드를 사용하는 경우 enclave 관리 리소스 그룹에 대해 다음 권한이 허용됩니다.
Enclave 거부 할당: Allow Dataplane Actions
| Operation | 작업 유형 | Explanation |
|---|---|---|
| * | 조치 | 이 표에 지정된 작업을 제외한 모든 작업 거부 |
| */read | NotAction | 모든 리소스에 대해 "읽기" 작업 허용 |
| Microsoft.Insights/alertRules/* | NotAction | "alertRules"에 대한 모든 작업 허용 |
| Microsoft.Resources/deployments/* | NotAction | "배포"에 대한 모든 작업 허용 |
| Microsoft.Support/* | NotAction | "지원"에 대한 모든 작업 허용 |
| Microsoft.Network/privateDnsZones/* | NotAction | "privateDnsZones"에 대한 모든 작업 허용 |
| Microsoft.Network/privateDnsOperationResults/* | NotAction | "privateDnsOperationResults"에 대한 모든 작업 허용 |
| Microsoft.Network/privateDnsOperationStatuses/* | NotAction | "privateDnsOperationStatuses"에 대한 모든 작업 허용 |
| Microsoft.Network/virtualNetworks/join/action | NotAction | enclave vNet을 통한 vNet/join 작업 허용 |
| Microsoft.Network/virtualNetworks/subnets/join/action | NotAction | enclave vNet을 통해 서브넷/조인 작업 허용 |
| Microsoft.Authorization/policyExemptions/* | NotAction | "policyExemptions"에 대한 모든 작업 허용 |
| Microsoft.Network/routeTables/routes/write | NotAction | Virtual Network 경로 테이블에 대해 "쓰기" 작업 허용 |
유지 관리 모드를 사용하는 방법
1. 커뮤니티 또는 Enclave를 만드는 동안 유지 관리 모드 활성화
- 커뮤니티 또는 enclave 만들기 양식의 유지 관리 모드 탭으로 이동합니다.
- 모드 옵션 [
Off/General/Advanced]을 선택합니다. - 포함할 서비스 주체를 선택합니다.
- 유지 관리 모드 []에 진입하는 이유에 대한 근거를
OFF/NETWORKING/GOVERNANCE선택합니다. - 평소처럼 커뮤니티 또는 엔클레이브를 검토한 후 생성합니다.
2. 기존 커뮤니티 또는 Enclave에 대한 유지 관리 모드 활성화
- 유지 관리 모드를 사용하는 커뮤니티 또는 Enclave로 이동합니다.
- "유지 관리 모드" 탭으로 이동합니다.
- 모드 옵션 [
Advanced/General]을 선택합니다. - 포함할 서비스 주체를 선택합니다.
- 유지 관리 모드 []에 진입하는 이유에 대한 근거를
NETWORKING/GOVERNANCE선택합니다. - 확인하고 저장합니다.
3. 유지 관리 작업 수행
- 유지 관리 모드가 활성화되면 유지 관리 작업을 진행하거나 필요에 따라 복잡한 워크로드를 만듭니다.
4. 유지 관리 모드 비활성화
- 작업을 완료한 후 유지 관리 모드 탭으로 돌아갑니다.
- 모드를
OFF선택합니다. - 확인하고 저장합니다.
모범 사례
- 사용 제한: 계획된 주관 기간 동안 신뢰할 수 있는 권한 있는 사용자에 대해서만 유지 관리 모드를 사용하도록 설정하고 Azure Enclave 리소스에 대한 보안 및 격리를 유지 관리해야 합니다.
- 영향 이해: 권한 있는 사용자는 변경 내용과 해당 변경 내용을 실행 취소하거나 수정하는 단계를 완전히 이해해야 합니다. 유지 관리 모드에 있는 동안 커뮤니티 또는 Enclave에서 기본 관리되는 리소스를 수동으로 변경하면 환경이 이상적인 상태에서 의도하지 않게 드리프트될 수 있습니다.