Samouczek: tworzenie funkcji Resource Guard i włączanie autoryzacji wielu użytkowników w usłudze Azure Backup

W tym samouczku opisano procedurę tworzenia Osłony zasobów i włączania autoryzacji wielu użytkowników (MUA) w skrytce Recovery Services i skrytce Backup. Spowoduje to dodanie dodatkowej warstwy ochrony do krytycznych operacji w magazynach.

Uwaga

• Autoryzacja dla wielu użytkowników jest teraz ogólnie dostępna zarówno dla skrzynek Recovery Services, jak i skrzynek Backup.
• Autoryzacja wielu użytkowników dla usługi Azure Backup jest dostępna we wszystkich publicznych regionach świadczenia usługi Azure.

Dowiedz się o pojęciach MUA.

Wymagania wstępne

Przed rozpoczęciem:

Wybierz magazyn

Magazyn systemu Recovery Services

• Upewnij się, że usługa Resource Guard i magazyn usługi Recovery Services znajdują się w tym samym regionie świadczenia usługi Azure.
• Upewnij się, że administrator kopii zapasowej nie ma uprawnień współautora w funkcji Resource Guard. Możesz wybrać usługę Resource Guard w innej subskrypcji tego samego katalogu lub w innym katalogu, aby zapewnić maksymalną izolację.
• Upewnij się, że subskrypcje zawierające magazyn usługi Recovery Services, a także usługa Resource Guard (w różnych subskrypcjach lub dzierżawach) są zarejestrowane do korzystania z dostawcy Microsoft.RecoveryServices . Aby uzyskać więcej informacji, zobacz Dostawcy zasobów i typy platformy Azure.

Sejf kopii zapasowych

• Upewnij się, że funkcja Resource Guard i magazyn kopii zapasowych znajdują się w tym samym regionie świadczenia usługi Azure.
• Upewnij się, że administrator kopii zapasowej nie ma uprawnień współautora w funkcji Resource Guard. Możesz wybrać usługę Resource Guard w innej subskrypcji tego samego katalogu lub w innym katalogu, aby zapewnić maksymalną izolację.
• Upewnij się, że subskrypcje zawierają magazyn kopii zapasowych oraz ochronę zasobów Resource Guard (w różnych subskrypcjach lub dzierżawach) są zarejestrowane do użycia dostawcy — Microsoft.DataProtection4. Aby uzyskać więcej informacji, zobacz Dostawcy zasobów i typy platformy Azure.

Dowiedz się więcej o różnych scenariuszach użycia MUA.

Utwórz Resource Guard

Administrator zabezpieczeń tworzy funkcję Resource Guard. Zalecamy utworzenie jej w innej subskrypcji lub innej dzierżawie jako magazynu. Jednak powinien znajdować się w tym samym regionie co magazyn.

Uwaga

Administrator kopii zapasowej nie może mieć dostępu współautora do Resource Guard lub subskrypcji, która go zawiera.

Wybierz magazyn

Magazyn systemu Recovery Services

Aby utworzyć funkcję Resource Guard w dzierżawie innej niż dzierżawa magazynu jako administrator zabezpieczeń, wykonaj następujące kroki:

1. W witrynie Azure Portal przejdź do katalogu, w którym chcesz utworzyć usługę Resource Guard.

2. Wyszukaj pozycję Resource Guards na pasku wyszukiwania i wybierz odpowiedni element z listy rozwijanej.

   1. Wybierz pozycję Utwórz , aby rozpocząć tworzenie funkcji Resource Guard.
   2. W bloku Tworzenie wypełnij wymagane szczegóły dla tej funkcji Resource Guard.
      • Upewnij się, że Resource Guard znajduje się w tych samych regionach systemu Azure, co magazyn usługi Recovery Services.
      • Warto również dodać opis sposobów uzyskiwania lub żądania dostępu do wykonywania czynności w skojarzonych magazynach w razie konieczności. Ten opis będzie również wyświetlany w skojarzonych sejfach, aby poprowadzić administratora kopii zapasowej w celu uzyskania wymaganych uprawnień. W razie potrzeby możesz edytować opis później, ale zaleca się posiadanie dobrze zdefiniowanego opisu.

3. Na karcie Chronione operacje wybierz operacje, które chcesz chronić przy użyciu tej funkcji ochrony zasobów.

   Możesz również wybrać operacje, które mają być chronione po utworzeniu funkcji Resource Guard.

4. Opcjonalnie dodaj tagi do funkcji Resource Guard zgodnie z wymaganiami

5. Wybierz Przejrzyj i utwórz, a następnie postępuj zgodnie z powiadomieniami na temat statusu oraz pomyślnego utworzenia zasobu Resource Guard.

Sejf kopii zapasowych

Aby utworzyć funkcję Resource Guard w dzierżawie innej niż dzierżawa magazynu jako administrator zabezpieczeń, wykonaj następujące kroki:

1. W witrynie Azure Portal przejdź do katalogu, w którym chcesz utworzyć usługę Resource Guard.

2. Wyszukaj pozycję Resource Guards na pasku wyszukiwania i wybierz odpowiedni element z listy rozwijanej.

   1. Wybierz Utwórz, aby utworzyć Strażnik zasobów.
   2. W bloku Tworzenie wypełnij wymagane szczegóły dla tej funkcji Resource Guard.
      • Upewnij się, że Resource Guard znajduje się w tych samych regionach świadczenia usługi Azure co magazyn usługi Backup.
      • Dodaj opis, jak zażądać dostępu do wykonywania działań w skojarzonych sejfach, jeśli zajdzie taka potrzeba. Ten opis jest wyświetlany w skojarzonych magazynach, aby poinstruować administratora kopii zapasowej w zakresie uzyskania wymaganych uprawnień.

3. Na karcie Chronione operacje wybierz operacje, które należy chronić za pomocą tego strażnika zasobów w zakładce Magazyn kopiowania zapasowego.

   Obecnie karta Chronione operacje zawiera tylko opcję Usuń wystąpienie kopii zapasowej, którą można wyłączyć.

   Możesz również wybrać operacje ochrony po utworzeniu funkcji Resource Guard.

4. Opcjonalnie dodaj tagi do funkcji Resource Guard zgodnie z wymaganiami.

5. Wybierz pozycję Przejrzyj i utwórz , a następnie postępuj zgodnie z powiadomieniami, aby monitorować stan i pomyślne utworzenie funkcji Resource Guard.

Wybieranie operacji do ochrony przy użyciu funkcji Resource Guard

Po utworzeniu magazynu administrator zabezpieczeń może również wybrać operacje ochrony, korzystając z Resource Guard, spośród wszystkich obsługiwanych operacji krytycznych. Domyślnie wszystkie obsługiwane operacje krytyczne są włączone. Jednak administrator zabezpieczeń może wykluczyć niektóre operacje z stosowania funkcji MUA przy użyciu funkcji Resource Guard.

Wybierz magazyn

Magazyn systemu Recovery Services

Aby wybrać operacje ochrony, wykonaj następujące kroki:

1. W utworzonym powyżej Resource Guard przejdź do Właściwości> i karty Magazyn usługi Recovery Services.

2. Wybierz pozycję Wyłącz dla operacji, które chcesz wykluczyć z autoryzacji przy użyciu funkcji Resource Guard.

   Uwaga

   Nie można wyłączyć operacji Wyłącz usuwanie nietrwałe i usuwanie ochrony MUA .

3. Opcjonalnie możesz również zaktualizować opis funkcji Resource Guard przy użyciu tego bloku.

4. Wybierz Zapisz.

Sejf kopii zapasowych

Aby wybrać operacje ochrony, wykonaj następujące kroki:

1. W utworzonej funkcji Resource Guard przejdź do karty Właściwości>Magazyn kopii zapasowych.

2. Wybierz pozycję Wyłącz dla operacji, które chcesz wykluczyć z autoryzacji.

   Nie można wyłączyć operacji Usuń ochronę MUA i operacji Wyłącz usuwanie nietrwałe.

3. Opcjonalnie na karcie Magazyny kopii zapasowych zaktualizuj opis funkcji Resource Guard.

4. Wybierz Zapisz.

Przypisywanie uprawnień do administratora kopii zapasowej w funkcji Resource Guard w celu włączenia usługi MUA

Administrator kopii zapasowej musi mieć rolę Czytelnik w funkcji Resource Guard lub subskrypcji zawierającej funkcję Resource Guard, aby włączyć usługę MUA w magazynie. Administrator zabezpieczeń musi przypisać tę rolę administratorowi kopii zapasowej.

Wybierz magazyn

Magazyn systemu Recovery Services

Aby przypisać rolę Czytelnik w Resource Guard, wykonaj następujące kroki:

1. W utworzonej powyżej funkcji Resource Guard przejdź do bloku Kontrola dostępu (Zarządzanie dostępem i tożsamościami), a następnie przejdź do pozycji Dodaj przypisanie roli.
2. Wybierz pozycję Czytelnik z listy wbudowanych ról i wybierz pozycję Dalej.
3. Kliknij pozycję Wybierz członków i dodaj identyfikator e-mail administratora kopii zapasowej, aby dodać je jako czytelnika. Ponieważ w tym przypadku administrator kopii zapasowej znajduje się w innej dzierżawie, zostaną dodani jako goście do dzierżawy zawierającej funkcję „Resource Guard.”
4. Kliknij Wybierz, a następnie przejdź do Przegląd + przypisz, aby ukończyć przypisanie roli.

Sejf kopii zapasowych

Aby przypisać rolę Czytelnik w Resource Guard, wykonaj następujące kroki:

1. W utworzonym powyżej zasobie Resource Guard przejdź do zakładki Kontrola dostępu (IAM), a następnie przejdź do Dodaj przypisanie roli.

2. Wybierz pozycję Czytelnik z listy wbudowanych ról i wybierz pozycję Dalej.

3. Kliknij Wybierz członków i dodaj adres e-mail administratora kopii zapasowej, aby przypisać rolę Czytelnik.

   Ponieważ administratorzy kopii zapasowych znajdują się w innej dzierżawie, zostaną dodani jako goście do dzierżawy zawierającej funkcję Resource Guard.

4. Kliknij Wybierz>Przejrzyj i przypisz, aby ukończyć przypisanie roli.

Włącz MUA w skarbcu

Gdy administrator kopii zapasowej ma rolę Czytelnik w funkcji Resource Guard, może włączyć autoryzację dla wielu użytkowników w magazynach zarządzanych przez następujące kroki:

Wybierz magazyn

Magazyn systemu Recovery Services

1. Przejdź do skrytki Recovery Services.

2. Przejdź do pozycji Właściwości>Autoryzacja dla wielu użytkowników, a następnie wybierz pozycję Aktualizuj.

3. Teraz zostanie wyświetlona opcja włączenia funkcji MUA i wybrania funkcji Resource Guard przy użyciu jednego z następujących sposobów:

   1. Możesz określić identyfikator URI usługi Resource Guard. Upewnij się, że określasz identyfikator URI usługi Resource Guard, do której masz dostęp jako Czytelnik i która znajduje się w tym samym regionie co magazyn. Identyfikator URI (identyfikator zasobu Resource Guard) można znaleźć na ekranie Przegląd :

   2. Możesz też wybrać pozycję Resource Guard z listy Resource Guards, do których masz dostęp jako Czytelnik, oraz tych dostępnych w regionie.

      1. Kliknij Wybierz Resource Guard
      2. Wybierz listę rozwijaną i wybierz katalog, w ramach których znajduje się funkcja Resource Guard.
      3. Wybierz pozycję Uwierzytelnij, aby zweryfikować tożsamość i dostęp.
      4. Po uwierzytelnieniu wybierz pozycję Resource Guard z wyświetlonej listy.

4. Wybierz pozycję Zapisz , aby włączyć usługę MUA.

Sejf kopii zapasowych

1. Przejdź do magazynu kopii zapasowych, dla którego chcesz skonfigurować usługę MUA.

2. Na panelu po lewej stronie wybierz pozycję Właściwości.

3. Przejdź do pozycji Autoryzacja wielu użytkowników i wybierz pozycję Aktualizuj.

4. Aby włączyć usługę MUA i wybrać funkcję Resource Guard, wykonaj jedną z następujących akcji:

   • Możesz albo określić URI Resource Guard. Upewnij się, że określono identyfikator URI usługi Resource Guard, do której masz dostęp jako Czytelnik i znajduje się ona w tym samym regionie, co magazyn. Identyfikator URI (identyfikator Resource Guard) można znaleźć na jego stronie Przegląd.

   • Możesz też wybrać pozycję Resource Guard z listy funkcji Resource Guard, do których masz dostęp Czytelnik , oraz tych dostępnych w regionie.

     1. Kliknij Wybierz Resource Guard.
     2. Wybierz z listy rozwijanej katalog, w którym znajduje się funkcja Resource Guard.
     3. Wybierz pozycję Uwierzytelnij, aby zweryfikować tożsamość i dostęp.
     4. Po uwierzytelnieniu wybierz pozycję Resource Guard z wyświetlonej listy.

5. Wybierz pozycję Zapisz , aby włączyć usługę MUA.

Następne kroki

• Operacje chronione przy użyciu usługi MUA
• Autoryzowanie krytycznych (chronionych) operacji przy użyciu usługi Microsoft Entra Privileged Identity Management
• Wykonywanie chronionej operacji po zatwierdzeniu
• Wyłącz usługę MUA w magazynie usługi Recovery Services lub magazynie usługi Backup.