Configurar tabelas protegidas em logs de Azure Monitor (versão prévia)

Este artigo mostra como definir o nível de proteção de uma tabela, conceder acesso a usuários autorizados e verificar se a configuração funciona conforme o esperado. As tabelas protegidas usam um modelo de "negar por padrão" para que funções de leitura padrão e personalizadas não privilegiadas não possam acessar dados confidenciais até que você conceda permissão explicitamente por meio de condições ABAC.

Pré-requisitos

Requirement	Detalhes
Assinatura do Azure	Uma assinatura ativa do Azure com um espaço de trabalho do Log Analytics.
Permissões	Função Proprietário ou Colaborador do Log Analytics no espaço de trabalho. Você precisa da ação Microsoft.OperationalInsights/workspaces/tables/protectionLevel/write para mudar o nível de proteção de uma tabela.
Familiaridade com RBAC e ABAC	Compreensão de Azure RBAC e condições de ABAC. Para obter informações sobre o ABAC em Log Analytics, consulte RBAC granular em Azure Monitor.

Definir o nível de proteção de uma tabela

Definir o nível de proteção de uma tabela como Protected impede imediatamente que funções de leitura padrão e funções personalizadas sem privilégios acessem os dados nessa tabela. Conclua estas etapas para cada tabela que contém telemetria confidencial.

Portal do Azure

1. No portal Azure, vá para Log Analytics workspaces e selecione seu workspace.
2. Em Configurações, selecione Tabelas.
3. Localize a tabela que você deseja proteger e selecione o menu de reticências (...).
4. Selecione Gerenciar tabela.
5. Em Nível de Proteção, selecione Protegido.
6. Selecione Salvar.

CLI do Azure

Use o comando a seguir para definir o nível Protected de proteção de uma tabela usando a CLI.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
workspaceName="myWorkspaceName"
tableName="myTableName"

# Build request URL
apiEndpoint="https://management.azure.com"
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName/tables/$tableName"
url="$apiEndpoint$path/providers/$provider?api-version=2025-02-01"

az rest --method patch --url "$url" \
  --body '{"properties": {"protectionLevel": "Protected"}}'

REST API

Para atualizar o nível de proteção da tabela, use essa PATCH solicitação para a operação Tabelas – Atualização . Use o mais recente apiVersion documentado ali.

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
  "properties": {
    "protectionLevel": "Protected"
  }
}

Uma resposta bem-sucedida retorna a definição da tabela com protectionLevel definido como Protected:

{
  "properties": {
    "protectionLevel": "Protected",
    "schema": { ... },
    "retentionInDays": 30
  }
}

Conceder acesso a tabelas protegidas

Depois de proteger uma tabela, você deve conceder explicitamente acesso aos usuários que precisam dos dados. Use a função interna de Leitor de Dados de Monitoramento Privilegiado para acesso amplo ou crie funções personalizadas com protectionLevel condições ABAC para acesso mais direcionado.

Atribuir a função de Leitor de Dados de Monitoramento Privilegiado

A função interna Leitor de Dados de Monitoramento Privilegiado concede acesso de leitura a todas as tabelas protegidas no escopo atribuído.

O portal do Azure não oferece suporte para adicionar condições ABAC a funções integradas. Essa restrição é uma proteção de UX para evitar erros do usuário. Para adicionar condições personalizadas a essa função, use modelos do ARM, a API REST ou outros métodos programáticos.

Portal do Azure

1. No portal Azure, vá para o escopo em que você deseja atribuir a função (assinatura, grupo de recursos, workspace ou qualquer recurso de Azure com suporte).
2. Selecione Controle de acesso (IAM)>Adicionar>Adicionar atribuição de função.
3. Na guia Função , pesquise o Leitor de Dados de Monitoramento Privilegiado e selecione-o.
4. Na guia Membros , selecione o usuário, o grupo ou a identidade gerenciada.
5. Selecione Examinar + atribuir.

CLI do Azure

Use o comando a seguir para atribuir a função leitor de dados de monitoramento privilegiado usando a CLI.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
workspaceName="myWorkspaceName"
assigneeObjectId="myAssigneeObjectId"

scope="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
scope+="/providers/Microsoft.OperationalInsights/workspaces/$workspaceName"

az role assignment create \
  --assignee "$assigneeObjectId" \
  --role "Privileged Monitoring Data Reader" \
  --scope "$scope"

Conceder acesso somente a tabelas protegidas específicas

Se você precisar limitar o acesso a tabelas protegidas individuais em vez de todas elas, crie uma atribuição de função personalizada com condições ABAC que filtram o nome da tabela e o nível de proteção.

1. Crie ou selecione uma função personalizada com base no método de acesso que você deseja usar.

   • O DataActions necessário para acesso centrado no espaço de trabalho: Microsoft.OperationalInsights/workspaces/tables/data/read
   • O DataActions necessário para acesso com foco em recursos: Microsoft.Insights/logs/data/read

2. Ao criar a atribuição de função, adicione uma condição com duas expressões unidas por AND:

   Expression	Attribute	Operador	Valor
   1	Microsoft.OperationalInsights/workspaces/tables:name	StringEquals	O nome da tabela específico (por exemplo, AppTraces)
   2	Microsoft.OperationalInsights/workspaces/tables:protectionLevel	StringEquals	Protected

   A condição no formato ABAC tem esta aparência:

   (
     (
       !(ActionMatches{'Microsoft.OperationalInsights/workspaces/tables/data/read'})
     )
     OR
     (
       @Resource[Microsoft.OperationalInsights/workspaces/tables:name] StringEquals 'AppTraces'
       AND
       @Resource[Microsoft.OperationalInsights/workspaces/tables:protectionLevel] StringEquals 'Protected'
     )
   )
   

   Ajuste o nome da tabela e o operador conforme necessário. Para acessar várias tabelas, use ForAllOfAnyValues:StringEquals com uma lista de nomes de tabela. Para obter mais detalhes sobre a sintaxe da expressão, consulte RBAC granular em Azure Monitor.

Conceder acesso com limite de tempo com PIM

Use Microsoft Entra Privileged Identity Management (PIM) para conceder acesso sob demanda e por tempo limitado às tabelas protegidas.

1. No PIM, crie uma atribuição qualificada para a função Leitor de Dados de Monitoramento Privilegiado (ou sua função personalizada) no escopo desejado.
2. Defina a duração máxima da ativação de acordo com a política da sua organização.
3. Quando os usuários precisam de acesso, eles ativam a função no PIM. O acesso é revogado automaticamente quando a janela de ativação expira.

Esse padrão funciona bem para cenários de resposta a incidentes e suporte em que os engenheiros precisam de acesso temporário a logs confidenciais.

Habilitar o modo DataActionsOnly

Por padrão, algumas funções baseadas em ações do painel de controle, como Leitor e Leitor de Monitoramento, fornecem acesso implícito de leitura aos dados de log. DataActionsOnly O modo remove esse caminho de acesso para que apenas DataActions governe o acesso a dados.

Portal do Azure

1. No portal Azure, vá para Log Analytics workspaces e selecione seu workspace.
2. Em Configurações, selecione Propriedades.
3. No modo de autorização de dados, selecione somente ações de dados.

CLI do Azure

Use o comando a seguir para habilitar o modo DataActionsOnly por meio da CLI.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
workspaceName="myWorkspaceName"

# Build request URL
apiEndpoint="https://management.azure.com"
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$apiEndpoint$path/providers/$provider?api-version=2025-02-01"

az rest --method patch --url "$url" \
  --body '{"properties": {"features": {"dataAuthorizationMode": "DataActionsOnly"}}}'

REST API

Para habilitar o modo DataActionsOnly, use esta PATCH solicitação da operação Espaços de trabalho - Atualizar. Use o mais recente apiVersion documentado ali.

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
  "properties": {
    "features": {
      "dataAuthorizationMode": "DataActionsOnly"
    }
  }
}

Depois de habilitar o modo DataActionsOnly, verifique se os usuários que anteriormente dependiam de funções do plano de controle para acessar logs agora recebem atribuições de função apropriadas com base em DataActions.

Verificar sua configuração

Execute essas verificações para confirmar se as concessões de proteção e acesso estão funcionando corretamente.

Confirme se usuários não privilegiados não veem dados

1. Entre como um usuário que tenha a função Leitor do Log Analytics, mas não tem a função Leitor de Dados de Monitoramento Privilegiado ou uma função personalizada com uma condição protectionLevel.

2. Abra o workspace no portal Azure e acesse Logs.

3. Execute uma consulta na tabela protegida.

   ProtectedTableName
   | take 10
   

4. Confirme se a consulta é bem-sucedida, mas retorna zero linhas.

Confirme se os usuários privilegiados veem dados

1. Entre como um usuário que tenha a função Leitor de Dados de Monitoramento Privilegiado ou uma função personalizada apropriada com condições ABAC.
2. Execute a mesma consulta.
3. Confirme se a consulta retorna linhas de dados.

Verificar se há alterações de configuração no Log de Atividades

Abra o Log de Atividades para o workspace e filtre pelo nome da operação Atualizar Tabela. Procure por entradas que mostrem mudanças na propriedade protectionLevel. Essas entradas confirmam quando e por quem as tabelas foram protegidas.

Conteúdo relacionado

• Gerenciar acesso aos workspaces do Log Analytics
• RBAC granular no Azure Monitor
• Gerenciar o acesso em nível de tabela em um espaço de trabalho do Log Analytics