Compartilhar via

Sobre a autorização de vários usuários por meio do Resource Guard

  • Artigo

A MUA (Autorização de vários usuários) para o Backup do Azure permite que você adicione uma camada extra de proteção às operações críticas nos seus cofres dos Serviços de Recuperação e dos cofres do Backup. Para a MUA, o Backup do Azure usa outro recurso do Azure chamado Proteção de Recursos a fim de garantir que as operações críticas serão executadas somente com a autorização pertinente.

Observação

A autorização de vários usuários com o Resource Guard para cofre do Backup já está em disponibilidade geral.

Como funciona a MUA para o Backup?

O Backup do Azure usa o Resource Guard como um mecanismo de autorização adicional para um cofre dos Serviços de Recuperação ou um cofre do Backup. Portanto, para executar uma operação crítica (descrita abaixo) com êxito, você também precisa ter permissões suficientes na Proteção de Recursos associada.

Importante

Para funcionar conforme o esperado, a Proteção de Recursos deve pertencer a um usuário diferente e o administrador do cofre não deve ter permissões de Colaborador, Administrador da MUA de backup ou Operador da MUA de backup na Proteção de Recursos. Você pode colocar o Resource Guard em uma assinatura ou em um locatário diferente do que contém os cofres para oferecer melhor proteção.

Operações críticas

A tabela a seguir lista as operações definidas como críticas e que podem ser protegidas por uma Proteção de Recursos. Você pode optar por excluir determinadas operações da Proteção de Recursos quando associa cofres a ela.

Observação

Não é possível excluir as operações indicadas como Obrigatórias da proteção do Resource Guard nos cofres associados a ele. Além disso, as operações críticas excluídas se aplicariam a todos os cofres associados a uma Proteção de Recursos.

Escolher um cofre

Operação Obrigatório/Opcional Descrição
Desabilitar os recursos de segurança ou exclusão temporária Obrigatório Desabilite a configuração de exclusão temporária em um cofre.
Remover a proteção da MUA Obrigatório Desabilite a proteção da MUA em um cofre.
Excluir proteção Opcional Exclua a proteção interrompendo backups e executando dados de exclusão.
Modificar a proteção Opcional Adicione uma nova política de backup com retenção reduzida ou frequência de política de alteração para aumentar o RPO.
Modificar a política Opcional Modifique a política de backup para reduzir a retenção ou alterar a frequência da política para aumentar o RPO.
Obter o PIN de segurança de backup Opcional Alterar o PIN de segurança do MARS.
Parar backup e reter dados Opcional Exclua a proteção interrompendo backups e executando a retenção de dados indefinidamente ou mantenha de acordo com a política.
Desabilitar a imutabilidade Opcional Desabilite a configuração de imutabilidade em um cofre.

Conceitos e processo

Os conceitos e os processos envolvidos no uso da MUA para o Backup do Azure são explicados abaixo.

Acompanhe as duas personas a seguir para entender de forma clara o processo e as responsabilidades. As duas personas serão mencionadas ao longo deste artigo.

Administrador de backup: proprietário do cofre dos Serviços de Recuperação que executa operações de gerenciamento no cofre. Para começar, o administrador do Backup não deve ter permissões na Proteção de Recursos. Pode ser a função RBAC do Operador de Backup ou Colaborador de Backup no cofre dos Serviços de Recuperação.

Administrador da Segurança: proprietário da Proteção de Recursos que serve como o gatekeeper de operações críticas no cofre. Portanto, o administrador da Segurança controla as permissões de que o administrador do Backup precisa para executar operações críticas no cofre. Esta pode ser a função RBAC de Administrador da MUA de Backup na Proteção de Recursos.

A seguir está uma representação diagramática da execução de uma operação crítica em um cofre que tem a MUA configurada por meio de uma Proteção de Recursos.

Representação diagramática da configuração da MUA por meio de uma Proteção de Recursos.

Este é o fluxo de eventos em um cenário típico:

  1. O Administrador de backup cria o cofre dos Serviços de Recuperação ou o cofre do Backup.

  2. O administrador da Segurança cria a Proteção de Recursos.

    O Resource Guard pode estar em uma assinatura ou em um locatário diferente em relação ao cofre. Verifique se o Administrador de backup não tem permissões de Colaborador, Administrador da MUA de backup ou Operador da MUA de backup na Proteção de Recursos.

  3. O administrador da Segurança concede a função Leitor ao Administrador do Backup para a Proteção de Recursos (ou um escopo relevante). O administrador do Backup requer a função de leitor para habilitar a MUA no cofre.

  4. O Administrador de backup agora configura o cofre para ser protegido pela MUA por meio do Resource Guard.

  5. Agora, caso o Administrador de backup ou qualquer usuário que tenha acesso de gravação ao cofre queira executar uma operação crítica protegida com a Proteção de Recursos no cofre, ele precisará solicitar acesso à Proteção de Recursos. O Administrador de Backup pode entrar em contato com o Administrador da segurança para obter detalhes sobre como obter acesso a fim de realizar essas operações. Ele pode fazer isso usando PIM (Privileged Identity Management) ou outros processos de acordo com a organização. Eles podem solicitar a função RBAC de “Operador da MUA de Backup”, que permite aos usuários executar somente operações críticas protegidas pela Proteção de Recursos e não permite excluí-la.

  6. O administrador da Segurança concede temporariamente a função de “Operador da MUA de Backup” na Proteção de Recursos ao Administrador de backup para executar operações críticas.

  7. Em seguida, o Administrador de backup inicia a operação crítica.

  8. O Azure Resource Manager verifica se o administrador do Backup tem permissões suficientes ou não. Como o Administrador de backup agora tem a função de “Operador da MUA de Backup” na Proteção de Recursos, a solicitação é concluída. Se o Administrador de backup não tiver as permissões/funções necessárias, a solicitação falhará.

  9. O Administrador da segurança deve garantir a revogação dos privilégios para realizar operações críticas depois que as ações autorizadas são executadas ou após um período definido. Use as ferramentas do JIT do Microsoft Entra Privileged Identity Management para garantir o mesmo.

Observação

  • Caso conceda temporariamente a função de Administrador da MUA de backup ou Colaborador no acesso à Proteção de Recursos ao Administrador de Backup, ele também fornecerá as permissões de exclusão na Proteção de Recursos. É recomendável fornecer somente permissões de Operador da MUA de Backup.
  • A MUA fornece proteção apenas para as operações listadas acima executadas nos backups com cofre. As operações executadas diretamente na fonte de dados (ou seja, a carga de trabalho/o recurso do Azure que está protegido) não estão no escopo do Resource Guard.

Cenários de uso

A tabela a seguir lista os cenários para a criação do Resource Guard e os cofres (cofre dos Serviços de Recuperação e cofre do Backup), acompanhados da proteção relativa oferecida por eles.

Importante

O Administrador de backup não deve ter permissões de Colaborador, Administrador da MUA de backup ou Operador da MUA de backup para a Proteção de Recursos em qualquer cenário, pois isso substitui a adição de proteção da MUA no cofre.

Cenário de uso Proteção devido à MUA Facilidade de implementação Observações
O cofre e o Resource Guard estão na mesma assinatura.
O Administrador de backup não tem acesso ao Resource Guard.		 Isolamento mínimo entre o administrador do Backup e o administrador da Segurança. Relativamente fácil de implementar, pois apenas uma assinatura é necessária. As permissões/funções no nível do recurso precisam ser atribuídas corretamente.
O cofre e o Resource Guard estão em assinaturas diferentes, mas no mesmo locatário.
O Administrador de backup não tem acesso ao Resource Guard nem à assinatura correspondente.		 Isolamento médio entre o administrador do Backup e o administrador da Segurança. Facilidade relativamente média de implementação, pois duas assinaturas (mas um único locatário) são necessárias. Verifique se as permissões/funções estão atribuídas corretamente ao recurso ou à assinatura.
O cofre e o Resource Guard estão em locatários diferentes.
O Administrador de backup não tem acesso ao Resource Guard, à assinatura correspondente ou ao locatário correspondente.		 Isolamento máximo entre o administrador do Backup e o administrador da Segurança, ou seja, segurança máxima. Relativamente difícil de testar, pois requer dois locatários ou diretórios para teste. Verifique se as permissões/funções estão atribuídas corretamente ao recurso, à assinatura ou ao diretório.

Próximas etapas

Configurar a Autorização de vários usuários usando o Resource Guard.