Sobre a autorização de vários usuários por meio do Resource Guard
A MUA (Autorização de vários usuários) para o Backup do Azure permite que você adicione uma camada extra de proteção às operações críticas nos seus cofres dos Serviços de Recuperação e dos cofres do Backup. Para a MUA, o Backup do Azure usa outro recurso do Azure chamado Proteção de Recursos a fim de garantir que as operações críticas serão executadas somente com a autorização pertinente.
Observação
A autorização de vários usuários com o Resource Guard para cofre do Backup já está em disponibilidade geral.
Como funciona a MUA para o Backup?
O Backup do Azure usa o Resource Guard como um mecanismo de autorização adicional para um cofre dos Serviços de Recuperação ou um cofre do Backup. Portanto, para executar uma operação crítica (descrita abaixo) com êxito, você também precisa ter permissões suficientes na Proteção de Recursos associada.
Importante
Para funcionar conforme o esperado, a Proteção de Recursos precisa pertencer a um usuário diferente e o administrador do cofre não pode ter permissões de Colaborador. Você pode colocar o Resource Guard em uma assinatura ou em um locatário diferente do que contém os cofres para oferecer melhor proteção.
Operações críticas
A tabela a seguir lista as operações definidas como críticas e que podem ser protegidas por uma Proteção de Recursos. Você pode optar por excluir determinadas operações da Proteção de Recursos quando associa cofres a ela.
Observação
Não é possível excluir as operações indicadas como Obrigatórias da proteção do Resource Guard nos cofres associados a ele. Além disso, as operações críticas excluídas se aplicariam a todos os cofres associados a uma Proteção de Recursos.
Escolher um cofre
| Operação | Obrigatório/Opcional |
|---|---|
| Desabilitar exclusão reversível | Obrigatório |
| Desabilitar a proteção de MUA | Obrigatório |
| Modificar a política de backup (retenção reduzida) | Opcional |
| Modificar a proteção (retenção reduzida) | Opcional |
| Interrompa a proteção com exclusão de dados | Opcional |
| Alterar o PIN de segurança do MARS | Opcional |
Conceitos e processo
Os conceitos e os processos envolvidos no uso da MUA para o Backup do Azure são explicados abaixo.
Acompanhe os dois usuários abaixo para entender de forma clara o processo e as responsabilidades. As duas funções serão mencionadas ao longo deste artigo.
Administrador de backup: proprietário do cofre dos Serviços de Recuperação que executa operações de gerenciamento no cofre. Para começar, o administrador do Backup não deve ter permissões na Proteção de Recursos.
Administrador da Segurança: proprietário da Proteção de Recursos que serve como o gatekeeper de operações críticas no cofre. Portanto, o administrador da Segurança controla as permissões de que o administrador do Backup precisa para executar operações críticas no cofre.
A seguir está uma representação diagramática da execução de uma operação crítica em um cofre que tem a MUA configurada por meio de uma Proteção de Recursos.
Este é o fluxo de eventos em um cenário típico:
O Administrador de backup cria o cofre dos Serviços de Recuperação ou o cofre do Backup.
O administrador da Segurança cria a Proteção de Recursos. O Resource Guard pode estar em uma assinatura ou em um locatário diferente em relação ao cofre. É necessário ter certeza de que o Administrador de backup não tem permissões de Colaborador no Resource Guard.
O administrador da Segurança concede a função Leitor ao Administrador do Backup para a Proteção de Recursos (ou um escopo relevante). O administrador do Backup requer a função de leitor para habilitar a MUA no cofre.
O Administrador de backup agora configura o cofre para ser protegido pela MUA por meio do Resource Guard.
Agora, se o administrador do Backup quiser executar uma operação crítica no cofre, ele precisará solicitar acesso à Proteção de Recursos. O administrador do Backup pode entrar em contato com o administrador da Segurança para obter detalhes sobre como obter acesso a fim de realizar essas operações. Ele pode fazer isso usando PIM (Privileged Identity Management) ou outros processos de acordo com a organização.
O administrador da Segurança concede temporariamente a função Colaborador na Proteção de Recursos ao administrador do Backup para executar operações críticas.
Agora, o administrador do Backup inicia a operação crítica.
O Azure Resource Manager verifica se o administrador do Backup tem permissões suficientes ou não. Como o administrador do Backup agora tem a função Colaborador na Proteção de Recursos, a solicitação é concluída.
Se o Administrador de backup não tiver as permissões/as funções necessárias, a solicitação falhará.
O administrador da Segurança faz com que os privilégios para realizar operações críticas sejam revogados depois que as ações autorizadas são executadas ou após um período definido. Usar ferramentas JIT do Microsoft Entra Privileged Identity Management pode ser útil para garantir isso.
Observação
A MUA fornece proteção apenas para as operações listadas acima executadas nos backups com cofre. As operações executadas diretamente na fonte de dados (ou seja, a carga de trabalho/o recurso do Azure que está protegido) não estão no escopo do Resource Guard.
Cenários de uso
A tabela a seguir lista os cenários para a criação do Resource Guard e os cofres (cofre dos Serviços de Recuperação e cofre do Backup), acompanhados da proteção relativa oferecida por eles.
Importante
O administrador do Backup não pode ter permissões de Colaborador para a Proteção de Recursos em nenhum cenário.
| Cenário de uso | Proteção devido à MUA | Facilidade de implementação | Observações |
|---|---|---|---|
| O cofre e o Resource Guard estão na mesma assinatura. O Administrador de backup não tem acesso ao Resource Guard. |
Isolamento mínimo entre o administrador do Backup e o administrador da Segurança. | Relativamente fácil de implementar, pois apenas uma assinatura é necessária. | As permissões/funções no nível do recurso precisam ser atribuídas corretamente. |
| O cofre e o Resource Guard estão em assinaturas diferentes, mas no mesmo locatário. O Administrador de backup não tem acesso ao Resource Guard nem à assinatura correspondente. |
Isolamento médio entre o administrador do Backup e o administrador da Segurança. | Facilidade relativamente média de implementação, pois duas assinaturas (mas um único locatário) são necessárias. | Verifique se as permissões/funções estão atribuídas corretamente ao recurso ou à assinatura. |
| O cofre e o Resource Guard estão em locatários diferentes. O Administrador de backup não tem acesso ao Resource Guard, à assinatura correspondente ou ao locatário correspondente. |
Isolamento máximo entre o administrador do Backup e o administrador da Segurança, ou seja, segurança máxima. | Relativamente difícil de testar, pois requer dois locatários ou diretórios para teste. | Verifique se as permissões/funções estão atribuídas corretamente ao recurso, à assinatura ou ao diretório. |
Próximas etapas
Configurar a Autorização de vários usuários usando o Resource Guard.