Modo de manutenção

O modo de manutenção é um recurso que permite que os proprietários da comunidade ou do enclave coloquem temporariamente sua comunidade ou enclaves em um estado de "modo de manutenção" em que as alterações são permitidas. Esse modo permite que usuários privilegiados façam determinadas alterações nos recursos gerenciados subjacentes que normalmente são protegidos por Atribuições de Negação. Isso ajuda a manter o isolamento e o limite de rede da comunidade e do enclave.

Opções de modo de manutenção

  • Off - As atribuições de bloqueio criadas pelo Azure Enclave são aplicadas diretamente para proteger os grupos de recursos gerenciados subjacentes de um enclave ou comunidade.
  • General- A Allow Dataplane Actions atribuição de negação criada por Azure permite que usuários privilegiados modifiquem determinados recursos existentes apenas nos recursos gerenciados subjacentes. Para um enclave, essas operações incluem recursos que ingressam na rede virtual do enclave e criam registros de zona DNS privado. Para uma comunidade, essas operações incluem fazer alterações nos recursos de WAN Virtual. Por padrão, comunidades e enclaves são implantados no modo Off, mas escolha o modo General durante a criação e forneça as identidades apropriadas do Microsoft Entra ID para permitir alterações nos recursos protegidos.
  • Advanced- A atribuição de negação criada pelo Azure é temporariamente removida para permitir que usuários privilegiados façam alterações elevadas nos recursos gerenciados subjacentes.

Opções de justificativa

  • Rede – Gerenciamento de alterações privilegiadas ou personalizadas em recursos gerenciados.
  • Governança - Gerenciamento do registro em log, de políticas ou de outras alterações relacionadas à governança.
  • Desativado – O modo de manutenção não é mais necessário.

Modo de Manutenção da Comunidade

O modo de manutenção da Comunidade é usado para proteger os recursos gerenciados que compõem a Comunidade, incluindo Azure vWAN, Firewall do Azure, Política de Firewall e o workspace do Log Analytics. As atribuições de negação são usadas para impedir ações não autorizadas sobre esses recursos. Quando o modo de manutenção está habilitado, os principais especificados recebem isenções das atribuições de negação para executar ações privilegiadas de RBAC.

Cenários do modo de manutenção da comunidade

Cenários comuns do Modo de manutenção da comunidade incluem:

  • Criar/modificar tabelas de rotas de hub virtual para dar suporte a configurações de rede complexas.
  • Criando/modificando hubs virtuais personalizados no vWAN da Comunidade
  • Criar/modificar regras de grupo de segurança de rede individuais necessárias para serviços Azure específicos
  • Criando recursos dentro do grupo de recursos gerenciados do Enclave para habilitar a rede privada (por exemplo, zonas de DNS privado, links privados etc.)

Comunidade – Modo de Manutenção Geral

Quando o General modo de manutenção estiver habilitado em um recurso **Community **, as entidades do modo de manutenção principals (por exemplo, usuários ou grupos) serão excluídas da atribuição de Deny All negação para o grupo de recursos gerenciado pela comunidade.

Isso permite que os usuários identificados nas identidades do modo de manutenção executem as ações que, de outra forma, seriam bloqueadas pela Deny All atribuição de negação. As Allow Dataplane Actions atribuições de negação ainda estão em vigor para todas as entidades de segurança (incluindo as entidades de segurança do modo de manutenção). Um usuário ainda pode ser limitado por suas funções atribuídas.

As permissões a seguir são permitidas no grupo de recursos gerenciado pela comunidade quando o modo de manutenção geral está habilitado.

Atribuição de Negação da Comunidade: Deny All

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitido Permitir ações de "leitura" em todos os recursos
Microsoft.Resources/tags/* NotAction Permitir ações relacionadas a "tags" em todos os recursos

Comunidade – Modo de Manutenção Avançada

As permissões a seguir são permitidas no grupo de recursos gerenciado pela comunidade quando o modo de manutenção avançado está habilitado.

Atribuição de Negação da Comunidade: Allow Dataplane Actions

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Resources/tags/* NotAction Permitir ações de "tags" em todos os recursos
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Permitir ações de "escrita" em networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Permitir ações de "escrita" em applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Permitir ações de "escrita" em natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Permitir ações de "escrita" em ruleGroups
Microsoft.Network/virtualHubs/write NotAction Permitir ações de "escrita" em virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Permitir ações de "leitura" em virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Permitir ações de "junção" em virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Permitir ações de "escrita" em tabelas de rotas do hub virtual

Modo de Manutenção do Enclave

O modo de Manutenção do Enclave é usado para proteger os recursos gerenciados que compõem o Enclave, incluindo rede virtual do Azure, grupos de segurança de rede e espaço de trabalho do Log Analytics. As atribuições de negação são usadas para impedir ações não autorizadas sobre esses recursos. Quando o modo de manutenção é habilitado, as entidades de segurança especificadas recebem exclusões das atribuições de negação para executar ações privilegiadas de RBAC sobre o grupo de recursos gerenciado do enclave.

Cenários do modo de manutenção do enclave

Cenários comuns para o uso do modo de manutenção do enclave incluem:

  • Executando operações de associação entre sub-rede e rede virtual durante as implantações de cargas de trabalho
  • Criar/modificar regras de grupo de segurança de rede individuais necessárias para serviços Azure específicos
  • Criando recursos dentro do grupo de recursos gerenciados do enclave para habilitar a rede privada (por exemplo, zonas DNS privado, links privados etc.)

Enclave – Modo de Manutenção Geral

Quando o General modo de manutenção estiver habilitado em um recurso de enclave, os principals do modo de manutenção (usuários, grupos ou entidades de serviço) serão excluídos da atribuição de Deny All negação para o grupo de recursos gerenciados do enclave. Isso permite que os usuários identificados nas identidades do modo de manutenção executem as ações que, de outra forma, seriam bloqueadas pela Deny All atribuição de negação. As Allow Dataplane Actions atribuições de negação ainda estão em vigor para todas as entidades de segurança (incluindo as entidades de segurança do modo de manutenção). Um usuário ainda pode ser limitado por suas funções atribuídas.

As permissões a seguir são permitidas no grupo de recursos gerenciado pelo enclave quando o modo de manutenção geral está habilitado.

Atribuição de negação de enclave: Deny All

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitir ações de "read" em todos os recursos
Microsoft.Resources/tags/* NotAction Permitir ações relacionadas a "tags" em todos os recursos

Enclave – Modo de Manutenção Avançada

As permissões a seguir são permitidas no grupo de recursos gerenciados pelo enclave quando o modo de manutenção avançado está habilitado.

Atribuição de negação de enclave: Allow Dataplane Actions

Operação Tipo de ação Explanation
* Ação Negar todas as ações, exceto especificadas nesta tabela
*/read NotAction Permitir ações de "read" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Resources/deployments/* NotAction Permitir todas as ações em "implantações"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Network/privateDnsZones/* NotAction Permitir todas as ações em "privateDnsZones"
Microsoft.Network/privateDnsOperationResults/* NotAction Permitir todas as ações em "privateDnsOperationResults"
Microsoft.Network/privateDnsOperationStatuses/* NotAction Permitir todas as ações em "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Permitir operações de vNet/junção pela vNet do enclave
Microsoft.Network/virtualNetworks/subnets/join/action NotAction Permitir operações de sub-rede/junção pela vNet do enclave
Microsoft.Authorization/policyExemptions/* NotAction Permitir todas as ações em "policyExemptions"
Microsoft.Network/routeTables/routes/write NotAction Permitir ações de "escrita" nas tabelas de rotas da Rede Virtual

Como usar o modo de manutenção

1. Ativar o modo de manutenção durante a criação da comunidade ou do enclave

  1. Navegue até a guia Modo de manutenção no formulário de criação da comunidade ou do enclave.
  2. Selecione a opção de modo [Off / General / Advanced].
  3. Selecione as entidades de serviço que você deseja incluir.
  4. Selecione a justificativa para o motivo pelo qual você está entrando no modo de manutenção [OFF / NETWORKING / GOVERNANCE].
  5. Revise e crie a comunidade ou o enclave como de costume.

2. Ativar o modo de manutenção para uma comunidade ou enclave existente

  1. Navegue até a comunidade ou enclave na qual você habilitará o modo de manutenção.
  2. Navegue até a guia "Modo de manutenção".
  3. Selecione a opção de modo [Advanced / General].
  4. Selecione as entidades de serviço que você deseja incluir.
  5. Selecione a justificativa para o motivo pelo qual você está entrando no modo de manutenção [NETWORKING / GOVERNANCE].
  6. Confirme e salve.

3. Executar tarefas de manutenção

  • Depois que o Modo de Manutenção for ativado, prossiga com suas tarefas de manutenção ou crie cargas de trabalho complexas conforme necessário.

4. Desativar o modo de manutenção

  1. Depois de concluir suas tarefas, navegue de volta para a guia Modo de Manutenção.
  2. Selecione o OFF modo.
  3. Confirme e salve.

Práticas recomendadas

  • Limitar o uso: verifique se o modo de manutenção está habilitado somente para usuários privilegiados confiáveis durante janelas de manutenção planejadas e certifique-se de manter a segurança e o isolamento dos recursos do Azure Enclave.
  • Entenda o impacto: os usuários privilegiados devem entender completamente as alterações que estão fazendo e as etapas para desfazer ou corrigir essas alterações. Fazer alterações manuais nos recursos gerenciados subjacentes de uma comunidade ou enclave quando estiver em modo de manutenção pode causar desvios não intencionais no seu ambiente em relação aos estados ideais.

Saiba mais

  • Last updated on