Escopo de isolamento para identidades gerenciadas atribuídas pelo usuário

Você pode definir o valor do escopo de isolamento da identidade gerenciada para None ou Regional.

• Nenhum (padrão): a identidade pode ser usada em todas as regiões
• Regional: A identidade só pode ser usada pelos recursos de origem na mesma região que a identidade gerenciada

Definir o escopo de isolamento para Regional garante que o uso da identidade gerenciada esteja rigorosamente definido e alinhado com seus limites operacionais e de segurança. O isolamento regional para identidades gerenciadas atribuídas pelo usuário ajuda a melhorar a segurança e a resiliência restringindo onde as identidades gerenciadas podem ser usadas.

Entender o isolamento regional

Quando você está trabalhando com identidades gerenciadas, há dois tipos de recursos:

• Recurso de origem: o recurso que tem a identidade gerenciada atribuída a ele
• Recurso de destino: o recurso que o recurso de origem acessa usando a identidade gerenciada

Por exemplo, se um Serviço de Aplicativo precisar acessar uma Conta de Armazenamento usando uma identidade gerenciada, o Serviço de Aplicativo será o recurso de origem e a Conta de Armazenamento será o recurso de destino.

O isolamento regional se aplica à relação entre a identidade gerenciada e o recurso de origem. Quando você habilita o escopo de isolamento regional:

• A identidade gerenciada só pode ser atribuída aos recursos de origem na mesma região.
• Os recursos de origem ainda podem acessar recursos de destino em outras regiões (com permissões de função adequadas). Por exemplo, uma identidade gerenciada atribuída a um recurso de origem no Oeste dos EUA pode ser usada para acessar recursos de destino no Centro da Espanha ou norte dos Emirados Árabes Unidos.

Benefícios do isolamento regional

O isolamento regional oferece vários benefícios principais:

Minimiza a exposição à segurança

Ao definir o escopo de uma identidade gerenciada para uma única região, você a impede de ser usada entre regiões, reduzindo o raio de explosão caso a identidade seja comprometida. Sem isolamento, um token emitido em uma região pode ser usado para acessar recursos em outra, aumentando o impacto potencial de roubo ou uso indevido de credenciais.

Impõe privilégios mínimos por padrão

O isolamento regional garante que as identidades tenham acesso apenas aos recursos em sua própria região e impeçam que os serviços mantenham privilégios desnecessários ao cancelar a atribuição de identidades. Isso ajuda as equipes a evitar a concessão intencional de acesso a serviços ou dados em outras regiões.

Contém falhas em uma única região

Se uma identidade gerenciada estiver configurada incorretamente ou comprometida, o escopo regional garantirá que incidentes e interrupções estejam contidos. Sem isolamento, uma única identidade poderia interromper os serviços em várias regiões, prejudicando as estratégias de isolamento de falhas.

Melhora a resiliência do serviço

O escopo regional limita o alcance de interrupções causadas por configurações incorretas de identidade. Por exemplo, se uma atribuição de função ou emissão de token falhar em uma região, ela não será propagada na sua presença global.

Dá suporte à recuperação de desastre robusta

Com identidades específicas da região, você pode criar estratégias de recuperação independentes por região. Isso evita cenários em que uma identidade global se torna um gargalo ou ponto único de falha durante o failover ou recuperação regional.

Riscos de definir o escopo de isolamento como nenhum

Se a propriedade de escopo de isolamento em uma identidade gerenciada atribuída pelo usuário não estiver definida ou definida como None (o padrão), a identidade poderá ser usada em todas as regiões. Isso apresenta vários riscos:

• Uso de token entre regiões: um token emitido em uma região pode ser usado para acessar recursos em outra, violando os limites de conformidade ou residência de dados.
• Acesso não intencional: você pode, sem saber, atribuir a identidade a recursos em várias regiões, levando a um acesso mais amplo do que o pretendido.
• Mais difícil de auditar e solucionar problemas: sem isolamento, torna-se difícil rastrear quais recursos estão usando a identidade e onde, complicando a resposta a incidentes.
• Raio de explosão aumentado: uma identidade comprometida pode ser usada para acessar recursos em toda a implantação, não apenas em uma região.

Para evitar esses riscos, defina o escopo de isolamento como Regional ao criar uma identidade gerenciada atribuída pelo usuário.

Práticas recomendadas

Para maximizar os benefícios do isolamento regional:

• Use uma identidade gerenciada por região: criar identidades gerenciadas separadas para cada região do Azure em que seus serviços são implantados
• Corresponder a região de identidade gerenciada aos recursos de computação: verifique se as identidades gerenciadas residem na mesma região que seus recursos de origem
• Planejar dependências: verifique se todos os recursos de computação que compartilham uma identidade gerenciada têm acesso às mesmas dependências. Essas dependências são os serviços downstream, recursos ou sistemas que um recurso de computação (como uma VM, Aplicativo de Funções ou Serviço de Aplicativo) precisa acessar usando sua identidade gerenciada.

Próximas etapas

• Habilitar o isolamento regional para identidades gerenciadas atribuídas pelo usuário