Modo de Manutenção

O modo de manutenção é uma funcionalidade que permite aos proprietários de comunidades ou enclaves colocar temporariamente a sua comunidade ou enclaves num estado de "modo manutenção" onde alterações são permitidas. Este modo permite aos utilizadores privilegiados fazer certas alterações aos recursos geridos subjacentes que normalmente são protegidos por Atribuições de Negação. Isto ajuda a manter o isolamento da comunidade e do enclave e a fronteira da rede.

Opções de modo de manutenção

  • Off - As atribuições de negação criadas pelo Azure Enclave estão implementadas para proteger os grupos de recursos geridos subjacentes de um enclave ou de uma comunidade.
  • General- A Allow Dataplane Actions atribuição de negação criada pelo Azure permite que utilizadores privilegiados modifiquem certos recursos existentes apenas nos recursos geridos subjacentes. Para um enclave, estas operações incluem recursos que se juntam à rede virtual do enclave e criam registos DNS Privado Zone. Para uma comunidade, estas operações incluem fazer alterações aos recursos da WAN Virtual. Por defeito, as comunidades e os enclaves são implementados no modo Off, mas escolha o modo General durante a criação e forneça identidades adequadas do Microsoft Entra ID para permitir alterações nos recursos protegidos.
  • Advanced- A atribuição de negação criada pelo Azure é temporariamente removida para permitir que utilizadores privilegiados façam alterações elevadas nos recursos geridos subjacentes.

Opções de justificação

  • Rede - Gerir alterações privilegiadas ou personalizadas em recursos geridos.
  • Governação - Gestão de alterações relacionadas com registo, políticas ou outros aspetos de governação.
  • Desligado - O modo de manutenção já não é necessário.

Modo de Manutenção Comunitária

O modo de Manutenção da Comunidade é utilizado para proteger os recursos geridos que constituem a Comunidade, incluindo Azure vWAN, Azure Firewall, Firewall Policy e Log Analytics Workspace. As atribuições de negação são usadas para evitar ações não autorizadas sobre estes recursos. Quando o modo de manutenção está ativado, os princípios especificados recebem exclusões das atribuições de negação para realizar ações privilegiadas do RBAC.

Cenários do modo de manutenção da comunidade

Cenários comuns para o Modo de Manutenção Comunitária incluem:

  • Criar/modificar tabelas de roteamento centrais virtuais para suportar configurações complexas de rede.
  • Criação/modificação de hubs virtuais personalizados dentro do vWAN da Comunidade
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • Criação de recursos dentro do grupo de recursos gerido pelo Enclave para permitir redes privadas (ex: DNS Privado Zones, Private Links, etc.)

Comunidade - Modo de Manutenção Geral

Quando General o modo de manutenção está ativado num recurso da **Comunidade**, o modo principals de manutenção (por exemplo, utilizadores ou grupos) é excluído da Deny All atribuição de negação para o grupo de recursos gerido pela comunidade.

Isto permite que os utilizadores identificados nos princípios do modo de manutenção realizem ações que, de outra forma, seriam bloqueadas pela Deny All atribuição de recusa. As Allow Dataplane Actions atribuições de negação continuam em vigor para todas as identidades (incluindo as identidades do modo de manutenção). Um utilizador pode ainda estar limitado pelos seus papéis atribuídos.

As seguintes permissões são permitidas sobre o grupo de recursos geridos pela Comunidade quando o modo de manutenção geral está ativado.

Comunidade Nega Atribuição: Deny All

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitido Permitir ações de "leitura" em todos os recursos
Microsoft.Resources/tags/* NotAction Permitir ações de "etiquetas" em todos os recursos

Comunidade - Modo Avançado de Manutenção

As seguintes permissões são permitidas sobre o grupo de recursos geridos pela comunidade quando o modo avançado de manutenção está ativado.

Comunidade Nega Atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Resources/tags/* NotAction Permitir ações de "etiquetas" em todos os recursos
Microsoft.Network/azureFirewalls/networkRuleCollections/write NotAction Permitir ações de escrita em networkRuleCollections
Microsoft.Network/azureFirewalls/applicationRuleCollections/write NotAction Permitir ações de escrita em applicationRuleCollections
Microsoft.Network/azureFirewalls/natRuleCollections/write NotAction Permitir ações de "escrita" em natRuleCollections
Microsoft.Network/firewallPolicies/ruleGroups/write NotAction Permitir ações de "escrita" em RuleGroups
Microsoft.Network/virtualHubs/write NotAction Permitir ações de "escrita" nos virtualHubs
Microsoft.Network/virtualWans/virtualHubs/read NotAction Permitir ações de "leitura" nos virtualHubs
Microsoft.Network/virtualWans/join/action NotAction Permitir ações de associação em virtualWans
Microsoft.Network/virtualHubs/routeTables/write NotAction Permitir ações de "escrita" sobre tabelas de rotas de hub virtuais

Modo de Manutenção do Enclave

O modo de Manutenção do Enclave é usar e proteger recursos geridos que compõem o Enclave, incluindo a rede virtual Azure, grupos de segurança de rede e o espaço de trabalho de análise de registos. As atribuições de negação são usadas para evitar ações não autorizadas sobre estes recursos. Quando o modo de manutenção está ativado, os princípios especificados recebem exclusões das atribuições de negação para realizar ações privilegiadas de RBAC sobre o grupo de recursos gerido pelo enclave.

Cenários do modo de manutenção do enclave

Cenários comuns para usar o modo de manutenção do enclave incluem:

  • Efetuar operações de associação de sub-redes/VNET durante a implementação de cargas de trabalho
  • Criar/modificar regras individuais de grupos de segurança de rede necessárias para serviços específicos do Azure
  • Criar recursos dentro do grupo de recursos geridos pelo enclave para permitir redes privadas (ex: DNS Privado Zones, Private Links, etc.)

Enclave - Modo de Manutenção Geral

Quando General o modo de manutenção está ativado num recurso do enclave, o modo principals de manutenção (utilizadores, grupos ou principais de serviço) é excluído da Deny All atribuição de negação para o grupo de recursos gerido do enclave. Isto permite que os utilizadores identificados nos princípios do modo de manutenção realizem ações que, de outra forma, seriam bloqueadas pela Deny All atribuição de recusa. As Allow Dataplane Actions atribuições de negação continuam em vigor para todas as identidades (incluindo as identidades do modo de manutenção). Um utilizador pode ainda estar limitado pelos seus papéis atribuídos.

As seguintes permissões são permitidas sobre o grupo de recursos gerido pelo enclave quando o modo de manutenção geral está ativado.

Enclave nega atribuição: Deny All

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir ações de "leitura" em todos os recursos
Microsoft.Resources/tags/* NotAction Permitir ações de "etiquetas" em todos os recursos

Enclave - Modo Avançado de Manutenção

As seguintes permissões são permitidas sobre o grupo de recursos geridos do enclave quando o modo avançado de manutenção está ativado.

Enclave nega atribuição: Allow Dataplane Actions

Funcionamento Tipo de ação Explanation
* Action Negar todas as ações exceto especificadas nesta tabela
*/read NotAction Permitir as ações "read" em todos os recursos
Microsoft.Insights/alertRules/* NotAction Permitir todas as ações em "alertRules"
Microsoft.Recursos/implantações/* NotAction Permitir todas as ações em "implementações"
Microsoft.Support/* NotAction Permitir todas as ações em "Suporte"
Microsoft.Network/privateDnsZones/* NotAction Permitir todas as ações em "privateDnsZones"
Microsoft. Network/privateDnsOperationResults/* NotAction Permitir todas as ações em "privateDnsOperationResults"
Microsoft. Network/privateDnsOperationStatuses/* NotAction Permitir todas as ações em "privateDnsOperationStatuses"
Microsoft.Network/virtualNetworks/join/action NotAction Permitir operações vNet/join através do enclave vNet
Microsoft.Network/redesVirtuais/subredes/ligação/ação NotAction Permitir operações de sub-rede/join através do enclave vNet
Microsoft. Autorização/políticaIsenções/* NotAction Permitir todas as ações em "isenções de política"
Microsoft.Network/routeTables/routes/write NotAction Permitir ações de "escrita" sobre tabelas de rotas da Rede Virtual

Como usar o modo de manutenção

1. Ativar o modo de manutenção durante a criação de comunidade ou enclave

  1. Navegue até ao separador Modo de manutenção no formulário de criação de comunidade ou enclave.
  2. Selecione a opção de modo [Off / General / Advanced].
  3. Selecione os princípios de serviço que pretende incluir.
  4. Selecione a justificação para entrar no modo de manutenção [OFF / NETWORKING / GOVERNANCE].
  5. Reveja e crie a comunidade ou enclave como habitualmente.

2. Ativar o modo de manutenção para uma comunidade ou enclave existente

  1. Navega até à comunidade ou enclave onde estás a ativar o modo de manutenção.
  2. Dirija-se ao separador "Modo de manutenção".
  3. Selecione a opção de modo [Advanced / General].
  4. Selecione os princípios de serviço que pretende incluir.
  5. Selecione a justificação para entrar no modo de manutenção [NETWORKING / GOVERNANCE].
  6. Confirma e guarda.

3. Realizar tarefas de manutenção

  • Uma vez ativado o Modo de Manutenção, prossiga com as suas tarefas de manutenção ou crie cargas de trabalho complexas conforme necessário.

4. Desativar o modo de manutenção

  1. Depois de concluir as suas tarefas, volte ao separador do modo de Manutenção.
  2. Selecione o modo OFF.
  3. Confirma e guarda.

Melhores práticas

  • Limitar o Uso: Garantir que o modo de manutenção está ativado apenas para utilizadores privilegiados de confiança durante as janelas de manutenção planeadas e garantir a segurança e o isolamento sobre os recursos do Azure Enclave.
  • Compreenda o impacto: Os utilizadores privilegiados devem compreender plenamente as alterações que estão a fazer e os passos para desfazer ou remediar essas alterações. Fazer alterações manuais aos recursos geridos subjacentes numa comunidade ou enclave enquanto está em modo de manutenção pode causar desvios não intencionais no seu ambiente em relação aos estados ideais.

Saiba mais

  • Last updated on