Downloads e uploads seguros de discos geridos pela Azure

Se usar o Microsoft Entra ID para controlar o acesso a recursos, também pode usá-lo para restringir uploads e downloads de discos geridos Azure. Quando um utilizador tenta carregar ou descarregar um disco, o Azure valida a identidade do utilizador solicitante no Microsoft Entra ID e confirma que o utilizador tem as permissões necessárias. Se um utilizador não tiver as permissões necessárias, não pode carregar ou descarregar discos geridos.

A um nível superior, um administrador de sistema pode definir uma política ao nível da conta Azure ou subscrição, para garantir que todos os discos e snapshots devem usar o ID Microsoft Entra para uploads ou downloads. Se tiver alguma dúvida sobre como proteger uploads ou downloads usando o Microsoft Entra ID, contacte: azuredisks@microsoft .com.

Restrições

• Os VHD não podem ser carregados para instantâneos vazios.
• O Azure Backup atualmente não suporta discos protegidos com o Microsoft Entra ID.
• O Azure Site Recovery não suporta atualmente discos protegidos com o Microsoft Entra ID.

Pré-requisitos

Instale o módulo PowerShell mais recente do Azure ou a CLI mais recente do Azure.

Atribuir função RBAC

Para aceder a discos geridos protegidos através do Microsoft Entra ID, os utilizadores devem ter ou o papel de Operador de Dados para discos geridos ou um papel personalizado com as seguintes permissões:

• Microsoft.Compute/disks/download/action
• Microsoft.Compute/disks/upload/action
• Microsoft.Compute/snapshots/download/action
• Microsoft.Compute/snapshots/upload/action

Para passos detalhados na atribuição de um papel, consulte os seguintes artigos sobre portal, PowerShell ou CLI. Para criar ou atualizar um papel personalizado, consulte os seguintes artigos para portal, PowerShell ou CLI.

Restringir o acesso a um disco individual

Para restringir o acesso a um disco individual, ative o modo de autenticação de acesso a dados nesse disco.

Portal

Podes ativar esta definição ao criar o disco, ou podes ativá-la na página de Exportação de Disco , em Definições , para discos existentes.

PowerShell

Defina dataAccessAuthMode para "AzureActiveDirectory" no seu disco para o descarregar quando estiver seguro. Use o script seguinte para atualizar um disco existente. Substitua os valores de -ResourceGroupName e -DiskName antes de executar o script:

New-AzDiskUpdateConfig -DataAccessAuthMode "AzureActiveDirectory" | Update-AzDisk -ResourceGroupName 'yourResourceGroupName' -DiskName 'yourDiskName"

Defina dataAccessAuthMode para "AzureActiveDirectory" no seu disco para o descarregar quando estiver seguro. Use o script seguinte para atualizar um disco existente. Substitua os valores de --resource-group e --Name antes de executar o script:

az disk update --name yourDiskName --resource-group yourResourceGroup --data-access-auth-mode AzureActiveDirectory

Atribuir política Azure

Também pode atribuir uma política do Azure com uma tarefa de remediação. Uma política com uma tarefa de remediação audita continuamente os seus recursos e notifica-o quando algum deles não cumpre. A definição de política incorporada que atribuiria é : Proteja os seus dados com requisitos de autenticação ao exportar ou carregar para um disco ou snapshot. Para saber como atribuir uma política Azure, consulte os artigos do portal Azure, Azure CLI ou módulos Azure PowerShell .

Próximos passos

• Carregue um VHD para Azure ou copie um disco gerido para outra região - Azure CLI
• Carregar um VHD para o Azure ou copiar um disco gerenciado para outra região - Azure PowerShell
• Descarregue um VHD Linux a partir do Azure
• Baixar um VHD do Windows do Azure