共用方式為

在 Azure 備份中使用資源防護設定多使用者授權

  • 發行項

本文說明如何設定 Azure 備份的多使用者授權 (MUA)，以為復原服務保存庫上的重要作業提供多一層保護。

本文會示範如何在不同的租用戶中建立資源防護，以提供最大的保護。 它也示範如何要求和核准在裝載資源防護的租用戶中，使用 Microsoft Entra Privileged Identity Management 執行重要作業的要求。 您可以根據自己的設定，選擇使用其他機制來管理資源防護上的 JIT 權限。

注意

  • Azure 備份的多使用者授權可使用於所有公用 Azure 區域。
  • 針對備份保存庫使用資源防護的多使用者授權現已正式推出。 深入了解。

在您開始使用 Intune 之前

  • 確保資源防護和復原服務保存庫位於同一個 Azure 區域。
  • 請確定備份管理員在 Resource Guard 上沒有參與者、備份 MUA 管理員或備份 MUA 操作員許可權。 您可以選擇在同一目錄的另一個訂用帳戶中或在另一個目錄中使用資源防護，以確保最大限度的隔離。
  • 確保包含復原服務保存庫以及資源防護 (在不同的訂用帳戶或租用戶中) 的訂用帳戶已註冊為使用提供者 - Microsoft.RecoveryServices 和 Microsoft.DataProtection。 如需詳細資訊，請參閱 Azure 資源提供者和類型。

瞭解各種 MUA 使用方式情節。

建立資源防護

安全性管理員會建立資源防護。 我們建議您在不同的訂用帳戶或不同的租用戶中建立其作為保存庫。 然而，其應該與保存庫位於相同的區域。 備份管理員不得在 Resource Guard 或包含它的訂用帳戶上擁有參與者、備份 MUA 管理員或備份 MUA 操作員存取權。

選擇用戶端

若要在與保存庫租用戶不同的租用戶中建立資源防護，請遵循下列步驟：

  1. 在 Azure 入口網站中，前往要在其下方建立資源防護的目錄。

    顯示入口網站設定的螢幕快照。

  2. 在搜尋列中搜尋 [資源防護]，然後從下拉式清單中選取對應的項目。

    顯示如何搜尋資源防護的螢幕快照。

    • 選取 [建立] 以開始建立資源防護。
    • 在 [建立] 刀鋒視窗中，填入此資源防護的必要詳細資料。
      • 請確保資源防護與復原服務保存庫位於同一 Azure 區域。
      • 此外，新增有關如何取得或要求存取權以在需要時對關聯的保存庫執行動作的描述也很有幫助。 此描述也會出現在關聯的保存庫中，以指導備份管理員取得所需的權限。 您稍後可以視需要編輯描述，但建議務必使用定義明確的描述。

  3. 在 [Protected operations] 索引標籤上，選取需要使用這項資源防護的作業。

    您也可以在建立資源防護之後選取要保護的作業。

  4. 或者，根據需求向資源防護新增任何標籤

  5. 選取 [檢閱 + 建立]，然後追蹤狀態和資源防護成功建立的通知。

使用資源防護選取要保護的作業

從所有受支援的重要作業中選擇要使用資源防護來保護的作業。 預設情況下，將啟用所有受支援的重要作業。 然而，您 (作為安全性管理員) 可以使用資源防護將某些作業排除在 MUA 的授權範圍之外。

選擇用戶端

若要豁免作業，請遵循下列步驟：

  1. 在上面建立的資源防護中，移至 [屬性]>[復原服務保存庫] 索引標籤。

  2. 請選取 [停用] 以執行您想要使用資源防護將其排除在授權之外的作業。

    注意

    您無法停用受保護的作業 - [停用虛刪除] 和 [移除 MUA 保護]。

  3. 或者，您還可以使用此刀鋒視窗更新資源防護的描述。

  4. 選取 [儲存]。

    顯示示範資源防護屬性的螢幕快照。

為資源防護上的備份管理員指派權限以啟用 MUA

若要在保存庫上啟用 MUA，保管庫管理員必須在資源防護或包含資源防護的訂用帳戶上擁有 [讀取程式] 角色。 若要在資源防護上指派 [讀取程式]角色，請執行以下作業：

  1. 在前述步驟建立的資源防護中，請前往 [存取控制 (IAM)] 刀鋒視窗，然後移至 [新增角色指派]。

    顯示示範資源防護訪問控制的螢幕快照。

  2. 從內建角色清單中選取 [讀取者]，然後選取 [下一步]。

    顯示示範資源防護新增角色指派的螢幕快照。

  3. 按一下 [選取成員] 並加入備份管理員的電子郵件識別碼，以將其新增為 [讀取程式]。 由於備份管理員在本案例中位於另一個租用戶中，因此他們將作為來賓新增到包含資源防護的租用戶中。

  4. 按一下 [選取]，然後繼續進行 [檢閱 + 指派] 以完成角色指派。

    顯示示範資源防護選取成員的螢幕快照。

在復原服務保存庫上啟用 MUA

在資源防護上的讀取者角色指派完成之後，請在您管理的保存庫上啟用多使用者授權 (作為備份管理員)。

選擇用戶端

若要在保存庫上啟用 MUA，請遵循下列步驟。

  1. 移至 [復原服務保存庫]。 移至左側瀏覽面板中的 [屬性]，然後移至 [多使用者授權]，並選取 [更新]。

    顯示復原服務保存庫屬性的螢幕快照。

  2. 現在，您可以透過以下方式之一啟用 MUA 並選擇資源防護：

    • 您可以指定資源防護的 URI，請確保您指定的資源防護 URI 擁有 [讀取程式] 的存取權，並且與保存庫的區域相同。 您可以在資源防護的 [概觀] 畫面中找到其 URI (資源防護識別碼)：

      顯示 Resource Guard 的螢幕快照。

    • 或者，您可以從您擁有 [讀取程式] 存取權的資源防護清單中選取資源防護，以及該區域中可供使用的資源防護。

      1. 按一下 [選取資源防護]
      2. 選取下拉式清單，然後選擇資源防護所在的目錄。
      3. 選取 [驗證] 以驗證您的身分識別和存取權。
      4. 驗證之後，從顯示的清單中選擇 [資源防護]。

      顯示多用戶授權的螢幕快照。

  3. 完成後，選取 [儲存] 以啟用 MUA。

    顯示如何啟用多使用者驗證的螢幕快照。

使用 MUA 的受保護作業

啟用 MUA 之後，如果備份管理員嘗試在資源防護上具有必要角色（也就是 備份 MUA 操作員 角色），範圍中的作業將會限制在保存庫上。

注意

強烈建議您在啟用 MUA 後測試設定，以確保如預期封鎖受保護的作業，並確保已正確設定 MUA。

以下描述備份管理員試圖執行此類受保護作業時會發生的事項 (例如，此處已描述停用虛刪除。其他受保護的作業也有類似經驗)。 以下步驟由沒有所需權限的備份管理員執行。

  1. 若要停用虛刪除，請移至 [復原服務保存庫]>[屬性]>[安全性設定]，然後選取 [更新]，這將顯示 [安全性設定]。

  2. 使用滑桿停用虛刪除。 已告知您這是受保護的作業，您需要驗證他們對資源防護的存取權。

  3. 選取包含資源防護的目錄並進行驗證。 如果資源防護與保存庫位於同一目錄中，則可能不需要執行此步驟。

  4. 繼續選取 [儲存]。 要求失敗並顯示錯誤，通知他們沒有足夠的資源防護權限讓您執行此作業。

    顯示 Test Vault 屬性安全性設定的螢幕快照。

使用 Microsoft Entra Privileged Identity Management 授權重要 (受保護) 作業

下列區段會討論如何使用 PIM 來授權這些要求。 在某些情況下，您可能需要對備份執行重要作業，而 MUA 可以協助您確保只有在獲得正確的核准或權限時才能執行這些作業。 如先前所述，備份管理員必須在 Resource Guard 上擁有 備份 MUA 操作員 角色，才能執行 Resource Guard 範圍中的重要作業。 允許 Just-In-Time 執行此類作業的方法之一是使用 Microsoft Entra Privileged Identity Management。

注意

雖然建議使用 Microsoft Entra PIM，但您可以使用手動或自訂方法來管理資源防護上備份管理員的存取權。 若要手動管理 Resource Guard 的存取權，請使用 Resource Guard 左側導覽列上的 [存取控制 （IAM）] 設定，並將備份 MUA 操作員角色授與備份管理員。

為備份管理員建立符合資格的指派 (如果使用 Microsoft Entra Privileged Identity Management)

安全性系統管理員可以使用 PIM 為備份管理員建立合格的指派，並將Backup MUA 操作員角色提供給 Resource Guard。 這可讓備份管理員在需要執行受保護的作業時提出要求（備份 MUA 操作員 角色）。 若要這樣做，安全性管理員會執行下列動作：

  1. 在安全性租用戶 (包含資源防護) 中，移至 [Privileged Identity Management] (在 Azure 入口網站的搜尋列中搜尋)，然後移至 [Azure 資源] (在左側功能表的 [管理] 下方)。

  2. 選取您要指派備份 MUA 操作員角色的資源 （Resource Guard 或包含的訂用帳戶/RG）。

    如果在資源清單中看不到對應的資源，請確保新增要由 PIM 受控的包含訂用帳戶。

  3. 在選取的資源中，移至 [指派] (在左側功能表的 [管理] 下方) 並移至 [新增指派]。

    顯示如何新增指派的螢幕快照。

  4. 在 [新增指派] 中：

    1. 選取角色作為 備份 MUA 操作員。
    2. 移至 [選取成員] 並新增備份管理員的使用者名稱 (或電子郵件識別碼)。
    3. 選取 [下一步]。

    顯示如何新增指派成員資格的螢幕快照。

  5. 在下一個畫面中：

    1. 在指派類型下方，選擇 [符合資格]。
    2. 指定符合資格權限的有效期限。
    3. 選取 [指派] 以完成建立符合資格的指派。

    顯示如何新增指派設定的螢幕快照。

設定核准者以啟用備份 MUA 操作員角色

預設情況下，上方設定可能沒有在 PIM 中設定核准者 (以及核准流程需求)。 若要確保核准者具有 備份 MUA 操作員 角色以進行要求核准，安全性系統管理員必須遵循下列步驟：

注意

如果未進行設定，任何要求都將自動取得核准，而無需經過安全性管理員或指定核准者的檢閱。 如需此操作的更多詳細資料，請參閱此處

  1. 在 Microsoft Entra PIM 中，選取左側瀏覽列上的 [Azure 資源]，然後選取您的資源防護。

  2. 移至 [ 設定 ]，然後移至 [備份 MUA 操作員 ] 角色。

    顯示如何新增參與者的螢幕快照。

  3. 選取 [編輯] 以新增檢閱者，這些檢閱者必須檢閱並核準備份 MUA 操作員角色的啟用要求，以防您發現核准者顯示 [無] 或顯示不正確的核准者。

  4. 在 [啟用] 索引標籤上，選取 [需要核准以啟用]，並新增需要核准每個要求的核准者。

  5. 選取安全性選項，例如多重要素驗證 （MFA），設定票證以啟用 備份 MUA 操作員 角色。

  6. 視需要選取 [指派] 和 [通知] 索引標籤上的適當選項。

    顯示如何編輯角色設定的螢幕快照。

  7. 選取 [更新 ] 以完成核准者的設定，以啟用 備份 MUA 操作員 角色。

要求啟用符合資格的指派以執行重要作業

安全性系統管理員建立合格的指派之後，備份系統管理員必須啟用備份 MUA 操作員角色的指派，才能執行受保護的動作。

若要啟用角色指派，請遵循下列步驟：

  1. 移至 [Microsoft Entra Privileged Identity Management]。 如果資源防護在另一個目錄中，請切換至該目錄，然後移至 [Microsoft Entra Privileged Identity Management]。

  2. 移至左側功能表上的 [我的角色]>[Azure 資源]。

  3. 選取 [啟用] 以啟用備份 MUA 操作員角色的合格指派。

    隨即出現通知，通知已傳送要求以供核准。

    顯示啟用合格指派的螢幕快照。

核准要求的啟用以執行重要作業

一旦備份管理員提出啟用備份 MUA 操作員角色的要求，安全性系統管理員就會檢閱並核准要求。

  1. 在安全性租用戶中，移至 [Microsoft Entra Privileged Identity Management]。
  2. 移至 [核准要求]。
  3. 在 Azure 資源下，可以看到備份管理員提出要求啟用為 備份 MUA 操作員 的要求。
  4. 檢閱要求。 若為正版，請選取 [要求]，然後選取 [核准] 以進行核准。
  5. 備份管理員透過電子郵件 (或其他組織警示機制) 得知他們的要求現在已獲得核准。
  6. 獲得核准後，備份管理員可以在要求的期間內執行受保護的作業。

在核准後執行受保護的作業

在資源防護上核準備份 MUA 操作員角色的備份管理員要求后，他們可以在相關聯的保存庫上執行受保護的作業。 如果資源防護在另一個目錄中，則備份管理員需要進行自行驗證。

注意

如果使用 JIT 機制指派存取權， 則會在核准期間結束時撤銷備份 MUA 操作員 角色。 否則，安全性系統管理員會手動移除 指派給備份管理員的備份 MUA 操作員 角色，以執行關鍵作業。

下列螢幕擷取畫面顯示為啟用 MUA 的保存庫停用虛刪除的範例。

顯示停用虛刪除的螢幕快照。

在復原服務保存庫上停用 MUA

停用 MUA 是受保護的作業，因此保存庫會使用 MUA 來保護。 如果您（備份管理員）想要停用 MUA，您必須在 Resource Guard 中具有必要的 備份 MUA 操作員 角色。

選擇用戶端

若要在保存庫上停用 MUA，請遵循下列步驟：

  1. 備份管理員要求 Resource Guard 上備份 MUA 操作員 角色的安全性管理員。 他們可以要求此作業以使用組織核准的方法 (如 JIT 程序)，像是 Microsoft Entra Privileged Identity Management 或其他內部工具和程序。

  2. 安全性系統管理員會核准要求（如果他們發現該要求值得核准），並通知備份管理員。現在，備份管理員在 Resource Guard 上具有 Backup MUA 操作員 角色。

  3. 備份管理員會移至保存庫 >[屬性]>[多使用者授權]。

  4. 選取更新。

    1. 清除 [使用資源防護進行保護] 核取方塊。
    2. 選擇包含 [資源防護] 的目錄，然後使用 [驗證] 按鈕驗證存取權 (如果適用)。
    3. [驗證] 後，選取 [儲存]。 使用正確的存取權，要求應該成功完成。

    顯示停用多使用者驗證的螢幕快照。

如果資源防護存在於不同的租用戶中，則需要租用戶識別碼。

範例：

az backup vault resource-guard-mapping delete --resource-group RgName --name VaultName

本文說明如何設定 Azure 備份的多使用者授權 (MUA)，以為備份保存庫上的重要作業提供多一層保護。

本文會示範如何在不同的租用戶中建立資源防護，以提供最大的保護。 它也示範如何要求和核准在裝載資源防護的租用戶中，使用 Microsoft Entra Privileged Identity Management 執行重要作業的要求。 您可以根據自己的設定，選擇使用其他機制來管理資源防護上的 JIT 權限。

注意

  • 針對備份保存庫使用資源防護的多使用者授權現已正式推出。
  • Azure 備份的多使用者授權可使用於所有公用 Azure 區域。

在您開始使用 Intune 之前

  • 請確定資源防護和備份保存庫位於相同的 Azure 區域中。
  • 請確定備份管理員在 Resource Guard 上沒有參與者、備份 MUA 管理員或備份 MUA 操作員許可權。 您可以選擇在同一目錄的另一個訂用帳戶中或在另一個目錄中使用資源防護，以確保最大限度的隔離。
  • 請確定您的訂用帳戶包含備份保存庫，以及資源防護(在不同的訂用帳戶或租用戶中) 已註冊以使用提供者 - Microsoft.DataProtection4。 如需詳細資訊，請參閱 Azure 資源提供者和類型。

瞭解各種 MUA 使用方式情節。

建立資源防護

安全性管理員會建立資源防護。 我們建議您在不同的訂用帳戶或不同的租用戶中建立其作為保存庫。 然而，其應該與保存庫位於相同的區域。

備份管理員不得在 Resource Guard 或包含它的訂用帳戶上擁有參與者、備份 MUA 管理員或備份 MUA 操作員存取權。

若要在與保存庫租用戶不同的租用戶中建立資源防護作為安全性管理員，請遵循下列步驟：

  1. 在 Azure 入口網站中，前往要在其下方建立資源防護的目錄。

    顯示要設定備份保存庫之入口網站設定的螢幕快照。

  2. 在搜尋列中搜尋 [資源防護]，然後從下拉式清單中選取對應的項目。

    顯示備份保存庫資源防護的螢幕快照。

    1. 選取 [建立]，以建立資源防護。
    2. 在 [建立] 刀鋒視窗中，填入此資源防護的必要詳細資料。
      • 請確定資源防護位於與備份保存庫相同的 Azure 區域中。
      • 新增如何要求存取權以在需要時在相關聯的保存庫上執行動作的說明。 此說明也會出現在相關聯的保存庫中，以引導備份管理員取得所需的權限。

  3. 在 [受保護的作業] 索引標籤上，選取 [備份保存庫] 索引標籤之下需要使用這項資源防護的作業。

    目前，[受保護的作業] 索引標籤只包含要停用的 [刪除備份執行個體] 選項。

    您也可以在建立資源防護之後選取要保護的作業。

    顯示如何使用 Resource Guard 選取保護作業的螢幕快照。

  4. 或者，根據需求向資源防護新增任何標籤。

  5. 選取 [檢閱 + 建立]，然後遵循通知來監視狀態並成功建立資源防護。

使用資源防護選取要保護的作業

建立保存庫之後，安全性管理員也可在所有支援的關鍵作業中，選擇要使用資源防護保護的作業。 預設情況下，將啟用所有受支援的重要作業。 然而，安全性管理員可以使用資源防護將某些作業排除在 MUA 的授權範圍之外。

若要選取要保護的作業，請遵循下列步驟：

  1. 在您已建立的資源防護中，移至 [屬性]>[備份保存庫] 索引標籤。

  2. 針對您想要從授權中排除的作業選取 [停用]。

    您無法停用 [移除 MUA 保護] 和 [停用虛刪除] 作業。

  3. 或者，在 [備份保存庫] 索引標籤中，更新資源防護的說明。

  4. 選取 [儲存]。

    顯示備份保存庫示範資源防護屬性的螢幕快照。

為資源防護上的備份管理員指派權限以啟用 MUA

若要在保存庫上啟用 MUA，備份管理員必須在資源防護或包含資源防護的訂用帳戶上擁有 [讀取者] 角色。 安全性管理員必須將此角色指派給備份管理員。

若要在資源防護上指派 [讀取者] 角色，請遵循下列步驟：

  1. 在前述步驟建立的資源防護中，請前往 [存取控制 (IAM)] 刀鋒視窗，然後移至 [新增角色指派]。

    此螢幕快照顯示備份保存庫的示範資源防護訪問控制。

  2. 從內建角色清單中選取 [讀取者]，然後選取 [下一步]。

    此螢幕快照顯示備份保存庫的示範資源防護新增角色指派。

  3. 按一下 [選取成員] 並加入備份管理員的電子郵件識別碼，以指派 [讀取者] 角色。

    當備份管理員位於另一個租用戶時，他們將會以來賓身分新增至包含資源防護的租用戶。

  4. 按一下 [選取]>[檢閱 + 指派]，以完成角色指派。

    此螢幕快照顯示示範資源防護選取成員，以保護備份保存庫中的備份專案。

在備份保存庫上啟用 MUA

一旦備份管理員在資源防護上具有讀取者角色後，他們就可以透過以下步驟在所管理的保存庫上啟用多使用者授權：

  1. 移至您要為其設定 MUA 的備份保存庫。

  2. 在左面板上，選取 [屬性]。

  3. 移至 [多使用者授權]，然後選取 [更新]。

    顯示備份保存庫屬性的螢幕快照。

  4. 若要啟用 MUA 並選擇資源防護，請執行下列其中一個動作：

    • 您可以指定資源防護的 URI。 請確定您指定您對其具有讀取者存取權的資源防護的 URI，且其位於與保存庫相同的區域中。 您可以在資源防護的 [概觀] 頁面上找到其 URI (資源防護識別碼)。

      顯示備份保存庫保護 Resource Guard 的螢幕快照。

    • 或者，您可以從您擁有 [讀取程式] 存取權的資源防護清單中選取資源防護，以及該區域中可供使用的資源防護。

      1. 按一下 [選取資源防護]。
      2. 選取下拉式清單並選取資源防護所在的目錄。
      3. 選取 [驗證] 以驗證您的身分識別和存取權。
      4. 驗證之後，從顯示的清單中選擇 [資源防護]。

      顯示備份保存庫上已啟用多用戶授權的螢幕快照。

  5. 選取 [儲存] 以啟用 MUA。

    顯示如何啟用多使用者驗證的螢幕快照。

使用 MUA 的受保護作業

備份管理員啟用 MUA 之後，範圍中的作業將會限制在保存庫上，如果備份管理員嘗試執行它們，而沒有 Resource Guard 上的備份 MUA 操作員 角色，作業就會失敗。

注意

強烈建議您在啟用 MUA 之後測試您的設定，以確保：

  • 受保護的作業會如預期遭到封鎖。
  • MUA 已正確設定。

若要執行受保護的作業 (停用 MUA)，請遵循下列步驟：

  1. 移至左窗格中的保存庫 >[屬性]。

  2. 清除核取方塊以停用 MUA。

    您會收到一則通知，指出它是受保護的作業，且您必須具有資源防護的存取權。

  3. 選取包含資源防護的目錄並自行進行驗證。

    如果資源防護與保存庫位於同一目錄中，則可能不需要執行此步驟。

  4. 選取 [儲存]。

    要求失敗，並出現您在資源防護上沒有足夠的權限來執行這項作業的錯誤。

    顯示測試備份保存庫屬性安全性設定的螢幕快照。

使用 Microsoft Entra Privileged Identity Management 授權重要 (受保護) 作業

在某些情況下，您可能需要在備份上執行重要作業，且您可以使用正確的核准或 MUA 權限來執行這些作業。 下列各節說明如何使用 Privileged Identity Management (PIM) 授權重要作業要求。

備份管理員必須在 Resource Guard 上擁有 備份 MUA 操作員 角色，才能在 Resource Guard 範圍內執行重大作業。 允許 Just-In-Time (JIT) 作業的其中一種方式是透過使用 Microsoft Entra Privileged Identity Management。

注意

建議您使用 Microsoft Entra PIM。 不過，您也可以使用手動或自訂方法來管理資源防護上備份管理員的存取權。 若要手動管理 Resource Guard 的存取權，請使用 Resource Guard 左窗格中的存取控制 （IAM） 設定，並將備份 MUA 操作員角色授與備份管理員。

使用 Microsoft Entra Privileged Identity Management 為備份管理員建立符合資格的指派

安全性系統管理員可以使用 PIM 為備份管理員建立合格的指派，作為 Resource Guard 的備份 MUA 操作員。 這可讓備份管理員在需要執行受保護的作業時提出要求（備份 MUA 操作員 角色）。

若要建立合格的指派，請遵循下列步驟：

  1. 登入 Azure 入口網站。

  2. 移至資源防護的安全性租用戶，然後在搜尋中輸入 Privileged Identity Management。

  3. 在左窗格中，選取 [管理並移至 Azure 資源]。

  4. 選取您要指派備份 MUA 操作員角色的資源 （Resource Guard 或包含的訂用帳戶/RG）。

    如果您找不到任何對應的資源，請新增 PIM 所管理的包含訂用帳戶。

  5. 選取資源，然後移至 [管理]>[指派]>[新增指派]。

    顯示如何新增指派以保護備份保存庫的螢幕快照。

  6. 在 [新增指派] 中：

    1. 選取角色作為 備份 MUA 操作員。
    2. 移至 [選取成員] 並新增備份管理員的使用者名稱 (或電子郵件識別碼)。
    3. 選取 [下一步]。

    顯示如何新增指派成員資格以保護備份保存庫的螢幕快照。

  7. 在 [指派] 中，選取 [合格]，並指定合格權限持續時間的有效性。

  8. 選取 [指派] 以完成建立合格的指派。

    顯示如何新增指派設定以保護備份保存庫的螢幕快照。

設定啟用參與者角色的核准者

預設情況下，上方設定可能沒有在 PIM 中設定核准者 (以及核准流程需求)。 若要確保核准者具有要求核准的參與者角色，安全性系統管理員必須遵循下列步驟：

注意

如果未設定核准者設定，則要求會自動核准，而不需經過安全性系統管理員或指定的核准者檢閱。 深入了解。

  1. 在 Microsoft Entra PIM 中，選取左窗格上的 [Azure 資源]，然後選取您的資源防護。

  2. 移至 [設定]>[參與者] 角色。

    顯示如何新增參與者的螢幕快照。

  3. 選取 [編輯] 以新增必須檢閱並核准 [參與者] 角色之啟用要求的檢閱者，以防您發現核准者顯示 [無] 或顯示不正確的核准者。

  4. 在 [啟用] 索引標籤上，選取 [需要核准以啟用]，以新增必須核准每個要求的核准者。

  5. 選取安全性選項，例如多重要素驗證 （MFA），管理票證以啟用 參與者 角色。

  6. 根據您的需求，在 [指派] 和 [通知] 索引標籤上選取適當的選項。

    顯示如何編輯角色設定的螢幕快照。

  7. 選取 [更新] 以完成核准者的設定，以啟動 [參與者] 角色。

要求啟用符合資格的指派以執行重要作業

在安全性管理員建立符合資格的指派後，備份管理員需要啟動角色指派，以使參與者角色執行受保護的作業。

若要啟用角色指派，請遵循下列步驟：

  1. 移至 [Microsoft Entra Privileged Identity Management]。 如果資源防護在另一個目錄中，請切換至該目錄，然後移至 [Microsoft Entra Privileged Identity Management]。

  2. 移至左窗格中的 [我的角色]>[Azure 資源]。

  3. 選取 [啟動] 以啟動 [參與者] 角色的合格指派。

    隨即出現通知，通知已傳送要求以供核准。

    顯示如何啟用合格指派的螢幕快照。

核准要求的啟用以執行重要作業

備份管理員提出啟動參與者角色的要求後，安全性管理員必須進行檢閱並核准要求。

若要檢閱並核准要求，請遵循下列步驟：

  1. 在安全性租用戶中，移至 [Microsoft Entra Privileged Identity Management]。

  2. 移至 [核准要求]。

  3. 在 [Azure 資源] 下，您可以看到等待核准的要求。

    選取 [核准] 以檢閱並核准正版要求。

核准之後，備份管理員會透過電子郵件或其他內部警示選項收到通知，表示要求已核准。 現在，備份管理員可以在要求的期間內執行受保護的作業。

在核准後執行受保護的作業

安全性系統管理員核准 Resource Guard 上備份 MUA 操作員角色的備份管理員要求后，他們可以在相關聯的保存庫上執行受保護的作業。 如果資源防護在另一個目錄中，則備份管理員必須自行驗證。

注意

如果使用 JIT 機制指派存取權， 則會在核准期間結束時撤銷備份 MUA 操作員 角色。 否則，安全性系統管理員會手動移除 指派給備份管理員的備份 MUA 操作員 角色，以執行關鍵作業。

下列螢幕擷取畫面顯示為啟用 MUA 的保存庫停用虛刪除的範例。

顯示停用已啟用 MUA 儲存庫虛刪除的螢幕快照。

在備份保存庫上停用 MUA

停用 MUA 是一項受保護的作業，只能由備份管理員完成。 若要這樣做，備份管理員必須在 Resource Guard 中具有必要的 備份 MUA 操作員 角色。 若要取得此許可權，備份管理員必須先使用 Just-In-Time （JIT） 程式，向 Resource Guard 上的備份 MUA 操作員角色要求安全性系統管理員，例如Microsoft Entra Privileged Identity Management 或內部工具。

然後，如果要求為正版，安全性系統管理員會核准要求，並更新現在在資源防護上具有 Backup MUA 操作員 角色的備份管理員。 深入了解如何取得此角色。

若要停用 MUA，備份系統管理員必須遵循下列步驟：

  1. 移至保存庫 >[屬性]>[多使用者授權]。

  2. 選取 [更新]，並清除 [使用資源防護進行保護] 核取方塊。

  3. 選取 [驗證] (如果適用) 以選擇包含資源防護的目錄，然後驗證存取權。

  4. 選取 [儲存] 以完成停用 MUA 的流程。

    顯示如何停用多用戶授權的螢幕快照。

下一步

深入了解使用資源防護的多使用者授權。