Freigeben über

Mehrbenutzerautorisierung mit Resource Guard

Sie können die Mehrbenutzerautorisierung (MultiUser Authorization, MUA) für Azure Backup verwenden, um kritischen Vorgängen in Ihren Recovery Services-Tresoren und Sicherungstresoren eine Schutzebene hinzuzufügen. Für MUA verwendet Azure Backup eine andere Azure-Ressource namens Resource Guard, um sicherzustellen, dass kritische Vorgänge nur mit anwendbarer Autorisierung ausgeführt werden.

Die Mehrbenutzerautorisierung mit Resource Guard für einen Backup-Tresor ist jetzt allgemein verfügbar.

Berechtigungen für MUA für Azure Backup

Azure Backup verwendet Resource Guard als zusätzlichen Autorisierungsmechanismus für einen Recovery Services-Tresor oder einen Sicherungstresor. Um einen kritischen Vorgang (im nächsten Abschnitt beschrieben) erfolgreich auszuführen, müssen Sie über ausreichende Berechtigungen für Resource Guard verfügen.

Damit MUA wie beabsichtigt funktioniert:

  • Ein anderer Benutzer muss der Besitzer der Resource Guard-Instanz sein.
  • Der Tresoradministrator darf nicht die Berechtigungen „Contributor“, „Backup MUA Admin“ oder „Backup MUA Operator“ auf Resource Guard haben.

Für einen besseren Schutz können Sie Resource Guard in einem anderen Abonnement oder Mandanten als dem platzieren, der die Tresore enthält.

Kritische Vorgänge

In der folgenden Tabelle sind die Vorgänge aufgeführt, die als kritisch definiert sind und dass Resource Guard zum Schutz beitragen kann. Sie können sich entscheiden, bestimmte Vorgänge vom Schutz durch die Resource Guard-Instanz auszuschließen, wenn Sie ihr Tresore zuordnen.

Hinweis

Sie können Vorgänge, die als obligatorisch gekennzeichnet sind, nicht vom Schutz durch Resource Guard für die zugeordneten Tresore ausschließen. Darüber hinaus betrifft der Ausschluss der kritischen Vorgänge alle Tresore, die Resource Guard zugeordnet sind.

Vorgang Obligatorisch/Optional BESCHREIBUNG
Vorläufiges Löschen oder Sicherheitsfeatures deaktivieren Obligatorisch Deaktivieren Sie die Einstellung zum vorläufigen Löschen in einem Tresor.
MUA-Schutz entfernen Obligatorisch Deaktivieren Sie den MUA-Schutz in einem Tresor.
Schutz löschen Optional Löschen Sie den Schutz, indem Sie Sicherungen beenden und Daten löschen.
Schutz ändern Optional Fügen Sie eine neue Sicherungsrichtlinie mit reduzierter Aufbewahrung hinzu, oder ändern Sie die Richtlinienhäufigkeit, um das Ziel des Wiederherstellungspunkts (Recovery Point Objective, RPO) zu erhöhen.
Richtlinie ändern Optional Ändern Sie die Sicherungsrichtlinie, um die Aufbewahrung zu verringern, oder ändern Sie die Häufigkeit der Richtlinie, um das Recovery Point Objective (RPO) zu erhöhen.
Sicherheits-PIN für Sicherungen abrufen Optional Ändern Sie die Microsoft Azure Recovery Services (MARS)-Sicherheits-PIN.
Sicherung beenden und Daten beibehalten Optional Löschen Sie den Schutz, indem Sie Sicherungen beenden und Daten für immer aufbewahren oder Daten gemäß der Richtlinie aufbewahren.
Unveränderlichkeit deaktivieren Optional Deaktivieren Sie die Unveränderlichkeitseinstellung in einem Tresor.

Konzepte und Prozesse

In diesem Abschnitt werden die Konzepte und Prozesse beschrieben, die bei der Verwendung von MUA für Azure Backup beteiligt sind.

Berücksichtigen Sie für ein klares Verständnis des Prozesses und der Verantwortlichkeiten die folgenden beiden Personas. Auf diese Personas wird in diesem Artikel verwiesen.

  • Sicherungsadministrator: Besitzer des Recovery Services-Tresors oder des Sicherungstresors, der die Verwaltungsvorgänge im Tresor ausführt. Zunächst darf der Sicherungsadministrator keine Berechtigungen für Resource Guard besitzen. Der Sicherungsadministrator kann über die RBAC-Rolle (rollenbasierte Zugriffssteuerung) „Backup Operator“ oder „Backup Contributor“ im Recovery Services-Tresor verfügen.

  • Sicherheitsadministrator: Besitzer der Resource Guard-Instanz, der als Gatekeeper für kritische Vorgänge im Tresor fungiert. Der Sicherheitsadministrator steuert Berechtigungen, die Backupadministrierende für die Durchführung kritischer Vorgänge für den Tresor benötigen. Der Sicherheitsadministrator kann die Rolle "Backup MUA Admin RBAC" auf Resource Guard haben.

Das folgende Diagramm zeigt die Schritte zur Durchführung eines kritischen Vorgangs in einem Tresor, für den über Resource Guard MUA konfiguriert ist.

Diagramm zum Konfigurieren der Mehrbenutzerautorisierung mithilfe von Resource Guard.

Dies ist der Ereignisablauf in einem typischen Szenario:

  1. Der Sicherungsadministrator erstellt den Tresor für Wiederherstellungsdienste oder den Sicherungstresor.

  2. Der Sicherheitsadministrator erstellt die Resource Guard-Instanz.

    Die Resource Guard-Instanz kann in einem anderen Abonnement oder einem anderen Mandanten als der Tresor enthalten sein. Stellen Sie sicher, dass der Sicherungsadministrator nicht über die Berechtigungen "Mitwirkender", "Backup MUA Admin" oder "Backup MUA Operator" für Resource Guard verfügt.

  3. Der Sicherheitsadministrator erteilt dem Backupadministrator die Rolle „Leser“ für Resource Guard (oder einen relevanten Bereich). Backupadministratoren benötigen die Leserrolle, um MUA für den Tresor zu aktivieren.

  4. Der Sicherungsadministrator konfiguriert MUA, um den Schutz des Tresors über Resource Guard zu unterstützen.

  5. Wenn der Sicherungsadministrator oder ein Benutzer, der Schreibzugriff auf den Tresor hat, einen kritischen Vorgang ausführen möchte, der mit Resource Guard im Tresor geschützt ist, muss er den Zugriff auf Resource Guard anfordern.

    Der Sicherungsadministrator kann sich an den Sicherheitsadministrator wenden, um Details zum Zugriff auf diese Vorgänge zu erhalten. Dazu können sie privilegierte Identitätsverwaltung (Privileged Identity Management, PIM) oder andere Prozesse verwenden, die von der Organisation vorgeschrieben werden.

    Der Sicherungsadministrator kann die RBAC-Rolle „Backup MUA Operator“ anfordern. Mit dieser Rolle können Benutzer nur kritische Vorgänge ausführen, die Resource Guard schützt. Das Löschen der Resource Guard-Instanz ist nicht zulässig.

  6. Der Sicherheitsadministrator gewährt dem Sicherungsadministrator vorübergehend die Rolle "Backup MUA Operator" auf Resource Guard, um kritische Vorgänge auszuführen.

  7. Der Sicherungsadministrator initiiert den kritischen Vorgang.

  8. Azure Resource Manager überprüft, ob der Sicherungsadministrator über ausreichende Berechtigungen verfügt. Da der Sicherungsadministrator jetzt über die Rolle des Sicherungs-MUA-Operators auf Resource Guard verfügt, wird die Anforderung abgeschlossen. Wenn der Sicherungsadministrator nicht über die erforderlichen Berechtigungen oder Rollen verfügt, schlägt die Anforderung fehl.

  9. Der Sicherheitsadministrator widerruft die Berechtigungen, kritische Vorgänge auszuführen, nachdem autorisierte Aktionen oder nach einer definierten Dauer ausgeführt wurden. Sie können die Just-in-Time-Tools (JIT) in Microsoft Entra Privileged Identity Management verwenden, um die Berechtigungen zu widerrufen.

Hinweis

  • Wenn Sie dem Sicherungsadministrator temporär die Rolle „Contributor“ oder „Backup MUA Admin“ für den Resource Guard-Zugriff gewähren, umfasst dieser Zugriff auch Löschberechtigungen für Resource Guard. Es wird empfohlen, nur Sicherungs-MUA-Operatorberechtigungen bereitzustellen.
  • MUA bietet Schutz nur für die zuvor aufgeführten Vorgänge, die auf die archivierten Backups angewendet werden. Alle Vorgänge, die direkt auf der Datenquelle ausgeführt werden (d. h. die Azure-Ressource oder -Workload, die geschützt ist) liegen außerhalb des Bereichs von Resource Guard.

Verwendungsszenarien

In der folgenden Tabelle sind die Szenarien zum Erstellen Ihrer Resource Guard-Instanz und -Tresore (Recovery Services Vault und Backup Vault) sowie der relative Schutz aufgeführt, den die einzelnen Dienste bieten.

Wichtig

Der Sicherungsadministrator darf in keinem Fall die Berechtigungen "Contributor", "Backup MUA Admin" oder "Backup MUA Operator" für Resource Guard besitzen. Diese Berechtigungen setzen den MUA-Schutz im Tresor außer Kraft.

Verwendungsszenario Schutz durch MUA Einfache Implementierung Hinweise
Vault und Resource Guard befinden sich im selben Abonnement.
Der Sicherungsadministrator hat keinen Zugriff auf Resource Guard.		 Geringste Isolation zwischen dem Sicherungsadministrator und dem Sicherheitsadministrator. Relativ einfach zu implementieren, da nur ein Abonnement erforderlich ist. Berechtigungen und Rollen auf Ressourcenebene müssen ordnungsgemäß zugewiesen werden.
Vault und Resource Guard befinden sich in verschiedenen Abonnements, aber im selben Mandanten.
Der Sicherungsadministrator hat keinen Zugriff auf Resource Guard oder das entsprechende Abonnement.		 Mittlere Isolation zwischen dem Sicherungsadministrator und dem Sicherheitsadministrator. Mittlere Einfachheit der Implementierung, da zwei Abonnements (aber ein einzelner Mandant) erforderlich sind. Stellen Sie sicher, dass Berechtigungen und Rollen für die Ressource oder das Abonnement ordnungsgemäß zugewiesen sind.
Tresor und Resource Guard befinden sich in verschiedenen Mandanten.
Der Sicherungsadministrator hat keinen Zugriff auf Resource Guard, das entsprechende Abonnement oder den entsprechenden Mandanten.		 Maximale Isolation zwischen dem Sicherungsadministrator und dem Sicherheitsadministrator, der maximale Sicherheit bietet. Relativ schwierig zu testen, da zum Testen zwei Mandanten oder Verzeichnisse erforderlich sind. Stellen Sie sicher, dass Berechtigungen und Rollen für die Ressource, das Abonnement oder das Verzeichnis ordnungsgemäß zugewiesen sind.

Verwandte Inhalte

  • Last updated on