Udostępnij przez

Zaufane usługi platformy Azure

Jeśli musisz włączyć ruch z usługi platformy Azure poza granicą sieci, możesz dodać wyjątek zabezpieczeń sieci. Jest to przydatne, gdy usługa platformy Azure działa z sieci, której nie można uwzględnić w regułach sieci wirtualnej ani sieci IP. Na przykład niektóre usługi mogą wymagać odczytywania dzienników zasobów i metryk na twoim koncie. Dostęp do odczytu dla plików dziennika, tabel metryk lub obu tych elementów można umożliwić, tworząc wyjątek reguły sieciowej. Te usługi łączą się z kontem przechowywania przy użyciu silnego uwierzytelniania.

Aby dowiedzieć się, jak dodać wyjątek zabezpieczeń sieci, zobacz Zarządzanie wyjątkami zabezpieczeń sieci.

Zaufany dostęp do zasobów zarejestrowanych w dzierżawie usługi Microsoft Entra

W przypadku niektórych usług zasoby mogą uzyskiwać dostęp do konta magazynowego w celu wykonywania określonych operacji, takich jak zapis dzienników lub tworzenie kopii zapasowych. Te usługi muszą być zarejestrowane w subskrypcji, która znajduje się w tym samym dzierżawie Entra firmy Microsoft co konto magazynowe. W poniższej tabeli opisano każdą usługę i dozwolone operacje.

Usługa Nazwa dostawcy zasobów Dozwolone operacje
Azure Backup Microsoft.RecoveryServices Uruchamianie kopii zapasowych i przywracania dysków niezarządzanych na maszynach wirtualnych infrastruktury jako usługi (IaaS) (nie jest to wymagane w przypadku dysków zarządzanych). Dowiedz się więcej.
Azure Data Box Microsoft.DataBox Importowanie danych na platformę Azure. Dowiedz się więcej.
Azure Data Explorer Microsoft.Kusto Odczytaj dane do przetwarzania i zewnętrznych tabel oraz zapisz dane do zewnętrznych tabel. Dowiedz się więcej.
Azure DevTest Labs Microsoft.DevTestLab Tworzenie niestandardowych obrazów i instalowanie artefaktów. Dowiedz się więcej.
Azure Event Grid Microsoft.EventGrid Włącz publikowanie zdarzeń w usłudze Azure Blob Storage i zezwalaj na publikowanie do kolejek magazynu.
Azure Event Hubs Microsoft.EventHub Archiwizowanie danych za pomocą Event Hubs Capture. Dowiedz się więcej.
Azure File Sync Microsoft.StorageSync Przekształć lokalny serwer plików w pamięć podręczną udostępnionych plików Azure. Ta funkcja umożliwia synchronizację wielu lokacji, szybkie odzyskiwanie po awarii i tworzenie kopii zapasowych po stronie chmury. Dowiedz się więcej.
Azure HDInsight Microsoft.HDInsight Aprowizuj początkową zawartość domyślnego systemu plików dla nowego klastra usługi HDInsight. Dowiedz się więcej.
Usługa Azure Import/Export Microsoft.ImportExport Zaimportuj dane do usługi Azure Storage lub wyeksportuj dane z usługi Azure Storage. Dowiedz się więcej.
Azure Monitor Microsoft.Insights Zapisuj dane monitorowania na zabezpieczonym koncie magazynu, w tym dzienniki zasobów, dane Microsoft Defender dla punktu końcowego, dzienniki logowania i inspekcji Microsoft Entra oraz dzienniki usługi Microsoft Intune. Dowiedz się więcej.
Usługi sieciowe platformy Azure Microsoft.Network Przechowywanie i analizowanie dzienników ruchu sieciowego, w tym za pośrednictwem usług Azure Network Watcher i Azure Traffic Manager. Dowiedz się więcej.
Azure Site Recovery Microsoft.SiteRecovery Włącz replikację w celu odzyskiwania danych po awarii maszyn wirtualnych IaaS platformy Azure, gdy używasz pamięci podręcznej z włączoną funkcją zapory, źródłowych lub docelowych kont magazynu. Dowiedz się więcej.

Zaufany dostęp oparty na zarządzanej tożsamości

W poniższej tabeli wymieniono usługi mogące uzyskiwać dostęp do danych konta magazynowego, pod warunkiem, że wystąpienia zasobów tych usług mają odpowiednie uprawnienia.

Usługa Nazwa dostawcy zasobów Przeznaczenie
Azure FarmBeats Microsoft.AgFoodPlatform/farmBeats Umożliwia dostęp do kont magazynu.
Azure API Management Microsoft.ApiManagement/service Umożliwia dostęp do kont pamięci masowej za zaporami za pośrednictwem polityk. Dowiedz się więcej.
Systemy autonomiczne firmy Microsoft Microsoft.AutonomousSystems/workspaces Umożliwia dostęp do kont magazynu.
Azure Cache for Redis Microsoft.Cache/Redis Umożliwia dostęp do kont magazynu. Dowiedz się więcej.
Wyszukiwanie AI platformy Azure Microsoft.Search/searchServices Umożliwia dostęp do kont magazynu na potrzeby indeksowania, przetwarzania i wykonywania zapytań.
Usługi sztucznej inteligencji platformy Azure Microsoft.CognitiveService/accounts Umożliwia dostęp do kont magazynu. Dowiedz się więcej.
Microsoft Cost Management Microsoft.CostManagementExports Umożliwia eksport do kont magazynowych znajdujących się za zaporą. Dowiedz się więcej.
Azure Databricks Microsoft.Databricks/accessConnectors Umożliwia dostęp do kont magazynu. Bezserwerowe magazyny SQL wymagają dodatkowej konfiguracji. Dowiedz się więcej.
Azure Data Factory Microsoft.DataFactory/factories Umożliwia dostęp do kont magazynu za pośrednictwem środowiska uruchomieniowego usługi Data Factory.
Azure Data Explorer Microsoft.Kusto/Clusters Odczytaj dane do przetwarzania i zewnętrznych tabel oraz zapisz dane do zewnętrznych tabel. Dowiedz się więcej.
Magazyn kopii zapasowych Azure Microsoft.DataProtection/BackupVaults Umożliwia dostęp do kont magazynu.
Azure Data Share Microsoft.DataShare/accounts Umożliwia dostęp do kont magazynu.
Azure Database for PostgreSQL Microsoft.DBForPostgreSQL Umożliwia dostęp do kont magazynu.
Rejestr urządzeń platformy Azure Microsoft.DeviceRegistry/schemaRegistries Umożliwia dostęp do kont magazynu.
Azure IoT Hub Microsoft.Devices/IotHubs Umożliwia zapisywanie danych z centrum IoT w usłudze Blob Storage. Dowiedz się więcej.
Azure DevTest Labs Microsoft.DevTestLab/labs Umożliwia dostęp do kont magazynu.
Azure Event Grid Microsoft.EventGrid/domains Umożliwia dostęp do kont magazynu.
Azure Event Grid Microsoft.EventGrid/partnerTopics Umożliwia dostęp do kont magazynu.
Azure Event Grid Microsoft.EventGrid/systemTopics Umożliwia dostęp do kont magazynu.
Azure Event Grid Microsoft.EventGrid/topics Umożliwia dostęp do kont magazynu.
Microsoft Fabric Microsoft.Fabric Umożliwia dostęp do kont magazynu.
Azure Healthcare APIs Microsoft.HealthcareApis/services Umożliwia dostęp do kont magazynu.
Azure Healthcare APIs Microsoft.HealthcareApis/workspaces Umożliwia dostęp do kont magazynu.
Azure IoT Central Microsoft.IoTCentral/IoTApps Umożliwia dostęp do kont magazynu.
Zarządzany moduł HSM usługi Azure Key Vault Microsoft.keyvault/managedHSMs Umożliwia dostęp do kont magazynu.
Aplikacje logiki Azure Microsoft.Logic/integrationAccounts Umożliwia aplikacjom logicznym dostęp do kont magazynowych. Dowiedz się więcej.
Aplikacje logiki Azure Microsoft.Logic/workflows Umożliwia aplikacjom logicznym dostęp do kont magazynowych. Dowiedz się więcej.
Azure Machine Learning studio Microsoft.MachineLearning/registries Umożliwia autoryzowanym obszarom roboczym usługi Azure Machine Learning zapisywanie danych wyjściowych eksperymentów, modeli i dzienników w usłudze Blob Storage oraz odczytywanie danych. Dowiedz się więcej.
Azure Machine Learning Microsoft.MachineLearningServices Umożliwia autoryzowanym obszarom roboczym usługi Azure Machine Learning zapisywanie danych wyjściowych eksperymentów, modeli i dzienników w usłudze Blob Storage oraz odczytywanie danych. Dowiedz się więcej.
Azure Machine Learning Microsoft.MachineLearningServices/workspaces Umożliwia autoryzowanym obszarom roboczym usługi Azure Machine Learning zapisywanie danych wyjściowych eksperymentów, modeli i dzienników w usłudze Blob Storage oraz odczytywanie danych. Dowiedz się więcej.
Azure Media Services Microsoft.Media/mediaservices Umożliwia dostęp do kont magazynu.
Azure Migrate Microsoft.Migrate/migrateprojects Umożliwia dostęp do kont magazynu.
Azure ExpressRoute Microsoft.Network/expressRoutePorts Umożliwia dostęp do kont magazynu.
Microsoft Power Platform Microsoft.PowerPlatform/enterprisePolicies Umożliwia dostęp do kont magazynu.
Microsoft Project Arcadia Microsoft.ProjectArcadia/workspaces Umożliwia dostęp do kont magazynu.
Azure Data Catalog Microsoft.ProjectBabylon/accounts Umożliwia dostęp do kont magazynu.
Microsoft Purview Microsoft.Purview/accounts Umożliwia dostęp do kont magazynu.
Azure Site Recovery Microsoft.RecoveryServices/vaults Umożliwia dostęp do kont magazynu.
Security Center Microsoft.Security/dataScanners Umożliwia dostęp do kont magazynu.
Osobliwość Microsoft.Singularity/accounts Umożliwia dostęp do kont magazynu.
Akcje magazynu Azure Microsoft.Storageactions/Storagetasks Umożliwia dostęp do kont magazynu.
Azure SQL Database Microsoft.Sql Umożliwia zapisywanie danych audytu na kontach magazynowych za zaporą.
Serwery SQL w Azure Microsoft.Sql/servers Umożliwia zapisywanie danych audytu na kontach magazynowych za zaporą.
Azure Synapse Analytics Microsoft.Sql Umożliwia importowanie i eksportowanie danych z określonych baz danych SQL za pośrednictwem COPY instrukcji lub technologii PolyBase (w dedykowanej puli) lub openrowset funkcji i tabel zewnętrznych w puli bezserwerowej. Dowiedz się więcej.
Azure Stream Analytics Microsoft.StreamAnalytics Umożliwia zapisywanie danych z zadania przesyłania strumieniowego do usługi Blob Storage. Dowiedz się więcej.
Azure Stream Analytics Microsoft.StreamAnalytics/streamingjobs Umożliwia zapisywanie danych z zadania przesyłania strumieniowego do usługi Blob Storage. Dowiedz się więcej.
Azure Synapse Analytics Microsoft.Synapse/workspaces Umożliwia dostęp do danych w usłudze Azure Storage.
Azure Video Indexer Microsoft.VideoIndexer/Accounts Umożliwia dostęp do kont magazynu.

Jeśli Twoje konto nie ma włączonej funkcji hierarchicznej przestrzeni nazw, możesz udzielić uprawnień, jawnie przypisując rolę platformy Azure do tożsamości zarządzanej dla każdego wystąpienia zasobu. W tym przypadku zakres dostępu dla wystąpienia odpowiada roli usługi Azure przypisanej do tożsamości zarządzanej.

Możesz użyć tej samej techniki dla konta, które ma włączoną funkcję hierarchicznej przestrzeni nazw. Nie musisz jednak przypisywać roli platformy Azure, jeśli dołączysz zarządzaną tożsamość do listy kontroli dostępu (ACL) dowolnego katalogu lub obiektu blob w koncie magazynowym, które posiadasz. W takim przypadku zakres dostępu dla wystąpienia odpowiada katalogowi lub plikowi, do którego ma dostęp tożsamość zarządzana.

Możesz również połączyć role platformy Azure i listy kontroli dostępu (ACL) w celu udzielenia dostępu. Aby dowiedzieć się więcej, zobacz Model kontroli dostępu w usłudze Azure Data Lake Storage.

Zalecamy używanie reguł wystąpień zasobów w celu udzielenia dostępu do określonych zasobów.

Zobacz także

  • Last updated on