Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Você pode usar a MUA (autorização multiusuário) para o Backup do Azure para adicionar uma camada de proteção a operações críticas em seus cofres dos Serviços de Recuperação e cofres de Backup. Para o MUA, o Backup do Azure usa outro recurso do Azure chamado Resource Guard para garantir que as operações críticas sejam executadas somente com autorização aplicável.
A autorização para múltiplos usuários usando o Resource Guard para um cofre de backup agora está geralmente disponível.
Permissões para MUA para Backup do Azure
O Azure Backup usa o Resource Guard como um mecanismo de autorização adicional para um cofre do Recovery Services ou um cofre do Backup. Para executar uma operação crítica (descrita na próxima seção) com êxito, você deve ter permissões suficientes no Resource Guard.
Para que o MUA funcione conforme o esperado:
- Um usuário diferente deve ser proprietário da instância do Resource Guard.
- O administrador do cofre não deve ter permissões de Colaborador, Administrador do MUA de backup ou Operador do MUA de backup no Resource Guard.
Para fornecer melhor proteção, você pode colocar o Resource Guard em uma assinatura ou em um locatário diferente do que contém os cofres.
Operações críticas
A tabela a seguir lista as operações definidas como críticas e que o Resource Guard pode ajudar a proteger. Você pode optar por excluir determinadas operações sendo protegidas via Proteção de Recursos quando ao associar cofres a ela.
Observação
Não é possível excluir as operações indicadas como obrigatórias da proteção via Resource Guard nos cofres associados a ele. Além disso, as operações críticas excluídas se aplicariam a todos os cofres associados com a Proteção de Recursos.
| Operação | Obrigatório/Opcional | Descrição |
|---|---|---|
| Desabilitar os recursos de segurança ou exclusão temporária | Obrigatório | Desabilite a configuração de exclusão reversível em um cofre. |
| Remover a proteção MUA | Obrigatório | Desabilite a proteção da MUA em um cofre. |
| Excluir proteção | Opcional | Exclua a proteção interrompendo backups e excluindo dados. |
| Modificar a proteção | Opcional | Adicione uma nova política de backup com retenção reduzida ou altere a frequência da política para aumentar o RPO (objetivo do ponto de recuperação). |
| Modificar a política | Opcional | Modifique a política de backup para reduzir a retenção ou altere a frequência da política para aumentar o RPO. |
| Obter o PIN de segurança de backup | Opcional | Altere o PIN de segurança dos Serviços de Recuperação do Microsoft Azure (MARS). |
| Parar o backup e reter dados | Opcional | Exclua a proteção interrompendo backups e retendo dados para sempre ou retendo dados de acordo com a política. |
| Desabilitar a imutabilidade | Opcional | Desabilite a configuração de imutabilidade em um cofre. |
Conceitos e processo
Esta seção descreve os conceitos e os processos envolvidos ao usar o MUA para o Backup do Azure.
Para uma compreensão clara do processo e das responsabilidades, considere as duas personas a seguir. Essas personas são referenciadas ao longo deste artigo.
Administrador de backup: proprietário do cofre dos Serviços de Recuperação ou do cofre de Backup que executa operações de gerenciamento no cofre. No início, o administrador de backup não deve ter permissões no Resource Guard. O administrador de backup pode ter a função de controle de acesso baseado em função (RBAC) de Operador de Backup ou Contribuidor de Backup no cofre de Serviços de Recuperação.
Administrador da segurança: proprietário da instância de Proteção de Recursos que serve como o gatekeeper de operações críticas no cofre. O administrador da Segurança controla as permissões de que o administrador do backup precisa para executar operações críticas no cofre. O administrador de segurança pode ter a função RBAC de administrador do Backup MUA na Proteção de Recursos.
O diagrama a seguir mostra as etapas para executar uma operação crítica em um cofre que tem o MUA configurado por meio da Proteção de Recursos.
Este é o fluxo de eventos em um cenário típico:
O administrador de backup cria o cofre dos Serviços de Recuperação ou o cofre de Backup.
O administrador de segurança cria a instância do Resource Guard.
A instância da Proteção de Recursos pode estar em uma assinatura ou em um locatário diferente em relação ao cofre. Verifique se o administrador de backup não tem permissões de Colaborador, Administrador MUA de Backup ou Operador MUA de Backup no Resource Guard.
O administrador da segurança concede a função leitor ao administrador do backup para a Proteção de Recursos (ou um escopo relevante). O administrador de backup requer a função Leitor para habilitar o MUA no cofre.
O administrador de backup configura o MUA para ajudar a proteger o cofre usando a Proteção de Recursos.
Se o administrador de backup ou qualquer usuário que tenha acesso de gravação ao cofre quiser executar uma operação crítica protegida com a Proteção de Recursos no cofre, ele precisará solicitar acesso à Proteção de Recursos.
O administrador de backup pode entrar em contato com o administrador de segurança para obter detalhes sobre como obter acesso para executar essas operações. Eles podem fazer isso usando o PIM (privileged identity management) ou outros processos que a organização exige.
O administrador de backup pode solicitar a função RBAC do operador MUA de backup. Essa função permite que os usuários executem apenas operações críticas que o Resource Guard protege. Ele não permite a exclusão da instância do Resource Guard.
O administrador de segurança concede temporariamente a função Operador MUA de Backup no Resource Guard ao administrador de backup para executar operações críticas.
O administrador de backup inicia a operação crítica.
O Azure Resource Manager verifica se o administrador de backup tem permissões suficientes. Como o administrador de backup agora tem a função Operador MUA de Backup no Resource Guard, a solicitação é concluída. Se o administrador de backup não tiver as permissões ou funções necessárias, a solicitação falhará.
O administrador de segurança revoga os privilégios para executar operações críticas depois que as ações autorizadas são executadas ou após uma duração definida. Você pode usar as ferramentas JIT (just-in-time) no Microsoft Entra Privileged Identity Management para revogar os privilégios.
Observação
- Se você conceder a função de Colaborador ou Administrador de Unidade de Mensagens de Backup no acesso da Proteção de Recursos temporariamente ao administrador de backup, este acesso também concede permissões de exclusão na Proteção de Recursos. Recomendamos que você forneça somente permissões de Operador MUA de Backup.
- O MUA fornece proteção somente nas operações listadas anteriormente realizadas nos backups armazenados. Todas as operações executadas diretamente na fonte de dados (ou seja, o recurso do Azure ou a carga de trabalho protegida) estão além do escopo do Resource Guard.
Cenários de uso
A tabela a seguir lista os cenários para a criação da Proteção de Recursos e os cofres (cofre dos Serviços de Recuperação e cofre do Backup), acompanhados da proteção relativa oferecida por eles.
Importante
O administrador de backup não deve ter permissões de Colaborador, Administrador MUA de Backup ou Operador MUA de Backup para Proteção de Recursos em qualquer cenário. Essas permissões substituem a proteção MUA no cofre.
| Cenário de uso | Proteção devido à MUA | Facilidade de implementação | Anotações |
|---|---|---|---|
| O Cofre e o Resource Guard estão na mesma assinatura. O administrador de backup não tem acesso ao Resource Guard. |
Isolamento mínimo entre o administrador de backup e o administrador de segurança. | Relativamente fácil de implementar porque apenas uma assinatura é necessária. | As permissões e as funções no nível do recurso precisam ser atribuídas corretamente. |
| O cofre e a Proteção de Recursos estão em assinaturas diferentes, mas no mesmo locatário. O Administrador de backup não tem acesso à Proteção de Recursos nem à assinatura correspondente. |
Isolamento médio entre o administrador de backup e o administrador de segurança. | Facilidade média de implementação porque duas assinaturas (mas um único locatário) são necessárias. | Verifique se as permissões e funções estão atribuídas corretamente ao recurso ou à assinatura. |
| O Cofre e o Resource Guard estão em locatários diferentes.
O administrador de backup não tem acesso ao Resource Guard, à assinatura correspondente ou ao locatário correspondente. |
Isolamento máximo entre o administrador de backup e o administrador de segurança, que fornece segurança máxima. | Relativamente difícil de testar, porque requer dois locatários ou diretórios para teste. | Verifique se as permissões e funções estão atribuídas corretamente ao recurso, à assinatura ou ao diretório. |