Compartilhar via

Desabilitar a autenticação local na Automação

Importante

  • A aplicação de patches de Gerenciamento de Atualizações não funcionará quando a autenticação local estiver desabilitada.
  • Quando você desabilitar a autenticação local, ela afeta o início de um runbook usando um webhook, a sincronização automática do controle do código-fonte, a Automação de Configuração de Estado Desejado e os agentes Hybrid Runbook Workers. Para saber mais, confira as alternativas disponíveis.

A Automação do Azure fornece suporte para a autenticação do Microsoft Entra para todos os pontos de extremidade públicos do serviço de Automação. Esse aprimoramento crítico de segurança remove as dependências de certificado e fornece às organizações o controle para desabilitar os métodos de autenticação local. Esse recurso fornece integração direta quando são necessários o controle centralizado e o gerenciamento de identidades e credenciais de recursos por meio do Microsoft Entra ID.

A automação do Azure fornece um recurso opcional para "Desabilitar a autenticação local" no nível de conta de Automação usando a política do Azure Configurar a conta de automação do Azure para desabilitar a autenticação local. Por padrão, esse sinalizador é definido como false na conta, para que você possa usar a autenticação local e a autenticação do Microsoft Entra. Se você optar por desabilitar a autenticação local, o serviço de Automação só aceitará a autenticação baseada no Microsoft Entra ID.

No portal do Azure, você poderá receber uma mensagem de aviso na página de aterrissagem da conta de Automação selecionada se a autenticação estiver desabilitada. Para confirmar se a política de autenticação local está habilitada, use o cmdlet do PowerShell Get-AzAutomationAccount e verifique a propriedade DisableLocalAuth. Um valor true significa que a autenticação local está desabilitada.

A desabilitação da autenticação local não entrará em vigor imediatamente. Aguarde alguns minutos para que o serviço bloqueie solicitações de autenticação futuras.

Observação

  • Atualmente, o suporte do PowerShell para a nova versão da API (2021-06-22) ou o sinalizador – DisableLocalAuth não está disponível. No entanto, você pode usar a API REST com essa versão da API para atualizar o sinalizador. Veja como fazer isso com o Invoke-AzRestMethod cmdlet.
$SubscriptionId = "your-subscription-id"
$ResourceGroupName = "your-resource-group-name"
$AutomationAccountName = "your-automation-account-name"
$RequestUri = "https://management.azure.com/subscriptions/$SubscriptionId/resourceGroups/$ResourceGroupName/providers/Microsoft.Automation/automationAccounts/$($AutomationAccountName)?api-version=2023-11-01"
$Payload = @{
    properties = @{
        disableLocalAuth = $true
    }
} | ConvertTo-Json
Invoke-AzRest -Method Patch -Uri $RequestUri -Payload $Payload

# Verify
$AutomationAccount = (Invoke-AzRest -Method Get -Uri $RequestUri).Content | ConvertFrom-Json
"disableLocalAuth = $($AutomationAccount.properties.disableLocalAuth)"

Reabilitar a autenticação local

Para habilitar novamente a autenticação local, altere as propriedades de disableLocalAuth = $true para disableLocalAuth = $false no script do PowerShell acima e use o mesmo cmdlet Invoke-AzRestMethod.  Aguarde alguns minutos para que o serviço aceite a alteração para permitir solicitações de autenticação local.

Compatibilidade

A tabela a seguir descreve os comportamentos ou recursos que são impedidos de trabalhar quando se desabilita a autenticação local.

Cenário Alternativa
Iniciando um runbook com um webhook. Inicie um trabalho de runbook usando um modelo do Azure Resource Manager, que usa a autenticação do Microsoft Entra.
Usando a Configuração de Estado Desejado de Automação. Use a Configuração de convidado do Azure Policy.  
Usando Hybrid Runbook Workers baseados em agente. Use o Hybrid Runbook Worker baseado em extensão.
Usar o Gerenciamento de atualizações da Automação Usar o Gerenciador de Atualizações do Azure

Próximas etapas

  • Last updated on