Заблокируйте свои ресурсы Azure

Обычный вопрос при работе с Azure: «Как защитить свои критически важные ресурсы?» Часто этот вопрос связан с защитой этих ресурсов от того, кто делает что-то, чего не должен делать. Существует несколько способов применить различные уровни контроля к ресурсам Azure: управление доступом на основе ролей (RBAC) и блокировки ресурсов.

Управление доступом на основе ролей (RBAC)

Используя контроль доступа на основе ролей, можно ограничить доступ к плоскости управления различными ресурсами Azure. Роли могут быть назначены для подписки, группы ресурсов и отдельной области ресурсов. Роль связана с конкретными правами (одно или несколько значений «действие», а не «действие»). В настоящее время есть 23 встроенных роли.

Использование RBAC — это отличный способ защитить ресурсы в Azure. С помощью Reader и различных ролей участника (например, участник виртуальной машины, участник учетной записи хранения, участник базы данных SQL и т. Д.) Вы можете эффективно ограничивать действия, которые пользователь может выполнять с ресурсом. Тем не менее, даже с одной из ролей участника, все еще возможно удалить определенные ресурсы. Это позволяет очень легко случайно удалить элемент. , , часто предмет, который не так легко вернуть, например учетную запись хранилища Azure. К сожалению! Блокировки ресурсов позволяют предотвратить удаление ресурсов.

Чтобы узнать больше о RBAC, ознакомьтесь с более ранней статьей Нила Макензи, озаглавленной « RBAC и Azure Resource Manager », а также « Ролевое управление доступом на портале Microsoft Azure » на главном сайте Azure.

Ресурсные замки

Оставшаяся часть этого поста будет посвящена относительно новой функции Azure Resource Manager — блокировке ресурсов. Чтобы работать с блокировками ресурсов, вам потребуется использовать командлеты Azure PowerShell в режиме диспетчера ресурсов Azure.

Switch-AzureMode AzureResourceManager

Вам также необходимо быть в роли «Владелец» или «Администратор доступа пользователя» для требуемой области, поскольку только Владельцы и Администраторы доступа пользователя имеют разрешение на запись в ресурсы Microsoft.Authorization, которые являются поставщиком ресурсов, который обрабатывает блокировки ресурсов.

Для получения дополнительной информации о «действиях» и «не действиях», связанных с конкретными ролями, см. Https://azure.microsoft.com/en-us/documentation/articles/role-based-access-control-configure/# встроенные роли .

Создать блокировку ресурса

Блокировка ресурса может применяться либо к группе ресурсов, либо к области ресурсов. Начиная с версии Azure PowerShell 0.9.3 доступен только один уровень блокировки — CanNotDelete .

Чтобы увидеть блокировки ресурсов в действии, давайте рассмотрим базовый пример создания учетной записи хранилища Azure и применения блокировки ресурса CanNotDelete .

$resourceGroup = 'CollierMedia'
$location = 'East US'
$storageAccountName = 'collierfiles2014'

# Create a new resource group.
New-AzureResourceGroup -Name $resourceGroup -Location $location

# Create a new Azure storage account in the new resource group.
New-AzureStorageAccount -ResourceGroupName $resourceGroup -Name $storageAccountName -Location $location -Type Standard_GRS

# Apply a resource lock to the storage account.
New-AzureResourceLock -LockLevel CanNotDelete `
-LockNotes 'No deleting!' `
-LockName 'CollierLock' `
-ResourceName $storageAccountName `
-ResourceType 'Microsoft.Storage/storageAccounts' `
-ResourceGroup $resourceGroup -Verbose

# List all the resource locks in the current subscription.
Get-AzureResourceLock

New-AzureResourceLock -LockLevel CanNotDelete `
-LockNotes 'No deleting!' `
-LockName 'CollierGroupLock' `
-ResourceGroup 'CollierMedia' -Verbose

Remove-AzureResourceLock -ResourceId '/subscriptions/0bbbc191-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/CollierMedia/providers/Microsoft.Storage/storageAccounts/collierfiles2014/providers/Microsoft.Authorization/locks/CollierLock'

{
"$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"newStorageAccountName": {
"type": "string",
"metadata": {
"description": "Name of the Storage Account"
}

},

"storageAccountType": {
"type": "string",
"defaultValue": "Standard_LRS",
"allowedValues": [
"Standard_LRS",
"Standard_GRS",
"Standard_ZRS"
],

"metadata": {
"description": "Storage Account type"

}

},

"location": {
"type": "string",
"allowedValues": [
"East US",
"West US",
"West Europe",
"East Asia",
"Southeast Asia"
],

"metadata": {
"description": "Location of storage account"
}
}
},

"resources": [
{
"type": "Microsoft.Storage/storageAccounts",
"name": "[parameters('newStorageAccountName')]",
"apiVersion": "2015-05-01-preview",
"location": "[parameters('location')]",
"properties": {
"accountType": "[parameters('storageAccountType')]"
},

"resources": [
{
"type": "Microsoft.Storage/storageAccounts/providers/locks",
"name": "[concat(parameters('newStorageAccountName'), '/Microsoft.Authorization/collierLock')]",
"apiVersion": "2015-01-01",
"dependsOn": [ "[concat('Microsoft.Storage/storageAccounts/', parameters('newStorageAccountName'))]" ],
"properties": {
"level": "CannotDelete",
"notes": "Mike's important files - do not delete!"
}
}
]
}
]
}

{

"location": {

"value": "East US"

},

"newStorageAccountName" : {

"value" : "collierimages2015"

},

"storageAccountType": {

"value": "Standard_GRS"

}

}

New-AzureResourceGroupDeployment -ResourceGroupName 'CollierMedia' `
-TemplateFile 'azuredeploy.json' `
-TemplateParameterFile 'azuredeploy.parameters.json' `
-Verbose

Test-AzureResourceGroupTemplate -ResourceGroupName 'CollierMedia' `
-TemplateFile 'azuredeploy.json' `
-TemplateParameterFile 'azuredeploy.parameters.json' `
-Verbose