Configurare l'autorizzazione multiutente usando Resource Guard in Backup di Azure

Questo articolo descrive come configurare l'autorizzazione multiutente per Backup di Azure per aggiungere un ulteriore livello di protezione alle operazioni critiche sugli insiemi di credenziali di Servizi di ripristino.

Questo articolo illustra la creazione di Resource Guard in un tenant diverso che offre la massima protezione. Illustra anche come richiedere e approvare le richieste per l'esecuzione di operazioni critiche usando Microsoft Entra Privileged Identity Management nel tenant che ospita Resource Guard. Facoltativamente, è possibile usare altri meccanismi per gestire le autorizzazioni JIT in Resource Guard in base alla configurazione.

Prima di iniziare

• Verificare che Resource Guard e l'insieme di credenziali di Servizi di ripristino si trovino nella stessa area di Azure.
• Assicurarsi che l'amministratore di Backup non disponga delle autorizzazioni Collaboratore, Amministratore MUA backup o Operatore MUA di backup per Resource Guard. È possibile scegliere di avere Resource Guard in un'altra sottoscrizione della stessa directory o in un'altra directory per garantire il massimo isolamento.
• Assicurarsi che le sottoscrizioni contenenti l'insieme di credenziali di Servizi di ripristino e Resource Guard (in sottoscrizioni o tenant diversi) siano registrate per usare i provider Microsoft.RecoveryServices e Microsoft.DataProtection. Per altre informazioni, vedere Provider e tipi di risorse di Azure.

Informazioni sui vari scenari di utilizzo di MUA.

Creare una Risorsa Guard

L'amministratore della sicurezza crea Resource Guard. È consigliabile crearla in una sottoscrizione diversa o in un tenant diverso come insieme di credenziali. Tuttavia, deve trovarsi nella stessa area dell'insieme di credenziali. L'amministratore del backup non deve avere accesso come Collaboratore, Amministratore MUA backup o Operatore MUA di backup in Resource Guard o nella sottoscrizione che lo contiene.

Scegliere un client

New-AzDataProtectionResourceGuard -Location “Location” -Name “ResourceGuardName” -ResourceGroupName “rgName”

az dataprotection resource-guard create --location "Location" --tags key1="val1" --resource-group "RgName" --resource-guard-name "ResourceGuardName"

Selezionare le operazioni da proteggere con Resource Guard

Scegliere le operazioni da proteggere usando Resource Guard per tutte le operazioni critiche supportate. Per impostazione predefinita, tutte le operazioni critiche supportate sono abilitate. Tuttavia, l'utente (come amministratore della sicurezza) può esentare determinate operazioni dalla purview di MUA usando Resource Guard.

Scegliere un client

$resourceGuard = Get-AzDataProtectionResourceGuard -SubscriptionId "xxxxxxxx-xxxx-xxxx-xxxxxxxxxxxx" -ResourceGroupName "rgName" -Name "resGuardName"
$criticalOperations = $resourceGuard.ResourceGuardOperation.VaultCriticalOperation
$operationsToBeExcluded = $criticalOperations | Where-Object { $_ -match "backupSecurityPIN/action" -or $_ -match "backupInstances/delete" }


Update-AzDataProtectionResourceGuard -SubscriptionId "xxxxxxxx-xxxx-xxxx-xxxxxxxxxxxx" -ResourceGroupName "rgName" -Name $resourceGuard.Name -CriticalOperationExclusionList $operationsToBeExcluded

az dataprotection resource-guard update --name
                                       --resource-group
                                       [--critical-operation-exclusion-list {deleteProtection, getSecurityPIN, updatePolicy, updateProtection}]
                                       [--resource-type {Microsoft.RecoveryServices/vaults}]
                                       [--tags]
                                       [--type]

az dataprotection resource-guard update --resource-group "RgName" --resource-guard-name "ResourceGuardName" --resource-type "Microsoft.RecoveryServices/vaults" --critical-operation-exclusion-list deleteProtection getSecurityPIN updatePolicy   

Assegnare le autorizzazioni all'amministratore di Backup in Resource Guard per abilitare MUA

Per abilitare MUA in un insieme di credenziali, l'amministratore dell'insieme di credenziali deve avere il ruolo Lettore nella sottoscrizione o in Resource Guard contenente Resource Guard. Per assegnare il ruolo Lettore in Resource Guard:

1. Nel pannello Resource Guard creato in precedenza passare al pannello Controllo di accesso (IAM) e quindi passare a Aggiungi assegnazione di ruolo.

   

2. Selezionare Lettore nell'elenco dei ruoli predefiniti e selezionare Avanti.

   

3. Fare clic su Seleziona membri e aggiungere l'ID di posta elettronica dell'amministratore di backup per aggiungerli come lettore. In questo caso, l'amministratore di Backup si trova in un altro tenant, che verrà aggiunto come guest al tenant contenente Resource Guard.

4. Fare clic su Seleziona e quindi passare a Rivedi e assegna per completare l'assegnazione di ruolo.

   

Abilitare MUA in un insieme di credenziali di Servizi di ripristino

Al termine dell'assegnazione di ruolo Lettore in Resource Guard, abilitare l'autorizzazione multiutente negli insiemi di credenziali (come amministratore di Backup) gestiti.

Scegliere un client

$token = (Get-AzAccessToken -TenantId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx").Token
Set-AzRecoveryServicesResourceGuardMapping -VaultId “VaultArmId” -ResourceGuardId "ResourceGuardArmId" -Token $token

az backup vault resource-guard-mapping update --resource-guard-id
                                             [--ids]
                                             [--name]
                                             [--resource-group]
                                             [--tenant-id]

az backup vault resource-guard-mapping update --resource-group RgName --name VaultName --resource-guard-id ResourceGuardId

Operazioni protette con MUA

Dopo aver abilitato MUA, le operazioni nell'ambito saranno limitate nell'insieme di credenziali, se l'amministratore di Backup tenta di eseguirle senza avere il ruolo necessario (ovvero, il ruolo Operatore MUA di backup) in Resource Guard.

Di seguito è illustrata un'illustrazione di ciò che accade quando l'amministratore di Backup tenta di eseguire tale operazione protetta( ad esempio, la disabilitazione dell'eliminazione temporanea è illustrata qui. Altre operazioni protette hanno un'esperienza simile). I passaggi seguenti vengono eseguiti da un amministratore di Backup senza autorizzazioni necessarie.

1. Per disabilitare l'eliminazione temporanea, passare all'insieme di credenziali di Servizi >di ripristino Proprietà>Impostazioni di sicurezza e selezionare Aggiorna, che visualizza le impostazioni di sicurezza.

2. Disabilitare l'eliminazione temporanea usando il dispositivo di scorrimento. Si è informati che si tratta di un'operazione protetta ed è necessario verificarne l'accesso a Resource Guard.

3. Selezionare la directory contenente Resource Guard e Autenticarsi. Questo passaggio potrebbe non essere necessario se Resource Guard si trova nella stessa directory dell'insieme di credenziali.

4. Continuare a selezionare Salva. La richiesta ha esito negativo e viene visualizzato un errore che informa di non disporre di autorizzazioni sufficienti per Resource Guard per consentire l'esecuzione di questa operazione.

   

Autorizzare operazioni critiche (protette) con Microsoft Entra Privileged Identity Management

Le sezioni seguenti illustrano l'autorizzazione di queste richieste tramite PIM. In alcuni casi potrebbe essere necessario eseguire operazioni critiche sui backup e muA per assicurarsi che vengano eseguite solo quando esistono le approvazioni o le autorizzazioni appropriate. Come illustrato in precedenza, l'amministratore di Backup deve avere un ruolo Operatore MUA di backup in Resource Guard per eseguire operazioni critiche nell'ambito di Resource Guard. Uno dei modi per consentire operazioni just-in-time è l'uso di Microsoft Entra Privileged Identity Management.

Creare un'assegnazione idonea per l'amministratore del backup (se si usa Microsoft Entra Privileged Identity Management)

L'amministratore della sicurezza può usare PIM per creare un'assegnazione idonea per l'amministratore del backup e fornire il ruolo Operatore MUA di backup a Resource Guard. Ciò consente all'amministratore di Backup di generare una richiesta (per il ruolo Operatore MUA di backup) quando è necessario eseguire un'operazione protetta. A tale scopo, l'amministratore della sicurezza esegue le operazioni seguenti:

1. Nel tenant di sicurezza (che contiene Resource Guard), passare a Privileged Identity Management (cercarlo nella barra di ricerca nella portale di Azure) e quindi passare a Risorse di Azure (in Gestisci nel menu a sinistra).

2. Selezionare la risorsa (Resource Guard o la sottoscrizione/RG contenitore) a cui si vuole assegnare il ruolo Operatore MUA di backup.

   Se la risorsa corrispondente non viene visualizzata nell'elenco delle risorse, assicurarsi di aggiungere la sottoscrizione contenitore da gestire da PIM.

3. Nella risorsa selezionata passare a Assegnazioni (in Gestisci nel menu a sinistra) e passare a Aggiungi assegnazioni.

   

4. In Aggiungi assegnazioni:

   1. Selezionare il ruolo come Operatore MUA di backup.
   2. Passare a Seleziona membri e aggiungere il nome utente (o gli ID di posta elettronica) dell'amministratore di backup.
   3. Selezionare Avanti.

   

5. Nella schermata successiva:

   1. In Tipo di assegnazione scegliere Idoneo.
   2. Specificare la durata per cui l'autorizzazione idonea è valida.
   3. Selezionare Assegna per completare la creazione dell'assegnazione idonea.

   

Configurare i responsabili approvazione per l'attivazione del ruolo Operatore MUA di backup

Per impostazione predefinita, l'installazione precedente potrebbe non avere un responsabile approvazione (e un requisito del flusso di approvazione) configurato in PIM. Per assicurarsi che i responsabili approvazione dispongano del ruolo Operatore MUA di backup per l'approvazione della richiesta, l'amministratore della sicurezza deve seguire questa procedura:

1. In Microsoft Entra PIM selezionare Risorse di Azure sulla barra di spostamento a sinistra e selezionare Resource Guard.

2. Passare a Impostazioni e quindi passare al ruolo Operatore MUA di backup.

   

3. Selezionare Modifica per aggiungere i revisori che devono esaminare e approvare la richiesta di attivazione per il ruolo Operatore MUA di backup nel caso in cui i responsabili approvazione visualizzino Nessuno o visualizzino responsabili approvazione non corretti.

4. Nella scheda Attivazione selezionare Richiedi approvazione per attivare e aggiungere i responsabili approvazione che devono approvare ogni richiesta.

5. Selezionare le opzioni di sicurezza, ad esempio l'autenticazione a più fattori (MFA), l'autorizzazione del ticket per attivare il ruolo Operatore MUA di backup.

6. Selezionare le opzioni appropriate nelle schede Assegnazione e Notifica in base alle esigenze.

   

7. Selezionare Aggiorna per completare l'installazione dei responsabili approvazione per attivare il ruolo Operatore MUA di backup.

Richiedere l'attivazione di un'assegnazione idonea per eseguire operazioni critiche

Dopo che l'amministratore della sicurezza ha creato un'assegnazione idonea, l'amministratore di backup deve attivare l'assegnazione per il ruolo Operatore MUA di backup per poter eseguire azioni protette.

Per attivare l'assegnazione di ruolo, seguire questa procedura:

1. Passare a Microsoft Entra Privileged Identity Management. Se Resource Guard si trova in un'altra directory, passare a tale directory e quindi passare a Microsoft Entra Privileged Identity Management.

2. Passare a Ruoli personali Risorse> di Azure nel menu a sinistra.

3. Selezionare Attiva per attivare l'assegnazione idonea per il ruolo Operatore MUA di backup.

   Viene visualizzata una notifica che informa che la richiesta viene inviata per l'approvazione.

   

Approvare l'attivazione delle richieste per eseguire operazioni critiche

Quando l'amministratore di Backup genera una richiesta di attivazione del ruolo Operatore MUA di backup, la richiesta deve essere esaminata e approvata dall'amministratore della sicurezza.

1. Nel tenant di sicurezza passare a Microsoft Entra Privileged Identity Management.
2. Passare a Approva richieste.
3. In Risorse di Azure è possibile visualizzare la richiesta generata dall'amministratore di Backup che richiede l'attivazione come operatore MUA di backup.
4. Esaminare la richiesta. Se originale, selezionare la richiesta e selezionare Approva per approvarla.
5. L'amministratore di Backup viene informato tramite posta elettronica (o altri meccanismi di avviso dell'organizzazione) che la richiesta è ora approvata.
6. Dopo l'approvazione, l'amministratore di Backup può eseguire operazioni protette per il periodo richiesto.

Esecuzione di un'operazione protetta dopo l'approvazione

Dopo aver approvato la richiesta dell'amministratore di backup per il ruolo Operatore MUA di backup in Resource Guard, è possibile eseguire operazioni protette nell'insieme di credenziali associato. Se Resource Guard si trova in un'altra directory, l'amministratore di backup dovrà eseguire l'autenticazione.

Lo screenshot seguente mostra un esempio di disabilitazione dell'eliminazione temporanea per un insieme di credenziali abilitato per MUA.

Disabilitare MUA in un insieme di credenziali di Servizi di ripristino

La disabilitazione di MUA è un'operazione protetta, quindi gli insiemi di credenziali sono protetti tramite MUA. Se l'amministratore del backup vuole disabilitare MUA, è necessario avere il ruolo Operatore MUA di backup richiesto in Resource Guard.

Scegliere un client

$token = (Get-AzAccessToken -TenantId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx").Token
Remove-AzRecoveryServicesResourceGuardMapping -VaultId “VaultArmId”  -Token $token

az backup vault resource-guard-mapping delete [--ids]
                                             [--name]
                                             [--resource-group]
                                             [--tenant-id]
                                             [--yes]

L'ID tenant è obbligatorio se la protezione delle risorse esiste in un tenant diverso.

Esempio:

az backup vault resource-guard-mapping delete --resource-group RgName --name VaultName

Questo articolo descrive come configurare l'autorizzazione multiutente per Backup di Azure per aggiungere un ulteriore livello di protezione alle operazioni critiche nell'insieme di credenziali di backup.

Questo articolo illustra la creazione di Resource Guard in un tenant diverso che offre la massima protezione. Illustra anche come richiedere e approvare le richieste per l'esecuzione di operazioni critiche usando Microsoft Entra Privileged Identity Management nel tenant che ospita Resource Guard. Facoltativamente, è possibile usare altri meccanismi per gestire le autorizzazioni JIT in Resource Guard in base alla configurazione.

Prima di iniziare

• Assicurarsi che Resource Guard e l'insieme di credenziali di backup si trovino nella stessa area di Azure.
• Assicurarsi che l'amministratore di Backup non disponga delle autorizzazioni Collaboratore, Amministratore MUA backup o Operatore MUA di backup per Resource Guard. È possibile scegliere di avere Resource Guard in un'altra sottoscrizione della stessa directory o in un'altra directory per garantire il massimo isolamento.
• Assicurarsi che le sottoscrizioni contengano l'insieme di credenziali di Backup e Resource Guard (in sottoscrizioni o tenant diversi) siano registrate per usare il provider Microsoft.DataProtection 4. Per altre informazioni, vedere Provider e tipi di risorse di Azure.

Informazioni sui vari scenari di utilizzo di MUA.

Creare una Risorsa Guard

L'amministratore della sicurezza crea Resource Guard. È consigliabile crearla in una sottoscrizione diversa o in un tenant diverso come insieme di credenziali. Tuttavia, deve trovarsi nella stessa area dell'insieme di credenziali.

L'amministratore del backup non deve avere accesso come collaboratore, amministratore MUA di backup o operatore MUA di backup in Resource Guard o nella sottoscrizione che lo contiene.

Per creare Resource Guard in un tenant diverso dal tenant dell'insieme di credenziali come amministratore della sicurezza, seguire questa procedura:

1. Nella portale di Azure passare alla directory in cui si vuole creare Resource Guard.

   

2. Cercare Resource Guard nella barra di ricerca e quindi selezionare l'elemento corrispondente nell'elenco a discesa.

   

   1. Selezionare Crea per creare una Risorsa Guard.
   2. Nel pannello Crea immettere i dettagli necessari per Resource Guard.
      • Assicurarsi che Resource Guard si trova nella stessa area di Azure dell'insieme di credenziali di Backup.
      • Aggiungere una descrizione su come richiedere l'accesso per eseguire azioni sugli insiemi di credenziali associati quando necessario. Questa descrizione viene visualizzata negli insiemi di credenziali associati per guidare l'amministratore di Backup su come ottenere le autorizzazioni necessarie.

3. Nella scheda Operazioni protette selezionare le operazioni da proteggere usando questa protezione delle risorse nella scheda Insieme di credenziali di backup.

   Attualmente, la scheda Operazioni protette include solo l'opzione Elimina istanza di backup da disabilitare.

   È anche possibile selezionare le operazioni per la protezione dopo la creazione di Resource Guard.

   

4. Facoltativamente, aggiungere eventuali tag a Resource Guard in base ai requisiti.

5. Selezionare Rivedi e crea e quindi seguire le notifiche per monitorare lo stato e la creazione corretta di Resource Guard.

Selezionare le operazioni da proteggere con Resource Guard

Dopo la creazione dell'insieme di credenziali, l'amministratore della sicurezza può anche scegliere le operazioni per la protezione usando Resource Guard tra tutte le operazioni critiche supportate. Per impostazione predefinita, tutte le operazioni critiche supportate sono abilitate. Tuttavia, l'amministratore della sicurezza può esentare determinate operazioni dall'eliminazione di MUA tramite Resource Guard.

Per selezionare le operazioni per la protezione, seguire questa procedura:

1. Nella scheda Resource Guard creata passare alla scheda Proprietà>Insieme di credenziali di backup.

2. Selezionare Disabilita per le operazioni da escludere dall'autorizzazione.

   Non è possibile disabilitare le operazioni Rimuovi protezione MUA e Disabilita eliminazione temporanea.

3. Facoltativamente, nella scheda Insiemi di credenziali di backup aggiornare la descrizione per Resource Guard.

4. Seleziona Salva.

   

Assegnare le autorizzazioni all'amministratore di Backup in Resource Guard per abilitare MUA

L'amministratore di Backup deve avere il ruolo lettore nella sottoscrizione o in Resource Guard che contiene Resource Guard per abilitare MUA in un insieme di credenziali. L'amministratore della sicurezza deve assegnare questo ruolo all'amministratore di Backup.

Per assegnare il ruolo Lettore in Resource Guard, seguire questa procedura:

1. Nel pannello Resource Guard creato in precedenza passare al pannello Controllo di accesso (IAM) e quindi passare a Aggiungi assegnazione di ruolo.

   

2. Selezionare Lettore nell'elenco dei ruoli predefiniti e selezionare Avanti.

   

3. Fare clic su Seleziona membri e aggiungere l'ID di posta elettronica dell'amministratore di backup per assegnare il ruolo Lettore .

   Poiché gli amministratori di backup si trovano in un altro tenant, verranno aggiunti come guest al tenant che contiene Resource Guard.

4. Fare clic su Seleziona>rivedi e assegna per completare l'assegnazione di ruolo.

   

Abilitare MUA in un insieme di credenziali di backup

Quando l'amministratore di Backup ha il ruolo lettore in Resource Guard, può abilitare l'autorizzazione multiutente negli insiemi di credenziali gestiti seguendo questa procedura:

1. Passare all'insieme di credenziali di backup per cui si vuole configurare MUA.

2. Nel pannello sinistro selezionare Proprietà.

3. Passare a Autorizzazione multiutente e selezionare Aggiorna.

   

4. Per abilitare MUA e scegliere Resource Guard, eseguire una delle azioni seguenti:

   • È possibile specificare l'URI di Resource Guard. Assicurarsi di specificare l'URI di un oggetto Resource Guard a cui si ha accesso con autorizzazioni di lettura e che si trovi nella stessa area dell'insieme di credenziali. È possibile trovare l'URI (ID Resource Guard) di Resource Guard nella pagina Panoramica .

     

   • In alternativa, è possibile selezionare Resource Guard dall'elenco delle guardie delle risorse a cui si ha accesso con autorizzazioni di lettura e quelle disponibili nell'area.

     1. Fare clic su Seleziona Resource Guard.
     2. Selezionare l'elenco a discesa e selezionare la directory in cui si trova Resource Guard.
     3. Selezionare Autentica per convalidare l'identità e l'accesso.
     4. Dopo l'autenticazione, scegliere Resource Guard dall'elenco visualizzato.

     

5. Selezionare Salva per abilitare MUA.

   

Operazioni protette con MUA

Quando l'amministratore di Backup abilita MUA, le operazioni nell'ambito saranno limitate nell'insieme di credenziali e le operazioni avranno esito negativo se l'amministratore di Backup tenta di eseguirli senza avere il ruolo Operatore MUA di backup in Resource Guard.

Per eseguire un'operazione protetta (disabilitando MUA), seguire questa procedura:

1. Passare all'insieme di credenziali >Proprietà nel riquadro sinistro.

2. Deselezionare la casella di controllo per disabilitare MUA.

   Si riceverà una notifica che indica che si tratta di un'operazione protetta ed è necessario avere accesso a Resource Guard.

3. Selezionare la directory contenente Resource Guard e autenticarsi manualmente.

   Questo passaggio potrebbe non essere necessario se Resource Guard si trova nella stessa directory dell'insieme di credenziali.

4. Seleziona Salva.

   La richiesta ha esito negativo con un errore che indica che non si dispone di autorizzazioni sufficienti per Resource Guard per eseguire questa operazione.

   

Autorizzare operazioni critiche (protette) con Microsoft Entra Privileged Identity Management

Esistono scenari in cui potrebbe essere necessario eseguire operazioni critiche sui backup ed è possibile eseguirle con le approvazioni o le autorizzazioni appropriate con MUA. Le sezioni seguenti illustrano come autorizzare le richieste di operazioni critiche usando Privileged Identity Management (PIM).

L'amministratore di Backup deve avere un ruolo Operatore MUA di backup in Resource Guard per eseguire operazioni critiche nell'ambito di Resource Guard. Uno dei modi per consentire operazioni JIT (Just-In-Time) consiste nell'usare Microsoft Entra Privileged Identity Management.

Creare un'assegnazione idonea per l'amministratore di backup usando Microsoft Entra Privileged Identity Management

L'amministratore della sicurezza può usare PIM per creare un'assegnazione idonea per l'amministratore di Backup come operatore MUA di backup in Resource Guard. Ciò consente all'amministratore di Backup di generare una richiesta (per il ruolo Operatore MUA di backup) quando è necessario eseguire un'operazione protetta.

Per creare un'assegnazione idonea, seguire questa procedura:

1. Accedere al portale di Azure.

2. Passare al tenant di sicurezza di Resource Guard e nella ricerca immettere Privileged Identity Management.

3. Nel riquadro sinistro selezionare Gestisci e passare a Risorse di Azure.

4. Selezionare la risorsa (Resource Guard o la sottoscrizione/RG contenitore) a cui si vuole assegnare il ruolo Operatore MUA di backup.

   Se non si trovano risorse corrispondenti, aggiungere la sottoscrizione contenitore gestita da PIM.

5. Selezionare la risorsa e passare a Gestisci>assegnazioni>Aggiungi assegnazioni.

   

6. In Aggiungi assegnazioni:

   1. Selezionare il ruolo come Operatore MUA di backup.
   2. Passare a Seleziona membri e aggiungere il nome utente (o gli ID di posta elettronica) dell'amministratore di backup.
   3. Selezionare Avanti.

   

7. In Assegnazione selezionare Idoneo e specificare la validità della durata dell'autorizzazione idonea.

8. Selezionare Assegna per completare la creazione dell'assegnazione idonea.

   

Configurare i responsabili approvazione per l'attivazione del ruolo Collaboratore

Per impostazione predefinita, l'installazione precedente potrebbe non avere un responsabile approvazione (e un requisito del flusso di approvazione) configurato in PIM. Per assicurarsi che i responsabili approvazione abbiano il ruolo Collaboratore per l'approvazione della richiesta, l'amministratore della sicurezza deve seguire questa procedura:

1. In Microsoft Entra PIM selezionare Risorse di Azure nel riquadro sinistro e selezionare Resource Guard.

2. Passare al ruolo Collaboratore impostazioni>.

   

3. Selezionare Modifica per aggiungere i revisori che devono esaminare e approvare la richiesta di attivazione per il ruolo Collaboratore nel caso in cui i responsabili approvazione visualizzino Nessuno o visualizzino responsabili approvazione non corretti.

4. Nella scheda Attivazione selezionare Richiedi approvazione per attivare per aggiungere i responsabili approvazione che devono approvare ogni richiesta.

5. Selezionare le opzioni di sicurezza, ad esempio l'autenticazione a più fattori (MFA), l'assegnazione di ticket per attivare il ruolo Collaboratore .

6. Selezionare le opzioni appropriate nelle schede Assegnazione e Notifica in base alle esigenze.

   

7. Selezionare Aggiorna per completare l'installazione dei responsabili approvazione per attivare il ruolo Collaboratore .

Richiedere l'attivazione di un'assegnazione idonea per eseguire operazioni critiche

Dopo che l'amministratore della sicurezza ha creato un'assegnazione idonea, l'amministratore di Backup deve attivare l'assegnazione di ruolo per il ruolo Collaboratore per eseguire azioni protette.

Per attivare l'assegnazione di ruolo, seguire questa procedura:

1. Passare a Microsoft Entra Privileged Identity Management. Se Resource Guard si trova in un'altra directory, passare a tale directory e quindi passare a Microsoft Entra Privileged Identity Management.

2. Passare a Ruoli personali Risorse> di Azure nel riquadro sinistro.

3. Selezionare Attiva per attivare l'assegnazione idonea per il ruolo Collaboratore .

   Viene visualizzata una notifica che informa che la richiesta viene inviata per l'approvazione.

   

Approvare le richieste di attivazione per eseguire operazioni critiche

Quando l'amministratore di Backup genera una richiesta di attivazione del ruolo Collaboratore, l'amministratore della sicurezza deve esaminare e approvare la richiesta.

Per esaminare e approvare la richiesta, seguire questa procedura:

1. Nel tenant di sicurezza passare a Microsoft Entra Privileged Identity Management.

2. Passare a Approva richieste.

3. In Risorse di Azure è possibile visualizzare la richiesta in attesa dell'approvazione.

   Selezionare Approva per esaminare e approvare la richiesta autentica.

Dopo l'approvazione, l'amministratore di Backup riceve una notifica, tramite posta elettronica o altre opzioni di avviso interne, che la richiesta viene approvata. A questo punto, l'amministratore di Backup può eseguire le operazioni protette per il periodo richiesto.

Eseguire un'operazione protetta dopo l'approvazione

Dopo che l'amministratore della sicurezza approva la richiesta dell'amministratore di backup per il ruolo Operatore MUA di backup in Resource Guard, può eseguire operazioni protette nell'insieme di credenziali associato. Se Resource Guard si trova in un'altra directory, l'amministratore di Backup deve autenticarsi.

Lo screenshot seguente mostra un esempio di disabilitazione dell'eliminazione temporanea per un insieme di credenziali abilitato per MUA.

Disabilitare MUA in un insieme di credenziali di backup

La disabilitazione dell'muA è un'operazione protetta che deve essere eseguita solo dall'amministratore di Backup. A tale scopo, l'amministratore di Backup deve avere il ruolo Operatore MUA backup richiesto in Resource Guard. Per ottenere questa autorizzazione, l'amministratore di Backup deve prima richiedere l'amministratore della sicurezza per il ruolo Operatore MUA di backup in Resource Guard usando la procedura JIT (Just-In-Time), ad esempio Microsoft Entra Privileged Identity Management o gli strumenti interni.

L'amministratore della sicurezza approva quindi la richiesta se è autentica e aggiorna l'amministratore di backup che ora ha il ruolo Operatore MUA di backup in Resource Guard. Altre informazioni su come ottenere questo ruolo.

Per disabilitare l'muA, gli amministratori di backup devono seguire questa procedura:

1. Passare all'insieme di credenziali >Proprietà>Autorizzazione multiutente.

2. Selezionare Aggiorna e deselezionare la casella di controllo Proteggi con Resource Guard .

3. Selezionare Autentica (se applicabile) per scegliere la directory che contiene Resource Guard e verificare l'accesso.

4. Selezionare Salva per completare il processo di disabilitazione dell'muA.