Część 1
Gdzie szukać panelu konfiguracyjnego
Konfiguracja sieci
Część 2
Konfiguracja polityki dostępu warunkowego
Omówienie opcji
Część 3
Przykłady wymagań biznesowych
Jak je skonfigurować
Dostęp warunkowy Azure często okazuje się trudny w konfiguracji. Wynika to zazwyczaj z niedostatecznego zrozumienia zasad działania polityk dostępu warunkowego.
W tym artykule znajdziesz szczegółową instrukcję konfiguracji krok po kroku. Każdy element będzie zawierał screen oraz wyjaśnienie. Dodatkowo na samym końcu znajdziesz listę przykładów biznesowych wraz z wyjaśnieniem, jak i dlaczego należy je skonfigurować.
Dostęp warunkowy – panel konfiguracyjny
Dostęp warunkowy konfiguruje się z poziomu portalu Azure ( https://portal.azure.com ). Po zalogowaniu do portalu odszukaj zakładkę: Dostep warunkowy.
Jeżeli masz problem z odszukaniem zakładki, skorzystaj z panelu wyszukiwania.
W panelu konfiguracyjnym znajdziesz następujące opcje:
- Dostęp do listy aktualnie skonfigurowanych polityk (czyli do widoku jak na obrazku powyżej)
- Edycja znanych sieci – na ich podstawie możemy definiować warunki
- Dodawanie nowej polityki
- Lista polityk – kliknięcie na nazwę powoduje przejście do edycji
- Status polityki
- Szybkie menu
Lista polityk widocznych na rys. 2 jest listą która zgodnie z zapowiedzią widoczną powyżej zostanie usunięta. Nie będziemy się więc nimi zajmować. Są to domyślne, predefiniowane polityki które należy obecnie skonfigurować samodzielnie.
Nazwane lokalizacje – konfiguracja sieci
W wielu przypadkach chcemy uzależnić działanie naszej polityki od lokalizacji z jakiej użytkownik próbuje się dostać do zasobów. Na przykład gdy łączy się z sieci korporacyjnej nie wymagamy dodatkowych zabezpieczeń. W przypadku połączenia z sieci publicznej, wymagamy np. dwuskładnikowego uwierzytelniania (MFA).
Aby dodać nową lokalizację wybierz opcję: New location
- Uzupełnij nazwę lokalizacji np: “Sieć korporacyjna”
- Wybierz opcję “IP ranges” – będziesz definiował sieci na podstawie adresacji IP lub “Countries” – zdefiniujesz je na podstawie predefiniowanej listy Państw
- Wybierz opcję czy ta sieć jest siecią zaufaną – co to się sieci zaufane dowiesz się w następnym akapicie
- Wpisz zakres lub kilka zakresów adresów IP w postaci jak na obrazku obok
- zapoznaj się z uwagami poniżej!
Co to cą sieci zaufane (trusted locations)
Oznaczając sieć jako zaufaną powodujesz, że jest ona oceniana jako mniej ryzykowna. Ma to znaczenie gdy używasz polityk opartych na ocenie ryzyka – o tym później.
Nie myl trusted locations z MFA trusted IPs.
- Trusted locations dotyczy konfiguracji dostepu warunkowego i oceny ryzyka dostępu z określonych adresów
- MFA trusted IPs dotyczy konfiguracji MFA i adresów z których nie jest wymagane dwuskładnikowe uwieżytelnianie i nie ma związku z konfiguracją dostepu warunkowego.
Adresacja prywatna, sieci VPN, na co zwrócić uwagę?
Pamiętaj, że do chmury dostajesz się adresem publicznym. Nie używaj więc w definicjach sieci adresacji prywatnej.
Jeżeli korzystasz z VPN za pomocą którego łączysz się z prywatną siecią firmową i za jej pośrednictwem (NAT) z chmurą, nie definiuj sieci VPN jako nazwanej lokalizacji. Do chmury połączysz się adresem publicznym swojej sieci firmowej.
Zawsze dokładnie zastanów się jaką adresacją się łączysz do chmury. Brak wiedzy w tej kwestii może spowodować błędne działanie dostępu warunkowego lub zablokowanie dostępu do usług.
Przykładowa definicja sieci zaufanej, sieć korporacyjna
Przykładowa definicja sieci korporacyjnej może wyglądać następująco.
W dalszej części, konfigurując polityki dostępu, będziemy posługiwać się tą siecią aby określić wymagania zależne od tego czy użytkownik łączy się z sieci korporacyjnej czy spoza niej.
Aby zakończyć konfigurację sieci, definiujemy jeszcze dwie dodatkowe sieci:
PARNER_NET – w której definiujemy wszystkie znane nam sieci naszych partnerów i firm współpracujących. Będzie to sieć o większym stopniu zaufania niż publiczny internet a mniej bezpieczna niż sieć korporacyjna.
UNTRUST_NET – w której definiujemy wszystkie znane nam adresacje niebezpieczne. Wszystkie połączenia z tej sieci będą uznawane za potencjalnie niebezpieczne. Mogą to być na przykład znane adresacje otwartych sieci VPN.
Finalna lista sieci może wyglądać następująco:
Podsumujmy wiedzę.
- Wiemy gdzie konfigurować polityki dostępu warunkowego
- Znamy przeznaczenie wybranych elementów panelu konfiguracyjnego
- Zdefiniowaliśmy znane nam adresacje IP
Możemy przejść do konfiguracji polityki dostępu warunkowego i omówienia jej poszczególnych elementów.