mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2025-12-07 13:20:48 -08:00
Translated ['src/pentesting-cloud/azure-security/az-basic-information/RE
This commit is contained in:
Translator
@@ -9,26 +9,26 @@
|
||||
### Makundi ya Usimamizi
|
||||
|
||||
- Inaweza kuwa na **makundi mengine ya usimamizi au usajili**.
|
||||
- Hii inaruhusu **kutekeleza udhibiti wa utawala** kama vile RBAC na Sera za Azure mara moja kwenye kiwango cha kundi la usimamizi na kuwa **na urithi** na usajili wote ndani ya kundi.
|
||||
- Hii inaruhusu **kutekeleza udhibiti wa utawala** kama vile RBAC na Sera za Azure mara moja katika kiwango cha kundi la usimamizi na kuwa **na urithi** na usajili wote katika kundi hilo.
|
||||
- **Makundi 10,000 ya usimamizi** yanaweza kuungwa mkono katika directory moja.
|
||||
- Mti wa kundi la usimamizi unaweza kuunga mkono **hadi viwango sita vya kina**. Kiwango hiki hakijumuishi kiwango cha mzizi au kiwango cha usajili.
|
||||
- Kila kundi la usimamizi na usajili linaweza kuunga mkono **mzazi mmoja tu**.
|
||||
- Hata kama makundi kadhaa ya usimamizi yanaweza kuundwa **kuna kundi moja tu la usimamizi la mzizi**.
|
||||
- Kundi la usimamizi la mzizi **linashikilia** makundi yote **mengine ya usimamizi na usajili** na **halitaweza kuhamishwa au kufutwa**.
|
||||
- Usajili wote ndani ya kundi moja la usimamizi lazima uamini **tenant ya Entra ID sawa**.
|
||||
- Usajili wote ndani ya kundi moja la usimamizi lazima uamini **tenant moja ya Entra ID.**
|
||||
|
||||
<figure><img src="../../../images/image (147).png" alt=""><figcaption><p><a href="https://td-mainsite-cdn.tutorialsdojo.com/wp-content/uploads/2023/02/managementgroups-768x474.png">https://td-mainsite-cdn.tutorialsdojo.com/wp-content/uploads/2023/02/managementgroups-768x474.png</a></p></figcaption></figure>
|
||||
|
||||
### Usajili wa Azure
|
||||
|
||||
- Ni **kikundi kingine cha mantiki ambacho rasilimali** (VMs, DBs…) zinaweza kuendeshwa na zitalipiwa.
|
||||
- Ni **konteina nyingine ya kimantiki ambapo rasilimali** (VMs, DBs…) zinaweza kuendeshwa na zitalipiwa.
|
||||
- **Mzazi** wake daima ni **kundi la usimamizi** (na inaweza kuwa kundi la usimamizi la mzizi) kwani usajili hauwezi kuwa na usajili mwingine.
|
||||
- Ina **amini tu directory moja ya Entra ID**
|
||||
- **Ruhusa** zilizotumika kwenye kiwango cha usajili (au yoyote ya wazazi wake) zina **urithi** kwa rasilimali zote ndani ya usajili
|
||||
- Ina **aminika tu na directory moja ya Entra ID**
|
||||
- **Ruhusa** zilizotumika katika kiwango cha usajili (au yoyote ya wazazi wake) zina **urithi** kwa rasilimali zote ndani ya usajili
|
||||
|
||||
### Makundi ya Rasilimali
|
||||
|
||||
[Kutoka kwenye hati:](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/manage-resource-groups-python?tabs=macos#what-is-a-resource-group) Kundi la rasilimali ni **kikundi** kinachoshikilia **rasilimali zinazohusiana** kwa suluhisho la Azure. Kundi la rasilimali linaweza kujumuisha rasilimali zote za suluhisho, au zile tu **rasilimali ambazo unataka kusimamia kama kundi**. Kwa ujumla, ongeza **rasilimali** zinazoshiriki **mzunguko sawa** kwenye kundi moja la rasilimali ili uweze kupeleka, kusasisha, na kufuta kwa urahisi kama kundi.
|
||||
[Kutoka kwenye nyaraka:](https://learn.microsoft.com/en-us/azure/azure-resource-manager/management/manage-resource-groups-python?tabs=macos#what-is-a-resource-group) Kundi la rasilimali ni **konteina** inayoshikilia **rasilimali zinazohusiana** kwa suluhisho la Azure. Kundi la rasilimali linaweza kujumuisha rasilimali zote za suluhisho, au zile tu **rasilimali ambazo unataka kusimamia kama kundi**. Kwa ujumla, ongeza **rasilimali** zinazoshiriki **mzunguko sawa** kwenye kundi moja la rasilimali ili uweze kupeleka, kusasisha, na kufuta kwa urahisi kama kundi.
|
||||
|
||||
Rasilimali zote **lazima ziwe **ndani ya kundi la rasilimali** na zinaweza kumilikiwa tu na kundi moja na ikiwa kundi la rasilimali litafutwa, rasilimali zote ndani yake pia zitafutwa.
|
||||
|
||||
@@ -50,11 +50,11 @@ Kwa mashine ya virtual inayoitwa myVM katika kundi la rasilimali `myResourceGrou
|
||||
|
||||
### Azure
|
||||
|
||||
Azure ni jukwaa la **kumbukumbu la kompyuta la Microsoft, linalotoa huduma mbalimbali**, ikiwa ni pamoja na mashine za virtual, hifadhidata, akili bandia, na uhifadhi. Inafanya kazi kama msingi wa kuendesha na kusimamia programu, kujenga miundombinu inayoweza kupanuka, na kuendesha kazi za kisasa katika wingu. Azure inatoa zana kwa waendelezaji na wataalamu wa IT kuunda, kupeleka, na kusimamia programu na huduma kwa urahisi, ikihudumia mahitaji mbalimbali kutoka kwa biashara za kuanzishwa hadi makampuni makubwa.
|
||||
Azure ni jukwaa la **kumbukumbu la kompyuta la Microsoft, linalotoa huduma mbalimbali**, ikiwa ni pamoja na mashine za virtual, hifadhidata, akili bandia, na uhifadhi. Inafanya kazi kama msingi wa kuendesha na kusimamia programu, kujenga miundombinu inayoweza kupanuka, na kuendesha kazi za kisasa katika wingu. Azure inatoa zana kwa waendelezaji na wataalamu wa IT kuunda, kupeleka, na kusimamia programu na huduma kwa urahisi, ikihudumia mahitaji mbalimbali kutoka kwa biashara za mwanzo hadi makampuni makubwa.
|
||||
|
||||
### Entra ID (zamani Azure Active Directory)
|
||||
|
||||
Entra ID ni huduma ya **usimamizi wa utambulisho na ufikiaji** inayotegemea wingu iliyoundwa kushughulikia uthibitishaji, idhini, na udhibiti wa ufikiaji wa mtumiaji. Inatoa ufikiaji salama kwa huduma za Microsoft kama vile Office 365, Azure, na programu nyingi za SaaS za wahusika wengine. Ikiwa na vipengele kama vile uthibitishaji wa moja kwa moja (SSO), uthibitishaji wa hatua nyingi (MFA), na sera za ufikiaji wa masharti miongoni mwa wengine.
|
||||
Entra ID ni huduma ya **usimamizi wa utambulisho na ufikiaji** inayotolewa kwa wingu iliyoundwa kushughulikia uthibitishaji, idhini, na udhibiti wa ufikiaji wa mtumiaji. Inatoa ufikiaji salama kwa huduma za Microsoft kama vile Office 365, Azure, na programu nyingi za SaaS za wahusika wengine. Ikiwa na vipengele kama uthibitishaji wa moja kwa moja (SSO), uthibitishaji wa hatua nyingi (MFA), na sera za ufikiaji wa masharti miongoni mwa zingine.
|
||||
|
||||
### Huduma za Kikoa za Entra (zamani Azure AD DS)
|
||||
|
||||
@@ -92,12 +92,12 @@ Unaweza kuangalia katika [https://learn.microsoft.com/en-us/entra/fundamentals/u
|
||||
|
||||
### Ruhusa za Kawaida za Watumiaji Zinazoweza Kubadilishwa
|
||||
|
||||
- **Wanachama (**[**hati**](https://learn.microsoft.com/en-gb/entra/fundamentals/users-default-permissions#restrict-member-users-default-permissions)**)**
|
||||
- Jisajili Programu: Kawaida **Ndio**
|
||||
- **Wanachama (**[**nyaraka**](https://learn.microsoft.com/en-gb/entra/fundamentals/users-default-permissions#restrict-member-users-default-permissions)**)**
|
||||
- Sajili Programu: Kawaida **Ndio**
|
||||
- Zuiya watumiaji wasio wasimamizi kuunda tenants: Kawaida **Hapana**
|
||||
- Kuunda makundi ya usalama: Kawaida **Ndio**
|
||||
- Zuiya ufikiaji wa lango la usimamizi la Microsoft Entra: Kawaida **Hapana**
|
||||
- Hii haisimamii ufikiaji wa API kwa lango (tu wavuti)
|
||||
- Hii haisimamishi ufikiaji wa API kwa lango (tu wavuti)
|
||||
- Ruhusu watumiaji kuunganisha akaunti za kazi au shule na LinkedIn: Kawaida **Ndio**
|
||||
- Onyesha kuweka mtumiaji alisainiwa: Kawaida **Ndio**
|
||||
- Zuiya watumiaji kutoka kupona funguo za BitLocker kwa vifaa walivyomiliki: Kawaida Hapana (angalia kwenye Mipangilio ya Kifaa)
|
||||
@@ -105,25 +105,25 @@ Unaweza kuangalia katika [https://learn.microsoft.com/en-us/entra/fundamentals/u
|
||||
- **Wageni**
|
||||
- **Vikomo vya ufikiaji wa mtumiaji mgeni** chaguzi:
|
||||
- **Wageni wana ufikiaji sawa na wanachama**.
|
||||
- **Wageni wana ufikiaji mdogo kwa mali na uanachama wa vitu vya directory (kawaida)**. Hii inazuia ufikiaji wa wageni kwa wasifu wao wenyewe wa mtumiaji kwa kawaida. Ufikiaji wa watumiaji wengine na taarifa za kundi haukubaliwi tena.
|
||||
- **Ufikiaji wa mtumiaji mgeni unazuiwa kwa mali na uanachama wa vitu vya directory vyao wenyewe** ni wa kikomo zaidi.
|
||||
- **Wageni wana ufikiaji mdogo kwa mali na uanachama wa vitu vya directory (kawaida)**. Hii inazuia ufikiaji wa wageni kwa wasifu wao wenyewe wa mtumiaji kwa kawaida. Ufikiaji wa watumiaji wengine na taarifa za kundi haukubaliki tena.
|
||||
- **Ufikiaji wa mtumiaji mgeni unazuiwa kwa mali na uanachama wa vitu vya directory zao wenyewe** ni ya kukataza zaidi.
|
||||
- **Wageni wanaweza kuwalika** chaguzi:
|
||||
- **Mtu yeyote katika shirika anaweza kuwalika watumiaji wageni ikiwa ni pamoja na wageni na wasimamizi wasio (inayoeleweka zaidi) - Kawaida**
|
||||
- **Watumiaji wanachama na watumiaji waliotolewa majukumu maalum ya usimamizi wanaweza kuwalika watumiaji wageni ikiwa ni pamoja na wageni wenye ruhusa za mwanachama**
|
||||
- **Mtu yeyote katika shirika anaweza kuwalika watumiaji wageni ikiwa ni pamoja na wageni na wasimamizi wasio (yaani ya kuingiza zaidi) - Kawaida**
|
||||
- **Watumiaji wa wanachama na watumiaji waliotolewa majukumu maalum ya usimamizi wanaweza kuwalika watumiaji wageni ikiwa ni pamoja na wageni wenye ruhusa za wanachama**
|
||||
- **Watumiaji pekee waliotolewa majukumu maalum ya usimamizi wanaweza kuwalika watumiaji wageni**
|
||||
- **Hakuna mtu katika shirika anaweza kuwalika watumiaji wageni ikiwa ni pamoja na wasimamizi (inayoeleweka zaidi)**
|
||||
- **Hakuna mtu katika shirika anaweza kuwalika watumiaji wageni ikiwa ni pamoja na wasimamizi (yaani ya kukataza zaidi)**
|
||||
- **Mtumiaji wa nje aondoke**: Kawaida **Kweli**
|
||||
- Ruhusu watumiaji wa nje kuondoka katika shirika
|
||||
|
||||
> [!TIP]
|
||||
> Hata kama imezuiwa kwa kawaida, watumiaji (wanachama na wageni) wenye ruhusa zilizotolewa wanaweza kufanya vitendo vya awali.
|
||||
> Hata kama zimezuiwa kwa kawaida, watumiaji (wanachama na wageni) wenye ruhusa zilizotolewa wanaweza kufanya vitendo vya awali.
|
||||
|
||||
### **Makundi**
|
||||
|
||||
Kuna **aina 2 za makundi**:
|
||||
|
||||
- **Usalama**: Aina hii ya kundi inatumika kuwapa wanachama ufikiaji wa programu, rasilimali na kupeana leseni. Watumiaji, vifaa, wakala wa huduma na makundi mengine wanaweza kuwa wanachama.
|
||||
- **Microsoft 365**: Aina hii ya kundi inatumika kwa ushirikiano, ikiwapa wanachama ufikiaji wa sanduku la barua lililotolewa, kalenda, faili, tovuti ya SharePoint, na kadhalika. Wanachama wa kundi wanaweza kuwa watumiaji pekee.
|
||||
- **Usalama**: Aina hii ya kundi inatumika kutoa wanachama ufikiaji wa programu, rasilimali na kupeana leseni. Watumiaji, vifaa, wakala wa huduma na makundi mengine wanaweza kuwa wanachama.
|
||||
- **Microsoft 365**: Aina hii ya kundi inatumika kwa ushirikiano, ikitoa wanachama ufikiaji wa sanduku la barua, kalenda, faili, tovuti ya SharePoint, na kadhalika. Wanachama wa kundi wanaweza kuwa watumiaji pekee.
|
||||
- Hii itakuwa na **anwani ya barua pepe** yenye kikoa cha tenant ya EntraID.
|
||||
|
||||
Kuna **aina 2 za uanachama**:
|
||||
@@ -133,7 +133,7 @@ Kuna **aina 2 za uanachama**:
|
||||
|
||||
### **Wakala wa Huduma**
|
||||
|
||||
**Wakala wa Huduma** ni **utambulisho** ulioanzishwa kwa **matumizi** na **programu**, huduma zinazohudumiwa, na zana za kiotomatiki kufikia rasilimali za Azure. Ufikiaji huu ni **wa kikomo na majukumu yaliyotolewa** kwa wakala wa huduma, na kukupa udhibiti juu ya **rasilimali zipi zinaweza kufikiwa** na kwa kiwango gani. Kwa sababu za usalama, kila wakati inapendekezwa **kutumia wakala wa huduma na zana za kiotomatiki** badala ya kuruhusu kuingia kwa utambulisho wa mtumiaji.
|
||||
**Wakala wa Huduma** ni **utambulisho** ulioanzishwa kwa **matumizi** na **programu**, huduma zinazohudumiwa, na zana za kiotomatiki kufikia rasilimali za Azure. Ufikiaji huu ni **ukizuiwa na majukumu yaliyotolewa** kwa wakala wa huduma, na kukupa udhibiti juu ya **rasilimali zipi zinaweza kufikiwa** na kwa kiwango gani. Kwa sababu za usalama, kila wakati inapendekezwa **kutumia wakala wa huduma na zana za kiotomatiki** badala ya kuruhusu kuingia kwa utambulisho wa mtumiaji.
|
||||
|
||||
Inawezekana **kuingia moja kwa moja kama wakala wa huduma** kwa kuunda **siri** (nenosiri), **cheti**, au kutoa **ufikiaji wa shirikisho** kwa majukwaa ya wahusika wengine (kwa mfano, Github Actions) juu yake.
|
||||
|
||||
@@ -142,18 +142,18 @@ Inawezekana **kuingia moja kwa moja kama wakala wa huduma** kwa kuunda **siri**
|
||||
|
||||
### Usajili wa Programu
|
||||
|
||||
**Usajili wa Programu** ni usanidi unaoruhusu programu kuungana na Entra ID na kufanya vitendo.
|
||||
Usajili wa **Programu** ni usanidi unaoruhusu programu kuungana na Entra ID na kufanya vitendo.
|
||||
|
||||
#### Vipengele Muhimu:
|
||||
|
||||
1. **Vitambulisho vya Programu (Client ID):** Kitambulisho cha kipekee kwa programu yako katika Azure AD.
|
||||
2. **URIs za Kurudi:** URL ambapo Azure AD inatuma majibu ya uthibitishaji.
|
||||
3. **Vyeti, Siri & Ruhusa za Shirikisho:** Inawezekana kuunda siri au cheti kuingia kama wakala wa huduma wa programu, au kutoa ufikiaji wa shirikisho kwake (kwa mfano, Github Actions).
|
||||
3. **Cheti, Siri & Ruhusa za Shirikisho:** Inawezekana kuunda siri au cheti kuingia kama wakala wa huduma wa programu, au kutoa ufikiaji wa shirikisho kwake (kwa mfano, Github Actions).
|
||||
1. Ikiwa **cheti** au **siri** inaundwa, mtu anaweza **kuingia kama wakala wa huduma** kwa kutumia zana za CLI kwa kujua **vitambulisho vya programu**, **siri** au **cheti** na **tenant** (kikoa au ID).
|
||||
4. **Ruhusa za API:** Inabainisha rasilimali au API ambazo programu inaweza kufikia.
|
||||
4. **Ruhusa za API:** Inabainisha rasilimali au APIs ambazo programu inaweza kufikia.
|
||||
5. **Mipangilio ya Uthibitishaji:** Inafafanua mchakato wa uthibitishaji unaounga mkono wa programu (kwa mfano, OAuth2, OpenID Connect).
|
||||
6. **Wakala wa Huduma**: Wakala wa huduma huundwa wakati programu inaundwa (ikiwa inafanywa kutoka kwenye konso ya wavuti) au wakati inasakinishwa katika tenant mpya.
|
||||
1. **Wakala wa huduma** utapata ruhusa zote zilizotolewa ambazo umeziunda.
|
||||
6. **Wakala wa Huduma**: Wakala wa huduma huundwa wakati Programu inaundwa (ikiwa inafanywa kutoka kwenye konsole ya wavuti) au wakati inasakinishwa katika tenant mpya.
|
||||
1. **Wakala wa huduma** utapata ruhusa zote zilizotolewa ambazo ilipangwa nazo.
|
||||
|
||||
### Ruhusa za Kawaida za Kukubali
|
||||
|
||||
@@ -162,9 +162,9 @@ Inawezekana **kuingia moja kwa moja kama wakala wa huduma** kwa kuunda **siri**
|
||||
- **Usiruhusu ruhusa za mtumiaji**
|
||||
- Msimamizi atahitajika kwa programu zote.
|
||||
- **Ruhusu ruhusa za mtumiaji kwa programu kutoka kwa wachapishaji waliothibitishwa, kwa ruhusa zilizochaguliwa (Inapendekezwa)**
|
||||
- Watumiaji wote wanaweza kukubali ruhusa zilizoorodheshwa kama "athari ndogo", kwa programu kutoka kwa wachapishaji waliothibitishwa au programu zilizojisajili katika shirika hili.
|
||||
- **Kawaida** ruhusa za athari ndogo (ingawa unahitaji kukubali kuziongeza kama athari ndogo):
|
||||
- User.Read - ingia na soma wasifu wa mtumiaji
|
||||
- Watumiaji wote wanaweza kukubali ruhusa zilizoorodheshwa kama "athari ndogo", kwa programu kutoka kwa wachapishaji waliothibitishwa au programu zilizoorodheshwa katika shirika hili.
|
||||
- **Kawaida** ruhusa za athari ndogo (ingawa unahitaji kukubali kuziongeza kama ndogo):
|
||||
- User.Read - ingia na kusoma wasifu wa mtumiaji
|
||||
- offline_access - kudumisha ufikiaji wa data ambayo watumiaji wameipa ufikiaji
|
||||
- openid - ingiza watumiaji
|
||||
- profile - ona wasifu wa msingi wa mtumiaji
|
||||
@@ -175,7 +175,7 @@ Inawezekana **kuingia moja kwa moja kama wakala wa huduma** kwa kuunda **siri**
|
||||
**Maombi ya ruhusa za msimamizi**: Kawaida **Hapana**
|
||||
|
||||
- Watumiaji wanaweza kuomba ruhusa za msimamizi kwa programu ambazo hawawezi kukubali
|
||||
- Ikiwa **Ndio**: Inawezekana kuonyesha Watumiaji, Makundi na Majukumu ambayo yanaweza kukubali maombi
|
||||
- Ikiwa **Ndio**: Inawezekana kuashiria Watumiaji, Makundi na Majukumu ambayo yanaweza kukubali maombi
|
||||
- Sanidi pia ikiwa watumiaji watapokea arifa za barua pepe na ukumbusho wa muda wa mwisho
|
||||
|
||||
### **Utambulisho wa Kusimamiwa (Metadata)**
|
||||
@@ -185,15 +185,15 @@ Utambulisho wa kusimamiwa katika Azure Active Directory unatoa suluhisho la **ku
|
||||
Kuna aina mbili za utambulisho wa kusimamiwa:
|
||||
|
||||
- **Iliyotolewa na mfumo**. Huduma zingine za Azure zinakuruhusu **kuwezesha utambulisho wa kusimamiwa moja kwa moja kwenye mfano wa huduma**. Unapowezesha utambulisho wa kusimamiwa wa mfumo, **wakala wa huduma** huundwa katika tenant ya Entra ID inayotegemewa na usajili ambapo rasilimali iko. Wakati **rasilimali** inafutwa, Azure kiotomatiki **inafuta** **utambulisho** kwa ajili yako.
|
||||
- **Iliyotolewa na mtumiaji**. Pia inawezekana kwa watumiaji kuunda utambulisho wa kusimamiwa. Hizi zinaundwa ndani ya kundi la rasilimali ndani ya usajili na wakala wa huduma utaundwa katika EntraID inayotegemewa na usajili. Kisha, unaweza kupeana utambulisho wa kusimamiwa kwa mfano mmoja au **zaidi** ya huduma ya Azure (rasilimali nyingi). Kwa utambulisho wa kusimamiwa wa mtumiaji, **utambulisho unasimamiwa tofauti na rasilimali zinazoutumia**.
|
||||
- **Iliyotolewa na mtumiaji**. Pia inawezekana kwa watumiaji kuunda utambulisho wa kusimamiwa. Hizi zinaundwa ndani ya kundi la rasilimali ndani ya usajili na wakala wa huduma utaanzishwa katika EntraID inayotegemewa na usajili. Kisha, unaweza kupeana utambulisho wa kusimamiwa kwa mfano mmoja au **zaidi** ya huduma ya Azure (rasilimali nyingi). Kwa utambulisho wa kusimamiwa wa mtumiaji, **utambulisho unasimamiwa tofauti na rasilimali zinazoutumia**.
|
||||
|
||||
Utambulisho wa Kusimamiwa **hauzali akiba ya milele** (kama nenosiri au vyeti) kufikia kama wakala wa huduma ulioambatanishwa nayo.
|
||||
Utambulisho wa Kusimamiwa **hauzuii akiba ya milele** (kama nenosiri au vyeti) kufikia kama wakala wa huduma ulioambatanishwa nayo.
|
||||
|
||||
### Programu za Kijamii
|
||||
|
||||
Ni tu **meza katika Azure kuchuja wakala wa huduma** na kuangalia programu ambazo zimepewa.
|
||||
Ni **meza tu katika Azure kuchuja wakala wa huduma** na kuangalia programu ambazo zimepewa.
|
||||
|
||||
**Sio aina nyingine ya "programu",** hakuna kitu katika Azure ambacho ni "Programu ya Kijamii", ni tu muundo wa kuangalia Wakala wa huduma, Usajili wa programu na utambulisho wa kusimamiwa.
|
||||
**Sio aina nyingine ya "programu",** hakuna kitu chochote katika Azure ambacho ni "Programu ya Kijamii", ni tu muundo wa kuangalia Wakala wa huduma, Usajili wa programu na utambulisho wa kusimamiwa.
|
||||
|
||||
### Vitengo vya Utawala
|
||||
|
||||
@@ -201,66 +201,68 @@ Vitengo vya utawala vinaruhusu **kutoa ruhusa kutoka kwa jukumu juu ya sehemu ma
|
||||
|
||||
Mfano:
|
||||
|
||||
- Hali: Kampuni inataka wasimamizi wa IT wa kikanda wasimamie tu watumiaji katika eneo lao.
|
||||
- Hali: Kampuni inataka wasimamizi wa IT wa kikanda kusimamia tu watumiaji katika eneo lao.
|
||||
- Utekelezaji:
|
||||
- Unda Vitengo vya Utawala kwa kila eneo (kwa mfano, "North America AU", "Europe AU").
|
||||
- Jaza AUs na watumiaji kutoka maeneo yao.
|
||||
- Jaza AUs na watumiaji kutoka maeneo yao husika.
|
||||
- AUs zinaweza **kuhifadhi watumiaji, makundi, au vifaa**
|
||||
- AUs zinasaidia **uanachama wa kijamii**
|
||||
- AUs **haziwezi kuwa na AUs**
|
||||
- Peana Majukumu ya Usimamizi:
|
||||
- Peana jukumu la "Msimamizi wa Watumiaji" kwa wafanyakazi wa IT wa kikanda, lililowekwa kwenye AU ya eneo lao.
|
||||
- Peana jukumu la "Msimamizi wa Watumiaji" kwa wafanyakazi wa IT wa kikanda, lililowekwa kwa AU ya eneo lao.
|
||||
- Matokeo: Wasimamizi wa IT wa kikanda wanaweza kusimamia akaunti za watumiaji ndani ya eneo lao bila kuathiri maeneo mengine.
|
||||
|
||||
### Majukumu ya Entra ID
|
||||
|
||||
- Ili kusimamia Entra ID kuna **majukumu yaliyojengwa ndani** ambayo yanaweza kutolewa kwa wakala wa Entra ID kusimamia Entra ID
|
||||
- Angalia majukumu katika [https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference](https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference)
|
||||
- Jukumu lenye mamlaka zaidi ni **Msimamizi wa Global**
|
||||
- Jukumu lenye mamlaka zaidi ni **Msimamizi wa Kimataifa**
|
||||
- Katika Maelezo ya jukumu inawezekana kuona **ruhusa zake za kina**
|
||||
|
||||
## Majukumu & Ruhusa
|
||||
|
||||
**Majukumu** yanatolewa kwa **wakala** kwenye **kikomo**: `wakala -[ANA JUKUMU]->(kikomo)`
|
||||
**Majukumu** yanatolewa kwa **wakala** kwenye **kigezo**: `wakala -[ANA JUKUMU]->(kigezo)`
|
||||
|
||||
**Majukumu** yaliyotolewa kwa **makundi** yanarithiwa na **wanachama wote** wa kundi.
|
||||
**Majukumu** yaliyotolewa kwa **makundi** yanarithiwa na **wanachama** wote wa kundi.
|
||||
|
||||
Kulingana na kikomo ambacho jukumu lilitolewa, **jukumu** linaweza **kurithiwa** kwa **rasilimali nyingine** ndani ya kontena la kikomo. Kwa mfano, ikiwa mtumiaji A ana **jukumu kwenye usajili**, atakuwa na **jukumu hilo kwenye makundi yote ya rasilimali** ndani ya usajili na kwenye **rasilimali zote** ndani ya kundi la rasilimali.
|
||||
Kulingana na kigezo ambacho jukumu lilitolewa, **jukumu** linaweza **kurithiwa** kwa **rasilimali nyingine** ndani ya kontena la kigezo. Kwa mfano, ikiwa mtumiaji A ana **jukumu kwenye usajili**, atakuwa na **jukumu hilo kwenye makundi yote ya rasilimali** ndani ya usajili na kwenye **rasilimali zote** ndani ya kundi la rasilimali.
|
||||
|
||||
### **Majukumu ya Klasiki**
|
||||
### Majukumu ya K klasiki
|
||||
|
||||
| **Mmiliki** | <ul><li>Ufikiaji kamili kwa rasilimali zote</li><li>Anaweza kusimamia ufikiaji kwa watumiaji wengine</li></ul> | Aina zote za rasilimali |
|
||||
| ----------------------------- | ---------------------------------------------------------------------------------------- | ------------------ |
|
||||
| **Mchangiaji** | <ul><li>Ufikiaji kamili kwa rasilimali zote</li><li>Haiwezi kusimamia ufikiaji</li></ul> | Aina zote za rasilimali |
|
||||
| **Msomaji** | • Ona rasilimali zote | Aina zote za rasilimali |
|
||||
| **Msimamizi wa Ufikiaji wa Mtumiaji** | <ul><li>Ona rasilimali zote</li><li>Anaweza kusimamia ufikiaji kwa watumiaji wengine</li></ul> | Aina zote za rasilimali |
|
||||
| **Msimamizi wa Ufikiaji wa Watumiaji** | <ul><li>Ona rasilimali zote</li><li>Anaweza kusimamia ufikiaji kwa watumiaji wengine</li></ul> | Aina zote za rasilimali |
|
||||
|
||||
### Majukumu Yaliyojengwa Ndani
|
||||
|
||||
[Kutoka kwenye hati: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Udhibiti wa ufikiaji wa Azure unaotegemea jukumu (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) una majukumu kadhaa ya Azure **yaliyojengwa ndani** ambayo unaweza **kutoa** kwa **watumiaji, makundi, wakala wa huduma, na utambulisho wa kusimamiwa**. Utoaji wa jukumu ndio njia unayodhibiti **ufikiaji wa rasilimali za Azure**. Ikiwa majukumu yaliyojengwa ndani hayakidhi mahitaji maalum ya shirika lako, unaweza kuunda [**majukumu ya kawaida ya Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)**.**
|
||||
[Kutoka kwenye nyaraka: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Udhibiti wa ufikiaji wa Azure unaotegemea jukumu (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) ina majukumu kadhaa ya Azure **yaliyojengwa ndani** ambayo unaweza **kutoa** kwa **watumiaji, makundi, wakala wa huduma, na utambulisho wa kusimamiwa**. Uteuzi wa majukumu ndiyo njia unayodhibiti **ufikiaji wa rasilimali za Azure**. Ikiwa majukumu yaliyojengwa ndani hayakidhi mahitaji maalum ya shirika lako, unaweza kuunda [**majukumu ya kawaida ya Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)**.**
|
||||
|
||||
**Majukumu Yaliyojengwa Ndani** yanatumika tu kwa **rasilimali** ambazo zime **kusudiwa**, kwa mfano angalia mifano hii 2 ya **Majukumu Yaliyojengwa Ndani** juu ya rasilimali za **Kuhifadhi**:
|
||||
**Majukumu Yaliyojengwa Ndani** yanatumika tu kwa **rasilimali** ambazo zimekusudiwa, kwa mfano angalia mifano hii 2 ya **Majukumu Yaliyojengwa Ndani** juu ya rasilimali za **Kuhifadhi**:
|
||||
|
||||
| [Msomaji wa Nakala ya Disk](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Inatoa ruhusa kwa vault ya nakala ili kufanya nakala ya disk. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 |
|
||||
| [Msomaji wa Nakala ya Disk](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Inatoa ruhusa kwa vault ya nakala kufanya nakala ya diski. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 |
|
||||
| ----------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------- | ------------------------------------ |
|
||||
| [Mtumiaji wa Kuingia kwa Mashine ya Virtual](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Ona Mashine za Virtual kwenye lango na kuingia kama mtumiaji wa kawaida. | fb879df8-f326-4884-b1cf-06f3ad86be52 |
|
||||
| [Kuingia kwa Mtumiaji wa Mashine ya Virtual](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Ona Mashine za Virtual kwenye lango na kuingia kama mtumiaji wa kawaida. | fb879df8-f326-4884-b1cf-06f3ad86be52 |
|
||||
|
||||
Majukumu haya yanaweza **pia kutolewa juu ya kontena za mantiki** (kama vile makundi ya usimamizi, usajili na makundi ya rasilimali) na wakala walioathiriwa watakuwa nao **juu ya rasilimali ndani ya kontena hizo**.
|
||||
Majukumu haya yanaweza **pia kutolewa juu ya kontena za kimantiki** (kama vile makundi ya usimamizi, usajili na makundi ya rasilimali) na wakala walioathiriwa watakuwa nao **juu ya rasilimali ndani ya kontena hizo**.
|
||||
|
||||
- Pata hapa orodha yenye [**majukumu yote ya Azure yaliyojengwa ndani**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles).
|
||||
- Pata hapa orodha yenye [**majukumu yote ya Entra ID yaliyojengwa ndani**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference).
|
||||
- Pata hapa orodha ya [**majukumu yote ya Azure yaliyojengwa ndani**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles).
|
||||
- Pata hapa orodha ya [**majukumu yote ya Entra ID yaliyojengwa ndani**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference).
|
||||
|
||||
### Majukumu ya Kawaida
|
||||
|
||||
- Pia inawezekana kuunda [**majukumu ya kawaida**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)
|
||||
- Yanaundwa ndani ya kikomo, ingawa jukumu linaweza kuwa katika viwango kadhaa (makundi ya usimamizi, usajili na makundi ya rasilimali)
|
||||
- Yanaundwa ndani ya kigezo, ingawa jukumu linaweza kuwa katika vigezo kadhaa (makundi ya usimamizi, usajili na makundi ya rasilimali)
|
||||
- Inawezekana kusanidi ruhusa zote za kina ambazo jukumu la kawaida litakuwa nazo
|
||||
- Inawezekana kuondoa ruhusa
|
||||
- Wakala mwenye ruhusa iliyondolewa hataweza kuitumia hata kama ruhusa hiyo inatolewa mahali pengine
|
||||
- Inawezekana kutumia wildcards
|
||||
- Muundo unaotumika ni JSON
|
||||
- `actions` ni kwa ajili ya kudhibiti vitendo juu ya rasilimali
|
||||
- `dataActions` ni ruhusa juu ya data ndani ya kitu
|
||||
- `actions` inahusisha ruhusa za operesheni za usimamizi kwenye rasilimali, kama vile kuunda, kusasisha, au kufuta maelezo na mipangilio ya rasilimali.
|
||||
- `dataActions` ni ruhusa za operesheni za data ndani ya rasilimali, ikiruhusu kusoma, kuandika, au kufuta data halisi iliyomo ndani ya rasilimali.
|
||||
- `notActions` na `notDataActions` zinatumika kuondoa ruhusa maalum kutoka kwa jukumu. Hata hivyo, **hazikatazi**, ikiwa jukumu tofauti linawapa, wakala atakuwa nayo.
|
||||
- `assignableScopes` ni orodha ya vigezo ambapo jukumu linaweza kutolewa (kama vile makundi ya usimamizi, usajili, au makundi ya rasilimali).
|
||||
|
||||
Mfano wa ruhusa JSON kwa jukumu la kawaida:
|
||||
```json
|
||||
@@ -294,8 +296,8 @@ Mfano wa ruhusa JSON kwa jukumu la kawaida:
|
||||
```
|
||||
### Permissions order
|
||||
|
||||
- Ili **mwanzo kuwa na ufikiaji wa rasilimali**, anahitaji jukumu lililo wazi kumwidhinisha (kwa njia yoyote) **lililompa ruhusa hiyo**.
|
||||
- Uteuzi wa **kukataa jukumu una kipaumbele** juu ya jukumu linalotoa ruhusa.
|
||||
- Ili **mwanachama awe na ufikiaji wa rasilimali** anahitaji jukumu lililo wazi kumwagiwa (kwa njia yoyote) **linalompa ruhusa hiyo**.
|
||||
- Uteuzi wa **kukataa wazi unachukua kipaumbele** juu ya jukumu linalotoa ruhusa.
|
||||
|
||||
<figure><img src="../../../images/image (191).png" alt=""><figcaption><p><a href="https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10">https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10</a></p></figcaption></figure>
|
||||
|
||||
@@ -308,31 +310,48 @@ Kuinua hii inaweza kufanywa mwishoni mwa ukurasa: [https://portal.azure.com/#vie
|
||||
|
||||
<figure><img src="../../../images/image (349).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
### Azure Policies
|
||||
### Assignments Conditions & MFA
|
||||
|
||||
**Azure Policies** ni sheria zinazosaidia mashirika kuhakikisha rasilimali zao zinakidhi viwango maalum na mahitaji ya kufuata. Zinakuwezesha **kulazimisha au kukagua mipangilio kwenye rasilimali za Azure**. Kwa mfano, unaweza kuzuia uundaji wa mashine za virtual katika eneo lisiloidhinishwa au kuhakikisha kwamba rasilimali zote zina lebo maalum za kufuatilia.
|
||||
Inawezekana **kuweka masharti fulani wakati jukumu linapopewa** mwanachama. Sharti la kawaida kuongeza ni kuhitaji MFA ili kufikia ruhusa za jukumu:
|
||||
```bash
|
||||
az role assignment create \
|
||||
--assignee <user-or-service-principal-id> \
|
||||
--role <custom-role-id-or-name> \
|
||||
--scope "/subscriptions/9291ff6e-6afb-430e-82a4-6f04b2d05c7f" \
|
||||
--condition "PrincipalClaims['amr'] contains 'mfa'" \
|
||||
--condition-version 2.0
|
||||
```
|
||||
### Kukataa Mikataba
|
||||
|
||||
Azure Policies ni **za awali**: zinaweza kuzuia rasilimali zisizofuata sheria zisizoundwa au kubadilishwa. Pia ni **za majibu**, zikikuruhusu kupata na kurekebisha rasilimali zisizofuata sheria zilizopo.
|
||||
Kama vile mikataba ya majukumu, **kukataa mikataba** inatumika kudhibiti **ufikiaji wa rasilimali za Azure**. Hata hivyo, **kukataa mikataba** inatumika **kukatisha ufikiaji** wa rasilimali, hata kama mtumiaji amepewa ufikiaji kupitia mkataba wa jukumu. **Kukataa mikataba** kuna kipaumbele juu ya **mikataba ya majukumu**, ikimaanisha kwamba ikiwa mtumiaji amepewa ufikiaji kupitia mkataba wa jukumu lakini pia anakatishwa ufikiaji kupitia kukataa mkataba, kukataa mkataba kutakuwa na kipaumbele.
|
||||
|
||||
#### **Key Concepts**
|
||||
Kama vile mikataba ya majukumu, **kukataa mikataba** inatumika juu ya upeo fulani unaoashiria wahusika walioathirika na ruhusa zinazokatishwa. Aidha, katika kesi ya kukataa mikataba, inawezekana **kuzuia kukataa kurithiwa** na rasilimali za watoto.
|
||||
|
||||
1. **Policy Definition**: Sheria, iliyoandikwa kwa JSON, inayobainisha kile kinachoruhusiwa au kinachohitajika.
|
||||
2. **Policy Assignment**: Utumiaji wa sera kwa kiwango maalum (mfano, usajili, kundi la rasilimali).
|
||||
3. **Initiatives**: Mkusanyiko wa sera zilizopangwa pamoja kwa ajili ya utekelezaji mpana.
|
||||
4. **Effect**: Inabainisha kinachotokea wakati sera inapoanzishwa (mfano, "Deny," "Audit," au "Append").
|
||||
### Sera za Azure
|
||||
|
||||
**Sera za Azure** ni sheria zinazosaidia mashirika kuhakikisha rasilimali zao zinakidhi viwango maalum na mahitaji ya ufuatiliaji. Zinakuwezesha **kulazimisha au kukagua mipangilio kwenye rasilimali za Azure**. Kwa mfano, unaweza kuzuia uundaji wa mashine za virtual katika eneo lisiloidhinishwa au kuhakikisha kwamba rasilimali zote zina lebo maalum za kufuatilia.
|
||||
|
||||
Sera za Azure ni **za awali**: zinaweza kuzuia rasilimali zisizokidhi viwango zisizoundwa au kubadilishwa. Pia ni **za majibu**, zikikuruhusu kupata na kurekebisha rasilimali zisizokidhi viwango zilizopo.
|
||||
|
||||
#### **Mifano Muhimu**
|
||||
|
||||
1. **Ufafanuzi wa Sera**: Sheria, iliyoandikwa kwa JSON, inayobainisha kile kinachoruhusiwa au kinachohitajika.
|
||||
2. **Mkataba wa Sera**: Utumiaji wa sera kwa upeo maalum (mfano, usajili, kundi la rasilimali).
|
||||
3. **Mikakati**: Mkusanyiko wa sera zilizopangwa pamoja kwa ajili ya utekelezaji mpana.
|
||||
4. **Athari**: Inabainisha kinachotokea wakati sera inapoanzishwa (mfano, "Kataa," "Kagua," au "Ongeza").
|
||||
|
||||
**Mifano kadhaa:**
|
||||
|
||||
1. **Kuhakikisha Ufuataji wa Mikoa Maalum ya Azure**: Sera hii inahakikisha kwamba rasilimali zote zinapelekwa katika mikoa maalum ya Azure. Kwa mfano, kampuni inaweza kutaka kuhakikisha kwamba data yake yote inahifadhiwa barani Ulaya kwa ajili ya ufuataji wa GDPR.
|
||||
2. **Kulazimisha Viwango vya Ujumuishaji**: Sera zinaweza kulazimisha kanuni za majina kwa rasilimali za Azure. Hii inasaidia katika kuandaa na kutambua kwa urahisi rasilimali kulingana na majina yao, ambayo ni muhimu katika mazingira makubwa.
|
||||
3. **Kuzuia Aina Fulani za Rasilimali**: Sera hii inaweza kuzuia uundaji wa aina fulani za rasilimali. Kwa mfano, sera inaweza kuwekwa kuzuia uundaji wa aina za rasilimali zenye gharama kubwa, kama vile ukubwa fulani wa VM, ili kudhibiti gharama.
|
||||
4. **Kulazimisha Sera za Uwekaji Lebo**: Lebo ni jozi za funguo-thamani zinazohusishwa na rasilimali za Azure zinazotumika kwa usimamizi wa rasilimali. Sera zinaweza kulazimisha kwamba lebo fulani lazima ziwepo, au ziwe na thamani maalum, kwa rasilimali zote. Hii ni muhimu kwa kufuatilia gharama, umiliki, au upangaji wa rasilimali.
|
||||
5. **Kuzuia Ufikiaji wa Umma kwa Rasilimali**: Sera zinaweza kulazimisha kwamba rasilimali fulani, kama akaunti za hifadhi au hifadhidata, hazina maeneo ya umma, kuhakikisha kwamba zinapatikana tu ndani ya mtandao wa shirika.
|
||||
4. **Kulazimisha Sera za Uwekaji Lebo**: Lebo ni jozi za funguo-thamani zinazohusishwa na rasilimali za Azure zinazotumika kwa usimamizi wa rasilimali. Sera zinaweza kulazimisha kwamba lebo fulani lazima ziwepo, au ziwe na thamani maalum, kwa rasilimali zote. Hii ni muhimu kwa ufuatiliaji wa gharama, umiliki, au uainishaji wa rasilimali.
|
||||
5. **Kukataza Ufikiaji wa Umma kwa Rasilimali**: Sera zinaweza kulazimisha kwamba rasilimali fulani, kama akaunti za hifadhi au hifadhidata, hazina maeneo ya umma, kuhakikisha kwamba zinapatikana tu ndani ya mtandao wa shirika.
|
||||
6. **Kuweka Mipangilio ya Usalama Kiotomatiki**: Sera zinaweza kutumika kuweka mipangilio ya usalama kiotomatiki kwa rasilimali, kama vile kuweka kundi maalum la usalama wa mtandao kwa VMs zote au kuhakikisha kwamba akaunti zote za hifadhi zinatumia usimbaji.
|
||||
|
||||
Kumbuka kwamba Azure Policies zinaweza kuunganishwa kwenye ngazi yoyote ya hiyerarhii ya Azure, lakini mara nyingi hutumiwa katika kundi la usimamizi wa mizizi **au katika makundi mengine ya usimamizi**.
|
||||
Kumbuka kwamba Sera za Azure zinaweza kuunganishwa kwenye ngazi yoyote ya hiyerarhii ya Azure, lakini mara nyingi hutumiwa katika **kikundi cha usimamizi wa mzizi** au katika vikundi vingine vya usimamizi.
|
||||
|
||||
Azure policy json example:
|
||||
Mfano wa sera ya azure json:
|
||||
```json
|
||||
{
|
||||
"policyRule": {
|
||||
@@ -360,10 +379,10 @@ Muundo huu wa hiyerarhii unaruhusu usimamizi mzuri na wa kupanuka wa ruhusa za u
|
||||
|
||||
### Azure RBAC vs ABAC
|
||||
|
||||
**RBAC** (udhibiti wa ufikiaji kulingana na jukumu) ni kile tulichokiona tayari katika sehemu zilizopita: **Kutoa jukumu kwa mtu ili kumpa ufikiaji** juu ya rasilimali.\
|
||||
**RBAC** (udhibiti wa ufikiaji kulingana na jukumu) ni kile tulichokiona tayari katika sehemu zilizopita: **Kutoa jukumu kwa msingi ili kumpa ufikiaji** juu ya rasilimali.\
|
||||
Hata hivyo, katika baadhi ya matukio unaweza kutaka kutoa **usimamizi wa ufikiaji wa kiwango cha juu zaidi** au **rahisisha** usimamizi wa **mamia** ya **mikataba ya jukumu**.
|
||||
|
||||
Azure **ABAC** (udhibiti wa ufikiaji kulingana na sifa) inajengwa juu ya Azure RBAC kwa kuongeza **masharti ya ugawaji wa jukumu kulingana na sifa** katika muktadha wa vitendo maalum. _Sharti la ugawaji wa jukumu_ ni **ukaguzi wa ziada ambao unaweza kuongeza kwa hiari kwenye ugawaji wako wa jukumu** ili kutoa udhibiti wa ufikiaji wa kiwango cha juu zaidi. Sharti linafanya uchujaji wa ruhusa zinazotolewa kama sehemu ya ufafanuzi wa jukumu na ugawaji wa jukumu. Kwa mfano, unaweza **kuongeza sharti linalohitaji kitu kuwa na lebo maalum ili kusoma kitu hicho**.\
|
||||
Azure **ABAC** (udhibiti wa ufikiaji kulingana na sifa) unajenga juu ya Azure RBAC kwa kuongeza **masharti ya ugawaji wa jukumu kulingana na sifa** katika muktadha wa vitendo maalum. _Sharti la ugawaji wa jukumu_ ni **ukaguzi wa ziada ambao unaweza kuongeza kwa hiari kwenye ugawaji wako wa jukumu** ili kutoa udhibiti wa ufikiaji wa kiwango cha juu zaidi. Sharti linafanya uchujaji wa ruhusa zinazotolewa kama sehemu ya ufafanuzi wa jukumu na ugawaji wa jukumu. Kwa mfano, unaweza **kuongeza sharti linalohitaji kitu kuwa na lebo maalum ili kusoma kitu hicho**.\
|
||||
Huwezi **kukatisha** **ufikiaji** kwa rasilimali maalum **ukitumia masharti**.
|
||||
|
||||
## Marejeleo
|
||||
|
||||
Reference in New Issue
Block a user