diff --git a/src/pentesting-cloud/azure-security/az-basic-information/README.md b/src/pentesting-cloud/azure-security/az-basic-information/README.md index 730d487d6..6768848a4 100644 --- a/src/pentesting-cloud/azure-security/az-basic-information/README.md +++ b/src/pentesting-cloud/azure-security/az-basic-information/README.md @@ -11,10 +11,10 @@ - Μπορεί να περιέχει **άλλες ομάδες διαχείρισης ή συνδρομές**. - Αυτό επιτρέπει την **εφαρμογή ελέγχων διακυβέρνησης** όπως RBAC και Azure Policy μία φορά σε επίπεδο ομάδας διαχείρισης και να κληρονομούνται από όλες τις συνδρομές στην ομάδα. - **10.000 ομάδες διαχείρισης** μπορούν να υποστηριχθούν σε έναν μόνο κατάλογο. -- Ένα δέντρο ομάδων διαχείρισης μπορεί να υποστηρίξει **έως έξι επίπεδα βάθους**. Αυτό το όριο δεν περιλαμβάνει το επίπεδο ρίζας ή το επίπεδο συνδρομής. +- Ένα δέντρο ομάδων διαχείρισης μπορεί να υποστηρίξει **έως έξι επίπεδα βάθους**. Αυτό το όριο δεν περιλαμβάνει το ριζικό επίπεδο ή το επίπεδο συνδρομής. - Κάθε ομάδα διαχείρισης και συνδρομή μπορεί να υποστηρίξει **μόνο έναν γονέα**. -- Ακόμα και αν μπορούν να δημιουργηθούν πολλές ομάδες διαχείρισης, **υπάρχει μόνο 1 ομάδα διαχείρισης ρίζας**. -- Η ομάδα διαχείρισης ρίζας **περιέχει** όλες τις **άλλες ομάδες διαχείρισης και συνδρομές** και **δεν μπορεί να μετακινηθεί ή να διαγραφεί**. +- Ακόμα και αν μπορούν να δημιουργηθούν πολλές ομάδες διαχείρισης, **υπάρχει μόνο 1 ριζική ομάδα διαχείρισης**. +- Η ριζική ομάδα διαχείρισης **περιέχει** όλες τις **άλλες ομάδες διαχείρισης και συνδρομές** και **δεν μπορεί να μετακινηθεί ή να διαγραφεί**. - Όλες οι συνδρομές εντός μιας μόνο ομάδας διαχείρισης πρέπει να εμπιστεύονται τον **ίδιο ενοικιαστή Entra ID.**

https://td-mainsite-cdn.tutorialsdojo.com/wp-content/uploads/2023/02/managementgroups-768x474.png

@@ -22,7 +22,7 @@ ### Συνδρομές Azure - Είναι ένα άλλο **λογικό δοχείο όπου μπορούν να εκτελούνται πόροι** (VMs, DBs…) και θα χρεώνονται. -- Ο **γονέας** του είναι πάντα μια **ομάδα διαχείρισης** (και μπορεί να είναι η ομάδα διαχείρισης ρίζας) καθώς οι συνδρομές δεν μπορούν να περιέχουν άλλες συνδρομές. +- Ο **γονέας** του είναι πάντα μια **ομάδα διαχείρισης** (και μπορεί να είναι η ριζική ομάδα διαχείρισης) καθώς οι συνδρομές δεν μπορούν να περιέχουν άλλες συνδρομές. - **Εμπιστεύεται μόνο έναν κατάλογο Entra ID** - **Δικαιώματα** που εφαρμόζονται σε επίπεδο συνδρομής (ή οποιουδήποτε από τους γονείς της) κληρονομούνται σε όλους τους πόρους μέσα στη συνδρομή. @@ -32,17 +32,17 @@ Όλοι οι **πόροι** πρέπει να είναι **μέσα σε μια ομάδα πόρων** και μπορούν να ανήκουν μόνο σε μια ομάδα και αν μια ομάδα πόρων διαγραφεί, όλοι οι πόροι μέσα σε αυτήν διαγράφονται επίσης. -

https://i0.wp.com/azuredays.com/wp-content/uploads/2020/05/org.png?resize=748%2C601&ssl=1

+

https://i0.wp.com/azuredays.com/wp-content/uploads/2020/05/org.png?resize=748%2C601&ssl=1

-### Αναγνωριστικά Πόρων Azure +### Ταυτοτήτες Πόρων Azure -Κάθε πόρος στο Azure έχει ένα Αναγνωριστικό Πόρου Azure που τον προσδιορίζει. +Κάθε πόρος στο Azure έχει μια Ταυτότητα Πόρου Azure που τον προσδιορίζει. -Η μορφή ενός Αναγνωριστικού Πόρου Azure είναι η εξής: +Η μορφή μιας Ταυτότητας Πόρου Azure είναι η εξής: - `/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}` -Για μια εικονική μηχανή ονόματι myVM σε μια ομάδα πόρων `myResourceGroup` κάτω από την αναγνωριστική συνδρομή `12345678-1234-1234-1234-123456789012`, το Αναγνωριστικό Πόρου Azure φαίνεται ως εξής: +Για μια εικονική μηχανή ονόματι myVM σε μια ομάδα πόρων `myResourceGroup` κάτω από την ταυτότητα συνδρομής `12345678-1234-1234-1234-123456789012`, η Ταυτότητα Πόρου Azure φαίνεται ως εξής: - `/subscriptions/12345678-1234-1234-1234-123456789012/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVM` @@ -54,7 +54,7 @@ ### Entra ID (πρώην Azure Active Directory) -Το Entra ID είναι μια υπηρεσία **διαχείρισης ταυτότητας και πρόσβασης** βασισμένη στο νέφος, σχεδιασμένη να χειρίζεται την αυθεντικοποίηση, την εξουσιοδότηση και τον έλεγχο πρόσβασης χρηστών. Εξασφαλίζει ασφαλή πρόσβαση σε υπηρεσίες της Microsoft όπως το Office 365, το Azure και πολλές τρίτες SaaS εφαρμογές. Με δυνατότητες όπως η ενιαία είσοδος (SSO), η πολυπαραγοντική αυθεντικοποίηση (MFA) και οι πολιτικές πρόσβασης υπό προϋποθέσεις μεταξύ άλλων. +Το Entra ID είναι μια υπηρεσία **διαχείρισης ταυτοτήτων και πρόσβασης** που βασίζεται στο νέφος, σχεδιασμένη να χειρίζεται την αυθεντικοποίηση, την εξουσιοδότηση και τον έλεγχο πρόσβασης χρηστών. Εξασφαλίζει ασφαλή πρόσβαση σε υπηρεσίες της Microsoft όπως το Office 365, το Azure και πολλές τρίτες SaaS εφαρμογές. Με δυνατότητες όπως η ενιαία είσοδος (SSO), η πολυπαραγοντική αυθεντικοποίηση (MFA) και οι πολιτικές πρόσβασης υπό προϋποθέσεις μεταξύ άλλων. ### Υπηρεσίες Τομέα Entra (πρώην Azure AD DS) @@ -66,9 +66,9 @@ - **Νέοι χρήστες** - Υποδείξτε το όνομα email και το τομέα από τον επιλεγμένο ενοικιαστή -- Υποδείξτε το Όνομα Εμφάνισης +- Υποδείξτε το όνομα εμφάνισης - Υποδείξτε τον κωδικό πρόσβασης -- Υποδείξτε τις ιδιότητες (όνομα, τίτλος εργασίας, πληροφορίες επαφής…) +- Υποδείξτε τις ιδιότητες (όνομα, τίτλος εργασίας, πληροφορίες επικοινωνίας…) - Ο προεπιλεγμένος τύπος χρήστη είναι “**μέλος**” - **Εξωτερικοί χρήστες** - Υποδείξτε το email για πρόσκληση και το όνομα εμφάνισης (μπορεί να είναι ένα μη Microsoft email) @@ -100,23 +100,23 @@ - Αυτό δεν περιορίζει την πρόσβαση API στην πύλη (μόνο στο web) - Επιτρέψτε στους χρήστες να συνδέουν τον λογαριασμό εργασίας ή σχολείου με το LinkedIn: Προεπιλεγμένο **Ναι** - Εμφάνιση διατήρησης του χρήστη συνδεδεμένου: Προεπιλεγμένο **Ναι** -- Περιορισμός χρηστών από την ανάκτηση του κλειδιού BitLocker για τις ιδιοκτησίες τους: Προεπιλεγμένο Όχι (ελέγξτε στις Ρυθμίσεις Συσκευής) +- Περιορισμός χρηστών από την ανάκτηση του κλειδιού BitLocker για τις συσκευές τους: Προεπιλεγμένο Όχι (ελέγξτε στις Ρυθμίσεις Συσκευής) - Διαβάστε άλλους χρήστες: Προεπιλεγμένο **Ναι** (μέσω Microsoft Graph) - **Επισκέπτες** -- **Περιορισμοί πρόσβασης επισκεπτών** -- **Οι επισκέπτες έχουν την ίδια πρόσβαση με τα μέλη** παραχωρούν όλες τις άδειες χρηστών μέλους στους επισκέπτες από προεπιλογή. -- **Οι επισκέπτες έχουν περιορισμένη πρόσβαση σε ιδιότητες και συμμετοχές αντικειμένων καταλόγου (προεπιλογή)** περιορίζουν την πρόσβαση των επισκεπτών μόνο στο δικό τους προφίλ χρήστη από προεπιλογή. Η πρόσβαση σε άλλους χρήστες και πληροφορίες ομάδας δεν επιτρέπεται πλέον. +- **Περιορισμοί πρόσβασης επισκεπτών** επιλογές: +- **Οι επισκέπτες έχουν την ίδια πρόσβαση με τα μέλη**. +- **Οι επισκέπτες έχουν περιορισμένη πρόσβαση σε ιδιότητες και συμμετοχές αντικειμένων καταλόγου (προεπιλογή)**. Αυτό περιορίζει την πρόσβαση των επισκεπτών μόνο στο δικό τους προφίλ χρήστη από προεπιλογή. Η πρόσβαση σε άλλους χρήστες και πληροφορίες ομάδας δεν επιτρέπεται πλέον. - **Η πρόσβαση των επισκεπτών περιορίζεται σε ιδιότητες και συμμετοχές των δικών τους αντικειμένων καταλόγου** είναι η πιο περιοριστική. -- **Οι επισκέπτες μπορούν να προσκαλούν** +- **Επιλογές πρόσκλησης επισκεπτών**: - **Οποιοσδήποτε στην οργάνωση μπορεί να προσκαλέσει επισκέπτες, συμπεριλαμβανομένων των επισκεπτών και μη διαχειριστών (η πιο περιεκτική) - Προεπιλογή** -- **Οι χρήστες μέλη και οι χρήστες που έχουν ανατεθεί σε συγκεκριμένους ρόλους διαχειριστή μπορούν να προσκαλέσουν επισκέπτες, συμπεριλαμβανομένων των επισκεπτών με άδειες μέλους** -- **Μόνο οι χρήστες που έχουν ανατεθεί σε συγκεκριμένους ρόλους διαχειριστή μπορούν να προσκαλέσουν επισκέπτες** +- **Χρήστες μέλη και χρήστες που έχουν ανατεθεί σε συγκεκριμένους ρόλους διαχειριστή μπορούν να προσκαλέσουν επισκέπτες, συμπεριλαμβανομένων των επισκεπτών με δικαιώματα μέλους** +- **Μόνο χρήστες που έχουν ανατεθεί σε συγκεκριμένους ρόλους διαχειριστή μπορούν να προσκαλέσουν επισκέπτες** - **Κανείς στην οργάνωση δεν μπορεί να προσκαλέσει επισκέπτες, συμπεριλαμβανομένων των διαχειριστών (η πιο περιοριστική)** -- **Εξωτερικοί χρήστες αποχωρούν**: Προεπιλεγμένο **Αληθές** -- Επιτρέψτε στους εξωτερικούς χρήστες να αποχωρούν από την οργάνωση +- **Αποχώρηση εξωτερικού χρήστη**: Προεπιλεγμένο **Αληθές** +- Επιτρέψτε στους εξωτερικούς χρήστες να αποχωρήσουν από την οργάνωση > [!TIP] -> Ακόμα και αν περιορίζονται από προεπιλογή, οι χρήστες (μέλη και επισκέπτες) με παραχωρημένα δικαιώματα θα μπορούσαν να εκτελέσουν τις προηγούμενες ενέργειες. +> Ακόμα και αν περιορίζονται από προεπιλογή, οι χρήστες (μέλη και επισκέπτες) με χορηγημένα δικαιώματα θα μπορούσαν να εκτελέσουν τις προηγούμενες ενέργειες. ### **Ομάδες** @@ -133,26 +133,26 @@ ### **Υπηρεσίες Principals** -Ένας **Service Principal** είναι μια **ταυτότητα** που δημιουργείται για **χρήση** με **εφαρμογές**, φιλοξενούμενες υπηρεσίες και αυτοματοποιημένα εργαλεία για πρόσβαση σε πόρους Azure. Αυτή η πρόσβαση είναι **περιορισμένη από τους ρόλους που έχουν ανατεθεί** στον service principal, δίνοντάς σας έλεγχο σχετικά με **ποιοι πόροι μπορούν να προσπελαστούν** και σε ποιο επίπεδο. Για λόγους ασφαλείας, συνιστάται πάντα να **χρησιμοποιείτε service principals με αυτοματοποιημένα εργαλεία** αντί να τους επιτρέπετε να συνδέονται με μια ταυτότητα χρήστη. +Ένας **Service Principal** είναι μια **ταυτότητα** που δημιουργείται για **χρήση** με **εφαρμογές**, φιλοξενούμενες υπηρεσίες και αυτοματοποιημένα εργαλεία για πρόσβαση σε πόρους Azure. Αυτή η πρόσβαση είναι **περιορισμένη από τους ρόλους που ανατίθενται** στον service principal, δίνοντάς σας έλεγχο σχετικά με **ποιοι πόροι μπορούν να προσπελαστούν** και σε ποιο επίπεδο. Για λόγους ασφαλείας, συνιστάται πάντα να **χρησιμοποιείτε service principals με αυτοματοποιημένα εργαλεία** αντί να τους επιτρέπετε να συνδέονται με μια ταυτότητα χρήστη. -Είναι δυνατή η **άμεση σύνδεση ως service principal** δημιουργώντας του ένα **μυστικό** (κωδικό πρόσβασης), ένα **πιστοποιητικό**, ή παρέχοντας **ομοσπονδιακή** πρόσβαση σε τρίτες πλατφόρμες (π.χ. Github Actions) μέσω αυτού. +Είναι δυνατή η **άμεση σύνδεση ως service principal** δημιουργώντας του ένα **μυστικό** (κωδικό πρόσβασης), ένα **πιστοποιητικό** ή παρέχοντας **ομοσπονδιακή** πρόσβαση σε τρίτες πλατφόρμες (π.χ. Github Actions) πάνω σε αυτό. -- Αν επιλέξετε **αυθεντικοποίηση με κωδικό πρόσβασης** (κατά προεπιλογή), **αποθηκεύστε τον κωδικό πρόσβασης που δημιουργήθηκε** καθώς δεν θα μπορείτε να έχετε πρόσβαση σε αυτόν ξανά. -- Αν επιλέξετε αυθεντικοποίηση με πιστοποιητικό, βεβαιωθείτε ότι η **εφαρμογή θα έχει πρόσβαση στο ιδιωτικό κλειδί**. +- Εάν επιλέξετε **αυθεντικοποίηση με κωδικό πρόσβασης** (προεπιλογή), **αποθηκεύστε τον κωδικό πρόσβασης που δημιουργήθηκε** καθώς δεν θα μπορείτε να έχετε πρόσβαση σε αυτόν ξανά. +- Εάν επιλέξετε αυθεντικοποίηση με πιστοποιητικό, βεβαιωθείτε ότι η **εφαρμογή θα έχει πρόσβαση στο ιδιωτικό κλειδί**. ### Εγγραφές Εφαρμογών Μια **Εγγραφή Εφαρμογής** είναι μια ρύθμιση που επιτρέπει σε μια εφαρμογή να ενσωματωθεί με το Entra ID και να εκτελεί ενέργειες. -#### Κύρια Συστατικά: +#### Κύρια Στοιχεία: -1. **Αναγνωριστικό Εφαρμογής (Client ID):** Ένας μοναδικός αναγνωριστής για την εφαρμογή σας στο Azure AD. -2. **Διευθύνσεις URL Ανακατεύθυνσης:** Διευθύνσεις URL όπου το Azure AD στέλνει τις απαντήσεις αυθεντικοποίησης. -3. **Πιστοποιητικά, Μυστικά & Ομοσπονδιακές Πιστοληπτικές Δεσμεύσεις:** Είναι δυνατή η δημιουργία ενός μυστικού ή ενός πιστοποιητικού για σύνδεση ως service principal της εφαρμογής, ή για παροχή ομοσπονδιακής πρόσβασης σε αυτήν (π.χ. Github Actions). -1. Αν δημιουργηθεί ένα **πιστοποιητικό** ή **μυστικό**, είναι δυνατή η **σύνδεση ως service principal** με εργαλεία CLI γνωρίζοντας το **αναγνωριστικό εφαρμογής**, το **μυστικό** ή το **πιστοποιητικό** και τον **ενοικιαστή** (τομέας ή ID). +1. **Ταυτότητα Εφαρμογής (Client ID):** Ένας μοναδικός αναγνωριστικός αριθμός για την εφαρμογή σας στο Azure AD. +2. **URI Ανακατεύθυνσης:** URLs όπου το Azure AD στέλνει τις απαντήσεις αυθεντικοποίησης. +3. **Πιστοποιητικά, Μυστικά & Ομοσπονδιακές Πιστοληπτικές Δεσμεύσεις:** Είναι δυνατή η δημιουργία ενός μυστικού ή ενός πιστοποιητικού για σύνδεση ως service principal της εφαρμογής ή για παροχή ομοσπονδιακής πρόσβασης σε αυτήν (π.χ. Github Actions). +1. Εάν δημιουργηθεί ένα **πιστοποιητικό** ή **μυστικό**, είναι δυνατή η **σύνδεση ως service principal** με εργαλεία CLI γνωρίζοντας την **ταυτότητα εφαρμογής**, το **μυστικό** ή το **πιστοποιητικό** και τον **ενοικιαστή** (τομέα ή ID). 4. **Δικαιώματα API:** Προσδιορίζει ποιους πόρους ή APIs μπορεί να προσπελάσει η εφαρμογή. 5. **Ρυθμίσεις Αυθεντικοποίησης:** Ορίζει τις υποστηριζόμενες ροές αυθεντικοποίησης της εφαρμογής (π.χ., OAuth2, OpenID Connect). -6. **Service Principal**: Ένας service principal δημιουργείται όταν δημιουργείται μια εφαρμογή (αν γίνει από την ιστοσελίδα) ή όταν εγκαθίσταται σε έναν νέο ενοικιαστή. +6. **Service Principal**: Ένας service principal δημιουργείται όταν δημιουργείται μια εφαρμογή (εάν γίνει από την ιστοσελίδα) ή όταν εγκαθίσταται σε έναν νέο ενοικιαστή. 1. Ο **service principal** θα αποκτήσει όλα τα ζητούμενα δικαιώματα με τα οποία έχει ρυθμιστεί. ### Προεπιλεγμένα Δικαιώματα Συναίνεσης @@ -162,7 +162,7 @@ - **Μην επιτρέπετε τη συναίνεση χρηστών** - Ένας διαχειριστής θα απαιτείται για όλες τις εφαρμογές. - **Επιτρέψτε τη συναίνεση χρηστών για εφαρμογές από επαληθευμένους εκδότες, για επιλεγμένα δικαιώματα (Συνιστάται)** -- Όλοι οι χρήστες μπορούν να συναινέσουν για δικαιώματα που ταξινομούνται ως "χαμηλής επίπτωσης", για εφαρμογές από επαληθευμένους εκδότες ή εφαρμογές που είναι εγγεγραμμένες σε αυτήν την οργάνωση. +- Όλοι οι χρήστες μπορούν να συναινέσουν για δικαιώματα που ταξινομούνται ως "χαμηλής επίπτωσης", για εφαρμογές από επαληθευμένους εκδότες ή εφαρμογές που έχουν εγγραφεί σε αυτήν την οργάνωση. - **Προεπιλεγμένα** δικαιώματα χαμηλής επίπτωσης (αν και πρέπει να αποδεχθείτε να τα προσθέσετε ως χαμηλά): - User.Read - σύνδεση και ανάγνωση προφίλ χρήστη - offline_access - διατήρηση πρόσβασης σε δεδομένα που οι χρήστες έχουν δώσει πρόσβαση @@ -175,19 +175,19 @@ **Αιτήματα συναίνεσης διαχειριστή**: Προεπιλεγμένο **Όχι** - Οι χρήστες μπορούν να ζητήσουν συναίνεση διαχειριστή για εφαρμογές που δεν μπορούν να συναινέσουν -- Αν **Ναι**: Είναι δυνατή η ένδειξη Χρηστών, Ομάδων και Ρόλων που μπορούν να συναινέσουν σε αιτήματα -- Ρυθμίστε επίσης αν οι χρήστες θα λαμβάνουν ειδοποιήσεις μέσω email και υπενθυμίσεις λήξης +- Εάν **Ναι**: Είναι δυνατή η ένδειξη Χρηστών, Ομάδων και Ρόλων που μπορούν να συναινέσουν σε αιτήματα +- Ρυθμίστε επίσης αν οι χρήστες θα λαμβάνουν ειδοποιήσεις μέσω email και υπενθυμίσεις λήξης ### **Διαχειριζόμενη Ταυτότητα (Μεταδεδομένα)** -Οι διαχειριζόμενες ταυτότητες στο Azure Active Directory προσφέρουν μια λύση για **αυτόματη διαχείριση της ταυτότητας** των εφαρμογών. Αυτές οι ταυτότητες χρησιμοποιούνται από τις εφαρμογές για τον σκοπό της **σύνδεσης** σε **πόρους** συμβατούς με την αυθεντικοποίηση Azure Active Directory (**Azure AD**). Αυτό επιτρέπει την **αφαίρεση της ανάγκης σκληρής κωδικοποίησης διαπιστευτηρίων νέφους** στον κώδικα καθώς η εφαρμογή θα είναι σε θέση να επικοινωνήσει με την υπηρεσία **μεταδεδομένων** για να αποκτήσει ένα έγκυρο διακριτικό για **εκτέλεση ενεργειών** ως η υποδεικνυόμενη διαχειριζόμενη ταυτότητα στο Azure. +Οι διαχειριζόμενες ταυτότητες στο Azure Active Directory προσφέρουν μια λύση για **αυτόματη διαχείριση της ταυτότητας** των εφαρμογών. Αυτές οι ταυτότητες χρησιμοποιούνται από τις εφαρμογές για τον σκοπό της **σύνδεσης** σε **πόρους** συμβατούς με την αυθεντικοποίηση Azure Active Directory (**Azure AD**). Αυτό επιτρέπει την **αφαίρεση της ανάγκης σκληρής κωδικοποίησης διαπιστευτηρίων νέφους** στον κώδικα καθώς η εφαρμογή θα μπορεί να επικοινωνήσει με την υπηρεσία **μεταδεδομένων** για να αποκτήσει ένα έγκυρο διακριτικό για να **εκτελεί ενέργειες** ως η υποδεικνυόμενη διαχειριζόμενη ταυτότητα στο Azure. Υπάρχουν δύο τύποι διαχειριζόμενων ταυτοτήτων: - **Ανατεθειμένη από το σύστημα**. Ορισμένες υπηρεσίες Azure σας επιτρέπουν να **ενεργοποιήσετε μια διαχειριζόμενη ταυτότητα απευθείας σε μια υπηρεσία**. Όταν ενεργοποιείτε μια διαχειριζόμενη ταυτότητα ανατεθειμένη από το σύστημα, δημιουργείται ένας **service principal** στον ενοικιαστή Entra ID που εμπιστεύεται τη συνδρομή όπου βρίσκεται ο πόρος. Όταν ο **πόρος** διαγραφεί, το Azure αυτόματα **διαγράφει** την **ταυτότητα** για εσάς. - **Ανατεθειμένη από τον χρήστη**. Είναι επίσης δυνατή η δημιουργία διαχειριζόμενων ταυτοτήτων από τους χρήστες. Αυτές δημιουργούνται μέσα σε μια ομάδα πόρων σε μια συνδρομή και θα δημιουργηθεί ένας service principal στον EntraID που εμπιστεύεται τη συνδρομή. Στη συνέχεια, μπορείτε να αναθέσετε τη διαχειριζόμενη ταυτότητα σε μία ή **περισσότερες περιπτώσεις** μιας υπηρεσίας Azure (πολλοί πόροι). Για τις διαχειριζόμενες ταυτότητες ανατεθειμένες από τον χρήστη, η **ταυτότητα διαχειρίζεται ξεχωριστά από τους πόρους που τη χρησιμοποιούν**. -Οι διαχειριζόμενες ταυτότητες **δεν δημιουργούν αιώνια διαπιστευτήρια** (όπως κωδικούς πρόσβασης ή πιστοποιητικά) για πρόσβαση ως ο service principal που συνδέεται με αυτές. +Οι Διαχειριζόμενες Ταυτότητες **δεν δημιουργούν αιώνια διαπιστευτήρια** (όπως κωδικούς πρόσβασης ή πιστοποιητικά) για πρόσβαση ως ο service principal που συνδέεται με αυτήν. ### Επιχειρησιακές Εφαρμογές @@ -206,7 +206,7 @@ - Δημιουργήστε Διοικητικές Μονάδες για κάθε περιοχή (π.χ., "Βόρεια Αμερική AU", "Ευρώπη AU"). - Συμπληρώστε τις Διοικητικές Μονάδες με χρήστες από τις αντίστοιχες περιοχές τους. - Οι Διοικητικές Μονάδες μπορούν να **περιέχουν χρήστες, ομάδες ή συσκευές** -- Οι Διοικητικές Μονάδες υποστηρίζουν **δυναμικές συμμετοχές** +- Υποστηρίζουν **δυναμικές συμμετοχές** - Οι Διοικητικές Μονάδες **δεν μπορούν να περιέχουν Διοικητικές Μονάδες** - Αναθέστε Ρόλους Διαχειριστή: - Δώστε τον ρόλο "Διαχειριστής Χρηστών" στο περιφερειακό προσωπικό IT, περιορισμένο στην AU της περιοχής τους. @@ -225,7 +225,7 @@ **Ρόλοι** που ανατίθενται σε **ομάδες** κληρονομούνται από όλα τα **μέλη** της ομάδας. -Ανάλογα με το πεδίο στο οποίο ανατέθηκε ο ρόλος, ο **ρόλος** μπορεί να **κληρονομηθεί** σε **άλλους πόρους** μέσα στο δοχείο πεδίου. Για παράδειγμα, αν ο χρήστης A έχει έναν **ρόλο στη συνδρομή**, θα έχει αυτόν τον **ρόλο σε όλες τις ομάδες πόρων** μέσα στη συνδρομή και σε **όλους τους πόρους** μέσα στην ομάδα πόρων. +Ανάλογα με το πεδίο στο οποίο ανατέθηκε ο ρόλος, ο **ρόλος** μπορεί να **κληρονομηθεί** σε **άλλους πόρους** μέσα στο δοχείο πεδίου. Για παράδειγμα, εάν ένας χρήστης A έχει έναν **ρόλο στη συνδρομή**, θα έχει αυτόν τον **ρόλο σε όλες τις ομάδες πόρων** μέσα στη συνδρομή και σε **όλους τους πόρους** μέσα στην ομάδα πόρων. ### **Κλασικοί Ρόλοι** @@ -237,15 +237,15 @@ ### Ενσωματωμένοι ρόλοι -[Από τα έγγραφα: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Ο έλεγχος πρόσβασης βάσει ρόλων Azure (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) έχει αρκετούς **ενσωματωμένους ρόλους** Azure που μπορείτε να **αναθέσετε** σε **χρήστες, ομάδες, service principals και διαχειριζόμενες ταυτότητες**. Οι αναθέσεις ρόλων είναι ο τρόπος που ελέγχετε την **πρόσβαση στους πόρους Azure**. Αν οι ενσωματωμένοι ρόλοι δεν καλύπτουν τις συγκεκριμένες ανάγκες της οργάνωσής σας, μπορείτε να δημιουργήσετε τους δικούς σας [**προσαρμοσμένους ρόλους Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)**.** +[Από τα έγγραφα: ](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles)[Ο έλεγχος πρόσβασης βάσει ρόλων Azure (Azure RBAC)](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview) έχει αρκετούς **ενσωματωμένους ρόλους** Azure που μπορείτε να **αναθέσετε** σε **χρήστες, ομάδες, service principals και διαχειριζόμενες ταυτότητες**. Οι αναθέσεις ρόλων είναι ο τρόπος που ελέγχετε **την πρόσβαση στους πόρους Azure**. Εάν οι ενσωματωμένοι ρόλοι δεν καλύπτουν τις συγκεκριμένες ανάγκες της οργάνωσής σας, μπορείτε να δημιουργήσετε τους δικούς σας [**προσαρμοσμένους ρόλους Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/custom-roles)**.** -Οι **ενσωματωμένοι** ρόλοι ισχύουν μόνο για τους **πόρους** για τους οποίους προορίζονται, για παράδειγμα ελέγξτε αυτά τα 2 παραδείγματα **ενσωματωμένων ρόλων σε πόρους Υπολογισμού**: +Οι **Ενσωματωμένοι** ρόλοι ισχύουν μόνο για τους **πόρους** για τους οποίους προορίζονται, για παράδειγμα ελέγξτε αυτά τα 2 παραδείγματα **Ενσωματωμένων ρόλων πάνω σε Πόρους Υπολογισμού**: -| [Αναγνώστης Αντίγραφου Δίσκου](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Παρέχει άδεια στο vault αντιγράφων για να εκτελεί αντίγραφο δίσκου. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | +| [Αναγνώστης Αντίγραφου Δίσκου](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#disk-backup-reader) | Παρέχει άδεια στο vault αντιγράφων για να εκτελεί αντίγραφα δίσκων. | 3e5e47e6-65f7-47ef-90b5-e5dd4d455f24 | | ----------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------- | ------------------------------------ | | [Σύνδεση Χρήστη Εικονικής Μηχανής](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles#virtual-machine-user-login) | Προβολή Εικονικών Μηχανών στην πύλη και σύνδεση ως κανονικός χρήστης. | fb879df8-f326-4884-b1cf-06f3ad86be52 | -Αυτοί οι ρόλοι μπορούν **επίσης να ανατεθούν σε λογικά δοχεία** (όπως ομάδες διαχείρισης, συνδρομές και ομάδες πόρων) και οι principals που επηρεάζονται θα τους έχουν **στους πόρους μέσα σε αυτά τα δοχεία**. +Αυτοί οι ρόλοι μπορούν **επίσης να ανατεθούν πάνω σε λογικά δοχεία** (όπως ομάδες διαχείρισης, συνδρομές και ομάδες πόρων) και οι principals που επηρεάζονται θα τους έχουν **πάνω στους πόρους μέσα σε αυτά τα δοχεία**. - Βρείτε εδώ μια λίστα με [**όλους τους ενσωματωμένους ρόλους Azure**](https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles). - Βρείτε εδώ μια λίστα με [**όλους τους ενσωματωμένους ρόλους Entra ID**](https://learn.microsoft.com/en-us/azure/active-directory/roles/permissions-reference). @@ -256,10 +256,10 @@ - Δημιουργούνται μέσα σε ένα πεδίο, αν και ένας ρόλος μπορεί να είναι σε αρκετά πεδία (ομάδες διαχείρισης, συνδρομή και ομάδες πόρων) - Είναι δυνατή η ρύθμιση όλων των λεπτομερών δικαιωμάτων που θα έχει ο προσαρμοσμένος ρόλος - Είναι δυνατή η εξαίρεση δικαιωμάτων -- Ένας principal με εξαιρεθέν δικαίωμα δεν θα μπορεί να το χρησιμοποιήσει ακόμα και αν το δικαίωμα παραχωρείται αλλού +- Ένας principal με εξαιρεθέν δικαίωμα δεν θα μπορεί να το χρησιμοποιήσει ακόμα και αν το δικαίωμα χορηγείται αλλού - Είναι δυνατή η χρήση wildcard - Η χρησιμοποιούμενη μορφή είναι JSON -- `actions` είναι για τον έλεγχο ενεργειών στους πόρους +- `actions` είναι για τον έλεγχο ενεργειών πάνω στον πόρο - `dataActions` είναι δικαιώματα πάνω στα δεδομένα εντός του αντικειμένου Παράδειγμα δικαιωμάτων JSON για έναν προσαρμοσμένο ρόλο: @@ -292,47 +292,47 @@ } } ``` -### Άδεια πρόσβασης +### Permissions order -- Για να έχει ένας **κύριος πρόσβαση σε έναν πόρο** χρειάζεται να του παραχωρηθεί ρητά ένας ρόλος (με οποιονδήποτε τρόπο) **παρέχοντάς του αυτή την άδεια**. -- Μια ρητή **ανάθεση ρόλου άρνησης έχει προτεραιότητα** σε σχέση με τον ρόλο που παρέχει την άδεια. +- Για να έχει ένας **principal πρόσβαση σε έναν πόρο**, χρειάζεται να του παραχωρηθεί ρητά ένας ρόλος (με οποιονδήποτε τρόπο) **που του δίνει αυτή την άδεια**. +- Μια ρητή **ανάθεση ρόλου άρνησης έχει προτεραιότητα** σε σχέση με τον ρόλο που παραχωρεί την άδεια.

https://link.springer.com/chapter/10.1007/978-1-4842-7325-8_10

-### Παγκόσμιος Διαχειριστής +### Global Administrator -Ο Παγκόσμιος Διαχειριστής είναι ένας ρόλος από το Entra ID που παρέχει **πλήρη έλεγχο πάνω στον ενοικιαστή Entra ID**. Ωστόσο, δεν παρέχει καμία άδεια πάνω στους πόρους Azure από προεπιλογή. +Ο Global Administrator είναι ένας ρόλος από το Entra ID που παραχωρεί **πλήρη έλεγχο πάνω στον ενοικιαστή Entra ID**. Ωστόσο, δεν παραχωρεί καμία άδεια πάνω στους πόρους Azure από προεπιλογή. -Οι χρήστες με τον ρόλο του Παγκόσμιου Διαχειριστή έχουν τη δυνατότητα να '**ανυψώσουν' τον ρόλο Διαχειριστή Πρόσβασης Χρηστών Azure στην Κεντρική Διαχείριση**. Έτσι, οι Παγκόσμιοι Διαχειριστές μπορούν να διαχειρίζονται την πρόσβαση σε **όλες τις συνδρομές Azure και τις ομάδες διαχείρισης.**\ +Οι χρήστες με τον ρόλο Global Administrator έχουν τη δυνατότητα να '**ανυψώσουν' τον ρόλο User Access Administrator Azure στην Κεντρική Διαχείριση**. Έτσι, οι Global Administrators μπορούν να διαχειρίζονται την πρόσβαση σε **όλες τις συνδρομές Azure και τις ομάδες διαχείρισης.**\ Αυτή η ανύψωση μπορεί να γίνει στο τέλος της σελίδας: [https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/\~/Properties](https://portal.azure.com/#view/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/~/Properties)
-### Πολιτικές Azure +### Azure Policies -Οι **Πολιτικές Azure** είναι κανόνες που βοηθούν τους οργανισμούς να διασφαλίσουν ότι οι πόροι τους πληρούν συγκεκριμένα πρότυπα και απαιτήσεις συμμόρφωσης. Επιτρέπουν την **επιβολή ή τον έλεγχο ρυθμίσεων σε πόρους στο Azure**. Για παράδειγμα, μπορείτε να αποτρέψετε τη δημιουργία εικονικών μηχανών σε μη εξουσιοδοτημένη περιοχή ή να διασφαλίσετε ότι όλοι οι πόροι έχουν συγκεκριμένες ετικέτες για παρακολούθηση. +**Azure Policies** είναι κανόνες που βοηθούν τις οργανώσεις να διασφαλίσουν ότι οι πόροι τους πληρούν συγκεκριμένα πρότυπα και απαιτήσεις συμμόρφωσης. Επιτρέπουν να **επιβάλλετε ή να ελέγχετε ρυθμίσεις σε πόρους στο Azure**. Για παράδειγμα, μπορείτε να αποτρέψετε τη δημιουργία εικονικών μηχανών σε μη εξουσιοδοτημένη περιοχή ή να διασφαλίσετε ότι όλοι οι πόροι έχουν συγκεκριμένες ετικέτες για παρακολούθηση. -Οι Πολιτικές Azure είναι **προληπτικές**: μπορούν να σταματήσουν τη δημιουργία ή την αλλαγή μη συμμορφούμενων πόρων. Είναι επίσης **αντιδραστικές**, επιτρέποντάς σας να βρείτε και να διορθώσετε υπάρχοντες μη συμμορφούμενους πόρους. +Οι Azure Policies είναι **προληπτικές**: μπορούν να σταματήσουν τη δημιουργία ή την αλλαγή μη συμμορφούμενων πόρων. Είναι επίσης **αντιδραστικές**, επιτρέποντάς σας να βρείτε και να διορθώσετε υπάρχοντες μη συμμορφούμενους πόρους. -#### **Βασικές Έννοιες** +#### **Key Concepts** -1. **Ορισμός Πολιτικής**: Ένας κανόνας, γραμμένος σε JSON, που καθορίζει τι επιτρέπεται ή απαιτείται. -2. **Ανάθεση Πολιτικής**: Η εφαρμογή μιας πολιτικής σε συγκεκριμένο πεδίο (π.χ., συνδρομή, ομάδα πόρων). -3. **Πρωτοβουλίες**: Μια συλλογή πολιτικών που ομαδοποιούνται για ευρύτερη επιβολή. -4. **Επίδραση**: Καθορίζει τι συμβαίνει όταν ενεργοποιείται η πολιτική (π.χ., "Άρνηση", "Έλεγχος" ή "Προσθήκη"). +1. **Policy Definition**: Ένας κανόνας, γραμμένος σε JSON, που καθορίζει τι επιτρέπεται ή απαιτείται. +2. **Policy Assignment**: Η εφαρμογή μιας πολιτικής σε συγκεκριμένο πεδίο (π.χ., συνδρομή, ομάδα πόρων). +3. **Initiatives**: Μια συλλογή πολιτικών που ομαδοποιούνται για ευρύτερη επιβολή. +4. **Effect**: Καθορίζει τι συμβαίνει όταν ενεργοποιείται η πολιτική (π.χ., "Deny," "Audit," ή "Append"). **Ορισμένα παραδείγματα:** 1. **Διασφάλιση Συμμόρφωσης με Συγκεκριμένες Περιοχές Azure**: Αυτή η πολιτική διασφαλίζει ότι όλοι οι πόροι αναπτύσσονται σε συγκεκριμένες περιοχές Azure. Για παράδειγμα, μια εταιρεία μπορεί να θέλει να διασφαλίσει ότι όλα τα δεδομένα της αποθηκεύονται στην Ευρώπη για συμμόρφωση με τον GDPR. -2. **Επιβολή Προτύπων Ονοματοδοσίας**: Οι πολιτικές μπορούν να επιβάλλουν συμβάσεις ονοματοδοσίας για τους πόρους Azure. Αυτό βοηθά στην οργάνωση και την εύκολη αναγνώριση των πόρων με βάση τα ονόματά τους, κάτι που είναι χρήσιμο σε μεγάλες περιβάλλουσες. +2. **Επιβολή Προτύπων Ονοματοδοσίας**: Οι πολιτικές μπορούν να επιβάλλουν συμβάσεις ονοματοδοσίας για τους πόρους Azure. Αυτό βοηθά στην οργάνωση και την εύκολη αναγνώριση των πόρων με βάση τα ονόματά τους, κάτι που είναι χρήσιμο σε μεγάλες περιβάλλοντα. 3. **Περιορισμός Ορισμένων Τύπων Πόρων**: Αυτή η πολιτική μπορεί να περιορίσει τη δημιουργία ορισμένων τύπων πόρων. Για παράδειγμα, μια πολιτική θα μπορούσε να ρυθμιστεί ώστε να αποτρέπει τη δημιουργία ακριβών τύπων πόρων, όπως ορισμένα μεγέθη VM, για τον έλεγχο του κόστους. -4. **Επιβολή Πολιτικών Ετικετών**: Οι ετικέτες είναι ζεύγη κλειδιού-τιμής που σχετίζονται με τους πόρους Azure και χρησιμοποιούνται για τη διαχείριση πόρων. Οι πολιτικές μπορούν να επιβάλλουν ότι ορισμένες ετικέτες πρέπει να είναι παρούσες ή να έχουν συγκεκριμένες τιμές για όλους τους πόρους. Αυτό είναι χρήσιμο για την παρακολούθηση κόστους, την ιδιοκτησία ή την κατηγοριοποίηση των πόρων. -5. **Περιορισμός Δημόσιας Πρόσβασης σε Πόρους**: Οι πολιτικές μπορούν να επιβάλλουν ότι ορισμένοι πόροι, όπως οι λογαριασμοί αποθήκευσης ή οι βάσεις δεδομένων, δεν έχουν δημόσιες τελικές σημεία, διασφαλίζοντας ότι είναι προσβάσιμοι μόνο εντός του δικτύου του οργανισμού. +4. **Επιβολή Πολιτικών Ετικετών**: Οι ετικέτες είναι ζεύγη κλειδιού-τιμής που σχετίζονται με τους πόρους Azure και χρησιμοποιούνται για τη διαχείριση πόρων. Οι πολιτικές μπορούν να επιβάλλουν ότι ορισμένες ετικέτες πρέπει να είναι παρούσες ή να έχουν συγκεκριμένες τιμές για όλους τους πόρους. Αυτό είναι χρήσιμο για την παρακολούθηση κόστους, την ιδιοκτησία ή την κατηγοριοποίηση πόρων. +5. **Περιορισμός Δημόσιας Πρόσβασης σε Πόρους**: Οι πολιτικές μπορούν να επιβάλλουν ότι ορισμένοι πόροι, όπως οι λογαριασμοί αποθήκευσης ή οι βάσεις δεδομένων, δεν έχουν δημόσιες τελικές σημεία, διασφαλίζοντας ότι είναι προσβάσιμοι μόνο εντός του δικτύου της οργάνωσης. 6. **Αυτόματη Εφαρμογή Ρυθμίσεων Ασφαλείας**: Οι πολιτικές μπορούν να χρησιμοποιηθούν για την αυτόματη εφαρμογή ρυθμίσεων ασφαλείας σε πόρους, όπως η εφαρμογή μιας συγκεκριμένης ομάδας ασφαλείας δικτύου σε όλες τις VM ή η διασφάλιση ότι όλοι οι λογαριασμοί αποθήκευσης χρησιμοποιούν κρυπτογράφηση. -Σημειώστε ότι οι Πολιτικές Azure μπορούν να προσαρτηθούν σε οποιοδήποτε επίπεδο της ιεραρχίας Azure, αλλά χρησιμοποιούνται **συνήθως στην κεντρική ομάδα διαχείρισης** ή σε άλλες ομάδες διαχείρισης. +Σημειώστε ότι οι Azure Policies μπορούν να προσαρτηθούν σε οποιοδήποτε επίπεδο της ιεραρχίας Azure, αλλά χρησιμοποιούνται **συνήθως στην κεντρική ομάδα διαχείρισης** ή σε άλλες ομάδες διαχείρισης. -Παράδειγμα πολιτικής Azure json: +Azure policy json example: ```json { "policyRule": { @@ -361,9 +361,9 @@ ### Azure RBAC vs ABAC **RBAC** (έλεγχος πρόσβασης βάσει ρόλου) είναι αυτό που έχουμε δει ήδη στις προηγούμενες ενότητες: **Ανάθεση ενός ρόλου σε έναν κύριο για να του παραχωρηθεί πρόσβαση** σε έναν πόρο.\ -Ωστόσο, σε ορισμένες περιπτώσεις μπορεί να θέλετε να παρέχετε **πιο λεπτομερή διαχείριση πρόσβασης** ή **να απλοποιήσετε** τη διαχείριση **εκατοντάδων** αναθέσεων ρόλων. +Ωστόσο, σε ορισμένες περιπτώσεις μπορεί να θέλετε να παρέχετε **πιο λεπτομερή διαχείριση πρόσβασης** ή να **απλοποιήσετε** τη διαχείριση **εκατοντάδων** αναθέσεων ρόλων. -Το Azure **ABAC** (έλεγχος πρόσβασης βάσει χαρακτηριστικών) βασίζεται στο Azure RBAC προσθέτοντας **συνθήκες ανάθεσης ρόλου με βάση χαρακτηριστικά** στο πλαίσιο συγκεκριμένων ενεργειών. Μια _συνθήκη ανάθεσης ρόλου_ είναι μια **επιπλέον επαλήθευση που μπορείτε προαιρετικά να προσθέσετε στην ανάθεση ρόλου σας** για να παρέχετε πιο λεπτομερή έλεγχο πρόσβασης. Μια συνθήκη φιλτράρει τα δικαιώματα που παραχωρούνται ως μέρος του ορισμού ρόλου και της ανάθεσης ρόλου. Για παράδειγμα, μπορείτε να **προσθέσετε μια συνθήκη που απαιτεί ένα αντικείμενο να έχει μια συγκεκριμένη ετικέτα για να διαβάσετε το αντικείμενο**.\ +Το Azure **ABAC** (έλεγχος πρόσβασης βάσει χαρακτηριστικών) βασίζεται στο Azure RBAC προσθέτοντας **συνθήκες ανάθεσης ρόλου βάσει χαρακτηριστικών** στο πλαίσιο συγκεκριμένων ενεργειών. Μια _συνθήκη ανάθεσης ρόλου_ είναι μια **επιπλέον έλεγχο που μπορείτε προαιρετικά να προσθέσετε στην ανάθεση ρόλου σας** για να παρέχετε πιο λεπτομερή έλεγχο πρόσβασης. Μια συνθήκη φιλτράρει τα δικαιώματα που παραχωρούνται ως μέρος του ορισμού ρόλου και της ανάθεσης ρόλου. Για παράδειγμα, μπορείτε να **προσθέσετε μια συνθήκη που απαιτεί ένα αντικείμενο να έχει μια συγκεκριμένη ετικέτα για να διαβάσετε το αντικείμενο**.\ Δεν μπορείτε να **αρνηθείτε** ρητά την **πρόσβαση** σε συγκεκριμένους πόρους **χρησιμοποιώντας συνθήκες**. ## Αναφορές