Управление данными службы автоматизации Azure

Эта статья затрагивает несколько тем, касающихся защиты данных и их безопасности в среде службы автоматизации Azure.

TLS для служба автоматизации Azure

Чтобы обеспечить безопасность передаваемых данных в служба автоматизации Azure, настоятельно рекомендуется настроить использование протокола TLS. Ниже приведен список методов или клиентов, взаимодействующих со службой автоматизации по протоколу HTTPS.

• Вызовы веб-перехватчика

• Гибридные рабочие роли Runbook пользователя (на основе расширений и агентов)

• Компьютеры, управляемые служба автоматизации Azure управление обновлениями и служба автоматизации Azure отслеживание изменений и инвентаризация

• узлы DSC служба автоматизации Azure

Более старые версии протоколов TLS/SSL оказались уязвимы. Хотя они все еще используются для обеспечения обратной совместимости, применять их не рекомендуется. Рекомендуем по возможности не настраивать в агенте работу только с протоколом TLS 1.2, так как это может на уровне платформы нарушить работу функций безопасности, которые позволяют автоматически обнаруживать и использовать новые, более безопасные протоколы по мере их появления, например TLS 1.3.

Сведения о поддержке TLS с агентом Log Analytics для Windows и Linux, которая является зависимостью для роли гибридной рабочей роли Runbook, см. в обзоре агента Log Analytics — TLS.

Обновление протокола TLS для гибридных рабочих ролей и вызовов веб-перехватчика

С 31 октября 2024 г. все управляемые агентом и расширения гибридные рабочие роли Runbook, веб-перехватчики, узлы DSC и служба автоматизации Azure управление обновлениями и Отслеживание изменений управляемые компьютеры с использованием протоколов TLS 1.0 и 1.1 больше не смогут подключаться к служба автоматизации Azure. Все задания, выполняемые или запланированные для гибридных рабочих ролей с использованием протоколов TLS 1.0 и 1.1, завершаются ошибкой.

Убедитесь, что вызовы веб-перехватчика, которые активируют модули Runbook, перемещаются по протоколу TLS 1.2 или более поздней версии. Узнайте, как отключить протоколы TLS 1.0/1.1 в гибридной рабочей роли Windows и включить TLS 1.2 или более поздней версии на компьютере Windows.

Для гибридных рабочих ролей Linux выполните следующий скрипт Python для обновления до последнего протокола TLS.

import os

# Path to the OpenSSL configuration file as per Linux distro
openssl_conf_path = "/etc/ssl/openssl.cnf"

# Open the configuration file for reading
with open(openssl_conf_path, "r") as f:
    openssl_conf = f.read()

# Check if a default TLS version is already defined
if "DEFAULT@SECLEVEL" in openssl_conf:
    # Update the default TLS version to TLS 1.2
    openssl_conf = openssl_conf.replace("CipherString = DEFAULT@SECLEVEL", "CipherString = DEFAULT@SECLEVEL:TLSv1.2")

    # Open the configuration file for writing and write the updated version
    with open(openssl_conf_path, "w") as f:
        f.write(openssl_conf)

    # Restart any services that use OpenSSL to ensure that the new settings are applied
    os.system("systemctl restart apache2")
    print("Default TLS version has been updated to TLS 1.2.")
else:
    # Add the default TLS version to the configuration file
    openssl_conf += """
    Options = PrioritizeChaCha,EnableMiddleboxCompat
    CipherString = DEFAULT@SECLEVEL:TLSv1.2
    MinProtocol = TLSv1.2
    """

    # Open the configuration file for writing and write the updated version
    with open(openssl_conf_path, "w") as f:
        f.write(openssl_conf)

    # Restart any services that use OpenSSL to ensure that the new settings are applied
    os.system("systemctl restart apache2")
    print("Default TLS version has been added as TLS 1.2.")

Поиск руководств в соответствии с платформой

Хранение данных

После удаления ресурса в службе автоматизации Azure он сохраняется еще много дней в целях аудита, прежде чем будет удален окончательно. В течение этого времени его нельзя увидеть или использовать. Эта политика применяется также к ресурсам удаляемой учетной записи службы автоматизации. Политика хранения применяется ко всем пользователям и в настоящее время не может быть изменена. Но если вам нужно сохранять данные на более длительный период времени, воспользуйтесь пересылкой данных задания службы автоматизации Azure в журналы Azure Monitor.

В следующей таблице кратко описана политика хранения для различных ресурсов.

¹Модуль runbook можно восстановить в течение 30-дневного периода, направив соответствующее обращение в службу поддержки Azure. Перейдите на веб-сайт поддержки Azure и нажмите кнопку Отправить запрос на техническую поддержку.

Резервное копирование данных

При удалении учетной записи службы автоматизации в Azure удаляются и все содержащиеся в ней объекты. Это могут быть runbook, модули, конфигурации, параметры, задания и активы. Удаленная учетная запись службы автоматизации можно восстановить в течение 30 дней. Вы также можете использовать следующие сведения для резервного копирования содержимого учетной записи службы автоматизации перед его удалением:

Модули runbook

Модули Runbook можно экспортировать в файлы сценариев с помощью портала Azure или командлета Get-AzureAutomationRunbookDefinition в Windows PowerShell. Чтобы импортировать файлы скрипта в другую учетную запись службы автоматизации, воспользуйтесь руководством Управление модулями runbook в службе автоматизации Azure.

Модули интеграции

Нельзя экспортировать модули интеграции из службы автоматизации Azure, они должны быть доступны за пределами учетной записи службы автоматизации.

Ресурсы

Невозможно экспортировать следующие активы службы автоматизации Azure: сертификаты, подключения, учетные данные, расписания и переменные. Но вы можете сохранить сведения об этих активах, используя портал Azure и командлеты Azure. На основе этих сведений можно воссоздать все ресурсы, используемые в runbook, которые вы импортируете в другую службу автоматизации.

С помощью командлетов невозможно получить значения зашифрованных переменных или полей с паролями для учетных данных. Если эти значения вам неизвестны, их можно получить из runbook. Извлечение значений переменных описано в статье Управление переменными в службе автоматизации Azure. Сведения о получении значений учетных данных см. в статье Управление учетными данными в службе автоматизации Azure.

Конфигурации DSC

Конфигурации DSC можно экспортировать в файлы скриптов с помощью портала Azure или командлета Export-AzAutomationDscConfiguration в Windows PowerShell. Вы можете импортировать эти конфигурации и применить их в другой учетной записи службы автоматизации.

Место расположения данных

Вы указываете регион во время создания учетной записи служба автоматизации Azure. Данные службы, такие как ресурсы, конфигурация, журналы хранятся в этом регионе и могут обрабатываться или обрабатываться в других регионах в том же географическом регионе. Эти глобальные конечные точки необходимы для предоставления конечным пользователям высокого уровня производительности, низкой задержки независимо от расположения. Только для региона "Южная Бразилия" (штат Сан-Паулу) географического региона Бразилии, юго-восточной Азии (Сингапур) и региона Восточной Азии (Гонконг) географического региона Азиатско-Тихоокеанского региона мы храним служба автоматизации Azure данные в том же регионе для удовлетворения требований к месту размещения данных для этих регионов.

Следующие шаги

• Дополнительные сведения о рекомендациях по обеспечению безопасности см. в служба автоматизации Azure.
• Сведения о защите активов в службе автоматизации см. в статье Шифрование защищенных ресурсов в службе автоматизации Azure.
• Подробные сведения о георепликации см. в статье Создание и использование активной георепликации.