Durch die Einschränkung des Netzwerkverkehrs kann Nerdio Manager in den folgenden Bereichen gehärtet werden:
-
Speicherkonten: Diese werden sowohl von AVD als auch von Nerdio Manager zum Speichern verschiedener Arten von Daten verwendet. Insbesondere werden Speicherkonten zum Speichern von FSLogix-Profilen der Endbenutzer, Boot-Diagnosen, benutzerdefinierten Scripted Actions und MSIX App Attach-Paketen verwendet.
-
SQL: Nerdio Manager basiert auf der Kommunikation zwischen zwei Azure PaaS-Diensten: Azure App Service und Azure SQL-Datenbank. Standardmäßig ist diese Kommunikation mit Transport Layer Security verschlüsselt, und ruhende Daten werden ebenfalls mittels Transparent Data Encryption verschlüsselt.
-
App Service: Der Einstiegspunkt in die Nerdio Manager-Anwendung ist der App Service. Standardmäßig ist der Nerdio Manager App Service durch Entra ID-Authentifizierung geschützt, einschließlich MFA und bedingter Zugriff, und von jedem Internetstandort aus zugänglich.
-
Key Vaults: Key Vaults ermöglichen die sichere Speicherung sowie den Zugriff auf Geheimnisse. Dazu gehören API-Schlüssel, Passwörter und Zertifikate. Die SQL-Konnektivität ist ebenfalls vom Key Vault abhängig, da dies der Speicherort für die SQL-Verbindungszeichenfolge ist.
Anmerkung
Dieses Thema erläutert, wie Sie Nerdio Manager mithilfe eines Skripts härten können. Sie können Nerdio Manager-Komponenten manuell härten. Einzelheiten finden Sie in den folgenden Themen:
Ein Azure Runbook-Skript ist verfügbar, um private Endpoints und Dienstendpunkte hinzuzufügen, damit der Nerdio Manager App Service über ein privates Netzwerk mit der SQL-Datenbank und dem Azure Key Vault kommunizieren kann, ohne dass Datenverkehr über das öffentliche Internet geleitet wird. Der Zugriff auf die SQL-Datenbank und den Azure Key Vault ist auf das privates Netzwerk beschränkt.
Anmerkung
Wenn beim Aktivieren von privaten Endpoints das Storage-Konto, in dem Scripted Actions gespeichert sind, privat gemacht wird, funktionieren die Scripted Actions von Azure Runbooks nicht mehr. Die Fehlerbehebung hierfür besteht darin, die Hybrid Worker-Option mit Scripted Actions zu verwenden. Die Hybrid Worker-VM muss sich in einem VNet befinden, das Zugriff auf das Storage-Konto hat. Bei Verwendung des Skripts für private Endpoints bedeutet dies, dass sich die Hybrid Worker-VM im Peering-VNet oder im VNet für private Endpoints befinden muss, das vom Skript für private Endpoints erstellt wird.
Anforderungen
-
Der App Service-Plan, der im Wesentlichen die „Leistungsstufe“ für den Server darstellt, auf dem die App gehostet wird, muss die VNet-Integration unterstützen. Weitere Informationen zu unterstützten Plänen finden Sie in diesem Microsoft Artikel.
-
Ein virtuelles Netzwerk (VNet), das verwendet werden kann, um eine Verbindung zum App Service und zum Storage-Konto herzustellen. Dieses virtuelle Netzwerk benötigt ausgehenden Zugriff, damit Nerdio Manager über HTTPS (TCP/443) mit den Nerdio-Lizenzierungsservern kommunizieren kann.
Warnung
Variablen, die im Klartext angegeben werden, sind in den Azure Automation-Protokollen sichtbar. Verwenden Sie für die Übermittlung sensibler Daten Globale Sichere Variablen. Weitere Informationen finden Sie unter Scripted Actions Globale Sichere Variablen.
So härten Sie Nerdio Manager:
-
Navigieren Sie zu Endpunkte > Automatisierung > Scripted Actions > Azure Runbooks.
-
Suchen Sie das Skript Private Endpoints aktivieren.
-
Wählen Sie im Aktionenmenü entweder Jetzt ausführen oder Planen.
-
Geben Sie die folgenden optionalen Werte ein:
-
PeerVnetId: Geben Sie optional die Ressourcen-ID für ein bestehendes Netzwerk ein.
Anmerkung
Dies ist die Ressourcen-ID des VNet, das an das VNet des privaten Endpoints angeschlossen werden soll. Die Angabe einer Ressourcen-ID für ein bestehendes Netzwerk führt dazu, dass dieses Netzwerk mit dem neuen privates Netzwerk verbunden wird. Nerdio empfiehlt in gehärteten Szenarien, keine Peerings mit anderen Produktionsnetzwerken durchzuführen, es sei denn, (1) der Zugriff auf das Speicherkonto wurde eingeschränkt oder (2) der App Service wurde als privat konfiguriert.
-
StorageAccountResource: Geben Sie optional das Speicherkonto ein, das in das Subnetz des privaten Endpoints aufgenommen werden soll.
Anmerkung
Der Zugriff auf dieses Speicherkonto ist auf Nerdio Manager und verbundene VNets beschränkt. Dieser Parameter akzeptiert nur ein einzelnes Speicherkonto, bei dem es sich um einen Azure Files-Speicherort handeln sollte.
-
MakeAppServicePrivate: Setzen Sie true , um den Zugriff auf die Nerdio Manager Anwendung zu begrenzen.
Anmerkung
Wenn dies auf „true“ gesetzt ist, können nur Hosts im VNet, das durch dieses Skript erstellt wurde, oder in verbundenen VNets auf die URL des App Service zugreifen.
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Jetzt ausführen (nicht geplant) oder Speichern und schließen (geplant).
Nerdio Manager ist Veracode-verifiziert
Kommentare (0 Kommentare)