Zugriffsverwaltung¶

Afi Backup für Microsoft Azure verfügt über ein flexibles und granulares Rollenmodell. Damit können Sie:

die Sicherungsverwaltung an eine Gruppe vertrauenswürdiger Benutzer delegieren (die Backup Operators);
Administratoren einsetzen, die nur bestimmte Azure-Ressourcengruppen verwalten und darauf zugreifen können.

Das fein abgestufte Rollenmodell ermöglicht es einem Administrator, die Berechtigungen auf die jeweiligen Sicherheits- und Geschäftsanforderungen zu beschränken. Für die Gruppe Backup Operators lässt sich beispielsweise festlegen, dass ihre Mitglieder Fortschritt und Zustand von Sicherungen überwachen und auf Benutzeranfrage Daten wiederherstellen dürfen, ohne Zugriff auf die Inhaltsvorschau von Volumes oder Datenbanktabellen zu erhalten.

Afi-Zugriffsmodell¶

Afi verwendet ein mandantenfähiges Organisations- und Zugriffsmodell. Sie können damit mehrere Mandanten (z. B. Microsoft Azure und Microsoft 365) unter einem einzelnen Afi-Konto (einer Organisation) hinzufügen und verwalten. Zugriff wird im Afi-Zugriffsmodell ausschließlich durch explizite Berechtigungszuweisungen gewährt. Das Modell ermöglicht eine granulare Zugriffskonfiguration auf jeder Ebene: für eine gesamte Organisation, bestimmte Mandanten, Ressourcengruppen oder ausgewählte Ressourcen innerhalb eines Mandanten. Es folgt dabei dem Prinzip der geringsten Rechte.

Die Zugriffseinstellungen der Organisation werden auf der Registerkarte Configuration → Admins verwaltet und gewähren Zugriff auf die gesamte Afi-Organisation und alle darin enthaltenen Mandanten. Mandantenspezifische Zugriffseinstellungen werden auf der Registerkarte Service → Settings → Access groups verwaltet.

Standardmäßig wird ein Afi-Organisationskonto mit einem einzelnen Administrator erstellt: dem Benutzer, der das Konto eingerichtet hat. Organisationsadministratoren können auf der Registerkarte Configuration → Admins in der Gruppe Organization Administrators hinzugefügt oder entfernt werden. Sie haben vollständigen Zugriff auf die Organisation und alle ihre Mandanten. Einstellungen auf Organisationsebene werden im folgenden Artikel beschrieben. Dieser Artikel behandelt die mandantenspezifischen Zugriffseinstellungen für Azure-Mandanten.

Zugriffsgruppen¶

Zur Verwaltung des Zugriffs auf Ressourcen und Einstellungen innerhalb eines Mandanten können Sie die standardmäßigen Zugriffsgruppen (Administrators und Backup Operators) verwenden oder benutzerdefinierte Zugriffsgruppen konfigurieren, deren Zugriffsbereich an Ihre Anwendungsfälle angepasst ist. In den folgenden Abschnitten werden die Arten von Zugriffsgruppen und die verfügbaren Konfigurationsoptionen beschrieben.

Ein Administrator kann ein beliebiges Microsoft 365- oder Google-Benutzerkonto (geschäftlich oder privat) als Mitglied einer Zugriffsgruppe einladen. Nach Annahme der Einladung kann der Benutzer auf den Mandanten und die Ressourcen zugreifen, für die er eine Zugriffsberechtigung erhalten hat.

Ein Mitglied zu einer Gruppe einladen¶

Ein Afi-Administrator mit der Berechtigung zur Zugriffsverwaltung kann einen Benutzer zu einer Zugriffsgruppe einladen. Klicken Sie dazu auf die Gruppenkachel, geben Sie im Abschnitt Group members die primäre E-Mail-Adresse des Benutzers in das Eingabefeld ein, klicken Sie auf das Symbol + und anschließend auf Save.

Nach der Einladung sendet der Afi-Dienst dem Benutzer eine E-Mail mit einem Link zum Beitritt zur entsprechenden Zugriffsgruppe. Jeder Link ist 7 Tage gültig. Wenn Sie einen Benutzer aus der Gruppe entfernen und erneut hinzufügen, wird der alte Einladungslink ungültig. Um der Gruppe beizutreten, muss der Benutzer dem Link folgen und sich mit dem in der Einladung angegebenen Konto beim Afi-Portal anmelden.

Gruppe Administrators¶

Mitglieder der Gruppe Administrators haben vollständigen Zugriff auf den Mandanten. Selbst in einer Afi-Organisation mit nur einem Mandanten haben sie jedoch keinen Zugriff auf Einstellungen auf Organisationsebene, etwa Lizenzierung, Zugriffsverwaltung der Organisation oder das Afi-Auditprotokoll auf Organisationsebene.

Information

Der Zugriff von Organisations- und Mandantenadministratoren auf Sicherungsdaten kann vollständig gesperrt werden, indem die Berechtigung zur Navigation in Sicherungsdaten für einen Mandanten deaktiviert wird, oder teilweise, indem die Vorschau von Volume-Inhalten und/oder das Herunterladen von Daten eingeschränkt wird.

Gruppe Backup Operators¶

Die Gruppe Backup Operators ist eine standardmäßige Zugriffsgruppe jedes Afi-Mandanten. Sie kann eingeschränkten mandantenweiten Zugriff auf Sicherungsverwaltung, Datenzugriff, Wiederherstellung und Export gewähren. Die folgende Abbildung zeigt die Gruppe Backup Operators mit einem Mitglied, das Sicherungen und Sicherungs-SLA-Richtlinien verwalten, in Sicherungsdaten navigieren und Daten wiederherstellen kann.

Benutzerdefinierte Zugriffsgruppen¶

Mit benutzerdefinierten Zugriffsgruppen können Sie mehrere Administratorgruppen mit eingeschränkten Berechtigungen für einen Mandanten erstellen. Außerdem können Sie den Zugriff gezielt auf eine bestimmte Azure-Ressourcengruppe oder auf manuell ausgewählte Ressourcen (Azure-VMs, Datenbanken oder Azure-Dateifreigaben) beschränken. Benutzerdefinierte Zugriffsgruppen können auch mit einer begrenzten Gültigkeitsdauer konfiguriert werden; standardmäßig ist ihre Gültigkeit unbegrenzt.

So konfigurieren Sie eine benutzerdefinierte Zugriffsgruppe:

Wechseln Sie zur Registerkarte Service → Settings → Access groups.
Klicken Sie auf + Group, um eine neue Gruppe hinzuzufügen, oder wählen Sie eine bestehende Gruppe aus, um ihre Einstellungen zu bearbeiten.
Wählen Sie im angezeigten Dialog den Zugriffsbereich aus (also die Ressourcen, auf die Gruppenmitglieder zugreifen können). Folgende Zugriffsbereiche stehen zur Verfügung:
- All resources: Gewährt Zugriff auf alle Ressourcen und die zugehörigen Einstellungen innerhalb des Mandanten.
- Resource Groups: Gewährt Zugriff auf Ressourcen in den ausgewählten Azure-Ressourcengruppen. Zur besseren Übersicht sind Ressourcengruppen nach dem zugehörigen Azure-Abonnement geordnet.
- Dynamic groups: Gewährt Zugriff auf Ressourcen in den ausgewählten dynamischen Ressourcengruppen, deren Ressourcen anhand konfigurierter Kriterien (z. B. Region oder Tags) ausgewählt werden.
- Custom: Gewährt nur Zugriff auf die von Ihnen ausgewählten Ressourcen.
Wählen Sie die Gruppenmitglieder aus, die auf die Ressourcen im ausgewählten Bereich zugreifen dürfen.
Konfigurieren Sie die Berechtigungen, die diesen Mitgliedern für die Ressourcen im Zugriffsbereich gewährt werden sollen.

Zugriffsgruppen mit begrenzter Gültigkeitsdauer¶

In manchen Fällen ist es sinnvoll, eine Zugriffsgruppe mit begrenzter Gültigkeitsdauer zu konfigurieren, um den Zugriff nur für einen bestimmten Zeitraum zu gewähren. Beispielsweise können Sie während einer internen Untersuchung oder eines Audits vorübergehenden Zugriff auf eine Gruppe von Ressourcen gewähren. Die Gültigkeitsdauer einer Zugriffsgruppe kann über das Steuerelement Expiration date unten im Konfigurationsdialog der Zugriffsgruppe geändert werden.

Erläuterung der Berechtigungen¶

Berechtigung	Beschreibung
Manage access	Ein Mitglied der Zugriffsgruppe kann die Zugriffseinstellungen innerhalb des Mandanten ändern, indem es neue Zugriffsgruppen erstellt oder Einstellungen und Mitglieder bestehender Gruppen bearbeitet.
Configure SLA	Ein Mitglied der Zugriffsgruppe kann auf der Registerkarte Service → Settings → SLA Sicherungs-SLA-Richtlinien im Mandanten erstellen, ändern oder löschen.
Assign SLA and initiate backup	Ein Mitglied der Zugriffsgruppe kann Ressourcen im Zugriffsbereich der Gruppe Sicherungs-SLA-Richtlinien zuweisen und Einstellungen für automatischen Schutz konfigurieren.
Browse backup data	Ein Mitglied der Zugriffsgruppe kann in den Sicherungsdaten aller Sicherungen im Zugriffsbereich der Gruppe navigieren, aber ohne zusätzliche Berechtigungen keine Daten exportieren und keine Vorschau von Volume- oder Datenbanktabelleninhalten anzeigen. Bei Azure-Dateifreigaben ermöglicht diese Berechtigung das Einsehen der Freigabekonfiguration, der Datei- und Ordnerstruktur sowie der Datei- und Ordnermetadaten.
Preview content	Ein Mitglied der Zugriffsgruppe kann Volume-Inhalte und Datenbanktabellen für alle Sicherungen im Zugriffsbereich der Gruppe in der Vorschau anzeigen.
Recovery to another resource	Ein Mitglied der Zugriffsgruppe kann eine Azure-VM, Datenbank oder Azure-Dateifreigabe aus einer Sicherung wiederherstellen.
Data export	Ein Mitglied der Zugriffsgruppe kann Sicherungsdaten aus allen Sicherungen im Zugriffsbereich der Gruppe herunterladen.