Azure 虛擬網絡 Manager 中的安全性系統管理員規則

在本文中，您將瞭解 Azure 虛擬網絡 Manager 中的安全性系統管理員規則。 安全性系統管理員規則可用來定義套用至網路群組內所有虛擬網路的全域網路安全性規則。 您了解什麼是安全性系統管理員規則、其運作方式，以及使用時機。

什麼是安全性系統管理員規則？

安全性系統管理員規則是全域網路安全性規則，可強制執行虛擬網路上規則集合中定義的安全策略。 這些規則可用來允許、永遠允許或拒絕目標網路群組內虛擬網路之間的流量。 這些網路群組只能包含虛擬網路管理員實例範圍內的虛擬網路。 安全性系統管理員規則不適用於虛擬網路管理員未管理的虛擬網路。

以下是一些可以使用安全性系統管理員規則的案例：

使用 Azure 虛擬網絡 Manager，您有一個集中式位置來管理安全性管理規則。 集中可讓您大規模定義安全策略，並一次套用至多個虛擬網路。

安全性管理員規則如何運作？

安全性系統管理員規則允許或拒絕特定埠、通訊協定和來源/目的地IP前置詞上的流量，以指定方向顯示。 當您定義安全性管理規則時，您可以指定下列條件：

• 規則的優先順序
• 要採取的動作（允許、拒絕或一律允許）
• 流量方向（輸入或輸出）
• 要使用的通訊協定

若要跨多個虛擬網路強制執行安全策略，您可以 建立及部署安全性系統管理員設定。 此組態包含一組規則集合，而每個規則集合都包含一或多個安全性系統管理員規則。 建立之後，您會將規則集合與需要安全性系統管理員規則的網路群組產生關聯。 這些規則接著會在部署組態時套用至網路群組中包含的所有虛擬網路。 單一設定提供跨多個虛擬網路之安全策略的集中式且可調整的強制執行。

如何評估安全性管理員規則和網路安全組 （NSG）

安全性系統管理員規則和網路安全組 （NSG） 可用來在 Azure 中強制執行網路安全策略。 不過，它們有不同的範圍和優先順序。#

安全性系統管理員規則是供中央控管小組的網路管理員使用，藉此將 NSG 規則委派給個別應用程式或服務小組，以視需要進一步指定安全性。 安全性系統管理員規則的優先順序高於 NSG，且會在 NSG 規則之前進行評估。

另一方面，NSG 用來篩選個別子網或網路介面的網路流量。 其用途是供個別應用程式或服務小組使用，以視需要進一步指定安全性。 NSG 的優先順序低於安全性系統管理員規則，並在安全性系統管理員規則之後進行評估。

安全性系統管理員規則目前會套用在虛擬網路層級，而網路安全組可以在子網和 NIC 層級建立關聯。 下表顯示這些差異和相似之處：

安全性系統管理員規則可以在流量上執行三個動作：允許、永遠允許和拒絕。 建立時， 會先評估 [允許 規則]，後面接著網路安全組規則。 此動作可讓網路安全組規則視需要以不同的方式處理流量。

如果您建立 Always Allow 或 Deny 規則，則會在評估安全性管理員規則之後終止流量評估。 使用Always Allow規則時，流量會直接移至資源，並進一步終止NSG規則的評估（且可能衝突）。 此動作對於強制執行流量和防止網路安全組規則的拒絕很有用。 使用拒絕規則時，流量會停止，而不會傳遞至目的地。 安全性系統管理員規則不相依於 NSG，因此可用來自行建立預設安全性規則。

藉由同時使用安全性系統管理員規則和 NSG，您可以在全域和個別層級強制執行網路安全策略，以確保您的虛擬網路安全且符合組織的安全策略。

安全性管理規則的優點

安全性系統管理員規則提供許多優點來保護貴組織的資源。 藉由使用安全性系統管理員規則，您可以強制執行允許的流量，並藉由衝突的網路安全組規則來防止拒絕。 您也可以建立不相依於 NSG 的預設安全性系統管理員規則。 當應用程式擁有者設定錯誤或忘記建立 NSG 時，這些預設規則特別有用。 此外，安全性系統管理員規則提供大規模管理安全性的方法，可減少越來越多的網路資源帶來的作業額外負荷。

保護高風險埠

根據業界的研究和Microsoft建議，我們建議客戶針對此高風險埠清單使用安全性系統管理員規則來限制來自外部的流量。 這些埠通常用於管理資源或不安全/未加密的數據傳輸，且不應該公開至因特網。 不過，有時候某些虛擬網路及其資源會需要允許流量以便管理或進行其他程序。 您可以 視需要建立例外狀況 。 瞭解如何 針對這些類型的案例封鎖高風險埠，但有例外 狀況。

大規模管理

Azure 虛擬網絡 Manager 可讓您使用安全性系統管理員規則大規模管理安全策略。 當您將安全性管理員設定套用至 網路群組時，網路群組範圍中的所有虛擬網路及其自主資源都會在原則中接收安全性管理員規則。

新的資源會隨著現有的資源一起受到保護。 例如，如果您在安全性管理規則的範圍內將新的 VM 新增至虛擬網路，VM 也會自動受到保護。 部署這些 VM 之後不久，將會套用安全性系統管理員規則並加以保護。

識別出新的安全性風險時，您可以建立安全性系統管理員規則來大規模部署它們，以防止新的風險，並將它套用至您的網路群組。 部署此新規則之後，網路群組範圍中的所有資源現在和未來都會受到保護。

安全性管理規則的非應用

在大部分情況下，安全性系統管理員規則會套用至網路群組所套用安全性組態範圍內的所有虛擬網路和子網。 不過，有些服務不會因為服務的網路需求而套用安全性管理規則。 服務的網路意圖原則會強制執行這些需求。

虛擬網路層級的安全性管理規則未套用

根據預設，安全性管理員規則不會套用至包含下列服務的虛擬網路：

• Azure SQL 受控執行個體
• Azure Databricks

您可以要求讓 Azure 虛擬網絡 管理員使用此表單提交要求，在具有這些服務的虛擬網路上套用安全性管理員規則。

當虛擬網路包含這些服務時，安全性系統管理員規則會略過此虛擬網路。 如果您想要 [允許套用至此虛擬網络的規則]，請使用 securityConfiguration.properties.applyOnNetworkIntentPolicyBasedServices .NET 類別中的 字段來建立安全性AllowRulesOnly設定。 設定時，只會 將安全性設定中的 [允許 規則] 套用至此虛擬網路。 拒絕 規則不會套用至此虛擬網路。 沒有這些服務的虛擬網路可以繼續使用 [允許 ] 和 [拒絕 ] 規則。

您可以使用 [僅允許規則] 建立安全性設定，並使用 Azure PowerShell 和 Azure CLI 將其部署至您的虛擬網路。

子網層級的安全性管理規則未套用

同樣地，當子網的虛擬網路位於安全性管理員設定的範圍內時，某些服務不會在子網層級套用安全性管理員規則。 這些服務包括：

• Azure 應用程式閘道
• Azure Bastion
• Azure 防火牆
• Azure 路由伺服器
• Azure VPN 閘道
• Azure Virtual WAN
• Azure ExpressRoute 閘道

在此情況下，安全性管理員規則不會影響子網中具有這些服務的資源。 不過，相同虛擬網路中的其他子網會套用安全性管理員規則。

安全性系統管理員欄位

當您定義安全性管理規則時，有必要和選擇性欄位。

必填欄位

優先順序

安全性管理規則的優先順序是介於 1 到 4096 之間的整數。 值越低，規則的優先順序就越高。 例如，優先順序為 10 的拒絕規則會覆寫優先順序為 20 的允許規則。

行動

您可以定義三個安全性規則的其中一個動作：

方向

您可以指定套用規則的流量方向。 您可以定義輸入或輸出。

通訊協定

安全性系統管理員規則目前支援的通訊協定如下：

• TCP
• UDP
• ICMP
• ESP
• AH
• 任何通訊協定

選用欄位

來源和目的地類型

• IP 位址：您可以在 CIDR 表示法中提供 IPv4 或 IPv6 位址或地址區塊。 若要列出多個IP位址，請以逗號分隔每個IP位址。
• 服務標籤：您可以根據區域或整個服務定義特定的服務標籤。 如需支援的標籤清單，請參閱可用服務標籤的公開檔。 在此清單中，安全性系統管理員規則目前不支援 AzurePlatformDNS、AzurePlatformIMDS 和 AzurePlatformLKM 服務標籤。

來源和目的地埠

您可以定義要封鎖來源或目的地的特定通用埠。 以下是一般 TCP 連接埠的清單：

下一步