Kunden-Lockbox für Microsoft Azure

Artikel
03/22/2024

Hinweis

Um dieses Feature verwenden zu können, benötigt Ihre Organisation einen Azure-Supportplan mit der Mindestebene Developer.

Die meisten Vorgänge und der Support von Microsoft-Fachkräften und Beauftragten erfordern keinen Zugriff auf Kundendaten. In den seltenen Fällen, in denen ein solcher Zugriff erforderlich ist, bietet Kunden-Lockbox für Microsoft Azure eine Schnittstelle, über die Kund*innen Zugriffsanforderungen für Kundendaten überprüfen und genehmigen oder ablehnen können. Das Feature wird verwendet, wenn ein Microsoft-Techniker beispielsweise im Rahmen eines vom Kunden initiierten Supporttickets oder aufgrund eines von Microsoft identifizierten Problems auf Kundendaten zugreifen muss.

In diesem Artikel wird erläutert, wie Sie Kunden-Lockbox für Microsoft Azure aktivieren und Anforderungen für spätere Überprüfungen und Audits initiieren, nachverfolgen und speichern.

Unterstützte Dienste

Folgende Dienste werden derzeit für Kunden-Lockbox für Microsoft Azure unterstützt:

Azure API Management
Azure App Service
Azure KI Cognitive Search
Azure Chaos Studio
Azure Cognitive Services
Azure Container Registry
Azure Data Box
Azure-Daten-Explorer
Azure Data Factory
Azure Data Manager for Energy
Azure Database for MySQL
Azure Database for MySQL Flexible Server
Azure Database for PostgreSQL
Azure Edge Zone-Plattformspeicher
Azure Energy
Azure-Funktionen
Azure HDInsight
Azure Health Bot
Azure Intelligent Recommendations
Azure Kubernetes Service
Azure Load Testing (CloudNative Testing)
Azure Logic Apps
Azure Monitor (Log Analytics)
Azure Red Hat OpenShift
Azure Spring Apps
Azure SQL-Datenbank
Verwaltete Azure SQL-Datenbank-Instanz
Azure Storage
Azure-Abonnementübertragungen
Azure Synapse Analytics
Commerce AI (Intelligent Recommendations)
DevCenter/DevBox
ElasticSan
Kusto (Dashboards)
Microsoft Azure Attestation
OpenAI
Spring Cloud
Unified Vision Service
Virtual Machines in Azure

Kunden-Lockbox für Microsoft Azure aktivieren

Sie können jetzt Kunden-Lockbox für Microsoft Azure über das Verwaltungsmodul aktivieren.

Hinweis

Die Aktivierung von Kunden-Lockbox für Microsoft Azure ist nur möglich, wenn dem Benutzerkonto die Rolle Globaler Administrator zugewiesen wurde.

Workflow

Die folgenden Schritte beschreiben einen typischen Workflow für eine Kunden-Lockbox für Microsoft Azure-Anforderung.

Eine Person in einer Organisation hat ein Problem mit ihrer Azure-Workload.
Nachdem diese Person das Problem behandelt hat, es aber nicht beheben kann, öffnet sie ein Supportticket über das Azure-Portal. Das Ticket wird einem Azure-Kundensupporttechniker zugewiesen.
Ein Azure-Supporttechniker überprüft den Service Request und ermittelt die nächsten Schritte zur Behebung des Problems.
Wenn der Supporttechniker das Problem nicht mithilfe von Standardtools und der vom Dienst generierten Daten beheben kann, besteht der nächste Schritt darin, über einen JIT-Zugriffsdienst (Just-In-Time) erhöhte Berechtigungen anzufordern. Diese Anforderung kann vom ursprünglichen Supporttechniker oder einem anderen Supporttechniker gestellt werden, da das Problem an das Azure DevOps-Team eskaliert wird.
Nachdem die Zugriffsanforderung von einer technischen Fachkraft bei Azure übermittelt wurde, wertet der JIT-Dienst die Anforderung unter Berücksichtigung von Faktoren wie den folgenden aus:
- Bereich der Ressource
- Ob es sich bei der anfordernden Person um eine isolierte Identität handelt oder ob sie die Multi-Faktor-Authentifizierung verwendet
- Berechtigungsebenen Basierend auf der JIT-Regel kann diese Anforderung auch eine Genehmigung von internen genehmigenden Personen bei Microsoft umfassen. Die genehmigende Person kann z. B. der Kundensupportleiter oder der DevOps-Manager sein.
Wenn für die Anforderung direkter Zugriff auf Kundendaten erforderlich ist, wird eine Kunden-Lockbox-Anforderung initiiert. Beispiel: Remotedesktopzugriff auf einen virtuellen Computer des Kunden.

Die Anforderung befindet sich nun im Zustand Kunde benachrichtigt und wartet auf die Zustimmung des Kunden, bevor Zugriff gewährt wird.
Mindestens eine genehmigende Person in der Kundenorganisation für eine bestimmte Kunden-Lockbox-Anforderung wird wie folgt bestimmt:
- Für abonnementbezogene Anforderungen (Anforderungen für den Zugriff auf bestimmte Ressourcen in einem Abonnement): Benutzerkonten mit der Rolle „Besitzer“ oder „Genehmigende Person für Azure Kunden-Lockbox im Abonnement“ (derzeit in der öffentlichen Vorschau) für das zugeordnete Abonnement
- Für mandantenbezogene Anforderungen (Zugriffsanforderungen für den Microsoft Entra-Mandanten): Benutzerkonten mit der Rolle „Globaler Administrator“ für den Mandanten
Hinweis

Es müssen Rollenzuweisungen eingerichtet sein, damit Kunden-Lockbox für Microsoft Azure beginnt, eine Anforderung zu verarbeiten. Alle Rollenzuweisungen, die nach dem Start der Verarbeitung einer bestimmten Anforderung durch Kunden-Lockbox für Microsoft Azure vorgenommen werden, werden nicht berücksichtigt. Aus diesem Grund müssen Benutzer die Rolle „Abonnementbesitzer „ aktivieren, bevor die Kunden-Lockbox-Anforderung initiiert wird, um PIM-berechtigte Zuweisungen für die Rolle „Abonnementbesitzer“ zu verwenden. Weitere Informationen zur Aktivierung PIM-berechtigter Rollen finden Sie unter Aktivieren einer Microsoft Entra-Rolle in PIM / Aktivieren einer Rolle.

Rollenzuweisungen im Bereich von Verwaltungsgruppen werden derzeit nicht für Kunden-Lockbox für Microsoft Azure unterstützt.
In der Kundenorganisation erhalten die angegebenen genehmigenden Personen für Lockbox (Azure-Abonnementbesitzer/Globaler Microsoft Entra-Administrator/Genehmigende Person für Azure Kunden-Lockbox im Abonnement) eine E-Mail von Microsoft, in der sie über die ausstehende Zugriffsanforderung informiert werden. Sie können auch das Feature für alternative Azure Lockbox-E-Mail-Benachrichtigungen (derzeit in der öffentlichen Vorschau) verwenden, um eine alternative E-Mail-Adresse für den Empfang von Lockbox-Benachrichtigungen in Szenarien zu konfigurieren, in denen das Azure-Konto nicht für den E-Mail-Empfang eingerichtet ist oder ein Dienstprinzipal als genehmigende Instanz für Lockbox festgelegt wurde.

Beispiel-E-Mail:
Die E-Mail-Benachrichtigung enthält einen Link zum Blatt Kunden-Lockbox im Verwaltungsmodul. Die festgelegte genehmigende Person meldet sich beim Azure-Portal an, um ausstehende Anforderungen anzuzeigen, die bei ihrer Organisation für Kunden-Lockbox für Microsoft Azure vorliegen: Die Anforderung verbleibt vier Tage lang in der Kundenwarteschlange. Anschließend läuft die Zugriffsanforderung automatisch ab, und den Microsoft-Technikern wird kein Zugriff gewährt.
Um Details der ausstehenden Anforderung abzurufen, kann die festgelegte genehmigende Person die Kunden-Lockbox-Anforderung unter Ausstehende Anforderungen auswählen:
Der festgelegte genehmigende Person kann auch die DIENSTANFORDERUNGS-ID auswählen, um die vom ursprünglichen Benutzer erstellte Supportticketanforderung anzuzeigen. Diese Informationen bieten einen Kontext für den Grund der Beteiligung des Microsoft-Supports und den Hintergrund des gemeldeten Problems. Beispiel:
Der festgelegte genehmigende Person überprüft die Anforderung und wählt Genehmigen oder Verweigern aus: Als Ergebnis der Auswahl:
- Genehmigen: Der Zugriff wird der technischen Fachkraft von Microsoft für die in den Anforderungsdetails angegebene Dauer gewährt, die auch in der E-Mail-Benachrichtigung und im Azure-Portal angezeigt wird.
- Verweigern: Die Anforderung nach erhöhten Zugriffsrechten durch den Microsoft-Techniker wird abgelehnt, und es wird keine weitere Aktion ausgeführt.
Für Überwachungszwecke werden die in diesem Workflow ausgeführten Aktionen in Kunden-Lockbox-Anforderungsprotokollen protokolliert.

Überwachungsprotokolle

Kunden-Lockbox-Protokolle werden in Aktivitätsprotokollen gespeichert. Wählen Sie im Azure-Portal Aktivitätsprotokolle aus, um Überwachungsinformationen im Zusammenhang mit Kunden-Lockbox-Anforderungen anzuzeigen. Sie können nach bestimmten Aktionen filtern, z. B.:

Deny Lockbox Request (Lockbox-Anforderung verweigern)
Create Lockbox Request (Lockbox-Anforderung erstellen)
Approve Lockbox Request (Lockbox-Anforderung genehmigen)
Lockbox Request Expiry (Ablauf einer Lockbox-Anforderung)

Beispiel:

Integration von Kunden-Lockbox für Microsoft Azure mit der Microsoft-Benchmark für Cloudsicherheit

Es wurde eine neue Baselinekontrolle (PA-8: Bestimmen des Zugriffsprozesses für die Unterstützung von Cloudanbietern) in der Microsoft-Benchmark für Cloudsicherheit eingeführt, die die Anwendbarkeit von Kunden-Lockbox abdeckt. Kunden und Kundinnen können die Benchmark nun nutzen, um die Anwendbarkeit von Kunden-Lockbox für einen Dienst zu überprüfen.

Ausschlüsse

Kunden-Lockbox-Anforderungen werden in den folgenden Szenarien nicht ausgelöst:

Notfallszenarien, die außerhalb der Standardbetriebsvorgänge liegen. Beispiel: Ein größerer Dienstausfall muss dringend behoben werden, um Dienste in einem unerwarteten oder unvorhersehbaren Szenario wiederherzustellen. Diese Notfälle sind selten und erfordern für die Behebung meist keinen Zugriff auf Kundendaten.
Ein Microsoft-Techniker greift im Rahmen der Problembehandlung auf die Azure-Plattform zu und hat versehentlich Zugriff auf Kundendaten. Beispiel: Das Azure-Team führt eine Problembehandlung durch, die zur Erfassung eines Pakets auf einem Netzwerkgerät führt. Es kann vorkommen, dass infolge solcher Szenarien der Zugriff auf erhebliche Mengen von Kundendaten möglich wird, dies ist jedoch äußerst selten. Außerdem können Kunden und Kundinnen ihre Daten durch die Verwendung von kundenseitig verwalteten Schlüsseln (Customer Managed Keys, CMK) weiter schützen, die für einige Azure-Dienste verfügbar sind. Weitere Informationen finden Sie unter Übersicht über die Schlüsselverwaltung in Azure.

Externe rechtliche Anforderungen an Daten lösen ebenfalls keine Kunden-Lockbox-Anforderungen aus. Ausführliche Informationen finden Sie im Microsoft Trust Center in der Erörterung von behördlichen Auskunftsersuchen.

Nächste Schritte

Sie aktivieren Kunden-Lockbox über das Verwaltungsmodul auf dem Blatt „Kunden-Lockbox“. Kunden-Lockbox für Microsoft Azure steht allen Kunden und Kundinnen zur Verfügung, die einen Azure-Supportplan mit der Mindestebene „Developer“ besitzen.