Protegendo o Backup do Azure contra exclusão mal-intencionada

Question

Desejo fazer backup regularmente de vários servidores do Windows (todas as VMs do Azure) em um cofre do Backup do Azure. Minha preocupação é que, se minha conta do Azure for comprometida, um invasor poderá excluir as VMs, as contas de armazenamento e o cofre de backup.

1. O Backup do Azure fornece alguma proteção contra esse cenário?
2. Se não, qual solução você recomenda? Uma medida de segurança extra óbvia seria ter uma conta do Azure separada para o backup.

Answer 1

Você pode usar Bloqueios de recursos para proteger os recursos contra invasões acidentais. / exclusão maliciosa.

Por exemplo, para aplicar um bloqueio a um cofre, você usaria o seguinte

New-AzureRmResourceLock -LockName "VaultLock" -LockLevel CanNotDelete '
                        -ResourceGroupName MyvaultRG '
                        -ResourceName MyVault '
                        -ResourceType Microsoft.KeyVault/vaults

se você tentar excluir, receberá o seguinte erro

Remove-AzureRmKeyVault : ScopeLocked: The scope '{scope}' cannot perform delete operation because following scope(s) are locked: {scope}

Você precisa emitir um comando para remover o bloqueio para excluir o recurso.

Remove-AzureRmResourceLock -LockName "VaultLock" 

Isso usado em conjunto com as políticas do RBAC pode manter seus recursos seguros.