Articles Tagués ‘Microsoft Azure’

Découvrez le nouveau service Azure Windows Virtual Desktop ...

 

Introduction

L’équipe Azure en charge de l’offre Desktop-as-a-Service (DaaS), connue sous le nom Windows Virtual Desktop (WVD) a récemment publié plusieurs sessions/vidéos assez intéressantes sur le sujet, vous permettant de préparer, déployer, sécuriser, optimiser et troubleshooter vos déploiements Azure WVD.

Je vous partage à travers ce Blog post les liens des différentes sessions recordées.

Enjoy the training :).

 

Liens utiles 

Ci-après les liens des sessions dont je vous ai parlé précédemment, pour une meilleure compréhension du sujet, je vous recommande de suivre/visionner les vidéos dans l’ordre suivant :

Préparez votre environnement Azure Windows Virtual Desktop

https://lnkd.in/dnSrYpX

Déployer votre environnement Azure Windows Virtual Desktop via le Portail Azure

https://lnkd.in/d2Addne

Bonnes pratiques relatives au Profile Management avec FSLogix

https://lnkd.in/dM4G2jr

Moderniser votre Stratégie de gestion d’image pour Azure Windows Virtual Desktop

https://lnkd.in/decx2R3

Optimiser votre déploiement Azure Windows Virtual Desktop

https://lnkd.in/deq99Xy

Sécuriser votre déploiement Azure Windows Virtual Desktop

https://lnkd.in/d3wJEPQ

Troubleshooter & Diagnostiquer votre environnement Azure Windows Virtual Desktop

https://lnkd.in/d3FYk9u

Deployment best practices for latency sensitive workloads

https://lnkd.in/dSGAssZ

 

A bientôt,

 

 

Azure Guys, Hello again,

Je voulais partager avec vous un (free) eBook Azure assez intéressant.

Il présente la suite Operations Management Suite (OMS) d’Azure et décrit pas mal de fonctionnalité intéressante, notamment le Backup & Recovery sur Azure (Azure Backup & ASR), Azure Automation, Desired State Configuration (DSC) ainsi que tous les services liés à l’analyse et configuration réseau Azure.

L’eBook est organisé en 12 Chapitres, à savoir :

  • Chapter 1: Introduction and Onboarding
  • Chapter 2: Searching and Presenting OMS Data
  • Chapter 3: Alert Management
  • Chapter 4: Configuration Assessment and Change Tracking
  • Chapter 5: Working with Performance Data
  • Chapter 6: Process Automation and Desired State Configuration
  • Chapter 7: Backup and Disaster Recovery
  • Chapter 8: Security Configuration and Event Analysis
  • Chapter 9: Analyzing Network Data
  • Chapter 10: Accessing OMS Data Programmatically
  • Chapter 11: Custom MP Authoring
  • Chapter 12: Cross Platform Management and Automation

 

Plusieurs scripts vous sont fournis avec l’eBook (cf Liens Github fournis dans l’eBook).

Vous pouvez télécharger l’eBook depuis le bouton Download ci-dessous :

 

 

Introduction

J’ai récemment découvert un outil assez intéressant pour Azure, il s’agit d’Azure VizGov.

Cet outil vous permet d’auditer vos environnements Azure (ou ceux de vos clients) pour :

  • Avoir de la visibilité sur la hiérarchie de vos Management Group Azure (Groupes d’Administration) jusqu’aux abonnements Azure
  • Capturer /récupérer toutes les informations relatives aux droits/attributions de rôle RBAC
  • Lister toutes les Stratégies (Azure Policies) appliquées à vos Management Group (MG) et abonnements

 

Télécharger AzGovViz

L’outil tourne sou forme de Script PowerShell, et est disponible en téléchargement depuis ce Repo Github

 

Prérequis

AzGovViz a été codé sous PowerShell, vous devez donc disposer d’un des modules PowerShell Azure suivant pour l’exécuter :

  • Module Az
  • Module AzureRM

De plus, pour pouvoir exécuter le script, vous devez disposez les autorisations/permissions RBAC suivantes :

  • [RBAC] : le rôle « Management Group Reader«  au niveau du Management Group
  • [RBAC] : le rôle « Reader«  au niveau du Management Group
  • [Permissions API] : si vous voulez exécuter le script via Azure Automation ou l’agent Azure DevOp, vous devrez configurer les permissions de l’API au niveau de l’annuaire Azure AD. Idem pour le compte Automation qui sera utilisé, l’inscription de l’App du compte doit être autorisé avec l’autorisation suivante : Azure Active Directory API | Application | Directory | Read.All

 

HowTo : exécuter AzGovViz

Suivez les instructions suivantes pour exécuter l’outil de visualisation de gouvernance Azure depuis votre environnement :

.\AzGovViz.ps1 -managementGroupId <ID_de_votre_Management_Group>

 

 

Outputs

AzGovViz audit/collecte et retourne des informations sur vos Management Group, Abonnements, droits RBAC, Initiatives Policy et Policies Azure.

AzGovViz vous retourne le résultat sous format « HTML » et CSV (Comma-Separated Values).

 

Petit Bonus !

Le résultat /données collectées post-exécution d’AzGovViz sont directement disponibles dans le Wiki Azure DevOps (voir screenshot ci-dessous) :

 

Informations utiles

AzGovViz a été testé (par mes soins) sur le CloudShell et PowerShell Core pour Windows et Linux (Ubuntu 18.04 LTS). Il est compatible et ne présente aucun problème d’exécution/stabilité.

 

 

 

 

Introduction 

La notion de rôles dans Azure est souvent oubliée par les clients qui veulent aller « trop vite » et commencer à migrer/déployer des Workloads dans le Cloud.

Après plusieurs dizaines de missions autour d’Azure, j’ai constaté que la plupart des clients (pour ne pas dire tous ^_^), confondent toujours les rôles « RBAC » Azure de type « Owner, Contributor ou encore User Access Administrator« , avec les rôles Azure AD de type « Global Administrator /User Administrator ou encore Application Administrator/Developper« .

Sans parler des rôles Azure historiques « Classiques » de type « Administrateur de Comptes, Administrateur de Service ou encore Co-Administrateur« , introduits avec la toute première version d’Azure (Azure ASM : Azure Service Manager) dont peu de personnes connaissent l’existence.

Pour bien démarrer avec Azure, il est très important de comprendre chaque type de rôle, son utilité (quand et comment l’utiliser) et à quel niveau (Scope).

L’objectif du présent post est de vous présenter les différents rôles Azure, la différence entre eux, limitations relatives à chaque type de rôle et comment les implémenter dans vos environnements Cloud Azure.

Bonne lecture à tous !

 

Les rôles fournis avec Microsoft Azure

Trois types de rôles sont fournis aujourd’hui avec Microsoft Azure, à savoir :

  • Les rôles Azure « Classiques » (rôles historiques)
  • Les rôles Azure « RBAC »
  • Les rôles Azure « Active Directory »

Reportez-vous aux sections suivantes pour en savoir plus !

Les rôles « Azure Classic » : Un peu d’historique

Quand Azure était proposé pour la première fois (sous le modèle de déploiement ASM : Azure Service Manager), la gestion des accès aux ressources se faisait via l’utilisation de trois rôles (Administrateurs) uniquement, à savoir :

  • Administrateur de compte (Account Administrator)
  • Administrateur de Service (Service Administrator)
  • Co-Administrateur (Co-Administrator)

 

Lors de l’inscription à Microsoft Azure (création d’un nouveau compte/environnement Azure), le compte (Adresse Email) utilisé est automatiquement défini/déclaré en tant que « Administrateur de compte » et « Administrateur de Service ». Des Co-Administrateurs pourront ensuite être déclarés pour déléguer l’accès et la gestion des ressources Azure hébergées au niveau des abonnements.

Tip : Connectez-vous sur le Portail Azure, sélectionnez un de vos abonnements, et cliquez ensuite sur « Propriétés« , notez le nom du compte (Adresse Email) portant le rôle « Administrateur de compte » et « Administrateur de Service »

Les administrateurs « Classiques » ont un accès/contrôle total à la Souscription Azure. Ils peuvent gérer les ressources en utilisant le portail Azure ou via les API Azure ARM et ASM.

Note : Les Administrateurs de Services et les Co-administrateurs sont équivalents au rôle « Owner /Propriétaire » du nouveau modèle RBAC (Azure ARM) et offrent un accès total au niveau de l’abonnement. Le rôle « Administrateur de compte » quant à eux, ne permet pas la gestion des ressources. Cf tableau ci-dessous

Le tableau suivant décrit en détails les différences entre ces trois rôles Azure historiques :

Ce tableau peut être downloadé depuis ce lien Direct.

Vous aurez compris, avec Azure ASM, nous étions plus dans un modèle de Tout ou Rien (All-or-Nothing), car seuls les trois Administrateurs cités précédemment étaient disponibles, si votre politique de sécurité impose le principe du moindre privilège (PoLP : Principle of Least Privilege) et que vous deviez par exemple, limiter l’accès et la gestion de vos VMs Azure à un groupe d’utilisateurs spécifique, eh bien techniquement cela n’était pas possible, car tous les membres du groupe Azure AD auquel vous allez attribuer un des rôles Azure Classique se verront attribuer un rôle d’Administrateur (Co-Administrateur généralement), leur permettant automatiquement un accès total sur toutes les ressources Azure de votre abonnement.

Gérer l’attribution et la suppression des rôles Azure Classiques

Pour gérer l’attribution et la suppression des rôles Azure « Classiques », sélectionnez un abonnement,  groupe de ressources ou encore une Ressource Azure, et rendez-vous ensuite sous la Blade « Contrôle d’accès (IAM) » > onglet « Administrateurs Classiques » :

  • La liste des Administrateurs Classiques (Administrateurs de Service et Co-Administrateurs) est affichée :

Note : le compte ayant servi à l’inscription sur Azure, est automatiquement déclaré en tant que « Administrateur de services fédérés ».

  • Pour ajouter ou supprimer un Co-Administrateur, cliquez sur « Ajouter« , et sélectionnez ensuite « Ajoute un coadministrateur » :

N’hésitez pas à ajouter et supprimer un compte co-administrateur sur vos environnements de Test/Sandbox Azure et tester les droits qui lui seront attribuer.

 

En savoir plus sur les rôles Azure « Classiques »

Pour en savoir plus sur les rôles « Classiques » Azure, je vous invite à consulter cette documentation.

 

Ce qu’il faut retenir  

Azure étant proposé aujourd’hui qu’en mode ARM (Azure Resource Manager), la notion de rôles « Classiques » ne doit pas être prise en considération lors du design de votre modèle de délégation de droits Azure.

Le focus doit être porté sur les nouveaux rôles « RBAC » et « Azure AD ».

La section précédente avait simplement pour but de vous expliquer l’historique des premiers rôles apparus avec la première version d’Azure ASM.

 

Les rôles « Azure RBAC »

Avec l’introduction du modèle de déploiement Azure ARM (Azure Resource Manager), un nouveau modèle/système de gestion des droits d’accès a été introduit, il s’agit du modèle RBAC (Role-Based Access Control).

RBAC a permis à plusieurs entreprises ayant un niveau de sécurité « sérieux » de décoller et d’aller vers le Cloud.

Ce nouveau système de gestion de droits a résolu la problématique liée à l’ancien model de droit d’accès ASM offrant un niveau d’accès limité de type All-or-Nothing.

Azure RBAC permet en effet une gestion de droits d’accès plus fine et inclut (par défaut) plusieurs dizaines de rôles prédéfinis (Built-in) vous permettant de restreindre au maximum l’accès et la gestion à vos ressources et services Azure.

Microsoft a pensé son modèle RBAC de la manière suivante :

  • Un type de rôle par Service/Offre Cloud (eg : Azure VM Contributor | Azure Sentinel Contributor…)
  • Plusieurs profils au niveau du même rôle RBAC (eg : Azure Security Admin | Azure Security Reader …)

Note importante : les rôles Azure RBAC sont dédiés à l’accès et gestion des ressources Azure uniquement telles que les VMs Azure, Bases de données SQL Clusters HDI, Services Réseaux (VNET, Subnet, Gateway VPN, NSG, LB…) ou encore les WebApp, Mobile App…etc. La gestion de l’annuaire Azure AD et ses objets associés nécessitent d’autres droits /rôles (Rôles Azure AD), voir section suivante pour en savoir plus !

 

Il existe plus précisément (au moment de la rédaction du présent post) 166 rôles Azure intégrés (Built-in). Vous pouvez les visualiser depuis la Blade « Contrôle d’accès (IAM) » > « Rôles » :

RBAC vous permet de créer un modèle de délégation par profil (Build Team), par modèle de service Cloud (IaaS Builder, PaaS Contributor…) ou par offre Cloud(VM Builder, VNET Admin, Azure SQL Admin)…

 

Liste des « Built-in » Rôles RBAC Azure 

La liste complète des Built-in rôles RBAC Azure est disponible depuis l’URL suivante :

https://docs.microsoft.com/fr-fr/azure/role-based-access-control/built-in-roles

L’équipe Azure en charge de la partie RBAC mets régulièrement à jour cette liste, généralement après introduction d’un nouveau service /offre Cloud (eg : Azure Sentinel > introduction de nouveaux Built-in Roles : Azure Sentinel Contributor | Azure Sentinel Reader…).

Note : La suppression d’un service Cloud implique également la suppression des Built-in rôles RBAC associés. Avant de commencer vos travaux de conception du modèle RBAC, je vous recommande vivement de consulter cette page.

 

Les rôles RBAC fondamentaux 

Comme expliqué précédemment, il existe aujourd’hui plus de 150 Rôles RBAC Built-in.

Les 4 principaux rôles RBAC Built-in à retenir sont listés dans le tableau :

Rôle RBAC Autorisations Notes
Propriétaire (Owner)
  • Accès total à toutes les ressources
  • Délégation de l’accès à d’autres personnes
L’administrateur de services et les coadministrateurs se voient attribuer le rôle Propriétaire/Owner au niveau de chaque abonnement.

Ce rôle s’applique à tous les types de ressources.

Contributeur (Contributeur)
  • Création et gestion de tous les types de ressources Azure
  • Ne peut pas attribuer/déléguer l’accès à d’autres personnes
Ce rôle s’applique à tous les types de ressources.
Lecteur (Reader)
  • Consultation/Lecture des ressources Azure uniquement
Ce rôle s’applique à tous les types de ressources.
Administrateur de l’accès utilisateur (User Access Administrator)
  • Gestion de l’accès utilisateur aux ressources Azure

 

Gérer l’attribution et la suppression des rôles Azure RBAC

Pour gérer l’attribution et la suppression des rôles Azure « RBAC », sélectionnez un abonnement, groupe de ressources ou une ressource et rendez-vous ensuite sous la Blade « Contrôle d’accès (IAM) » > onglet « Attributions de rôles » :

  • Les attributions de rôles RBAC déclarées peuvent être consultées depuis cet onglet :

  • Pour ajouter une nouvelle attribution de rôle, cliquez sur « Ajouter » et sélectionnez ensuite « Ajouter une attribution de rôle » :

  • Dans l’exemple suivant, nous allons attribuer le rôle Virtual Machine Contributor (Contributeur de machines virtuelles) au groupe Azure AD « HK Run Team« .
    • Note : il faut cliquer ensuite sur « Enregistrer » pour que cette nouvelle attribution de rôle soit prise en compte.

  • La nouvelle attribution de rôle RBAC (VM Contributor) apparaît désormais sous « Attribution de rôles« :

  • Pour supprimer une attribution de rôle existante, il suffit de la sélectionner, et cliquez sur « Supprimer » :

  • Vous serez invités à confirmer cette suppression en cliquant sur « Oui » :

 

Les Custom Rôles RBAC

Azure RBAC vous offre également la possibilité de créer vos propres rôles RBAC, appelés « Custom Roles » ou « Rôles personnalisés« .

Si les rôles RBAC « Built-In » fournis par défaut avec Azure ne répondent pas à vos besoins, vous pouvez créer vos rôles Custom et définir des droits/autorisations personnalisées.

Si votre politique de sécurité définit un modèle RBAC basé sur le concept du Least privilège, avec une utilisation de groupes (Azure AD) distincts permettant uniquement :

  • La lecture et exportation de Logs Azure AD & des ressources
  • Le démarrage, redémarrage et l’arrêt des services IaaS (VM) et PaaS (Serveurs SQL Azure)
  • Création et lecture des règles NSG

vous avez la possibilité de créer des Custom Roles avec les autorisations nécessaires correspondant aux droits définis dans votre modèle de droit d’accès.

Un Custom Role est créé sur la base d’un fichier JSON, avec une structure (setting <> data value) spécifique.

L’exemple suivant, montre un Custom Role permettant uniquement le démarrage, arrêt et redémarrage des VMs Azure :

Je vous invite à consulter cet article pour en savoir plus sur les Azure Custom Roles.

 

Azure RBAC : Limitations

Il existe certaines limitations relatives à l’utilisation des rôles RBAC Azure, voir tableau ci-dessous :

ID Limitation

Description de la limitation

#1

Vous pouvez avoir jusqu’à 2 000 attributions de rôle dans chaque Souscription Azure

#2

Vous pouvez avoir jusqu’à 500 attributions de rôle dans chaque Management Group

#3

Vous pouvez avoir jusqu’à 5000 Custom roles par Tenant Azure

Note importante : la limitation #1 comprend l’attribution de rôles Built-in et Customs.

 

En savoir plus sur les rôles Azure « RBAC »

Pour en savoir plus sur les rôles RBAC Azure, je vous invite à consulter cette documentation.

 

Les rôles « Azure Active Directory »

Les rôles Administrateurs Azure AD (aka AAD) sont utilisés pour gérer les ressources de l’annuaire Azure AD, par exemple pour créer ou modifier des comptes utilisateurs Azure, attribuer des rôles d’administration à d’autres personnes ou gérer l’appartenance aux groupes Azure AD, réinitialiser les mots de passe des utilisateurs, gérer les licences utilisateur et encore gérer les propriétés du domaine Azure AD.

 

Liste des « Built-in » Rôles Azure AD 

La liste complète des Built-in rôles Azure AD est disponible depuis l’URL suivante :

https://docs.microsoft.com/en-us/azure/active-directory/users-groups-roles/directory-assign-admin-roles#available-roles

Il existe (au moment de la rédaction du présent post) 56 rôles Built-in Azure AD.

L’équipe Azure en charge de la partie « IDentity/IAM | Azure AD » mets régulièrement à jour cette liste, je vous invite à consulter cette page avant de démarrer vos travaux de conception des droits Azure AD.

 

Les rôles Azure AD fondamentaux 

Les 3 principaux rôles Built-in Azure AD à retenir sont listés dans le tableau :

Rôle AzureAD Autorisations Notes
Administrateur général (Global Administrator) ·       Gestion de l’accès à toutes les fonctionnalités d’administration dans Azure Active Directory, ainsi que les services qui sont fédérés à Azure Active Directory

·       Attribution des rôles d’administrateur à d’autres personnes

·       Réinitialisation des mots de passe des utilisateurs et de tous les autres administrateurs

La personne/utilisateur qui déploie l’annuaire Azure Active Directory est automatiquement déclarée en tant qu’Administrateur général.
Administrateur d’utilisateurs (Users Administrator) ·       Création et gestion de tous les aspects liés aux utilisateurs et aux groupes

·       Gestion des tickets de support

·       Suivi de l’intégrité des services

·       Changement des mots de passe des utilisateurs, des administrateurs du support technique et autres administrateurs d’utilisateurs

Administrateur de facturation (Billing Administrator) ·       Achats

·       Gestion des abonnements Azure

·       Gestion des tickets de support

·       Suivi de l’intégrité des services

 

Gérer l’attribution et la suppression des rôles Azure AD

Pour gérer l’attribution et la suppression des rôles « Azure AD », cherchez et sélectionnez le service « Azure Active Directory », et rendez-vous ensuite sous la Blade « Rôles et Administrateurs »:

  • La liste des rôles Azure AD vous est retournée (à droite)
  • Vous pouvez également voir le rôle Azure AD qui vous est attribué actuellement sur Azure AD:

  • Pour ajouter une attribution de rôle Azure AD, commencez par sélectionner (cliquer) sur le rôle en question (Users Administrator/Administrateurs d’utilisateurs dans l’exemple suivant), et cliquez ensuite sur « Ajouter des affectations« . Dans l’exemple ci-dessous, nous avons ajouté/déclaré l’utilisateur (Hicham KADIRI) en tant que « Users Administrator »:

  • Les affectations de rôles Azure AD peuvent être consultés depuis le rôle Azure AD, ou en sélectionnant un compte utilisateurs et cliquant sur « Rôles affectés » :

  • Pour supprimer une attribution/affectation de rôle Azure AD, il suffit de sélectionner le compte utilisateur, et cliquez sur « Supprimer les attributions« .

 

Les Custom Rôles Azure AD

Comme pour les rôles Azure RBAC, vous avez la possibilité de créer vos propres rôles Azure AD Custom et définir vos droits/autorisations personnalisées.

Les Custom Roles Azure AD sont créés à partir de fichiers JSON aussi, et disposent la même syntaxe/structure que les Custom Roles RBAC.

Si vous voulez en savoir plus sur les Custom Roles Azure AD, je vous recommande la consultation de cette page.

 

En savoir sur sur les rôles Azure Active Directory

Pour en savoir plus sur les rôles Azure AD, je vous invite à consulter cette documentation.

 

Quelle est la différence entre les rôles « Azure RBAC » vs « Azure AD » ? Se chevauchent-ils entre eux ? 

Comme expliqué précédemment, les rôles Azure RBAC sont dédiés à la gestion des droits d’accès au niveau des services /ressources Azure (Compute, Storage, Network…), alors que les rôles Azure AD, sont plutôt dédiés à la gestion des objets Azure AD et des ressources Office 365 associées.

L’image ci-dessous illustre la séparation (Scope) de ces deux types de rôles :

Rôles RBAC Azure versus administrateur Azure AD

 

Note importante [ce qu’il faut retenir !] : les rôles RBAC vous permettent de définir un modèle de déléguation /droit d’accès aux ressources Azure (VM, Compte de Stockage, VNet, Base PaaS SQL, WebApp, Cluster HDI…), les rôles Azure AD quant à eux, vous permettent de définir un modèle de droit d’accès aux objets associés à l’annuaire Azure AD (objets Utilisateurs, Groupes, Apps…). De plus, Azure RBAC contrôle l’accès aux ressources Azure à l’aide d’Azure Resource Management (ARM) alors que les Custom Roles Azure AD contrôlent l’accès aux ressources Azure AD à l’aide de l’API Graph.

 

Ayant des étendues (Scopes) différents, les rôles Azure RBAC et Azure AD ne se chevauchent jamais entre eux.

Les droits attribués via les deux catégories de rôles (RBAC & Azure AD) sont uniques et définis à des scopes distincts (Ressources Azure <> annuaire Azure AD), par conséquent, aucun impact /chevauchement n’a lieu.

 

Licensing Azure RBAC vs Azure AD

Azure RBAC est un service gratuit :), aucune licence n’est requise pour implémenter vos rôles RBAC Built-in et Custom.
En revanche, la création de rôles Custom pour Azure AD, nécessite un niveau de Licensing Azure AD Premium 1 ou 2.

 

Élévation de privilège : From « Azure AD Global Administrator » to « User Access Admin » 

En tant qu’administrateur général (Global Administrator) dans Azure Active Directory (Azure AD), il est possible que vous n’ayez pas accès à tous les abonnements et groupes d’administration de votre annuaire. Cet article décrit les méthodes pour élever votre accès à tous les abonnements et groupes d’administration.

 

Pourquoi devez-vous élever votre accès ?

Si vous êtes Azure AD Global Admin, il peut vous arriver de vouloir effectuer les opérations suivantes :

  • Récupérer l’accès à un abonnement ou groupe d’administration Azure quand un utilisateur a perdu cet accès
  • Accorder à un autre utilisateur ou à vous-même l’accès à un abonnement ou groupe d’administration Azure
  • Voir tous les abonnements ou groupes d’administration Azure au sein d’une organisation
  • Autoriser une application d’automation (telle qu’une application de facturation ou d’audit) à accéder à tous les abonnements ou groupes d’administration Azure

 

Comment fonctionne l’accès avec élévation de privilèges ?

Les ressources Azure AD et Azure sont sécurisées de façon indépendante les unes des autres. Ainsi, les attributions de rôles Azure AD n’accordent pas d’accès aux ressources Azure et inversement, les attributions de rôles Azure n’accordent pas d’accès à Azure AD. En revanche, si vous êtes administrateur général dans Azure AD, vous pouvez vous attribuer à vous-même un accès à tous les abonnements et groupes d’administration Azure de votre annuaire. Utilisez cette fonctionnalité si vous n’avez pas accès aux ressources de l’abonnement Azure, comme les machines virtuelles ou les comptes de stockage, et que vous voulez utiliser vos privilèges d’administrateur général pour accéder à ces ressources.

Quand vous élevez votre accès, le rôle Administrateur de l’accès utilisateur vous est attribué dans Azure au niveau de l’étendue racine (/). Ceci vous permet de voir toutes les ressources et d’attribuer des accès dans n’importe quel abonnement ou groupe d’administration de l’annuaire. Les attributions de rôles Administrateur de l’accès utilisateur peuvent être supprimées à l’aide d’Azure PowerShell, d’Azure CLI ou de l’API REST.

Vous devez supprimer cet accès avec élévation de privilèges après avoir effectué les modifications nécessaires au niveau de l’étendue racine.

 

Comment élever l’accès d’un Global Administrator Azure AD

Suivez les instructions suivantes pour élever les privilèges d’un Compte Global Administrator Azure AD :

#1. Connectez-vous au Portail Azure ou au Centre d’administration Azure Active Directory en tant qu’administrateur général.

#2. Recherchez et sélectionnez Azure Active Directory

#3. Sous Gérer, sélectionnez Propriétés.

#4. Sous Gestion de l’accès pour les ressources Azure (Access management for Azure Resources), sélectionnez « Oui /Yes« :

Quand vous sélectionnez « Oui », le rôle Administrateur de l’accès utilisateur (User Access Administrator) vous est attribué dans Azure RBAC au niveau de la racine (/). Ceci vous accorde l’autorisation d’attribuer des rôles dans tous les abonnements et groupes d’administration Azure associés à cet annuaire Azure AD. Cette option est disponible seulement pour les utilisateurs auxquels le rôle Administrateur général a été attribué dans Azure AD.

Quand cette option est définie sur Non, le rôle Administrateur de l’accès utilisateur dans Azure RBAC est supprimé de votre compte d’utilisateur. Vous n’aurez plus la possibilité de vous attribuer des droits/rôles aux niveaux des abonnements et groupes d’administration Azure associés à votre Azure AD.

 

#5. Cliquez sur Enregistrer pour que la modification soit prise en compte.

Note importante : cette option n’est pas une propriété globale et s’applique uniquement à l’utilisateur connecté. Vous ne pouvez pas élever l’accès des autres utilisateurs Azure AD Global Admin.

 

#6. Déconnectez-vous et reconnectez-vous pour actualiser votre accès.

Vous devez maintenant avoir accès à tous les abonnements (Subscriptions) et à tous les groupes d’administration (Management Groups) de votre annuaire Azure AD.

 

Guide pas à pas sur « Azure RBAC » 

Je suis en train de finaliser un guide assez détaillé (step-by-step) sur le sujet « Azure RBAC ».

Ce guide sera bientôt disponible en téléchargement gratuit sur Slideshare, n’hésitez pas à vous abonner pour rester informé dès sa publication :).

 

Conclusion

La notion de rôles dans Azure est un item important à prendre en considération dans la phase « Design » de tout projet de migration vers Azure ou le déploiement d’infra Cloud Native.

Le modèle RBAC est un composant critique du modèle de gouvernance Global Azure, prenez donc le temps d’étudier le sujet avant de commencer à déployer vos Workloads dans le Cloud.

 

 

Introduction 

Microsoft vient de lancer un programme d’expérimentation pour son nouveau service d’impression Cloud appelé ‘Azure Universal Print’

Universal Print est un nouveau service cloud qui centralise sur Azure la gestion des systèmes d’impression.

 

Note importante : Pour participer à cette expérimentation, vous devez vous inscrire sur la Private Preview « Universal Print » (via ce Formulaire), notez que vous devez impliquer au moins 20 users/collaborateurs.

 

Universal Print est accessible dans le cadre des licences Microsoft 365 Entreprise et Éducation. Il s’appuie sur Azure Active Directory pour la gestion d’identité et d’accès.

Microsoft travaille en étroite collaboration avec des fournisseurs d’imprimantes (tel que Canon) pour garantir une compatibilité native avec son nouveau service Cloud.

En attendant, l’utilisation de Universal Print nécessite l’installation un connecteur (agent), qu’est disponible au moment de la rédaction du présent post que pour Windows 10 et Windows Server 2016 et 2019.

 

Universal Print : Console d’Administration

La console Universal Print ressemble à ceci :

up1.png

Vous pouvez reporter vos feedbacks /remarques /incidents directement depuis les liens disponibles depuis l’onglet « Getting started« .

Sous « Manage« , vous avez la possibilité de déployer et suivre l’install de vos connecteurs (agents) mais aussi déployer (inscrire) ou supprimer (désinscrire) vos imprimantes (Printers), depuis le volet « Printers », vous pouvez également checker le statut de vos imprimantes déployées prête(ready), arrêtée (stopped)…

 

Ce qu’il faut retenir 

Azure Universal Print vous offre la possibilité de déployer des imprimantes et les inscrire (Register) au niveau de ce service d’impression Cloud sans avoir besoin de déployer des infrastructures/services d’impression complexe et difficile à gérer/exploiter.

Les imprimantes inscrites dans Universal Print peuvent être facilement préconfigureés et détectées par vos Devices (Machines) Windows joints au domaine Azure Active Directory.

Vos utilisateurs (Azure) pourront ainsi imprimer depuis leurs devices Windows ou Apps Office de manière transparente.

Universal Print pourra désormais remplacer vos serveurs d’impression OnPrem, en effet, Universal Print déplace les principales fonctionnalités d’impression de Windows Server vers le Cloud « Azure /O365 », vous n’avez plus besoin de déployer et gérer des serveurs d’impression Windows OnPrem, il n’y a plus besoin non plus d’installer et maintenir à jour des pilotes d’imprimante sur vos devices Windows. De plus, Universal Print ajoute des nouvelles fonctionnalités clés telles que des groupes de sécurité pour l’accès à l’imprimante, la découverte d’imprimante basée sur l’emplacement et une riche expérience d’administrateur.

 

Participer au programme d’expérimentation & Joindre la Tech Community Universal Print

Pour participer au programme d’expérimentation d’Universal Print lancée par Microsoft, remplissez ce formulaire

Pour joindre la Communauté technique Universal Print, rendez-vous sur ce lien.

Quelques liens utiles

Je vous ai regroupé ici quelques liens utiles pour bien démarrer avec Azure Universal Print

Documentation officielle sur Universal Print

Prise en main d’Universal Print

Installation des connecteurs Universal Print

 

My feedbacks

Je suis en train d’expérimenter Universal Print avec mes équipes (K&K Group), je partagerai avec vous mon feedback d’ici quelques semaines.

Stay connected 🙂 !

 

Microsoft a récemment publié un nouvel (free) eBook dédié à l’Administration des infrastructures Linux (IaaS) sur Azure V(irtual) M(achine).

Que vous soyez Développeur ou Administrateur Cloud, vous découvrirez à travers cet eBook comment déployer, gérer et administrer des Workloads Linux sur Azure.

Plus précisément, vous apprenez (entre autres) :

  • Comment ré-utiliser les mêmes commandes et tools que vous connaissez sur Azure
  • Comment utiliser Ansible pour gérer vos instances Linux dans un environnement Azure
  • Comment automariser vos déploiements Linux à l’aide d’Azure Resource Manager (ARM), Windows PowerShell et l’interface Azure CLI (2.0)
  • Enhance your Linux security and use Azure identity management services
  • Comment gérer vos Containers dans un environnement Azure

 

Note : Azure prend en charge au moment de la rédaction du présent post plusieurs distributions Linux, cela inclut : RedHat, SUSE, Ubuntu, CentOS, Debian et CoreOS. De nouvelles distributions Linux seront prises en charge prochainement. Vous pouvez vous abonner sur le Blog officiel Azure pour rester informé des dernières Updates relatives à Azure.

 

Consultez la Table des Matières ci-dessous pour en savoir plus :

 

L’eBook « Hands-On Linux Administration on Azure » peut être téléchargé directement depuis le lien/bouton suivant:

 

 

Bonne lecture à tous :).

A bientôt.

Introduction

Le nouvel examen de certification AZ-304 Microsoft Azure Architect Design vous permet de tester et valider vos compétences/votre expertise en tant que « Architecte Solutions Azure | Azure Solutions Architect ».

Note importante : l’examen AZ-304 n’est pas encore disponible, et sera disponible officiellement à partir de Mars/Avril 2020. Il remplacera l’examen de certification AZ-301 (Microsoft Azure Architect Design). Consultez cette page pour en savoir plus.

 

Publics concernés cette nouvelle Certification ?

La certification AZ-304 « Microsoft Azure Architecture Design » est destinée aux Architectes Cloud /Architectes Azure /Architectes Solutions Azure intervenant sur des projets d’Audit /Conseil /Design /Architecture /Sécurisation d’infrastructures Azure.

Lors de cet examen, vous serez évaluez sur un ensemble de compétences (transverses) dans les domaines suivants :

  • Administration Azure
  • Développement Azure
  • DevOps.

Il est recommandé d’avoir des connaissances solides (Expert Level) dans au moins un de ces 3 domaines d’expertise.

 

Objectifs de l’examen de certification AZ-304

La liste des domaines de compétences /services /composants Azure sur lesquels vous serez évaluez lors de l’examen de certification AZ-304 est détaillée ci-dessous. Le % de chaque domaine de compétences représente le nombre de questions pendant l’examen :

 

Design Monitoring (10-15%)
  • Design for cost optimization
    • recommend a solution for cost management and cost reporting
    • recommend solutions to minimize costs
  • Design a solution for logging and monitoring
    • determine levels and storage locations
    • plan for integration with monitoring tools including Azure Monitor and Azure Sentinel
    • recommend appropriate monitoring tool(s) for a solution
    • choose a mechanism for event routing and escalation
    • recommend a logging solution for compliance requirements
    • NOTE: resource-specific monitoring. This objective should ONLY cover the all-up holistic monitoring strategy

 

Design Identity and Security (25-30%)
  • Design authentication
    • recommend a solution for single-sign on
    • recommend a solution for authentication
    • recommend a solution for Conditional Access, including multi-factor authentication
    • recommend a solution for network access authentication
    • recommend a solution for a hybrid identity including Azure AD Connect and Azure AD Connect Health
    • recommend a solution for user self-service
    • recommend and implement a solution for B2B integration
    • NOTE: federation with ADFS
  • Design authentication
    • choose an authentication approach
    • recommend a hierarchical structure that included management groups, subscriptions and resource groups
    • recommend an access management solution including RBAC policies, access reviews, Privileged Identity Management (PIM), Azure AD Identity Protection, Just In Time (JIT) access
  • Design governance
    • recommend a strategy for tagging
    • recommend a solution for using Azure Policy
    • recommend a solution for using Azure Blueprint
  • Design security for applications
    • recommend a solution that included KeyVault
      • what can be stored in KeyVault
      • KeyVault operations
      • KeyVault regions
    • recommend a solution that includes Azure AD Management Identities
    • recommend a solution for integrating applications into Azure AD

 

Design Data Storage (15-20%)
  • Design a solution for databases
    • select an appropriate data platform based on requirements
    • recommend database service tier sizing
    • recommend a solution for database scalability
    • recommend a solution for encrypting data at rest, data in transmission, and data in use
    • NOT: data caching
    • NOT: MariaDB, PostgreSQL, MySQL
  • Design data integration
    • recommend a data flow to meet business requirements
    • recommend a solution for data integration, including Azure Data Factory, Azure Databricks, Azure Data Lake, Azure Synapse Analytics
  • Select an appropriate storage account
    • choose between storage tiers
    • recommend a storage access solution
    • recommend storage management tools

 

Design Business Continuity (10-15%)
  • Design a solution for backup and recovery
    • recommend a recovery solution for Azure hybrid and on-premises workloads that meets recovery objectives (RTO, RLO, RPO)
    • design an Azure Site Recovery solution
      • recommend a site recovery replication policy
      • recommend a solution for site recovery capacity
      • recommend a solution for site failover and fallback (planned / unplanned)
      • recommend a solution for the site recovery network
    • recommend a solution for recovery in different regions
    • recommend a solution for Azure Backup management
    • design a solution for data archiving and retention
      • recommend storage types and methodology for data archiving
      • identify business compliance requirements for data archiving
      • identity requirements for data archiving
      • identify SLA(s) for data archiving
      • recommend a data retention policy
  • Design for high availability
    • recommend a solution for application and workload redundancy, including compute, database, and storage
    • recommend a solution for autoscaling
    • identify resources that require high availability
    • identify storage types for high availability
    • recommend a solution for geo-redundancy of workloads

 

Design Infrastructure (25-20%)
  • Design a compute solution
    • recommend a solution for compute provisioning
    • determine appropriate compute technologies, including virtual machines, App Services, Service Fabric, Azure Functions, Windows Virtual Desktop, and containers
    • recommend a solution for containers
      • AKS versus ACI and the configuration of each one
    • recommend a solution for automating compute management
    • NOT: monitoring, backups, recovery, availability, security, storage; VMWare
  • Design a network solution
    • recommend a solution for network addressing and name resolution
    • recommend a solution for network provisioning
    • recommend a solution for network security
      • private endpoints
      • firewalls
      • gateways
      • etc.
    • recommend a solution for network connectivity to the Internet, on-premises networks, and other Azure virtual networks
    • recommend a solution for automating network management
    • recommend a solution for load balancing and traffic routing
  • Design an application architecture
    • recommend a microservices architecture including Event Grid, Event Hubs, Service Bus, Storage Queues, Logic Apps, Azure Functions, and webhooks
    • recommend an orchestration solution for deployment of applications including ARM templates, Logic Apps, or Azure Functions
      • select an automation method
      • choose which resource or lifecycle steps will be automated
      • design integration with other sources such as an ITSM solution
      • recommend a solution for monitoring automation
    • recommend a solution for API integration
      • design an API gateway strategy
      • determine policies for internal and external consumption for APIs
      • recommend a hosting structure for API management
      • recommend when and how to use API Keys
  • Design migrations
    • assess and interpret on-premises servers, data, and applications for migration
    • recommend a solution for migrating applications and VMs
    • recommend a solution for migration of databases
      • determine migration scope, including redundant, related, trivial, and outdated data

 

Pour afficher la liste complète des objectifs de l’examen, veuillez consulter le PDF officiel des objectifs de l’examen AZ-301 de Microsoft. Actuellement, il est publié dans le même document que les objectifs AZ-301, jusqu’à la sortie officielle de l’examen AZ-304 prévue fin Mars /début Avril 2020.

 

Cours /Formations pour Azure Architect Design AZ-304

Comme mentionné précédemment, l’examen de certification AZ-304 verra le jour qu’à partir de fin Mars /début Avril 2020, aucune formation /guide de préparation n’est dipsonible au moment de la rédaction du présent post.

Je publierai (courant les mois à venir) un autre post avec tous les liens utiles /cours /formations pouvant vous aider à préparer cette nouvelle certification Azure.

 

A bientôt,