azure - 使用远程 tfstate 保护存储帐户

Question

如何禁用对 Azure 存储帐户的公共(public)访问，但仍可通过 cloudshell 进行访问。

我拥有的和工作的:

1. 包含具有公共(public)访问权限的“terraform.tfstate”的 Az 存储帐户
2. “Azure Cloudshell”中的 main.tf 文件，其中包含远程状态文件的“后端”配置

terraform {
  required_version = ">= 1.2.4"

  required_providers {
    azurerm = {
      source  = "hashicorp/azurerm"
      version = "~> 2.98.0"
    }
  }

  
 # To store the state in a storage account
 # Benefit=working with team and if local shell destroyed -> state=lost)

  backend "azurerm" {
    resource_group_name  = "RG-Telco-tf-statefiles"
    storage_account_name = "telcostatefiles"
    container_name       = "tf-statefile-app-1"
    key                  = "terraform.tfstate"
  }
}

这非常有效。但是，如果我限制存储帐户中的公共(public)访问，我的“Azure Cloudshell”将不再具有状态文件的权限。

如何才能使其发挥作用以及在这种情况下最佳的安全最佳实践是什么？

Answer 1

我think这就是您所需要的。

设置完成后，您可以制定网络限制规则，并且可以允许云Shell虚拟网络。

其他一些最佳实践:

• 存储状态文件的存储帐户应位于单独的资源组中，并具有删除锁。
• 每个用户 1 个 SAS token ，每 6 个月更新一次，范围为文件夹级别，每个项目和每个环境一个容器
• 在配对区域中进行冗余存储，以便在出现问题时进行读取访问