Kladde.Verlauf speichert Termine mit Namen von Kontaktpersonen und Notizen. Bisher war das Konto cosmos-kladde nur so sicher, wie ein Konto ohne Netzregeln und mit Schlüsseln sein kann. Diese Lektion schreibt die Hausordnung: wer sich anmelden darf, was er darf, woher er kommen darf und was er nicht im Klartext sieht.
Vorwissen. Verwaltete Identität, Rollenzuweisungen in Bicep und geringste Rechte stehen in „K3, Lektion 3.3.1" und „K3, Lektion 3.3.5"; die Anmeldung des Clients in Lektion 1.2, der Schalter disableLocalAuth in Lektion 1.1. Das wird nicht wiederholt.
Was ausgeführt wurde. Drei Bicep-Dateien wurden mit az bicep build (Bicep 0.43.8) übersetzt, ein C#-Programm lief ohne Konto (.NET 10). Nicht gegen Azure ausgeführt ist alles, was ein Konto braucht: Bereitstellung, Rollenzuweisung, Anmeldung, Netzregeln, Maskierung. Befehle für ein echtes Konto sind Schritte für die Person, die es besitzt.
Vier Schichten
| Schicht | Einstellung | Wirkung |
|---|---|---|
| Anmeldung | disableLocalAuth: true |
nur noch Entra, keine Kontoschlüssel |
| Rechte | Rollen auf der Datenebene | was eine angemeldete Identität tun darf |
| Netz | publicNetworkAccess, Firewall, privater Endpunkt |
woher Anfragen kommen dürfen |
| Daten | dynamische Datenmaskierung | was Leser ohne Sonderrecht sehen |
Die Verschlüsselung im Ruhezustand ist immer an (letzter Abschnitt).