Defense in depth for Azure Enclave

Defense in Depth verwendet mehrere Schutzmaßnahmen, sodass nicht eine einzelne Sicherheitsmaßnahme den einzigen Schutz für Ihre Umgebung darstellt. Dieser Artikel beschreibt Bereiche, die bei der Planung der Sicherheit für Azure Enclave überprüft werden sollten. Die Steuerungen, die auf eine Bereitstellung angewendet werden, hängen von deren Konfiguration, Umgebung und verwendeter API-Version ab.

Identität und Governance

• Verwenden Sie rollenbasierte Zugriffssteuerung in Azure (Azure RBAC), um zu überprüfen, wer auf Ressourcen zugreifen kann und welche Aktionen ihre Rollen erlauben. Überprüfe die Rollenzuweisungen in den Scopes, die für deine Ressourcen relevant sind.
• Überprüfen Sie die Azure Policy-Zuweisungen und die Compliance für die Ressourcengruppen und Ressourcen in Ihrer Bereitstellung. Die anwendbaren Zuweisungen hängen von der Konfiguration und API-Version ab.

Steuerelemente für das Netzwerk

• Azure Enclave-Netzwerke können Azure Virtual WAN, Azure Firewall, virtuelle Netzwerke und Netzwerksicherheitsgruppen umfassen. Überprüfen Sie die für Ihre Umgebung konfigurierten Routen und Regeln; gehen Sie nicht davon aus, dass jeder Verkehrspfad dieselben Steuerungen verwendet.
• Überprüfe, ob die Netzwerkregeln den erforderlichen Datenverkehr erlauben und verweigern Verkehr, der nicht benötigt wird. Validiere die effektiven Routen und Sicherheitsregeln für jeden Workload und jede Verbindung.
• Überprüfen Sie Workloads, Endpunkte und Verbindungen, um zu verstehen, welche Ressourcengruppen und Netzwerkpfade für jede Anwendung konfiguriert sind.

Überwachung und Diagnose

Diagnose- und Flow-Log-Einstellungen variieren je nach Mission API-Version. In 2025-11-01-preview, enclaveDefaultSettings.diagnosticDestination verwendet CommunityOnly, EnclaveOnly oder Both. Die 2026-03-01-preview- und 2026-04-01-Schemata behalten diese Eigenschaft bei und fügen monitoringSettings hinzu, das flowLogDestination getrennt von diagnosticDestinations modelliert. Die neueren Zielobjekte umfassen destinationType Werte wie CommunityWorkspace, EnclaveWorkspace, und CustomWorkspace. Überprüfen Sie die API-Version und Konfiguration, die Ihre Bereitstellung verwendet, bevor Sie sich auf ein Ziel verlassen oder erwarten, dass Logs gesendet werden.

Die API-Felder beschreiben die verfügbare Konfiguration; sie belegen nicht an sich, dass Diagnosen oder Aktivitätsprotokolle aktiviert oder automatisch geliefert werden. Überprüfen Sie die Azure Monitor-Diagnoseeinstellungen und die Azure Activity Log-Anleitung für die von Ihnen genutzten Dienste.

Überprüfen Sie Ihre Sicherheitsschichten

Überprüfen Sie regelmäßig Rollenzuweisungen, Richtlinieneinhaltung, Netzwerkpfade und konfigurierte Diagnoseziele. Teste darauf, dass Benutzer und Workloads die erforderlichen Operationen ausführen können und dass der Zugriff außerhalb dieser Anforderungen eingeschränkt ist. Für weitere Hinweise siehe Azure Enclave Best Practices und das Shared Responsibility Model.