Erste Schritte mit Azure Enklave

Nutzen Sie diesen Artikel, um zu Azure Enclave zu integrieren, indem Sie die erforderlichen Ressourcenanbieter registrieren und die Berechtigungen zur Verwaltung von Azure Enclave-Ressourcen in Ihrem Abonnement vorbereiten.

Voraussetzungen

Registrieren Sie Azure Enclave-Ressourcenanbieter und konfigurieren Sie den NetworkWatcherRGZugriff

PowerShell ist der schnellste Weg, die von Azure Enclave selbst benötigten Ressourcenanbieter zu registrieren.

  1. Melden Sie sich bei Ihrem Azure Mandanten an, und öffnen Sie das Abonnement.

  2. Wählen Sie im Azure Portal oben im Fenster das Cloud Shell Symbol aus.

    Screenshot, der den Standort des Cloud Shell-Symbols im Portal zeigt.

  3. Legen Sie den Azure Kontext für Ihr Abonnement fest. Führen Sie Set-AzContext -Subscription <subscription-id> beispielsweise aus.

  4. Kopieren Sie diesen Code, und fügen Sie ihn in Cloud Shell ein, und drücken Sie dann die EINGABETASTE.

    # Register the Azure Enclave resource providers

$resourceProviders = @(
   "Microsoft.Mission",
   "Microsoft.Network",
   "Microsoft.Storage",
   "Microsoft.KeyVault",
   "Microsoft.OperationalInsights",
   "Microsoft.Insights",
   "Microsoft.ManagedIdentity"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

Bedingte Ressourcenanbieter

Registrieren Sie diese Ressourcenanbieter nur, wenn Sie die entsprechende Arbeitslast verwenden:

  • Microsoft.SecurityInsights für Microsoft Sentinel.
  • Microsoft.Logic für Logik-Apps.
  • Microsoft.Compute für virtuelle Maschinen.
  • Microsoft.DesktopVirtualization for Azure Virtual Desktop.
  • Microsoft.SqlVirtualMachine für SQL-virtuelle Maschinen.

Führe zum Beispiel folgenden PowerShell-Code für die von dir verwendeten Workloads aus:

$conditionalResourceProviders = @(
   "Microsoft.SecurityInsights",
   "Microsoft.Logic",
   "Microsoft.Compute",
   "Microsoft.DesktopVirtualization",
   "Microsoft.SqlVirtualMachine"
)

$conditionalResourceProviders | ForEach-Object {
   Register-AzResourceProvider -ProviderNamespace $_ -Verbose
}

  1. (Optional) Aktivieren Sie die EncryptionAtHost Funktion.

    Das EncryptionAtHost-Feature ermöglicht die Verschlüsselung auf Computehostebene.

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  2. Fahren Sie nach Abschluss des Updates mit Azure Setup oder den nächsten Schritten fort.

NetworkWatcherRG-Zugriff konfigurieren

Um potenzielle Probleme bei der Erstellung von virtuellen Netzwerk-Flow-Logs zu vermeiden, stellen Sie sicher, dass die NetworkWatcherRG Ressourcengruppe in jedem Abonnement existiert und die Mission Enclave App die Rolle Network Contributor in dieser Gruppe hat, bevor Sie Ihre erste Enklave erstellen. Wenn die Network Watcher-Instanz automatisch erstellt wird (zum Beispiel durch eine bestehende Azure-Ressourcenbereitstellung in dieser Region), überprüfen Sie die Rollenzuweisung in Ihrer Liste der Network Watcher-Instanzen. Erfahren Sie mehr über Network Watcher.

Von Bedeutung

Wenn NetworkWatcherRG nicht vorhanden ist oder die App Mission Enclave nicht über die Rolle Network Contributor verfügt, können Enclave-Bereitstellungen beim Versuch, Flowprotokolle für virtuelle Netzwerke zu erstellen, fehlschlagen. Die Rollen Owner oder Contributor funktionieren ebenfalls, vergeben aber mehr Berechtigungen als erforderlich.

  1. Wählen Sie die NetworkWatcherRG Ressourcengruppe aus, wählen Sie Access control (IAM) und dann Add und Add role assignment aus.

    Screenshot zeigt die Auswahl der Rollenzuweisung in der NetworkWatcherRG-Ressourcengruppe.

  2. Geben Sie Network Contributor ein, wählen Sie Network Contributor aus, und wählen Sie dann Next.

    Screenshot, der die Rollenauswahl des Netzwerk-Mitwirkenden im Rollenzuweisungs-Wizard zeigt.

  3. Wählen Sie Select members, geben Sie Mission Enclave in das Suchfeld ein, wählen Sie die Mission Enclave-App und dann Next und Review + assign und anschließend Select.

    Screenshot zeigt die Auswahl der Mission Enclave-App im Mitgliederauswahlsystem.

  4. Sobald das Update abgeschlossen ist, können Sie mit der Bereitstellung Azure Enklave-Ressourcen beginnen.

Wenn eine Community oder Enklave erstellt wird, versucht Azure Enklave die folgenden Schritte:

  1. Überprüfen Sie, ob es die Ressourcengruppe NetworkWatcherRG gibt. Wenn nicht, versuchen Sie, diese Ressourcengruppe am selben Ort wie die Community zu erstellen.
  2. Überprüfe, ob die Mission Enclave App bereits eine Owner, Contributor, oder Network Contributor Rollenzuweisung auf NetworkWatcherRGhat. Wenn eine dieser Rollen bereits vorhanden ist – einschließlich einer bereits bestehenden Owner Zuweisung – lässt Azure Enclave sie bestehen, anstatt eine zusätzliche Zuweisung zu erstellen. Wenn keine dieser Rollen vorhanden ist, versucht Azure Enclave, der App Mission Enclave die Rolle Contributor auf NetworkWatcherRG zuzuweisen. Diese Rechteerweiterung wird im Namen des angemeldeten Aufrufers delegiert und erfordert daher, dass die für die Bereitstellung verwendete Identität über ausreichende Berechtigungen verfügt (z. B. Benutzerzugriffsadministrator), um die Rolle zuzuweisen.
  3. Wenn ein Schritt fehlschlägt, können Enklavenbereitstellungen fehlschlagen, wenn Sie versuchen, virtuelle Netzwerkflussprotokolle zu erstellen.

Übergangsschritte für vorhandene Vorschaukunden

Bestehende Vorschaukunden müssen den Azure Enklave-Ressourcenanbieter erneut registrieren, damit ihre Abonnements die neuesten Azure Enklave-API und Dienstupdates verwenden können.

Führen Sie die folgenden Schritte aus, um die neueste Azure Enklave-API zu verwenden:

  1. Navigieren Sie im Azure-Portal zu Ihrem Abonnement.
  2. Wählen Sie unter "Einstellungen" die Option "Ressourcenanbieter" aus.
  3. Suche nach und wähle Microsoft. Mission, und dann wähle neu registrieren.
  4. Wiederholen Sie diese Schritte für alle zusätzlichen Abonnements.

Nächste Schritte

Nach der Registrierung des Azure Enklave-Ressourcenanbieters können Sie mit der Bereitstellung Azure Enklave-Ressourcen in Ihrem Abonnement beginnen.

  • Zuletzt aktualisiert um