Difesa approfondita per Azure Enclave

La difesa in profondità utilizza molteplici misure di sicurezza affinché un singolo controllo non sia l'unica protezione per il tuo ambiente. Questo articolo descrive le aree da rivedere quando si pianifica la sicurezza per Azure Enclave. I controlli che si applicano a una distribuzione dipendono dalla sua configurazione, dall'ambiente e dalla versione API utilizzata.

Identità e governance

• Usa il controllo accessi basato sui ruoli Azure (Azure RBAC) per esaminare chi può accedere alle risorse e quali azioni permettono i loro ruoli. Controlla le assegnazioni dei ruoli negli ambiti rilevanti per le tue risorse.
• Rivedi le assegnazioni e la conformità di Criteri di Azure per i gruppi di risorse e le risorse nella tua implementazione. Le assegnazioni rilevanti dipendono dalla configurazione e dalla versione dell'API.

Controlli di rete

• Il networking di Azure Enclave può coinvolgere rete WAN virtuale di Azure, Firewall di Azure, reti virtuali e gruppi di sicurezza di rete. Rivedi le route e le regole configurate per il tuo ambiente; non dare per scontato che ogni percorso di traffico utilizzi gli stessi controlli.
• Controlla che le regole di rete permettano il traffico richiesto e neghino il traffico non necessario. Convalidare le route valide e le regole di sicurezza per ogni carico di lavoro e connessione.
• Esamina carichi di lavoro, endpoint e connessioni per capire quali gruppi di risorse e percorsi di rete sono configurati per ciascuna applicazione.

Monitoraggio e diagnostica

Le impostazioni diagnostiche e dei log di flusso variano a seconda della versione dell'API Mission. In 2025-11-01-preview, enclaveDefaultSettings.diagnosticDestination usa CommunityOnly, EnclaveOnly, o Both. Gli 2026-03-01-preview schemi e 2026-04-01 mantengono quella proprietà e aggiungono monitoringSettings, che modella diagnosticDestinations separatamente da flowLogDestination. Gli oggetti destinazione più recenti includono destinationType valori come CommunityWorkspace, EnclaveWorkspace, e CustomWorkspace. Controlla la versione dell'API e la configurazione usata dal tuo deployment prima di affidarti a una destinazione o aspettarti che vengano inviati log.

I campi API descrivono la configurazione disponibile; da soli non stabiliscono che diagnostiche o Activity Log siano abilitati o forniti automaticamente. Consulta le impostazioni diagnostiche di Monitoraggio di Azure e le linee guida di Azure Activity Log per i servizi che utilizzi.

Rivedi i tuoi livelli di sicurezza

Rivedi periodicamente le assegnazioni dei ruoli, la conformità alle politiche, i percorsi di rete e le destinazioni diagnostiche configurate. Verifica che utenti e carichi di lavoro possano eseguire le operazioni richieste e che l'accesso al di fuori di tali requisiti sia limitato. Per ulteriori indicazioni, consulta le migliori pratiche di Azure Enclave e il modello di responsabilità condivisa.