Introduzione all'enclave di Azure

Usa questo articolo per integrarti in Azure Enclave registrando i fornitori di risorse necessari e preparando i permessi necessari per gestire le risorse di Azure Enclave nel tuo abbonamento.

Prerequisiti

  • È necessario avere già un tenant e una sottoscrizione Azure.
  • È necessario essere proprietario di una sottoscrizione Azure esistente.

Registra i fornitori di risorse richiesti e configura NetworkWatcherRG l'accesso

Opzione 1: PowerShell

PowerShell è il modo più veloce per registrare tutti i provider di risorse necessari per iniziare a usare Azure Enclave.

  1. Accedere al tenant Azure e aprire la sottoscrizione.

  2. Nel portale di Azure selezionare l'icona Cloud Shell nella parte superiore della finestra.

    Screenshot che mostra la posizione dell'icona di Cloud Shell nel portale.

  3. Impostare il contesto di Azure per la sottoscrizione. Ad esempio, eseguire Set-AzContext -Subscription <subscription-id>.

  4. Copiare e incollare il codice in Cloud Shell, quindi premere INVIO.

    # Register the Azure Enclave Resource Provider and grant permissions to the Resource Provider application 

$resourceProviders = @(
   "Microsoft.Advisor",
   "Microsoft.AlertsManagement",
   "Microsoft.Authorization",
   "Microsoft.Automation",
   "Microsoft.Billing",
   "Microsoft.Capacity",
   "Microsoft.ChangeAnalysis",
   "Microsoft.ClassicSubscription",
   "Microsoft.CognitiveServices",
   "Microsoft.Compute",
   "Microsoft.Consumption",
   "Microsoft.CostManagement",
   "Microsoft.DesktopVirtualization",
   "Microsoft.Features",
   "Microsoft.GuestConfiguration",
   "Microsoft.Insights",
   "Microsoft.KeyVault",
   "Microsoft.Logic",
   "Microsoft.ManagedIdentity",
   "Microsoft.MarketplaceOrdering",
   "Microsoft.Network",
   "Microsoft.OperationalInsights",
   "Microsoft.OperationsManagement",
   "Microsoft.PolicyInsights",
   "Microsoft.Portal",
   "Microsoft.ResourceGraph",
   "Microsoft.ResourceHealth",
   "Microsoft.ResourceNotifications",
   "Microsoft.Resources",
   "Microsoft.Security",
   "Microsoft.SecurityInsights",
   "Microsoft.SerialConsole",
   "Microsoft.SqlVirtualMachine",
   "Microsoft.Storage",
   "Microsoft.Support",
   "Microsoft.Web",
   "Microsoft.Mission"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

  5. (Opzionale) Abilita la EncryptionAtHost funzione.

    La funzionalità EncryptionAtHost abilita la crittografia a livello di host di calcolo.

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  6. Al termine dell'aggiornamento, passare a configurazione di Azure o ai passaggi successivi.

Opzione 2: portale di Azure

  1. Accedere al tenant Azure e aprire la sottoscrizione.

  2. In Settings selezionare Resource providers.

  3. Registrare i provider di risorse elencati nell'opzione 1: PowerShell nella sottoscrizione. Lo script di PowerShell è l'opzione più veloce e l'origine autorevole per le registrazioni necessarie. Queste immagini mostrano lo stato finale previsto.

    Screenshot che mostra il primo set di provider di risorse richiesti da Azure Enclave.

    Screenshot che mostra il secondo set di provider di risorse richiesto da Azure Enclave.

  4. Cercare e selezionare Microsoft.Missione quindi selezionare Register.

    Screenshot che mostra il provider di risorse Microsoft.Mission registrato correttamente.

  5. Procedi a configurazione di Azure o passaggi successivi.

Per riferimento, è anche possibile esaminare le istruzioni generica per abilitare una funzionalità di anteprima.

Configurare l'accesso NetworkWatcherRG

Per evitare potenziali problemi durante la creazione di log del flusso di rete virtuale, assicurati che il gruppo di risorse NetworkWatcherRG esista in ogni sottoscrizione e che l'app Mission Enclave abbia il ruolo Network Contributor su tale gruppo prima di creare il primo enclave. Se l'istanza network watcher viene creata automaticamente (ad esempio, tramite una distribuzione di risorse Azure esistente in quella regione), rivedi l'assegnazione del ruolo nella tua lista di istanze network watcher. Scopri di più su Network Watcher.

Importante

Se NetworkWatcherRG non esiste o l'app Mission Enclave non ha il Network Contributor ruolo attivo, le implementazioni dell'enclave potrebbero fallire quando si tenta di creare log di flusso di rete virtuali. Anche i ruoli Owner o Contributor funzionano, ma concedono più autorizzazioni del necessario.

  1. Selezionare il NetworkWatcherRG gruppo di risorse, selezionare Access control (IAM), quindi selezionare Add e Add role assignment.

    Screenshot che mostra la selezione dell'assegnazione del ruolo nel gruppo di risorse NetworkWatcherRG.

  2. Digita Network Contributor, seleziona Network Contributor, e poi seleziona Next.

    Screenshot che mostra la selezione del ruolo Network Contributor nella guida per l'assegnazione dei ruoli.

  3. Seleziona Select members, digita Mission Enclave nella casella di ricerca, seleziona l'app Mission Enclave , poi seleziona Select e Next, poi Review + assign.

    Screenshot che mostra la selezione dell'app Mission Enclave nel selezionatore dei membri.

  4. Al termine dell'aggiornamento, è possibile iniziare a distribuire le risorse Enclave di Azure.

Quando viene creata una community o un enclave, Azure Enclave tenta i passaggi seguenti:

  1. Controlla se il NetworkWatcherRG gruppo di risorse esiste. Se no, prova a creare quel gruppo di risorse nella stessa posizione della comunità.
  2. Controlla se l'app Mission Enclave ha già un'assegnazione di ruolo Owner, Contributor o Network Contributor in NetworkWatcherRG. Se uno di questi ruoli è già presente — incluso un incarico preesistente Owner — Azure Enclave lo lascia in posizione invece di creare un ulteriore incarico. Se nessuno di questi ruoli è presente, Azure Enclave tenta di assegnare all'app Mission Enclave il Contributor ruolo su NetworkWatcherRG. Questa elevazione viene delegata per conto del chiamante autenticato, quindi richiede che l'identità di distribuzione disponga di autorizzazioni sufficienti (ad esempio, Amministratore accesso utente) per concedere il ruolo.
  3. Se un passaggio non va a buon fine, le distribuzioni di enclave potrebbero non riuscire durante il tentativo di creare i log di flusso della rete virtuale.

Passaggi di transizione per i clienti di anteprima esistenti

I clienti di anteprima esistenti devono registrare nuovamente il provider di risorse Azure Enclave in modo che le sottoscrizioni possano usare gli aggiornamenti più recenti dell'API e del servizio enclave Azure.

Completare questi passaggi per usare l'API enclave Azure più recente:

  1. Nel portale di Azure, passare alla sottoscrizione.
  2. In Settings selezionare Resource providers.
  3. Cercare e selezionare Microsoft.Missione quindi selezionare Re-register.
  4. Ripetere questi passaggi per eventuali sottoscrizioni aggiuntive.

Passaggi successivi

Dopo aver registrato il provider di risorse Azure Enclave, è possibile iniziare a distribuire le risorse Azure Enclave nella sottoscrizione.

  • Last updated on