Azure エンクレーブは、運用上の柔軟性を確保しながら、環境を保護するための堅牢な ID およびアクセス管理 (IAM) コントロールを提供します。 Azure Enclaveは、コミュニティ、Enclave、ワークロードレベルでネイティブのAzure RBAC制御と隔離アクセス制御をサポートし、RBACの役割割り当て、拒否割り当て、拒否割り当て除外の組み合わせを通じて、標準的なRBAC継承をブロックし、より細かなアクセス制御を可能にします。
コミュニティ アクセス制御
Community Administration settings- Community マネージド リソースに対するアクセス許可を持つユーザーを定義します。 コミュニティの作成時または変更時に、これらの設定を指定します。 これにより、RBAC ロールの割り当てが行われ、Virtual WAN、ファイアウォール、ファイアウォール ポリシーなどのコミュニティマネージド リソースに対する割り当ての除外が拒否されます。
Community Maintenance Mode- 特定のユーザー、グループ、サービスプリンシパルが、一般または高度保守モードのアクションに対して、コミュニティ管理リソースに対する割り当て除外を拒否する権限を与える:Mode アクセス許可 General Microsoft.Insights/alertRules/*
Microsoft.Support/*
Microsoft.Resources/tags/*詳細 Microsoft.Network/azureFirewalls/networkRuleCollections/write
Microsoft.Network/azureFirewalls/applicationRuleCollections/write
Microsoft.Network/azureFirewalls/natRuleCollections/write
Microsoft.Network/firewallPolicies/ruleGroups/write
Microsoft.Insights/dataCollectionRules/*
Microsoft.Insights/dataCollectionEndpoints/*
Microsoft.OperationalInsights/workspaces/sharedKeys/action
Microsoft.Network/virtualHubs/write
Microsoft.Network/virtualWans/virtualHubs/read
Microsoft.Network/virtualWans/join/action
Microsoft.Authorization/policyExemptions/*
エンクレーブとワークロードのアクセス制御
エンクレーブ レベルのアクセス制御によって、エンクレーブマネージド リソースとワークロード リソースにアクセスできるユーザーが決まります。 エンクレーブの作成または変更中、およびワークロード リソース グループに対して、これらの設定を指定します。
Enclave Administration settings- エンクレーブ マネージド リソースに対するアクセス許可を持つユーザー を定義し、その結果、RBAC ロールの割り当てと、エンクレーブマネージド リソース (仮想ネットワーク、ネットワーク セキュリティ グループ、その他のリソース) に対する割り当ての除外を拒否します。
Workload Administration settings- ワークロード リソースに対する RBAC の継承と明示的なアクセス許可 を定義すると、RBAC ロールの割り当てが行われ、ワークロード リソース グループに対する割り当ての除外が拒否されます。RBAC Inheritance- 有効: ワークロード リソースに対して Standard Azure RBAC 継承が有効になっています。
- 無効: ワークロード管理者設定で定義されているアクセス許可のみがワークロード リソースに適用されます。
Reader Access- 許可: Standard RBAC 継承は、ワークロード リソースに対する読み取りアクセス許可に対してのみ有効です。
- 拒否: ワークロード管理者の設定で明示的に定義されていない限り、読み取りアクセスは拒否されます。
Enclave Maintenance Mode- 特定のユーザー、グループ、サービスプリンシパルが、一般または高度保守モードの操作に対してEnclave管理リソースに対する割り当て除外を拒否する権限を与える:Mode アクセス許可 General Microsoft.Support/*
Microsoft.Insights/alertRules/*
Microsoft.Resources/tags/*詳細 Microsoft.Network/virtualNetworks/write
Microsoft.Network/routeTables/routes/write
Microsoft.Resources/deployments/*
Microsoft.Network/privateDnsZones/*
Microsoft.Network/privateDnsOperationResults/*
Microsoft.Network/privateDnsOperationStatuses/*
Microsoft.Network/virtualNetworks/join/action
Microsoft.Network/virtualNetworks/subnets/join/action
Microsoft.Authorization/policyExemptions/*
Microsoft.Insights/dataCollectionRules/*
Microsoft.Insights/dataCollectionEndpoints/*
Microsoft.OperationalInsights/workspaces/sharedKeys/action
Azure Enclave 向けの組み込み RBAC ロール
Azure Enclave には、Azure Enclave 固有のリソースの種類を管理するために設計された一連の組み込み Role-Based Access Control (RBAC) ロールが含まれています。 これらのロールは、基になるAzureネットワーク リソース (Virtual WANやAzure Firewallなど) へのアクセス許可を付与することなく、コミュニティやエンクレーブなどのAzureエンクレーブ オブジェクトを管理するための詳細なアクセス許可を提供します。
- コミュニティ所有者 - Azureエンクレーブ コミュニティ リソースを完全に制御できます。 このロールを使用すると、ユーザーはコミュニティ レベルの設定を構成し、関連するエンクレーブを管理できますが、基になるAzureネットワーク リソース (Virtual WANやファイアウォールなど) を直接変更することはできません。
- コミュニティ共同作成者 - コミュニティ 構成を管理するためのアクセス許可を提供しますが、リソースを削除する機能は含まれません。
- コミュニティリーダー - Azure Enclaveコミュニティおよびその設定(ネットワークエンドポイントや診断設定など)を閲覧するための読み取り専用アクセス権を提供します。
- エンクレーブ所有者 - Azure エンクレーブ エンクレーブ リソースを完全に制御できます。 ユーザーは、エンドポイントやワークロードの関連付けを含め、エンクレーブの構成を管理できますが、基になるインフラストラクチャ (仮想ネットワークや NSG など) を変更することはできません。
- エンクレーブ共同作成者 - リソースを削除することなくエンクレーブ構成を管理するためのアクセス許可を提供します。
- エンクレーブ 閲覧者 - エンクレーブ 設定と関連するワークロードを表示するための読み取り専用アクセス権を付与します。
- エンクレーブ承認者 - 承認 を要求するように構成されているアクションを承認するために必要なロール。