Azure エンクレーブについてよく寄せられる質問

この記事では、計画、使用状況、課金、構成、接続など、Azure エンクレーブに関する一般的な質問に回答します。

概要

Azure エンクレーブとは

Azure エンクレーブは、組み込みのネットワーク分離とポリシー適用を備えたハブアンドスポーク ネットワーク アーキテクチャです。 詳細については、「エンクレーブAzureとは」を参照してください。

エンクレーブAzure使用する必要がある理由

Azure Enclaveは既知の設定で安全な基盤を構築し、コンプライアンス承認をより迅速に進め、Azure Enclave管理の境界でワークロードを展開できるようにします。 詳細については、「なぜAzure Enclaveを使うのか?」をご覧ください。

エンクレーブAzureのしくみ

Azure エンクレーブでは、マネージド コミュニティおよびエンクレーブ モデルが使用されます。 コミュニティは共有ネットワーク制御を提供し、各エンクレーブは分離されたワークロード境界を提供します。 承認されたエンドポイントをエンクレーブ接続に接続し、エンクレーブAzureこれらのパスにポリシーとルーティングの制御を適用します。 アーキテクチャの詳細については、「エンクレーブAzureとは」を参照してください。

Azure Enclaveと機密コンピュートエンクレーブは関係がありますか?

Azure Enclaveと機密計算エンクレーブは異なるセキュリティ境界に対応しています。 Azure Enclaveは、Azureリソースに対して分離された仮想ネットワーク、ワークロード境界、ポリシー制御を提供します。 機密計算エンクレーブは、処理中のデータを保護するハードウェアベースの信頼できる実行環境です。 アプリケーションが使用中のデータの保護を必要とする場合、Azure Enclaveワークロード内で機密計算技術を使用できます。

詳細については、「 機密コンピューティングのアプリケーション開発 」および 「機密コンピューティングエンクレーブ」を参照してください。

Azure エンクレーブの価格は何ですか?

Azure エンクレーブの価格には、エンクレーブあたりの時間単位の料金と、マネージド リソースの料金が含まれます。 マネージド リソースは、セキュリティで保護されたエンクレーブ分離のレイヤーを作成し、デプロイに基づくVirtual WAN、Azure Firewall、仮想ネットワーク、オプションのLog Analyticsを含みます。 現在の料金については、Azure Enclave の価格をご覧ください。

Azure エンクレーブを使用する利点は何ですか?

Azure エンクレーブを使用すると、設計上のセキュリティで保護されたネットワーク境界を展開し、ポリシーを一貫して適用し、接続が制御されたワークロードを分離できます。 既知のアーキテクチャと管理されたAzure Enclaveコンポーネントを使用することで、規制環境のセットアップ作業を削減できます。 詳細については、「なぜAzure Enclaveを使うのか?」をご覧ください。

エンクレーブAzure使用する方法を教えてください。

エンクレーブAzure概要から始めて、エンクレーブAzure学習に関する記事を確認してから、参照アーキテクチャをデプロイするためのチュートリアルまたはサンプル テンプレートでリソースを作成します。 運用設計の計画を開始する準備ができたら、 ベスト プラクティス に関する記事を確認します。 サービスの制限については、 クォータとリージョンの可用性に関する説明を参照してください。

顧客計画

Azure Enclaveは一般提供されていますか?

Yes. Azure Enclaveは本番ワークロード向けに一般提供されています。 現在のサービス範囲と可用性の詳細については、「Azure Enclaveとは何か?」および「Azure Enclaveにおけるクォータとリージョン可用性」をご覧ください。

Azure エンクレーブのクイック スタートはどこで見つけることができますか?

カスタマイズされた個々のコンポーネントは、Azure ポータルからデプロイできます。 Azure エンクレーブには、クイック スタートのリファレンス アーキテクチャも用意されています。 詳細については、「Azure Enclave テンプレート」を参照してください。

エンクレーブ リソースAzure複数のサブスクリプションにまたがってスケーリングできますか?

はい。コミュニティとエンクレーブは、1 つのサブスクリプションまたは同じテナント内の個別のサブスクリプションに存在できます。 個別のサブスクリプションを使用すると、ユース ケースに適合する場合は、各エンクレーブに関連付けられているリソースに対して異なる組織が料金を支払うことができます。 詳細については、「 複数サブスクリプションのデプロイ アーキテクチャ」を参照してください。

現在、エンクレーブAzure利用できるリージョンはどれですか?

現在のリージョンの可用性については、「リージョン別の利用可能な製品」と「Azure エンクレーブでのクォータとリージョンの可用性」を参照してください。

Azure CLIを使用して、コミュニティで許可されている現在のリージョンに対してクエリを実行することもできます。

az provider show --namespace Microsoft.Mission --query "resourceTypes[?resourceType=='communities'].locations"

Azure Enclaveはサービスデータをどこに保存していますか?

Azure Enclaveは、サポートされているあらゆる地域のサービスデータを処理・保存します。 このサービスデータには、リソースメタデータ、サービス監査および診断ログ、サービス管理の複製および回復コピーが含まれます。

レジデンシーは地域全体を対象としており、特定の地域を対象としません。 顧客管理のワークロードや設定されたデータ転送は、関連するサービスやあなたの設定に従い、地理的な境界を越えることができます。 範囲および顧客責任については データレジデンシー を参照してください。

Azure エンクレーブ リソースのアクセス許可を管理するために使用されるロールは何ですか?

Azure エンクレーブには、最小限の特権で環境を管理するのに役立つロールが含まれています。 確認済みのロール名には、コミュニティ所有者、コミュニティ共同作成者、コミュニティ閲覧者、エンクレーブ所有者、エンクレーブ共同作成者、エンクレーブ閲覧者、エンクレーブ承認者が含まれます。 詳細については、「 ロールベースのアクセス制御」を参照してください。

Azure エンクレーブの使用

なぜ専用のハブを使うのですか?

予測可能なインターネット出口のSNAT IPを複数のエンクレーブで提供するか、プール容量よりも高いVNet-to-VNetスループットが必要な場合は専用ハブを使いましょう。 専用ハブは特定のAzure FirewallのパブリックIPを持っているため、そのハブを使うエンクレーブはインターネットの出口用に同じSNATパブリックIPを共有します。

Azure サービスの許可リストにないリソースを作成するにはどうすればよいですか?

Azure サービスをワークロード リソース グループにデプロイしていて、エラー Do not allow creation of resource types outside of the allowlistが表示される場合、割り当てられたAzure Policyによってサービスは許可されません。 ワークロード リソース グループのポリシー除外を作成できます。

1. Azure ポータルで、ワークロード リソース グループに移動します。
2. 左側のメニューで [ Governance] を選択し、[ Policy compliance] を選択します。
3. Allowを検索し、ワークロード リソース グループのポリシー割り当てを選択します。
4. Create exemption を選択します。
5. [ Review + create] を選択し、[ Create] を選択します。

除外の更新が完了したら、以前に拒否されたサービスを再デプロイします。 詳細については、「 ポリシー コンプライアンスの除外」を参照してください。

新しい Azure Enclave リソースの種類の作成を防ぐにはどうすればよいですか?

クラウド エンジニアで、サブスクリプションでの新しいコミュニティの作成を制限する場合は、Azure Policyを使用して、特定のリソースの種類のデプロイを防ぐことができます。

現在、Azureエンクレーブでは、「チュートリアル: クラウド環境でリソースの種類を禁止し、組織が望むビジネス ロジックを定義する」に従うことをお勧めします。 Not allowed resource typesポリシーとAllowed resource types ポリシーは、このチュートリアルでリンクされています。

たとえば、サブスクリプションにコミュニティをデプロイしないようにするには、許可されていないリソースの種類のパラメーター リストにNot allowed resource typeを含めながら、Microsoft.Mission/communitiesを割り当てます。

エンクレーブを移動できますか?

エンクレーブ リソース自体の移動はサポートされていません。 さらに、エンクレーブ マネージド リソース グループにデプロイされている一部のリソース (Azure Bastion、IP グループ、ユーザー割り当てマネージド ID など) では、移動はサポートされていません。 詳細については、こちらをご覧ください。

移動を許可するワークロード リソースは、そのリソースの種類でサポートされている移動オプションに従って移動できます。 たとえば、仮想マシン イメージを作成し、イメージを移動して、新しいエンクレーブで仮想マシンを再作成またはレプリケートできます。

Billing

Azure エンクレーブの課金のしくみ

次の料金を支払います。

1. 各エンクレーブで 1 時間ごとに
2. コミュニティとエンクレーブの境界を作成するために、Azure エンクレーブによって管理されるリソース。
3. お使いのエンクレーブ内にデプロイするワークロード。

Azure エンクレーブのマネージド リソースは次のとおりです。

• コミュニティのVirtual WAN。
• コミュニティ向けのAzure Firewall。
• エンクレーブ用の仮想ネットワーク。
• エンクレーブ サブネットのネットワーク セキュリティ グループ。
• Log Analytics（コミュニティ、エンクレーブ、または両方で選択されている場合）

詳細については、「Azure エンクレーブの価格」を参照してください。

エンクレーブのコストには、コミュニティ、コミュニティ エンドポイント、エンクレーブ エンドポイント、エンクレーブ接続、トランジット ハブが含まれます。

端数時間は日割り計算されますか?

1 時間未満しかデプロイされていないエンクレーブでも、1 時間分の料金が課金されます。

エンクレーブ構成

コミュニティ ファイアウォールに加えて、エンクレーブ仮想ネットワークにファイアウォールを追加できますか?

仮想ネットワーク ファイアウォールを追加することは、推奨されるパターンではありません。 Azure エンクレーブは、コミュニティおよびエンクレーブ ネットワーク リソースを介したネットワーク トラフィックを管理します。

Connections

既定では、どのアクセスが許可されますか?

Azure Enclaveは管理リソースに必要なAzure egressを設定します。 非Basicファイアウォールを使用するコミュニティでは、TCPポート1688を介してキー管理サービス(KMS)のデフォルトアウトバウンドファイアウォールポリシールールが作成されます。

URL または IP へのリソース アクセスをすばやく停止するにはどうすればよいですか?

たとえば、仮想マシンなどのリソースから問題のある Web サイトへのアクセスをすばやくブロックまたは削除する必要がある場合は、次のことができます。

• エンクレーブ接続を削除してください。例えば、問題のあるウェブサイトやIPアドレスへのアクセスを可能にするコミュニティエンドポイントへの接続などです。
• エンクレーブ接続から仮想マシンのサブネットを削除します。
• コミュニティまたはエンクレーブ エンドポイントにアクセスできる場合は、エンドポイントルールから問題のある Web サイトまたは IP アドレスを削除します。

デプロイを高速化するにはどうすればよいですか?

エンクレーブ リソースAzure作成するテンプレートを作成する場合は、同時に接続を送信することで、エンクレーブ接続のバッチ処理を利用できます。 バッチ処理を使用すると、エンクレーブ接続の大きなバッチを同時に作成できます。これは、一度に 1 つずつ接続を作成するよりも高速です。 テンプレートでは、エンクレーブ接続のバッチを構成して、すべてのエンクレーブ エンドポイントとコミュニティ エンドポイントが作成された後にのみデプロイできます。 トランジット ハブへのエンクレーブ接続は、トランジット ハブの作成後に個別にバッチ処理できます。

Bicepでは、各エンクレーブ接続リソースに dependsOn セクションを追加することで、意図的にエンクレーブ接続をバッチ処理できます。 dependsOn配列には、同じバッチで接続を作成するすべてのコミュニティ エンドポイントとエンクレーブ エンドポイントが含まれている必要があります。

dependsOn: [
  myCommunityEndpoint1
  myEnclaveEndpoint1
  myEnclaveEndpoint2
]