Azure Enclaveは、コミュニティやエンクレーブ間でワークロードやネットワークリソースの監視を支援するための観測可能性機能を提供します。 この記事では、利用可能なログ宛先、宛先が診断設定やフローログに与える影響、 NetworkWatcherRG リソースグループの準備方法について説明します。
Azure エンクレーブ リソースでは、以下が既定で有効になっています。
- Log Analytics ワークスペースはデフォルトでコミュニティ管理リソースグループに展開されています
- (任意)Log Analytics workspaceはEnclave Managed Resource Groupに展開されています
- ストレージアカウントはEnclaveマネージドリソースグループに展開されています
- 各エンクレーブの仮想ネットワークフローログは有効化され、エンクレーブストレージアカウントを指し示し、CommunityやEnclave Log Analyticsワークスペースに転送されます
- 診断設定は、コミュニティおよびエンクレイブ管理のリソースグループの両方に展開されたリソースで有効化されています
一元化された分離された可観測性
Azure エンクレーブの可観測性は、Azure Monitor、Log Analytics、ストレージ アカウントを使用した一元的な診断ログ記録とエンクレーブ分離診断ログの両方をサポートするデュアル層ログ モデルに基づいて構築されています。
コミュニティ レベルの可観測性
コミュニティを設定する際には、集中型のLog Analyticsワークスペースを含めることができます。 このワークスペースは、次の目的で設計されています。
- コミュニティ内のすべてのエンクレーブから診断とメトリックを集計します。
- 診断ログとフローログの監視とクエリの実行を単一の画面で行えるようにします。
- クロスエンクレーブ分析、アラート、コンプライアンス追跡をサポートします。
ワークスペースはコミュニティワークスペースの目的地を選択すると作成されます。 ワークスペースはサポートされたエンクレーブやワークロードリソースの診断先として利用できます。 現在、ランタイムで作成されたワークスペースは、インジェストやクエリのためのパブリックネットワークアクセスを可能にします。これらのプロバイダー操作ではネットワーク隔離は実現されていません。 プライベートアクセスの設定については、Azure Monitor Private Link範囲をご覧ください。
Note
エンクレーブ リソース (ワークロード、パブリック IP、Application Gateway など) からの診断設定は、統合された監視をサポートするために一元化されたワークスペースにログを送信するように構成できます。
エンクレーブ単位の可観測性
Enclaveを設定する際には、そのエンクレイブ専用にスコープされた独立したLog Analyticsワークスペースを含めることができます。 このワークスペースはエンクレーブレベルのログ利用ケースをサポートし、以下のような機能を提供します:
- フローログの設定を有効にしてエンクレーブワークスペースを宛先として選択した場合、仮想ネットワークフローログの保存。
- 内部ワークロードやネットワーク コンポーネントなど、エンクレーブ スコープ リソースのオプションの診断設定。
- クロスエンクレーブ ログの集計を防ぐ分離または規制の要件を満たすように設計されています。
管理者は、エンクレーブワークスペースを宛先として選択することで、エンクレーブの診断をこのワークスペース内に保持することができます。
設定可能なログ出力先
Azure エンクレーブでは、リソース所有者が次のいずれかを選択できる柔軟なログ構成がサポートされています。
| ログの出力先 | Purpose | デフォルトの使用法 |
|---|---|---|
| コミュニティ Log Analytics ワークスペース | 一元的な監視とクロスエンクレーブ分析を有効にする | Configurable |
| Enclave Log Analytics ワークスペース | エンクレーブレベルの監視と隔離をサポートします | Configurable |
| カスタムの Log Analytics ワークスペース | サポートされたフローログを顧客が選択したワークスペース(APIバージョン 2026-03-01-preview 以降)に送信します。 |
Configurable |
診断設定は、デプロイ中またはデプロイ後に、Azure ポータル、CLI、または Bicep/ARM テンプレートを使用して構成できます。
Important
フローログの宛先は設定可能です。 プロバイダーは、すべての対応APIバージョンでエンクレーブおよびコミュニティLog Analyticsワークスペースをサポートし、APIバージョン2026-03-01-previewからはカスタムLog Analyticsワークスペースもサポートしています。 エンクレイブの設定を確認して、フローログがどこに送られるかを確認しましょう。
一般的な可観測性のシナリオ
| シナリオ | 伐採戦略 |
|---|---|
| クロスエンクレーブ正常性ダッシュボード | すべてのエンクレーブから一元化されたコミュニティ Log Analytics ワークスペースに診断を送信する |
| 厳密なデータ制御による規制されたエンクレーブ | エンクレーブ固有のLog Analytics ワークスペース内に診断を保持する |
| 監査目的での長期保有 | ポリシーによって制御される保持設定を使用してストレージ アカウントにログを送信する |
| ネットワーク調査または脅威ハンティング | エンクレーブ ワークスペースを使用して既定の仮想ネットワーク フロー ログを分析する |
Network Watcher のリソース グループを構成する
仮想ネットワークフローログ作成の潜在的な問題を避けるために、NetworkWatcherRGアクセスの設定手順に従って開始方法を守ってください。