Azure Enclave の使用を開始する

この記事では、必要なリソース プロバイダーを登録し、サブスクリプション内の Azure Enclave リソースを管理するために必要なアクセス許可を準備して、Azure Enclave の利用を開始する方法について説明します。

前提条件

  • Azureテナントとサブスクリプションが既に必要です。
  • 既存のAzure サブスクリプションの所有者である必要があります。

必要なリソースプロバイダーを登録し、 NetworkWatcherRG アクセスを設定しましょう

オプション 1: PowerShell

PowerShellはAzure Enclaveの使用を始めるために必要なすべてのリソースプロバイダーを登録する最速の方法です。

  1. Azure テナントにサインインし、サブスクリプションを開きます。

  2. Azure ポータルで、ウィンドウの上部にあるCloud Shell アイコンを選択します。

    ポータル内のCloud Shellアイコンの位置を示すスクリーンショットです。

  3. サブスクリプションのAzure コンテキストを設定します。 たとえば、 Set-AzContext -Subscription <subscription-id>を実行します。

  4. このコードをコピーしてCloud Shellに貼り付け、Enter キーを押します。

    # Register the Azure Enclave Resource Provider and grant permissions to the Resource Provider application 

$resourceProviders = @(
   "Microsoft.Advisor",
   "Microsoft.AlertsManagement",
   "Microsoft.Authorization",
   "Microsoft.Automation",
   "Microsoft.Billing",
   "Microsoft.Capacity",
   "Microsoft.ChangeAnalysis",
   "Microsoft.ClassicSubscription",
   "Microsoft.CognitiveServices",
   "Microsoft.Compute",
   "Microsoft.Consumption",
   "Microsoft.CostManagement",
   "Microsoft.DesktopVirtualization",
   "Microsoft.Features",
   "Microsoft.GuestConfiguration",
   "Microsoft.Insights",
   "Microsoft.KeyVault",
   "Microsoft.Logic",
   "Microsoft.ManagedIdentity",
   "Microsoft.MarketplaceOrdering",
   "Microsoft.Network",
   "Microsoft.OperationalInsights",
   "Microsoft.OperationsManagement",
   "Microsoft.PolicyInsights",
   "Microsoft.Portal",
   "Microsoft.ResourceGraph",
   "Microsoft.ResourceHealth",
   "Microsoft.ResourceNotifications",
   "Microsoft.Resources",
   "Microsoft.Security",
   "Microsoft.SecurityInsights",
   "Microsoft.SerialConsole",
   "Microsoft.SqlVirtualMachine",
   "Microsoft.Storage",
   "Microsoft.Support",
   "Microsoft.Web",
   "Microsoft.Mission"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

  5. (任意) EncryptionAtHost 機能を有効にしてください。

    EncryptionAtHost 機能を使用すると、コンピューティング ホスト レベルでの暗号化が可能になります。

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  6. 更新が完了したら、Azureセットアップまたは次の手順に進みます。

オプション 2: Azure portal

  1. Azure テナントにサインインし、サブスクリプションを開きます。

  2. Settings で、Resource providers を選択します。

  3. サブスクリプションのオプション 1: PowerShell に記載されているリソース プロバイダーを登録します。 PowerShell スクリプトは、最も高速なオプションであり、必要な登録の権限のあるソースです。 これらの画像は、予期される終了状態を示しています。

    Azure エンクレーブに必要なリソース プロバイダーの最初のセットを示すスクリーンショット。

    Azure エンクレーブに必要なリソース プロバイダーの 2 番目のセットを示すスクリーンショット。

  4. Microsoft.Missionを検索して選択し、Registerを選択します。

    Microsoftのスクリーンショットです。ミッションリソース提供者が正常に登録されました。

  5. Azureセットアップまたは次の手順に進みます。

参考までに、 プレビュー機能を有効にするための一般的な手順を確認することもできます。

NetworkWatcherRGアクセスを設定する

仮想ネットワークフローログ作成の潜在的な問題を避けるために、各サブスクリプションにNetworkWatcherRGリソースグループが存在し、Mission EnclaveアプリがそのグループでNetwork Contributor役割を持っていることを確認してから、最初のエンクレーブを作成してください。 ネットワークウォッチャーインスタンスが自動的に作成された場合(例えば、そのリージョンの既存のAzureリソースデプロイメントを通じて)、ネットワークウォッチャーインスタンスのリストで役割割り当てを確認してください。 Network Watcherについて詳しくはこちらをご覧ください。

Important

NetworkWatcherRGが存在しない場合、またはMission EnclaveアプリにNetwork Contributorロールがなければ、エンクレーブ展開は仮想ネットワークフローログの作成時に失敗する可能性があります。 OwnerやContributorの役割も動作しますが、必要以上の権限を与えています。

  1. NetworkWatcherRGリソース グループを選択し、Access control (IAM)を選択してから、Addを選択してAdd role assignmentします。

    NetworkWatcherRGリソースグループでロール割り当てを選択しているスクリーンショットです。

  2. Network Contributorを入力し、Network Contributorを選択し、次にNextを選択します。

    ロール割り当てウィザードでネットワーク貢献者の役割を選択しているスクリーンショット。

  3. Select membersを選択し、検索ボックスでMission Enclaveを入力し、Mission Enclaveアプリを選択し、SelectとNext、最後にReview + assignを選びます。

    メンバーピッカーでMission Enclaveアプリを選択しているスクリーンショットです。

  4. 更新が完了したら、エンクレーブ リソースAzureデプロイを開始できます。

コミュニティまたはエンクレーブが作成されると、Azureエンクレーブは次の手順を試みます。

  1. その NetworkWatcherRG リソースグループが存在するか確認してください。 もしそうでなければ、そのリソースグループをコミュニティと同じ場所に作ることを試みてください。
  2. Mission EnclaveアプリにすでにOwner、Contributor、またはNetwork Contributorの役割割り当てがあるかNetworkWatcherRG確認してください。 これらの役割のいずれかがすでに存在している場合(既存のOwner割り当ても含む)、Azure Enclaveは追加の割り当てを作成するのではなく、そのまま維持します。 これらの役割がすべて存在しない場合、Azure EnclaveはNetworkWatcherRGMission EnclaveアプリにContributor役割を割り当てようとします。 この権限の昇格は、サインインしている呼び出し元に代わって委任されるため、ロールを付与するには、デプロイを実行する ID が十分なアクセス許可（たとえば、User Access Administrator）を持っている必要があります。
  3. いずれかの手順が失敗した場合、仮想ネットワーク フロー ログを作成しようとしたときにエンクレーブデプロイが失敗する可能性があります。

既存のプレビューのお客様の移行手順

既存のプレビューのお客様は、サブスクリプションが最新の Azure Enclave API とサービス更新プログラムを使用できるように、Azure エンクレーブ リソース プロバイダーを再登録する必要があります。

最新の Azure エンクレーブ API を使用するには、次の手順を実行します。

  1. Azure portal でサブスクリプションに移動します。
  2. Settings で、Resource providers を選択します。
  3. Microsoft.Missionを検索して選択し、Re-registerを選択します。
  4. 追加のサブスクリプションに対して、これらの手順を繰り返します。

次のステップ

Azureエンクレーブ リソース プロバイダーを登録したら、Azureエンクレーブ リソースをサブスクリプションにデプロイできます。

  • Last updated on