Wielowarstwowa ochrona dla Azure Enclave

Obrona warstwowa wykorzystuje wiele zabezpieczeń, aby jedna kontrola nie była jedyną ochroną dla twojego środowiska. Ten artykuł opisuje obszary, które warto przeanalizować podczas planowania bezpieczeństwa dla Azure Enclave. Kontrole, które mają zastosowanie do wdrożenia, zależą od jego konfiguracji, środowiska oraz używanej wersji API.

Tożsamość i zarządzanie

• Użyj kontroli dostępu opartej na rolach Azure (Azure RBAC), aby sprawdzić, kto może uzyskać dostęp do zasobów i na jakie działania pozwalają te role. Sprawdź przydziały ról w zakresach odpowiadających Twoim zasobom.
• Przejrzyj przypisania Azure Policy i zgodność dla grup zasobów i zasobów w Twoim wdrożeniu. Odpowiednie przypisania zależą od konfiguracji i wersji API.

Kontrole sieciowe

• Obsługa sieciowa Azure Enclave może obejmować Azure Virtual WAN, Azure Firewall, sieci wirtualne oraz grupy zabezpieczeń sieciowych. Przejrzyj trasy i zasady skonfigurowane dla Twojego środowiska; nie zakładaj, że każda ścieżka ruchu korzysta z tych samych kontroli.
• Sprawdź, czy reguły sieciowe pozwalają na wymagany ruch i odmawiają ruchu, który nie jest potrzebny. Zweryfikuj skuteczne trasy i zasady bezpieczeństwa dla każdego obciążenia i połączenia.
• Przeanalizuj obciążenia robocze, punkty końcowe i połączenia, aby zrozumieć, które grupy zasobów i ścieżki sieciowe są skonfigurowane dla każdej aplikacji.

Monitorowanie i diagnostyka

Ustawienia diagnostyczne i flow-log różnią się w zależności od wersji API Mission. W 2025-11-01-preview, enclaveDefaultSettings.diagnosticDestination używa CommunityOnly, EnclaveOnly lub Both. Schematy 2026-03-01-preview i 2026-04-01 zachowują tę właściwość i dodają monitoringSettings, który modeluje diagnosticDestinations oddzielnie od flowLogDestination. Nowsze obiekty docelowe obejmują destinationType wartości takie jak CommunityWorkspace, EnclaveWorkspace, oraz CustomWorkspace. Sprawdź wersję API i konfigurację używaną przez twoje wdrożenie, zanim zaczniesz polegać na destynacji lub oczekiwać wysłania logów.

Pola API opisują dostępną konfigurację; same w sobie nie oznaczają, że diagnostyka czy dzienniki aktywności są włączane lub dostarczane automatycznie. Przejrzyj ustawienia diagnostyczne Azure Monitor oraz wskazówki Azure Activity Log dla usług, z których korzystasz.

Przejrzyj warstwy zabezpieczeń

Okresowo przeglądaj przypisania ról, zgodność z politykami, ścieżki sieciowe oraz skonfigurowane miejsca docelowe diagnostyki. Sprawdź, czy użytkownicy i obciążenia robocze mogą wykonywać wymagane operacje, a dostęp poza tymi wymaganiami jest ograniczony. Dodatkowe wskazówki można znaleźć w sekcji najlepsze rozwiązania Azure Enclave oraz modelu wspólnej odpowiedzialności.