Defesa em profundidade para Azure Enclave

A defesa em profundidade usa múltiplas salvaguardas para que um único controle não seja a única proteção para o seu ambiente. Este artigo descreve áreas a serem revisadas ao planejar a segurança do Azure Enclave. Os controles que se aplicam a uma implantação dependem de sua configuração, ambiente e da versão da API utilizada.

Identidade e governança

• Use o controle de acesso baseado em função do Azure (RBAC do Azure) para revisar quem pode acessar recursos e quais ações suas funções permitem. Verifique as atribuições de funções nos escopos relevantes para seus recursos.
• Revise as atribuições do Azure Policy e a conformidade para os grupos de recursos e recursos na sua implantação. As atribuições aplicáveis dependem da configuração e da versão da API.

Controles de rede

• A rede do Azure Enclave pode envolver WAN Virtual do Azure, Firewall do Azure, redes virtuais e grupos de segurança de rede. Revise as rotas e regras configuradas para o seu ambiente; não presuma que todo caminho de tráfego usa os mesmos controles.
• Verifique se as regras de rede permitem o tráfego exigido e negam o tráfego que não é necessário. Valide as rotas efetivas e as regras de segurança para cada carga de trabalho e conexão.
• Revise cargas de trabalho, endpoints e conexões para entender quais grupos de recursos e caminhos de rede estão configurados para cada aplicação.

Monitoramento e diagnóstico

As configurações de diagnóstico e registro de fluxo variam conforme a versão da Mission API. Em 2025-11-01-preview, enclaveDefaultSettings.diagnosticDestination usa CommunityOnly, EnclaveOnly, ou Both. Os esquemas 2026-03-01-preview e 2026-04-01 mantêm essa propriedade e somam monitoringSettings, que modela diagnosticDestinations separadamente de flowLogDestination. Os objetos de destino mais recentes incluem destinationType valores como CommunityWorkspace, EnclaveWorkspace, e CustomWorkspace. Verifique a versão da API e a configuração usada pela sua implantação antes de confiar em um destino ou esperar que logs sejam enviados.

Os campos da API descrevem a configuração disponível; eles não estabelecem sozinhos que diagnósticos ou Registros de Atividade são ativados ou entregues automaticamente. Revise as configurações de diagnóstico do Azure Monitor e as orientações do Log de Atividades do Azure para os serviços que você utiliza.

Revise suas camadas de segurança

Revise periodicamente atribuições de funções, conformidade com políticas, caminhos de rede e destinos diagnósticos configurados. Teste se usuários e cargas de trabalho conseguem realizar as operações necessárias e se o acesso fora desses requisitos é restrito. Para orientações adicionais, veja as melhores práticas do Azure Enclave e o modelo de responsabilidade compartilhada.