Introdução ao enclave de Azure

Use este artigo para integrar o Azure Enclave registrando os provedores de recursos necessários e preparando as permissões necessárias para gerenciar os recursos do Azure Enclave em sua assinatura.

Pré-requisitos

Registre provedores de recursos do Azure Enclave e configure NetworkWatcherRG o acesso

O PowerShell é a forma mais rápida de registrar os provedores de recursos exigidos pelo próprio Azure Enclave.

  1. Entre em seu tenant do Azure e abra a assinatura.

  2. No portal Azure, selecione o Cloud Shell ícone na parte superior da janela.

    Captura de tela mostrando a localização do ícone da Cloud Shell no portal.

  3. Defina o contexto de Azure para sua assinatura. Por exemplo, execute Set-AzContext -Subscription <subscription-id>.

  4. Copie e cole esse código em Cloud Shell e pressione Enter.

    # Register the Azure Enclave resource providers

$resourceProviders = @(
   "Microsoft.Mission",
   "Microsoft.Network",
   "Microsoft.Storage",
   "Microsoft.KeyVault",
   "Microsoft.OperationalInsights",
   "Microsoft.Insights",
   "Microsoft.ManagedIdentity"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

Provedores de recursos condicionais

Registre esses provedores de recursos apenas quando você usar a carga de trabalho correspondente:

  • Microsoft.SecurityInsights para Microsoft Sentinel.
  • Microsoft.Logic para Logic Apps.
  • Microsoft.Compute para máquinas virtuais.
  • Microsoft.DesktopVirtualization para Área de Trabalho Virtual do Azure.
  • Microsoft.SqlVirtualMachine para máquinas virtuais de SQL.

Por exemplo, execute o seguinte código PowerShell para as cargas de trabalho que você usa:

$conditionalResourceProviders = @(
   "Microsoft.SecurityInsights",
   "Microsoft.Logic",
   "Microsoft.Compute",
   "Microsoft.DesktopVirtualization",
   "Microsoft.SqlVirtualMachine"
)

$conditionalResourceProviders | ForEach-Object {
   Register-AzResourceProvider -ProviderNamespace $_ -Verbose
}

  1. (Opcional) Ative o EncryptionAtHost recurso.

    O recurso EncryptionAtHost habilita a criptografia no nível do host de computação.

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  2. Após a conclusão da atualização, prossiga para configuração do Azure ou as próximas etapas.

Configurar o acesso NetworkWatcherRG

Para evitar possíveis problemas ao criar logs de fluxo de rede virtual, assegure-se de que o grupo de recursos NetworkWatcherRG exista em cada assinatura e que o aplicativo Mission Enclave tenha a função Network Contributor nesse grupo antes de criar o primeiro enclave. Se a instância de observador de rede for criada automaticamente (por exemplo, por meio de uma implantação de recursos do Azure existente nessa região), revise a atribuição de função na sua lista de instâncias de observador de rede. Saiba mais sobre o Observador de Rede.

Importante

Se NetworkWatcherRG não existir ou se o aplicativo Mission Enclave não tiver a função Network Contributor nele, as implantações do enclave poderão falhar ao tentar criar logs de fluxo da rede virtual. As funções Owner ou Contributor também funcionam, mas concedem mais permissões do que o necessário.

  1. Selecione o NetworkWatcherRG grupo de recursos, selecione Access control (IAM), selecione Add e Add role assignment.

    Captura de tela mostrando a seleção de atribuição de funções no grupo de recursos NetworkWatcherRG.

  2. Digite Network Contributor, selecione Network Contributor, e então selecione Next.

    Captura de tela mostrando a seleção de funções de Contribuidor de Rede no assistente de atribuição de funções.

  3. Selecione Select members, digite Mission Enclave na caixa de busca, selecione o Mission Enclave app, e então selecione Select e Next, então Review + assign.

    Captura de tela mostrando a seleção do aplicativo Mission Enclave no seletor de membros.

  4. Depois que a atualização for concluída, você poderá começar a implantar recursos do Azure Enclave.

Quando uma comunidade ou enclave é criado, Azure Enclave tenta as seguintes etapas:

  1. Verifique se o NetworkWatcherRG grupo de recursos existe. Se não, tente criar esse grupo de recursos no mesmo local da comunidade.
  2. Verifique se o aplicativo Mission Enclave já tem atribuição de função Owner, Contributor ou Network Contributor em NetworkWatcherRG. Se algum desses papéis já estiver presente — incluindo uma atribuição pré-existente Owner — o Azure Enclave o mantém em vez de criar uma atribuição adicional. Se nenhuma dessas funções estiver presente, o Azure Enclave tenta atribuir ao aplicativo Mission Enclave a função NetworkWatcherRG em Contributor. Essa elevação é delegada em nome do chamador conectado, portanto, requer que a identidade que faz a implantação detenha permissão suficiente (por exemplo, Administrador de Acesso do Usuário) para conceder a função.
  3. Se qualquer etapa falhar, as implantações de enclave poderão falhar ao tentar criar logs de fluxo de rede virtual.

Etapas de transição para clientes de versão prévia existentes

Os clientes existentes da versão preliminar devem registrar novamente o provedor de recursos Azure Enclave para que suas assinaturas possam usar a API mais recente do Azure Enclave e as atualizações do serviço.

Conclua estas etapas para usar a API do Enclave Azure mais recente:

  1. No portal do Azure, navegue até sua assinatura.
  2. Em Configurações, selecione Provedores de recursos.
  3. Procure e selecione Microsoft. Missão, e então selecione Re-cadastrar.
  4. Repita estas etapas para quaisquer assinaturas adicionais.

Próximas Etapas 

Depois de registrar o provedor de recursos do Azure Enclave, você pode começar a implantar recursos do Enclave Azure em sua assinatura.

  • Última atualização em