Tutorial 2-2: Criar um ambiente Azure Enclave para cargas de trabalho

Este tutorial orienta-o na criação do ambiente Azure Enclave para cargas de trabalho Azure Virtual Desktop e Azure Kubernetes Service (AKS). Configuras dependências comuns, crias enclaves separados com sub-redes de tamanho adequado, implementas zonas DNS privadas e configuras endpoints de comunidade e enclave para conectividade de rede.

Neste tutorial, aprenderás como:

  • Configurar dependências comuns (identidade gerida, Key Vault, encriptação)
  • Criar enclave do Azure Virtual Desktop com sub-redes de gestão e de anfitrião de sessão
  • Criar enclave AKS com sub-redes de nó, servidor API e endpoint privado
  • Implementar e ligar zonas DNS privadas
  • Criar endpoints comunitários para conectividade externa
  • Criar endpoints de enclave e ligações para comunicação entre enclaves

Pré-requisitos

Antes de começares

Este tutorial pressupõe que você tenha:

  • Uma comunidade existente implementada a partir do Tutorial 1
  • Planeou a sua arquitetura incluindo os tamanhos das subredes (ver Tutorial 2-1)
  • Identificou a região Azure para os seus enclaves

Importante

Este tutorial usa nomes provisórios. Substitua myResourceGroup, cmt-fabrikam, avd-enclave, aks-enclave, e outros nomes provisórios pela sua própria convenção de nomes.

Estabelecer dependências comuns

Tanto as cargas de trabalho do Azure Virtual Desktop como do AKS requerem dependências comuns para encriptação e segurança. Esta secção fornece passos detalhados para criar estes recursos partilhados. Estes passos podem ser consultados noutros tutoriais ao configurar encriptação e segurança.

Criar uma carga de trabalho de serviços partilhados

Primeiro, crie uma carga de trabalho no seu enclave existente (ou crie um novo enclave) para alojar serviços partilhados.

  1. No portal Azure, navegue até ao seu serviço Azure Enclave.
  2. Selecione Comunidades e abra a sua comunidade (por exemplo, cmt-fabrikam).
  3. Selecione um enclave existente ou crie um novo enclave de serviços partilhados:
    • Nome do enclave: shared-services
    • Espaço de endereçamento: 10.1.0.0/16 (ajusta com base no intervalo de endereços IP da sua comunidade)
    • Configure uma sub-rede para recursos partilhados: SharedServicesSubnet com /24 um intervalo de endereços IP
  4. No enclave, selecione Workloads>+ Create.
  5. Configure a carga de trabalho:
    • Nome da carga de trabalho: shared-workload
    • Criar grupo de recursos: Selecionar Create new
    • Nome do grupo de recursos: rg-shared-services
  6. Selecione Review + create e depois Create.

Criar recursos comuns de dependência

Adicione os recursos de dependência necessários à sua carga de trabalho:

  • Uma identidade gerida fornece uma identidade para os recursos do Azure se autenticarem sem armazenar credenciais.
  • O Azure Key Vault armazena chaves de encriptação, segredos e certificados de forma segura.
  • A chave gerida pelo cliente encripta os dados em repouso nas suas cargas de trabalho.
  • O conjunto de encriptação de disco aplica a encriptação baseada na chave gerida pelo cliente (CMK) aos discos de Máquina Virtual (VM).
  1. No portal Azure, procure o nome da sua carga de trabalho de serviços partilhados
  2. Selecione +Add An Azure Service.
  3. Selecione Common Dependency na lista suspensa, verifique o grupo de recursos selecionado e selecione Next.
  4. Configure os recursos:
    • Key Vault Name: Indique um nome exclusivo para o Key Vaultkv-ave-shared-<uniqueid>
    • Nome Chave CMK: Fornecer um nome CMK como cmk-ave-encryption
    • Nome de Identidade Gerida Atribuído pelo Utilizador: Forneça um nome de recurso de identidade gerida, como id-ave-encryption
    • Tipo de identidade: Selecione UserAssigned na lista pendente.
    • Nome do Conjunto de Encriptação de Disco: des-ave-encryption
  5. Selecione Review + create e depois Create.
  6. Após a implementação concluída, navegue até à identidade gerida.

Conceder acesso de identidade gerida à chave do Key Vault

A identidade gerida precisa de permissão para usar a chave de encriptação.

  1. No seu Key Vault, selecione Access control (IAM).
  2. Selecione + Add e depois selecione Add role assignment.
  3. Na Role aba:
    • Procurar e selecionar Key Vault Crypto Service Encryption User
    • Selecione Next
  4. Na Members aba:
    • Selecione Managed identity
    • Selecione + Select members
    • Selecione User-assigned managed identity para a identidade gerida
    • Selecione a sua identidade gerida: id-ave-encryption
    • Selecione Select
    • Selecione Next
  5. Review + assign Na guia, selecione Review + assign.

Conceder acesso de identidade gerida aos recursos do enclave

Para recursos geridos pelo Azure Enclave, a identidade necessita de acesso do contribuidor.

  1. Navegue até ao seu grupo de recursos geridos pelo enclave de serviços partilhados (por exemplo, shared-services-HostedResources-<guid>).
  2. Selecione Access control (IAM).
  3. Selecione + Add e depois selecione Add role assignment.
  4. Atribua a Contributor função:
    • Função: Contributor
    • Atribuir acesso a: Managed identity
    • Membros: Selecione a sua identidade gerida id-ave-encryption
  5. Selecione Review + assign.

Validar dependências comuns

Verifique se todos os recursos foram criados e configurados corretamente:

  • Identidade id-ave-encryption Gerida Atribuída pelo Utilizador criada
  • Key Vault kv-ave-shared-<uniqueid> criado
  • Chave cmk-ave-encryption Gerida pelo Cliente criada no Key Vault
  • A identidade gerida tem Key Vault Crypto Service Encryption User um papel na chave
  • Conjunto des-ave-encryption de Encriptação de Discos criado e associado à chave e à identidade
  • A identidade gerida tem Contributor um papel no grupo de recursos geridos do enclave

Criar enclave do Azure Virtual Desktop

Agora crie um enclave dedicado para cargas de trabalho do Azure Virtual Desktop.

  1. Na sua comunidade (por exemplo, cmt-fabrikam), selecioneEnclaves>+ Create .
  2. Configure o enclave do Azure Virtual Desktop:
    • Nome do enclave: avd-enclave
    • Região: A mesma região da tua comunidade
    • Espaço de endereçamento: 10.2.0.0/16
  3. Selecione Next: Subnets.
  4. Adicione a sub-rede de gestão:
    • Selecione + Add subnet
    • Nome da sub-rede: AzureVirtualDesktopManagementSubnet
    • Intervalo de endereços de sub-rede: 10.2.1.0/24
    • Adicionar Grupo de Segurança de Rede: Selecionar Add new
    • Nome do Network Security Group: nsg-avd-management
    • Selecione OK
  5. Adicionar a sub-rede dos anfitriões da sessão:
    • Selecione + Add subnet
    • Nome da sub-rede: AzureVirtualDesktopSessionHostsSubnet
    • Intervalo de endereços de sub-rede: 10.2.2.0/24
    • Adicionar Grupo de Segurança de Rede: Selecionar Add new
    • Nome do Network Security Group: nsg-avd-sessionhosts
    • Selecione OK
  6. Selecione Review + create e depois Create.

Note

A implantação do Enclave demora entre 30 a 45 minutos. Podes continuar a planear o enclave do AKS durante a implementação.

Criar enclave AKS

Crie um enclave dedicado para cargas de trabalho do Azure Kubernetes Service.

  1. Na sua comunidade, selecione Enclaves>+ Create.
  2. Configure o enclave AKS:
    • Nome do enclave: aks-enclave
    • Região: A mesma região da tua comunidade
    • Espaço de endereçamento: 10.3.0.0/16
  3. Selecione Next: Subnets.
  4. Adicionar a sub-rede do nó:
    • Selecione + Add subnet
    • Nome da sub-rede: aksSubnet
    • Intervalo de endereços de sub-rede: 10.3.1.0/25 (128 IPs)
    • Adicionar Grupo de Segurança de Rede: Selecionar Add new
    • Nome do Network Security Group: nsg-aks-nodes
    • Delegação de sub-rede: None (sem delegação para a sub-rede dos nós do AKS)
    • Selecione OK
  5. Adicione a sub-rede do servidor API:
    • Selecione + Add subnet
    • Nome da sub-rede: agentSubnet
    • Intervalo de endereços de sub-rede: 10.3.1.128/28 (16 IPs)
    • Adicionar Grupo de Segurança de Rede: Utilizar o grupo existente nsg-aks-nodes
    • Delegação de sub-rede: None
    • Selecione OK
  6. Adicionar a sub-rede do ponto final privado:
    • Selecione + Add subnet
    • Nome da sub-rede: AzureVirtualEnclaveSubnet
    • Intervalo de endereços de sub-rede: 10.3.2.0/26 (64 IPs)
    • Adicionar Grupo de Segurança de Rede: Utilizar o grupo existente nsg-aks-nodes
    • Delegação de sub-rede: None (importante: sem delegação para endpoints privados)
    • Selecione OK
  7. Selecione Review + create e depois Create.

Importante

Espere que ambas as implantações do enclave estejam concluídas antes de passar para os próximos passos.

Implantar zonas DNS privadas

As zonas DNS Privado permitem a resolução DNS de endpoints privados para serviços Azure.

Criar zonas DNS privadas para Azure Virtual Desktop

  1. Navegue até ao seu enclave Azure Virtual Desktop (avd-enclave).
  2. Selecione Workloads e depois selecione + Create.
  3. Crie uma carga de trabalho:
    • Nome da carga de trabalho: avd-workload
    • Criar grupo de recursos: Create new
    • Nome do grupo de recursos: rg-avd-workload
  4. Na carga de trabalho, selecione + Add an Azure Service.
  5. Selecione DNS Privado Zones na lista suspensa, verifique o grupo de recursos selecionado e selecione Next.
  6. Configurar a implementação das Zonas DNS Privado:
    • Criar ficheiro de armazenamento DNS Privado Zone:true
    • Criar zona DNS privada para fila de armazenamento: true
    • Criar tabela de armazenamento DNS Privado Zone:true
    • Criar blob de armazenamento DNS Privado Zone:true
    • Criar zona DNS privada do Key Vault: true
    • Nomes Adicionais de Zonas DNS Privado:["privatelink.wvd.microsoft.com","privatelink-global.wvd.microsoft.com"]
  7. Selecione Review + Create e depois Create.
  8. Aguarde até que a implementação seja concluída.

Criar zonas DNS privadas para o AKS

  1. Navegue até ao seu enclave AKS (aks-enclave).
  2. Selecione Workloads e depois selecione + Create.
  3. Crie uma carga de trabalho:
    • Nome da carga de trabalho: aks-workload
    • Criar grupo de recursos: Create new
    • Nome do grupo de recursos: rg-aks-workload
  4. Na carga de trabalho, selecione + Add an Azure Service.
  5. Selecione DNS Privado Zones na lista suspensa, verifique o grupo de recursos selecionado e selecione Next.
  6. Configurar a implementação das Zonas DNS Privado:
    • Criar ficheiro de armazenamento DNS Privado Zone:true
    • Criar zona DNS privada para fila de armazenamento: true
    • Criar tabela de armazenamento DNS Privado Zone:true
    • Criar blob de armazenamento DNS Privado Zone:true
    • Criar zona DNS privada do Key Vault: true
    • Nomes adicionais de zonas DNS Privado: ["privatelink.<region>.azmk8s.io"] e substituir <region> pela sua região, por exemplo,eastus
  7. Selecione Review + Create e depois Create.
  8. Aguarde até que a implementação seja concluída.

Criar endpoints comunitários para conectividade externa

Os endpoints comunitários permitem tráfego dos seus enclaves para serviços externos do Azure e para a internet.

Criar endpoint da comunidade Azure Virtual Desktop

  1. Vai à tua comunidade (por exemplo, cmt-fabrikam).

  2. Selecione Community endpoints e depois selecione + Create.

  3. Configure o ponto final:

    • Nome: ce-avd-services
    • Descrição: Azure Virtual Desktop required service endpoints

  4. Selecionar Add rule e configurar cada endpoint necessário:

    Regra 1: Plano de Controlo AVD

    • Nome: avd-control-plane
    • Destino: *.wvd.microsoft.com,*.prod.warm.ingest.monitor.core.windows.net
    • Protocolo: HTTPS
    • Porto: 443

    Regra 2: Autenticação

    • Nome: authentication
    • Destino: login.microsoftonline.com,login.windows.net
    • Protocolo: HTTPS
    • Porto: 443

    Regra 3: Azure Resource Manager

    • Nome: arm
    • Destino: management.azure.com
    • Protocolo: HTTPS
    • Porto: 443

    Regra 4: Atualizações do Agente

    • Nome: agent-updates
    • Destino: mrsglobalstb2prod.blob.core.windows.net,gcs.prod.monitoring.core.windows.net
    • Protocolo: HTTPS
    • Porto: 443

    Regra 5: Configuração de Convidados

    • Nome: guest-config
    • Destino: *.guestconfiguration.azure.com
    • Protocolo: HTTPS
    • Porto: 443

  5. Selecione Review + create e depois Create.

Criar endpoint comunitário do AKS

  1. Na sua comunidade, selecione Community endpoints e depois selecione + Create.

  2. Configure o ponto final:

    • Nome: ce-aks-services
    • Descrição: AKS required service endpoints

  3. Selecione Adicionar regra e configure cada endpoint necessário:

    Regra 1: Registo de Contentores

    • Nome: mcr
    • Destino: mcr.microsoft.com,*.data.mcr.microsoft.com
    • Protocolo: HTTPS
    • Porto: 443

    Regra 2: Gestão de Clusters

    • Nome: aks-management
    • Destino: *.hcp.<region>.azmk8s.io (substitua <region> pela tua região, por exemplo, eastus)
    • Protocolo: HTTPS
    • Porto: 443

    Regra 3: Azure Resource Manager

    • Nome: arm
    • Destino: management.azure.com
    • Protocolo: HTTPS
    • Porto: 443

    Regra 4: Autenticação

    • Nome: authentication
    • Destino: login.microsoftonline.com
    • Protocolo: HTTPS
    • Porto: 443

    Regra 5: Repositório de Pacotes

    • Nome: packages
    • Destino: packages.microsoft.com,acs-mirror.azureedge.net
    • Protocolo: HTTPS
    • Porto: 443

  4. Selecione Review + create e depois Create.

Criar pontos de extremidade e ligações de enclave

Os endpoints e ligações dos enclaves permitem a comunicação entre enclaves para aceder a serviços partilhados.

Criar endpoint de enclave para serviços partilhados

  1. Navegue até ao seu Enclave de Serviços Partilhados (shared-services).

  2. Selecione Enclave endpoints e depois selecione + Create.

  3. Configure o ponto final:

    • Nome: ee-shared-services
    • Descrição: Allow access to shared Key Vault and monitoring

  4. Adicionar regras para serviços partilhados:

    Regra 1: Key Vault

    • Nome: key-vault
    • Protocolo: HTTPS
    • Porto: 443
    • IP de origem/CIDR: 10.2.0.0/16,10.3.0.0/16 (Azure Virtual Desktop e intervalos de endereços IP do enclave AKS)

    Regra 2: DNS

    • Nome: dns
    • Protocolo: TCP
    • Porto: 53
    • IP/CIDR de origem: 10.2.0.0/16,10.3.0.0/16

  5. Selecione Review + create e depois Create.

Criar ligações de enclave

Crie ligações entre enclaves para interligar os enclaves.

  1. Navegue até ao seu enclave Azure Virtual Desktop (avd-enclave).

  2. Selecione Enclave connections e depois selecione + Create.

  3. Configure a conexão:

    • Nome: conn-avd-to-shared
    • Enclave de origem: avd-enclave (atual)
    • Ponto de extremidade do enclave de destino: Selecione ee-shared-services a partir do enclave de serviços partilhados

  4. Selecione Review + create e depois Create.

  5. Repetição para o enclave AKS:

    • Navegar até ao enclave AKS (aks-enclave)
    • Criar ligação conn-aks-to-shared a ee-shared-services

Validar o ambiente

Verifique se a configuração do seu ambiente:

  • Dependências comuns implementadas em cargas de trabalho de serviços partilhados
  • Azure Virtual Desktop Enclave criado com sub-redes de gestão e alojamento de sessão
  • Enclave AKS criado com sub-redes de nó, servidor API e endpoint privado
  • Zonas de DNS privado implementadas e ligadas a enclaves
  • Pontos finais da comunidade criados para o Azure Virtual Desktop e a conectividade externa do AKS
  • Endpoints Enclave criados para serviços partilhados
  • Ligações Enclave criadas a partir do Azure Virtual Desktop e AKS para serviços partilhados

Passos seguintes

Com o seu ambiente Azure Enclave corretamente configurado, está pronto para implementar cargas de trabalho. O próximo tutorial guia-o na implementação do Azure Virtual Desktop.

Tutorial 2-3: Implementar a carga de trabalho do Azure Virtual Desktop

Conteúdo relacionado

  • Última atualização a