Defesa em profundidade para o Azure Enclave

A defesa em profundidade utiliza múltiplas salvaguardas para que um único controlo não seja a única proteção para o seu ambiente. Este artigo descreve áreas a rever ao planear a segurança do Azure Enclave. Os controlos que se aplicam a uma implementação dependem da sua configuração, ambiente e da versão da API utilizada.

Identidade e governação

• Utilize o controlo de acesso baseado em funções do Azure (Azure RBAC) para rever quem pode aceder aos recursos e que ações os seus papéis permitem. Verifique as atribuições de funções nos âmbitos relevantes para os seus recursos.
• Revise as atribuições do Azure Policy e a conformidade para os grupos de recursos e recursos na sua implementação. As associações aplicáveis dependem da configuração e da versão da API.

Controlos de rede

• A rede Azure Enclave pode envolver WAN Virtual do Azure, Azure Firewall, redes virtuais e grupos de segurança de rede. Revê as rotas e regras configuradas para o teu ambiente; não assumas que todos os caminhos de tráfego usam os mesmos controlos.
• Verifica se as regras de rede permitem o tráfego obrigatório e negam o tráfego que não é necessário. Valide as rotas eficazes e as regras de segurança para cada carga de trabalho e ligação.
• Revise cargas de trabalho, endpoints e ligações para perceber quais os grupos de recursos e caminhos de rede configurados para cada aplicação.

Monitorização e diagnóstico

As definições de diagnóstico e de registo de fluxo variam consoante a versão da Mission API. Em 2025-11-01-preview, enclaveDefaultSettings.diagnosticDestination usa CommunityOnly, EnclaveOnly, ou Both. Os 2026-03-01-preview esquemas e 2026-04-01 mantêm essa propriedade e adicionam monitoringSettings, que modela diagnosticDestinations separadamente de flowLogDestination. Os objetos de destino mais recentes incluem destinationType valores como CommunityWorkspace, EnclaveWorkspace, e CustomWorkspace. Verifique a versão da API e a configuração usada pela sua implementação antes de confiar num destino ou esperar que os logs sejam enviados.

Os campos da API descrevem a configuração disponível; eles não estabelecem por si só que os diagnósticos ou Registos de Atividade estejam ativados ou enviados automaticamente. Consulte as definições de diagnóstico do Azure Monitor e as orientações do Azure Activity Log para os serviços que utiliza.

Revise as suas camadas de segurança

Revise periodicamente atribuições de funções, conformidade com políticas, caminhos de rede e destinos de diagnóstico configurados. Teste se os utilizadores e as cargas de trabalho conseguem realizar as operações necessárias e que o acesso fora desses requisitos está restrito. Para orientações adicionais, consulte as melhores práticas do Azure Enclave e o modelo de responsabilidade partilhada.