Comece com o Azure Enclave

Use este artigo para integrar o Azure Enclave, registando os fornecedores de recursos necessários e preparando as permissões necessárias para gerir os recursos do Azure Enclave na sua subscrição.

Pré-requisitos

Registar os fornecedores de recursos do Azure Enclave e configurar NetworkWatcherRG o acesso

O PowerShell é a forma mais rápida de registar os fornecedores de recursos exigidos pelo próprio Azure Enclave.

  1. Inicia sessão no teu tenant Azure e abre a subscrição.

  2. No portal Azure, selecione o Cloud Shell ícone no topo da janela.

    Captura de ecrã a mostrar a localização do ícone da Cloud Shell no portal.

  3. Defina o contexto do Azure para a sua subscrição. Por exemplo, execute Set-AzContext -Subscription <subscription-id>.

  4. Copia e cola este código no Cloud Shell e depois carrega em Enter.

    # Register the Azure Enclave resource providers

$resourceProviders = @(
   "Microsoft.Mission",
   "Microsoft.Network",
   "Microsoft.Storage",
   "Microsoft.KeyVault",
   "Microsoft.OperationalInsights",
   "Microsoft.Insights",
   "Microsoft.ManagedIdentity"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

Fornecedores de recursos condicionais

Registe estes fornecedores de recursos apenas quando utilizares a carga de trabalho correspondente:

  • Microsoft.SecurityInsights para Microsoft Sentinel.
  • Microsoft.Logic para Logic Apps.
  • Microsoft.Compute para máquinas virtuais.
  • Microsoft.DesktopVirtualization para Azure Virtual Desktop.
  • Microsoft.SqlVirtualMachine para máquinas virtuais SQL.

Por exemplo, execute o seguinte código PowerShell para as cargas de trabalho que utiliza:

$conditionalResourceProviders = @(
   "Microsoft.SecurityInsights",
   "Microsoft.Logic",
   "Microsoft.Compute",
   "Microsoft.DesktopVirtualization",
   "Microsoft.SqlVirtualMachine"
)

$conditionalResourceProviders | ForEach-Object {
   Register-AzResourceProvider -ProviderNamespace $_ -Verbose
}

  1. (Opcional) Ativa a EncryptionAtHost funcionalidade.

    A funcionalidade EncryptionAtHost permite a encriptação ao nível do anfitrião de computação.

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  2. Depois de concluída a atualização, avance para a configuração do Azure ou para os próximos passos.

Configurar o acesso NetworkWatcherRG

Para evitar potenciais problemas com a criação de registos de fluxo de rede virtual, certifique-se de que o grupo de recursos NetworkWatcherRG existe em cada subscrição e de que a aplicação Mission Enclave tem a função Network Contributor nesse grupo antes de criar o seu primeiro enclave. Se a instância de observador de rede for criada automaticamente (por exemplo, através de uma implementação de recursos Azure existente nessa região), reveja a atribuição de funções na sua lista de instâncias de observador de rede. Saiba mais sobre o Observador de Rede.

Importante

Se NetworkWatcherRG não existir ou se a Mission Enclave aplicação não tiver essa Network Contributor função, as implementações de enclave podem falhar ao tentar criar registos de fluxo de rede virtual. As funções Owner ou Contributor também funcionam, mas concedem mais permissões do que as necessárias.

  1. Selecione o NetworkWatcherRG grupo de recursos, selecione Access control (IAM), depois selecione Add e Add role assignment.

    Captura de ecrã mostrando a seleção de atribuição de funções no grupo de recursos NetworkWatcherRG.

  2. Escreva Network Contributor, selecione Network Contributor, e depois selecione Next.

    Captura de ecrã que mostra a seleção de funções de Network Contributor no assistente de atribuição de funções.

  3. Selecione Select members, escreva Mission Enclave na caixa de pesquisa, selecione a Mission Enclave aplicação, e depois selecione Select e Next, depois Review + assign.

    Captura de ecrã a mostrar a seleção da aplicação Mission Enclave no seletor de membros.

  4. Quando a atualização estiver concluída, pode começar a implementar os recursos do Azure Enclave.

Quando uma comunidade ou enclave é criada, o Azure Enclave tenta os seguintes passos:

  1. Verifica se o NetworkWatcherRG grupo de recursos existe. Se não, tente criar esse grupo de recursos no mesmo local da comunidade.
  2. Verifique se a aplicação Mission Enclave já tem uma atribuição de função Owner, Contributor ou Network Contributor em NetworkWatcherRG. Se algum destes papéis já estiver presente — incluindo uma atribuição pré-existente Owner — o Azure Enclave mantém-no em vez de criar uma atribuição adicional. Se nenhuma destas funções estiver presente, o Azure Enclave tenta atribuir à aplicação Mission Enclave a função Contributor em NetworkWatcherRG. Esta elevação é delegada em nome do autor da chamada com sessão iniciada, pelo que requer que a identidade da implementação tenha permissões suficientes (por exemplo, Administrador de Acesso ao Utilizador) para atribuir a função.
  3. Se algum passo falhar, as implementações do enclave podem falhar ao tentar criar registos de fluxo de rede virtual.

Passos de transição para clientes de pré-visualização existentes

Os clientes de pré-visualização existentes devem voltar a registar o fornecedor de recursos do Azure Enclave para que as suas subscrições possam usar a API mais recente do Azure Enclave e as atualizações de serviço.

Complete estes passos para usar a API mais recente do Azure Enclave:

  1. No portal do Azure, navegue até sua subscrição.
  2. Em Configurações, selecione Provedores de recursos.
  3. Procure e selecione Microsoft. Missão, e depois selecione Re-registar.
  4. Repita estes passos para quaisquer subscrições adicionais.

Passos seguintes

Depois de registar o fornecedor de recursos do Azure Enclave, pode começar a implementar os recursos do Azure Enclave na sua subscrição.

  • Última atualização a