O que é o Azure Enclave?

O Azure Enclave acelera e simplifica a implementação e gestão de ambientes cloud seguros, isolados e compatíveis para as cargas de trabalho mais sensíveis. O Azure Enclave foi concebido para ambientes comerciais e isolados.

O Azure Enclave adota uma abordagem multi-camadas e hierárquica para a proteção de fronteiras virtuais. Uma comunidade serve como um centro central para redes, governação e monitorização para um conjunto de redes isoladas conhecidas como enclaves. O Azure Enclave gere o encaminhamento de hub e firewall, juntamente com o registo virtual de fluxos de rede, para caminhos de rede configurados do enclave. Os enclaves são redes isoladas, zero-trust definidas por software (Rede Virtual do Azure) que alojam as suas cargas de trabalho de serviços Azure. Os enclaves e as suas cargas de trabalho são governados através da gestão de configuração de políticas (Azure Policy).

Gráfico que mostra comunidades e enclaves, exemplo de arquitetura.

Implementação e gestão aceleradas

O Azure Enclave reduz drasticamente o tempo e a complexidade necessários para criar e gerir ambientes cloud seguros e compatíveis. A implementação tradicional em ambiente seguro pode demorar semanas ou meses de planeamento, configuração e testes, podendo ainda assim faltar controlos importantes de isolamento e políticas. O Azure Enclave reduz o tempo de implementação para horas ou dias através da infraestrutura gerida pelo Azure Enclave e dos controlos de segurança incorporados, para que possa concentrar-se nos seus clientes ou utilizadores.

Redes virtuais isoladas e cargas de trabalho

Com o Azure Enclave, pode facilmente criar novas redes isoladas e zero-trust definidas por software e implementar cargas de trabalho nessas redes para satisfazer os requisitos do seu negócio no Azure.

  • Comunidades - Fronteira de WAN virtual, isolada, de confiança zero e gerida pelo Azure Enclave, protegida por uma combinação de Azure Firewall, barreiras de proteção de políticas e atribuições de negação do controlo de acesso baseado em funções (RBAC), que funciona como um hub para um ou mais enclaves. Geres ligações fora da comunidade através de endpoints comunitários e recursos de centros de trânsito para permitir conectividade a destinos de confiança. A infraestrutura de registo e diagnóstico está disponível para todos os enclaves e cargas de trabalho dentro da comunidade. Cada enclave pode enviar dados de registo para a comunidade, mantê-los isolados no enclave ou enviá-los para ambos; por defeito, os registos de um enclave permanecem isolados no enclave.

  • Enclaves - Redes virtuais isoladas, de confiança zero, geridas pelo Azure Enclave, ligadas ao hub da comunidade e protegidas através de uma combinação de grupos de segurança de rede (NSG), salvaguardas de políticas e atribuições RBAC de negação, que funcionam como rede virtual para uma ou mais cargas de trabalho. Não podes modificar diretamente redes virtuais de enclave e NSGs. Tem de os gerir através dos endpoints do enclave e dos recursos do enclave para estabelecer a conectividade de rede.

  • Cargas de trabalho - Grupos lógicos que associam os seus grupos de recursos de carga de trabalho a um enclave. Os grupos de recursos de carga de trabalho são onde implementas recursos Azure geridos pelo cliente. Esses recursos herdam a postura de segurança, as políticas e as permissões do enclave.

Diagrama que mostra as camadas do Azure Enclave dentro das camadas de gestão no Azure.

O que é implementado

Quando implementa recursos do Azure Enclave, esses recursos são disponibilizados para si:

  • Comunidades - O grupo de recursos geridos pela comunidade contém estes recursos dependendo das suas escolhas durante a criação da comunidade.

    • WAN Virtual do Azure
    • Azure Firewall
    • Política de Firewall
    • Identidade gerida para a aplicação de políticas
    • área de trabalho do Log Analytics
    • (Opcional) Regra de recolha de dados (para análise dos registos de fluxo da Rede Virtual do enclave, se configurar o envio de quaisquer registos do enclave para a comunidade)
    • (Opcional) Endpoint de recolha de dados (para análise de registos de fluxo do enclave Rede Virtual, caso configure qualquer registo do enclave para ser enviado à comunidade)

    Note

    Hub regional WAN Virtual - Um hub seguro (hub WAN Virtual plus Azure Firewall) é criado durante a criação do enclave para cada nova região onde um enclave é implantado.

    WAN Virtual hub para transporte público - Quando cria um hub de trânsito também é criado um dos seguintes recursos, dependendo da sua escolha:

    • Gateway de VPN
    • Gateway do ExpressRoute
    • Ligação de Rede Virtual

  • Enclaves

    • Rede Virtual
    • Grupo de segurança de rede para cada sub-rede (1 obrigatório, 1 para cada sub-rede de cliente)
    • Identidade gerida, uma para aplicação de políticas e outra para registos de fluxo da Rede Virtual
    • Conta de armazenamento para registos de fluxo de rede
    • Key Vault para encriptação dos registos de fluxo de rede na conta de armazenamento
    • (Opcional) Log Analytics se selecionou o registo no enclave
    • (Opcional) Regra de recolha de dados (para análise dos registos de fluxo da Rede Virtual do enclave, se configurar o envio do registo do enclave para o enclave)
    • (Opcional) Endpoint de recolha de dados (para análise dos registos de fluxo da Rede Virtual do enclave, se configurar o registo do enclave para ser enviado para o enclave)
    • (Opcional) Azure Bastion
    • (Opcional) Azure Bastion subnet
    • (Opcional) Endereço IP público para Azure Bastion

  • Cargas de trabalho

    • Grupos de Recursos de Carga de Trabalho - Cria cada grupo de recursos de carga de trabalho necessário para organizar os seus recursos.

Gestão de ligação virtual

Com o Azure Enclave, pode facilmente ligar as suas comunidades, enclaves e cargas de trabalho a outras redes e recursos, tanto no Azure como on-premises.

  • Os Endpoints do Enclave são conjuntos de regras de rede que permitem uma conectividade simplificada e padronizada a um enclave ou a uma carga de trabalho individual.
  • Os Endpoints Comunitários são conjuntos de regras de rede que permitem conectividade externa a destinos de confiança, incluindo sites públicos, serviços conhecidos e redes privadas externas.
  • Os hubs de trânsito podem ser associados a regras de endpoint comunitário para permitir conectividade segura site-to-site a redes privadas externas via Gateway de VPN ou ExpressRoute.
  • As ligações de enclave estão associadas a uma comunidade ou endpoint de enclave e permitem tráfego de rede com base nas regras definidas dentro do endpoint.

Governação, segurança e monitorização em múltiplas camadas

O Azure Enclave fornece as seguintes camadas de segurança integradas diretamente no serviço:

  • Azure Policy guardrails - Ajuda a controlar quais os tipos e configurações de recursos permitidos em comunidades, enclaves e cargas de trabalho.
  • Fronteira de rede gerida - Encaminha o tráfego autorizado através de endpoints geridos, ligações, grupos de segurança de rede e Azure Firewall.
  • Registo e monitorização - Envia atividade e diagnóstico para um espaço de trabalho comunitário de Log Analytics, um espaço de trabalho enclave, ou ambos, dependendo da sua configuração.
  • Controlos de acesso - Utiliza funções do Azure e nega atribuições para ajudar a prevenir alterações não autorizadas aos recursos geridos pelo Azure Enclave.
  • Gestão de ligações - Utiliza pontos finais de enclave, pontos finais da comunidade, hubs de trânsito e ligações de enclave para permitir apenas tráfego explicitamente definido.
  • Catálogo de serviços - Fornece modelos de implementação validados para a implementação repetível de recursos de carga de trabalho.

Para mais orientações sobre governação, consulte as melhores práticas e controlos de acesso em enclaves.

Defesa em profundidade

O Azure Enclave simplifica a integração com os serviços existentes de segurança e monitorização do Azure, incluindo:

Microsoft Sentinel: Combine o poder das capacidades de Gestão de Informação e Eventos de Segurança (SIEM) e Orquestração, Automação e Resposta de Segurança (SOAR) do Microsoft Sentinel com o Azure Enclave para melhorar a deteção, investigação e resposta de ameaças em todo o seu ambiente cloud.

Azure Monitor: Obtenha visibilidade de ponta a ponta e monitorização aprofundada das suas operações no Azure Enclave, beneficiando das análises avançadas do Azure Monitor.

Microsoft Defender para a Cloud: Fortaleça o seu Azure Enclave utilizando as funcionalidades abrangentes de proteção contra ameaças e os insights básicos de segurança do Microsoft Defender para a Cloud.

Azure Virtual Desktop: Integre os seus enclaves com o Azure Virtual Desktop para proporcionar aos utilizadores uma experiência de ambiente de trabalho remoto e segura, a partir de qualquer lugar.

Saiba mais sobre como o Azure Enclave incorpora defesa em profundidade.

Passos seguintes

Aqui ficam outros artigos para aprender sobre os novos recursos do Azure Enclave:

  • Última atualização a