Defense in depth för Azure Enclave

Försvar på djupet använder flera skyddsåtgärder så att en enda kontroll inte är det enda skyddet för din miljö. Den här artikeln beskriver områden att granska när man planerar säkerhet för Azure Enclave. De kontroller som gäller för en distribution beror på dess konfiguration, miljö och vilken API-version som används.

Identitet och styrning

• Använd Azure rollbaserad åtkomstkontroll (Azure RBAC) för att granska vem som kan komma åt resurser och vilka åtgärder deras roller tillåter. Kontrollera rollfördelningar på de omfång som är relevanta för dina resurser.
• Gå igenom Azure Policy-tilldelningar och efterlevnad för resursgrupperna och resurserna i din driftsättning. De tillämpliga uppgifterna beror på konfigurationen och API-versionen.

Nätverkskontroller

• Azure Enclave-nätverk kan involvera Azure Virtual WAN, Azure Firewall, virtuella nätverk och nätverkssäkerhetsgrupper. Gå igenom rutterna och reglerna som är konfigurerade för din miljö; anta inte att varje trafikväg använder samma kontroller.
• Kontrollera att nätverksreglerna tillåter nödvändig trafik och att de nekar trafik som inte behövs. Validera de effektiva rutterna och säkerhetsreglerna för varje arbetsbelastning och anslutning.
• Granska arbetsbelastningar, endpoints och anslutningar för att förstå vilka resursgrupper och nätverksvägar som är konfigurerade för varje applikation.

Övervakning och diagnostik

Diagnostik- och flödeslogginställningar varierar beroende på Mission API-version. I 2025-11-01-preview använder enclaveDefaultSettings.diagnosticDestinationCommunityOnly, EnclaveOnly eller Both. 2026-03-01-preview- och monitoringSettings-scheman behåller den egenskapen och lägger till diagnosticDestinations, vilket modellerar flowLogDestination separat från 2026-04-01. De nyare destinationsobjekten inkluderar destinationType värden som CommunityWorkspace, EnclaveWorkspace, och CustomWorkspace. Kontrollera API-versionen och konfigurationen som används av din driftsättning innan du förlitar dig på en destination eller förväntar dig att loggar ska skickas.

API-fälten beskriver tillgänglig konfiguration; de fastställer inte själva att diagnostik eller aktivitetsloggar aktiveras eller levereras automatiskt. Gå igenom Azure Monitor-diagnostikinställningarna och vägledningen för Azure Activity Log för de tjänster du använder.

Gå igenom dina säkerhetslager

Granska periodiskt rolltilldelningar, policyefterlevnad, nätverksvägar och konfigurerade diagnostiska destinationer. Testa att användare och arbetsbelastningar kan utföra nödvändiga operationer och att åtkomst utanför dessa krav är begränsad. För ytterligare vägledning, se Azure Enclaves bästa praxis och modellen för delat ansvar.