Introduzione all'enclave di Azure

Usare questa guida introduttiva per eseguire l'onboarding in Azure Enclave registrando i provider di risorse necessari e concedendo le autorizzazioni necessarie per gestire le risorse dell'enclave Azure nella sottoscrizione.

Prerequisiti

  • È necessario avere già un tenant e una sottoscrizione Azure.
  • È necessario essere proprietario di una sottoscrizione Azure esistente.

Registrare il Microsoft.Mission provider di risorse e assegnare le autorizzazioni

Opzione 1: PowerShell

PowerShell è il modo più rapido per registrare i provider di risorse necessari.

È possibile eseguire il codice seguente per registrare rapidamente tutti i provider di risorse necessari per iniziare a usare Azure Enclave.

  1. Accedere al tenant Azure e aprire la sottoscrizione.

  2. Nel portale di Azure selezionare l'icona Cloud Shell nella parte superiore della finestra.

    Screenshot che mostra la posizione dell'icona Cloud Shell nel portale.

  3. Impostare il contesto di Azure per la sottoscrizione. Ad esempio, eseguire Set-AzContext -Subscription <subscription-id>.

  4. Copiare e incollare il codice in Cloud Shell, quindi premere INVIO.

# Register the Azure Enclave Resource Provider and grant permissions to the Resource Provider application

$resourceProviders = @(
   "Microsoft.Advisor",
   "Microsoft.AlertsManagement",
   "Microsoft.Authorization",
   "Microsoft.Automation",
   "Microsoft.Billing",
   "Microsoft.Capacity",
   "Microsoft.ChangeAnalysis",
   "Microsoft.ClassicSubscription",
   "Microsoft.CognitiveServices",
   "Microsoft.Compute",
   "Microsoft.Consumption",
   "Microsoft.CostManagement",
   "Microsoft.DesktopVirtualization",
   "Microsoft.Features",
   "Microsoft.GuestConfiguration",
   "Microsoft.insights",
   "Microsoft.KeyVault",
   "Microsoft.Logic",
   "Microsoft.ManagedIdentity",
   "Microsoft.MarketplaceOrdering",
   "Microsoft.Network",
   "Microsoft.OperationalInsights",
   "Microsoft.OperationsManagement",
   "Microsoft.PolicyInsights",
   "Microsoft.Portal",
   "Microsoft.ResourceGraph",
   "Microsoft.ResourceHealth",
   "Microsoft.ResourceNotifications",
   "Microsoft.Resources",
   "Microsoft.Security",
   "Microsoft.SecurityInsights",
   "Microsoft.SerialConsole",
   "Microsoft.SqlVirtualMachine",
   "Microsoft.Storage",
   "Microsoft.support",
   "Microsoft.Web",
   "Microsoft.Mission"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}
  1. (Facoltativo) Abilitare la EncryptionAtHost funzionalità

La funzionalità EncryptionAtHost abilita la crittografia a livello di host di calcolo.

# Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute
  1. Al termine dell'aggiornamento, passare a configurazione di Azure o ai passaggi successivi.

Opzione 2: portale di Azure

  1. Accedere al tenant Azure e aprire la sottoscrizione.

  2. In Impostazioni aprire Provider di risorse.

  3. Registrare i provider di risorse elencati nell'opzione 1: PowerShell nella sottoscrizione. Lo script di PowerShell è l'opzione più veloce e l'origine autorevole per le registrazioni necessarie. Queste immagini mostrano lo stato finale previsto.

    Screenshot che mostra il primo set di provider di risorse richiesti da Azure Enclave.

    Screenshot che mostra il secondo set di provider di risorse richiesto da Azure Enclave.

  4. Cercare e selezionare Microsoft.Mission, quindi selezionare Registra.

    Schermata che mostra il provider di risorse Microsoft.Mission registrato correttamente.

  5. Procedi a configurazione di Azure o passaggi successivi.

Per riferimento, è anche possibile esaminare le istruzioni generica per abilitare una funzionalità di anteprima.

Configurare il gruppo di risorse di Network Watcher

Per evitare potenziali problemi con la creazione del log del flusso di rete virtuale, configurare manualmente in anticipo il gruppo di risorse NetworkWatcherRG e assegnare all'app Mission Enclave il ruolo Owner per tale gruppo di risorse, oppure verificare che la configurazione e l'assegnazione del ruolo siano avvenute automaticamente prima di creare la prima enclave nella sottoscrizione.

Per attenuare questo potenziale problema, creare manualmente per ogni sottoscrizione il gruppo di risorse NetworkWatcher denominato NetworkWatcherRG nelle nuove sottoscrizioni e quindi concedere Mission Enclave all'app Azure Enclave Owner per NetworkWatcherRG:

  1. Selezionare il NetworkWatcherRG gruppo di risorse, selezionare Access control (IAM), quindi selezionare Add e Add role assignment.

    Schermata che mostra la selezione del ruolo da aggiungere nel gruppo di risorse nel portale.

  2. Selezionare Privileged administrator roles, selezionare owner, quindi selezionare Next.

    Schermata che mostra la schermata di selezione del ruolo Proprietario da aggiungere nel portale.

  3. Selezionare Select members, digitare Mission Enclave nella ricerca e selezionare l'app Mission Enclave , selezionare Select, quindi Next.

    Screenshot che mostra come selezionare l'app Mission Enclave nel portale.

  4. Se la sottoscrizione richiede una condizione, selezionare Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended), quindi selezionare Review + assign.

    Schermata che mostra la visualizzazione per aggiungere una condizione, se il tuo abbonamento lo richiede.

  5. Al termine dell'aggiornamento, è possibile iniziare a distribuire le risorse Enclave di Azure.

Quando viene creata una community o un enclave, Azure Enclave tenta i passaggi seguenti:

  1. Controllare se l'oggetto NetworkWatcherRG esiste. In caso contrario, tentare di creare quel gruppo di risorse.
  2. Verificare se l'app Mission Enclave ha un'assegnazione Owner permanente su NetworkWatcherRG. In caso contrario, tentare di assegnare l'app Mission Enclave come assegnazione permanente Owner in NetworkWatcherRG. Anche se esiste un'autorizzazione ereditata Owner , viene tentata la creazione di un'assegnazione permanente Owner .
  3. Se un passaggio non va a buon fine, le distribuzioni di enclave potrebbero non riuscire durante il tentativo di creare i log di flusso della rete virtuale.

Passaggi di transizione per i clienti di anteprima esistenti

I clienti di anteprima esistenti devono registrare nuovamente il provider di risorse Azure Enclave in modo che le sottoscrizioni possano usare gli aggiornamenti più recenti dell'API e del servizio enclave Azure.

Completare questi passaggi per usare l'API enclave Azure più recente:

  1. Nel portale di Azure, passare alla sottoscrizione.
  2. In Impostazioni aprire Provider di risorse.
  3. Cercare e selezionare Microsoft.Missione quindi ripetere la registrazione.
  4. Ripetere questi passaggi per eventuali sottoscrizioni aggiuntive.

Passaggi successivi

Dopo aver registrato il provider di risorse Azure Enclave, è possibile iniziare a distribuire le risorse Azure Enclave nella sottoscrizione.

  • Last updated on