Azure Enclaveは、コミュニティやエンクレーブ間でワークロードやネットワークリソースの監視を支援するための観測可能性機能を提供します。 この記事では、利用可能なログ宛先、宛先が診断設定やフローログに与える影響、 NetworkWatcherRG リソースグループの準備方法について説明します。
Azure エンクレーブ リソースでは、以下が既定で有効になっています。
- Log Analytics ワークスペースは、既定でコミュニティ マネージド リソース グループにデプロイされます
- (任意)Log Analytics Workspace は Enclave管理リソースグループに展開されています
- ストレージ アカウントがエンクレーブ マネージド リソース グループにデプロイされる
- 各エンクレーブの仮想ネットワーク フロー ログが有効化され、エンクレーブのストレージ アカウントが指定され、コミュニティおよび/またはエンクレーブの Log Analytics ワークスペースに転送されます
- 診断設定は、コミュニティとエンクレーブの両方のマネージド リソース グループにデプロイされたリソースで有効になります
一元化された分離された可観測性
Azure エンクレーブの可観測性は、Azure Monitor、Log Analytics、ストレージ アカウントを使用した一元的な診断ログ記録とエンクレーブ分離診断ログの両方をサポートするデュアル層ログ モデルに基づいて構築されています。
コミュニティ レベルの可観測性
コミュニティを設定する際には、集中型のLog Analyticsワークスペースを含めることができます。 このワークスペースは、次の目的で設計されています。
- コミュニティ内のすべてのエンクレーブから診断とメトリックを集計します。
- 診断ログとフローログの監視とクエリの実行を単一の画面で行えるようにします。
- クロスエンクレーブ分析、アラート、コンプライアンス追跡をサポートします。
ワークスペースはコミュニティワークスペースの目的地を選択すると作成されます。 ワークスペースはサポートされたエンクレーブやワークロードリソースの診断先として利用できます。 現在、ランタイムで作成されたワークスペースは、インジェストやクエリのためのパブリックネットワークアクセスを可能にします。これらのプロバイダー操作ではネットワーク隔離は実現されていません。 プライベートアクセスの設定については、Azure Monitor Private Link範囲をご覧ください。
Note
エンクレーブ リソース (ワークロード、パブリック IP、Application Gateway など) からの診断設定は、統合された監視をサポートするために一元化されたワークスペースにログを送信するように構成できます。
エンクレーブ単位の可観測性
Enclaveを設定する際には、そのエンクレイブ専用にスコープされた独立したLog Analyticsワークスペースを含めることができます。 このワークスペースはエンクレーブレベルのログ利用ケースをサポートし、以下のような機能を提供します:
- フローログの設定を有効にしてエンクレーブワークスペースを宛先として選択した場合、仮想ネットワークフローログの保存。
- 内部ワークロードやネットワーク コンポーネントなど、エンクレーブ スコープ リソースのオプションの診断設定。
- クロスエンクレーブ ログの集計を防ぐ分離または規制の要件を満たすように設計されています。
管理者は、エンクレーブワークスペースを宛先として選択することで、エンクレーブの診断をこのワークスペース内に保持することができます。
設定可能なログ出力先
Azure エンクレーブでは、リソース所有者が次のいずれかを選択できる柔軟なログ構成がサポートされています。
| ログ出力先 | Purpose | 既定の使用 |
|---|---|---|
| コミュニティ Log Analytics ワークスペース | 一元的な監視とクロスエンクレーブ分析を有効にする | Configurable |
| Enclave Log Analytics ワークスペース | エンクレーブレベルの監視と隔離をサポートします | Configurable |
| カスタム Log Analytics ワークスペース | サポートされたフローログを顧客が選択したワークスペースに送信します | Configurable |
診断設定は、デプロイ中またはデプロイ後に、Azure ポータル、CLI、または Bicep/ARM テンプレートを使用して構成できます。
Important
フローログの宛先は設定可能です。 プロバイダーはエンクレイブ、コミュニティ、カスタムLog Analyticsワークスペースをサポートしています。 エンクレーブの設定を見直してフローログがどこに送られるか確認してください。
一般的な可観測性のシナリオ
| シナリオ | ログ記録戦略 |
|---|---|
| クロスエンクレーブ正常性ダッシュボード | すべてのエンクレーブから一元化されたコミュニティ Log Analytics ワークスペースに診断を送信する |
| 厳密なデータ制御による規制されたエンクレーブ | エンクレーブ固有のLog Analytics ワークスペース内に診断を保持する |
| 監査目的での長期保有 | ポリシーによって制御される保持設定を使用してストレージ アカウントにログを送信する |
| ネットワーク調査または脅威ハンティング | エンクレーブ ワークスペースを使用して既定の仮想ネットワーク フロー ログを分析する |
Network Watcher のリソース グループを構成する
仮想ネットワークフローログ作成の潜在的な問題を避けるために、NetworkWatcherRGアクセスの設定手順に従って開始方法を守ってください。