Azure Enclave の使用を開始する

この記事では、必要なリソース プロバイダーを登録し、サブスクリプション内の Azure Enclave リソースを管理するために必要なアクセス許可を準備して、Azure Enclave の利用を開始する方法について説明します。

前提条件

Azure Enclave リソース プロバイダーを登録し、NetworkWatcherRGアクセスを構成する

PowerShellはAzure Enclave自体で必要なリソース提供者を登録する最速の方法です。

  1. Azure テナントにサインインし、サブスクリプションを開きます。

  2. Azure ポータルで、ウィンドウの上部にあるCloud Shell アイコンを選択します。

    ポータル内のCloud Shellアイコンの位置を示すスクリーンショットです。

  3. サブスクリプションのAzure コンテキストを設定します。 たとえば、 Set-AzContext -Subscription <subscription-id>を実行します。

  4. このコードをコピーしてCloud Shellに貼り付け、Enter キーを押します。

    # Register the Azure Enclave resource providers

$resourceProviders = @(
   "Microsoft.Mission",
   "Microsoft.Network",
   "Microsoft.Storage",
   "Microsoft.KeyVault",
   "Microsoft.OperationalInsights",
   "Microsoft.Insights",
   "Microsoft.ManagedIdentity"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

条件付きリソース提供者

これらのリソース提供者は、対応するワークロードを使用する場合にのみ登録してください:

  • Microsoft.SecurityInsightsMicrosoft Sentinel のためです。
  • Microsoft.Logic ロジックアプリ用です。
  • Microsoft.Compute 仮想マシン用です。
  • Microsoft.DesktopVirtualization for Azure Virtual Desktop.
  • Microsoft.SqlVirtualMachine SQL仮想マシン用です。

例えば、使用するワークロードに対して以下のPowerShellコードを実行します。

$conditionalResourceProviders = @(
   "Microsoft.SecurityInsights",
   "Microsoft.Logic",
   "Microsoft.Compute",
   "Microsoft.DesktopVirtualization",
   "Microsoft.SqlVirtualMachine"
)

$conditionalResourceProviders | ForEach-Object {
   Register-AzResourceProvider -ProviderNamespace $_ -Verbose
}

  1. (任意) EncryptionAtHost 機能を有効にしてください。

    EncryptionAtHost 機能を使用すると、コンピューティング ホスト レベルでの暗号化が可能になります。

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  2. 更新が完了したら、Azureセットアップまたは次の手順に進みます。

NetworkWatcherRGアクセスを設定する

仮想ネットワークフローログ作成の潜在的な問題を避けるために、各サブスクリプションにNetworkWatcherRGリソースグループが存在し、Mission EnclaveアプリがそのグループでNetwork Contributor役割を持っていることを確認してから、最初のエンクレーブを作成してください。 ネットワークウォッチャーインスタンスが自動的に作成された場合(例えば、そのリージョンの既存のAzureリソースデプロイメントを通じて)、ネットワークウォッチャーインスタンスのリストで役割割り当てを確認してください。 Network Watcherについて詳しくはこちらをご覧ください。

Important

NetworkWatcherRGが存在しない場合、またはMission EnclaveアプリにNetwork Contributorロールがなければ、エンクレーブ展開は仮想ネットワークフローログの作成時に失敗する可能性があります。 OwnerやContributorの役割も動作しますが、必要以上の権限を与えています。

  1. NetworkWatcherRGリソース グループを選択し、Access control (IAM)を選択してから、Addを選択してAdd role assignmentします。

    NetworkWatcherRGリソースグループでロール割り当てを選択しているスクリーンショットです。

  2. Network Contributorを入力し、Network Contributorを選択し、次にNextを選択します。

    ロール割り当てウィザードでネットワーク貢献者の役割を選択しているスクリーンショット。

  3. Select membersを選択し、検索ボックスでMission Enclaveを入力し、Mission Enclaveアプリを選択し、SelectとNext、最後にReview + assignを選びます。

    メンバーピッカーでMission Enclaveアプリを選択しているスクリーンショットです。

  4. 更新が完了したら、エンクレーブ リソースAzureデプロイを開始できます。

コミュニティまたはエンクレーブが作成されると、Azureエンクレーブは次の手順を試みます。

  1. その NetworkWatcherRG リソースグループが存在するか確認してください。 もしそうでなければ、そのリソースグループをコミュニティと同じ場所に作ることを試みてください。
  2. Mission EnclaveアプリにすでにOwner、Contributor、またはNetwork Contributorの役割割り当てがあるかNetworkWatcherRG確認してください。 これらの役割のいずれかがすでに存在している場合(既存のOwner割り当ても含む)、Azure Enclaveは追加の割り当てを作成するのではなく、そのまま維持します。 これらの役割がすべて存在しない場合、Azure EnclaveはNetworkWatcherRGMission EnclaveアプリにContributor役割を割り当てようとします。 この権限の昇格は、サインインしている呼び出し元に代わって委任されるため、ロールを付与するには、デプロイを実行する ID が十分なアクセス許可（たとえば、User Access Administrator）を持っている必要があります。
  3. いずれかの手順が失敗した場合、仮想ネットワーク フロー ログを作成しようとしたときにエンクレーブデプロイが失敗する可能性があります。

既存のプレビューのお客様の移行手順

既存のプレビューのお客様は、サブスクリプションが最新の Azure Enclave API とサービス更新プログラムを使用できるように、Azure エンクレーブ リソース プロバイダーを再登録する必要があります。

最新の Azure エンクレーブ API を使用するには、次の手順を実行します。

  1. Azure portal でサブスクリプションに移動します。
  2. [設定] で、[リソース プロバイダー] を選択します。
  3. 検索して「Microsoft」を選択してください。「ミッション」を選び、その後「再登録」を選択してください。
  4. 追加のサブスクリプションに対して、これらの手順を繰り返します。

次のステップ

Azureエンクレーブ リソース プロバイダーを登録したら、Azureエンクレーブ リソースをサブスクリプションにデプロイできます。

  • Last updated on