この記事では、必要なリソース プロバイダーを登録し、サブスクリプション内の Azure Enclave リソースを管理するために必要なアクセス許可を準備して、Azure Enclave の利用を開始する方法について説明します。
前提条件
- Azureテナントとサブスクリプションが既に必要です。
- 既存のAzure サブスクリプションの所有者である必要があります。
必要なリソースプロバイダーを登録し、 NetworkWatcherRG アクセスを設定しましょう
オプション 1: PowerShell
PowerShell は、必要なリソース プロバイダーを登録する最速の方法です。
次のコードを実行すると、エンクレーブの使用を開始するために必要なすべてのリソース プロバイダー Azure迅速に登録できます。
Azure テナントにサインインし、サブスクリプションを開きます。
Azure ポータルで、ウィンドウの上部にある
Cloud Shellアイコンを選択します。
サブスクリプションのAzure コンテキストを設定します。 たとえば、
Set-AzContext -Subscription <subscription-id>を実行します。このコードをコピーしてCloud Shellに貼り付け、Enter キーを押します。
# Register the Azure Enclave Resource Provider and grant permissions to the Resource Provider application
$resourceProviders = @(
"Microsoft.Advisor",
"Microsoft.AlertsManagement",
"Microsoft.Authorization",
"Microsoft.Automation",
"Microsoft.Billing",
"Microsoft.Capacity",
"Microsoft.ChangeAnalysis",
"Microsoft.ClassicSubscription",
"Microsoft.CognitiveServices",
"Microsoft.Compute",
"Microsoft.Consumption",
"Microsoft.CostManagement",
"Microsoft.DesktopVirtualization",
"Microsoft.Features",
"Microsoft.GuestConfiguration",
"Microsoft.Insights",
"Microsoft.KeyVault",
"Microsoft.Logic",
"Microsoft.ManagedIdentity",
"Microsoft.MarketplaceOrdering",
"Microsoft.Network",
"Microsoft.OperationalInsights",
"Microsoft.OperationsManagement",
"Microsoft.PolicyInsights",
"Microsoft.Portal",
"Microsoft.ResourceGraph",
"Microsoft.ResourceHealth",
"Microsoft.ResourceNotifications",
"Microsoft.Resources",
"Microsoft.Security",
"Microsoft.SecurityInsights",
"Microsoft.SerialConsole",
"Microsoft.SqlVirtualMachine",
"Microsoft.Storage",
"Microsoft.Support",
"Microsoft.Web",
"Microsoft.Mission"
)
$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}
- (省略可能)
EncryptionAtHost機能を有効にする
EncryptionAtHost 機能を使用すると、コンピューティング ホスト レベルでの暗号化が可能になります。
# Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost
# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost
# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute
- 更新が完了したら、Azureセットアップまたは次の手順に進みます。
オプション 2: Azure portal
Azure テナントにサインインし、サブスクリプションを開きます。
[設定] で、[リソース プロバイダー] を選択します。
サブスクリプションのオプション 1: PowerShell に記載されているリソース プロバイダーを登録します。 PowerShell スクリプトは、最も高速なオプションであり、必要な登録の権限のあるソースです。 これらの画像は、予期される終了状態を示しています。
Microsoft.Missionを検索して選択し、Registerを選択します。
Azureセットアップまたは次の手順に進みます。
参考までに、 プレビュー機能を有効にするための一般的な手順を確認することもできます。
NetworkWatcherRGアクセスを設定する
仮想ネットワークフローログ作成の問題を避けるために、各サブスクリプションにNetworkWatcherRGリソースグループが存在し、Mission EnclaveアプリがそのグループでOwner役割を持っているかを最初のエンクレーブ作成前に必ず確認してください。 サブスクリプションが自動的にグループと役割を作成した場合は、それらがすでに存在しているか確認してください。
NetworkWatcherRGリソース グループを選択し、Access control (IAM)を選択してから、Addを選択してAdd role assignmentします。
Privileged administrator rolesを選び、Ownerを選び、最後にNextを選択します。
Select membersを選択し、検索ボックスでMission Enclaveを入力し、Mission Enclaveアプリを選択し、SelectとNextを選択します。
サブスクリプションに条件が必要な場合は、[
Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)] を選択し、[Review + assign] を選択します。
更新が完了したら、エンクレーブ リソースAzureデプロイを開始できます。
コミュニティまたはエンクレーブが作成されると、Azureエンクレーブは次の手順を試みます。
-
NetworkWatcherRGが存在するかどうかを確認します。 そうでない場合は、そのリソース グループの作成を試みます。 -
Mission EnclaveにOwnerアプリの永続的なNetworkWatcherRG割り当てがあるかどうかを確認します。 そうでない場合は、Mission Enclaveの永続的なOwner割り当てとしてNetworkWatcherRGアプリを割り当てるようにします。 継承されたOwnerアクセス許可が存在する場合でも、永続的なOwner割り当ての作成が試行されます。 - いずれかの手順が失敗した場合、仮想ネットワーク フロー ログを作成しようとしたときにエンクレーブデプロイが失敗する可能性があります。
既存のプレビューのお客様の移行手順
既存のプレビューのお客様は、サブスクリプションが最新の Azure Enclave API とサービス更新プログラムを使用できるように、Azure エンクレーブ リソース プロバイダーを再登録する必要があります。
最新の Azure エンクレーブ API を使用するには、次の手順を実行します。
- Azure portal でサブスクリプションに移動します。
- [設定] で、[リソース プロバイダー] を選択します。
-
Microsoft.Missionを検索して選択し、[再登録] を選択します。 - 追加のサブスクリプションに対して、これらの手順を繰り返します。
次のステップ
Azureエンクレーブ リソース プロバイダーを登録したら、Azureエンクレーブ リソースをサブスクリプションにデプロイできます。
Azure エンクレーブ コミュニティの構築を開始します。
コミュニティ内でネットワーク接続を確立します。
目的に合わせてワークロード内にリソースを作成します。
- サービス カタログからリソースを作成する
- これらの例のテンプレートまたは bicep テンプレートを使用してリソースを作成する