Azure EnclaveはAzureの共有責任モデルを採用しています。Azure Enclaveは隔離境界とその支援インフラを管理し、あなたはその境界内で展開するアクセス、設定、ワークロードを管理します。 そのラインがどこにあるかを理解することで、設定のドリフトや予期せぬ接続性やポリシーの障害を防ぐことができます。
Azure Enclave の責任
Azure Enclaveは、以下のものを作成し、継続的に管理しています。
- 仮想ネットワークとサブネット:Azure EnclaveはEnclave Virtual Networkとそのサブネットを作成し所有しています。 エンクレイブの更新ごとに、Azure Enclaveはライブネットワークの状態を再読み取り、自身のマネージド構成に対してサブネット設定を更新します。
- Virtual WANハブの作成:Azure Enclaveは、作成した各専用ハブおよびトランジットハブに対してVirtual WANハブ、さらにファイアウォールポリシーおよびルールコレクショングループを作成します。
- ネットワークセキュリティグループ(NSG):Azure Enclaveはエンクレーブサブネットに紐づくNSGを作成・管理します。
- Azure Bastion:エンクレイブでBastionを有効にすると、Azure EnclaveはBastionホスト、専用サブネット、関連するパブリックIPアドレスを展開・管理します。
- モニタリングインフラストラクチャ:Azure EnclaveはLog Analyticsワークスペース、ポリシーの強制やフローログ収集に使用される管理型アイデンティティ、関連する診断設定を作成します。
- マネージドリソースグループ(MRG)保護:Azure EnclaveはMRGスコープで、プラットフォーム管理リソース(エンクレーブVirtual Networkを含む)への不正な書き込みをブロックするデナイ割り当てを適用します。
- ガードレールポリシー割り当て:Azure Enclaveは管理されたリソースグループに適用されるAzure Policyガードレールを割り当て管理します。 これらのポリシー割り当てを直接作成、変更、削除することはできません。
-
メンテナンスモードの強制:Azure Enclaveは、承認されたメンテナンスタスクに対する拒否割り当て制限を一時的に緩和するメンテナンスモード状態(
modeおよびjustification)を評価・施行します。 - エンクレーブ接続:Azure Enclaveは、あなたが定義したルールに基づいてエンクレイブ接続やエンドポイントを実装するファイアウォールおよびNSGルールを管理します。
お客様の責任
あなたは、次のタスクを担当します。
- ロールベースアクセス制御(RBAC):コミュニティ、エンクレーブ、ワークロード、ワークロードリソースへのアクセスを割り当て、管理します。
- 設定:Azure Enclaveリソースを作成または更新する際に行う承認、権限、IPアドレスのサイズ設定、その他の設定選択。
- ワークロード:デプロイするワークロードやAzureリソース(例えばワークロードリソースグループ内)を作成・保守します。
- ワークロードリソースグループのリンク:どの新規または既存の(ブラウンフィールド)リソースグループをワークロードにリンクするかを選び、リンクする既存のリソースグループに必要な権限を持っていることを確認してください。
- メンテナンスモードの管理:特権的なメンテナンスタスクを行う際に、モード、理由、一時的なアクセスが必要なプリンシパルを記載したメンテナンスモードのリクエストを提出します。
これらのプラットフォームリソースを自分で管理しないでください
一部のエンクレイブリソースは通常のAzureリソースに似ていますが、Azure Enclaveはそれらを管理された権威ある状態の一部として扱います。 これらのリソースをAzure Enclave管理体験外に変更すると、構成のドリフトやエンクレーブ機能の障害を引き起こす可能性があります:
Important
Azure ポータル、Azure CLI、または ARM/Bicep テンプレートを使用して、Azure Enclave の外部からエンクレイブの仮想ネットワーク、そのサブネット、またはそれらの委任設定を直接編集しないでください。 Azure Enclaveは、毎回のアップデートでサブネット委任を自社の管理された構成に調整するため、手動の変更が静かに上書きされたり、エンクレーブのエンドポイントや接続がプロビジョニングや解決に失敗したりすることがあります。
拒否割り当ては管理されたリソースグループリソースへのほとんどの直接書き込みをブロックし、メンテナンスモードを有効にすると完全なブロック解除ではなく、キュレーションされた一連のアクションが可能になります。 各メンテナンスモードレベルで許可される行動の詳細は 、メンテナンスモードをご覧ください。 割り当てブロックを拒否する変更が必要で、それがメンテナンスモードでカバーされない場合は、回避策を試みるのではなくAzure サポートと連携してください。