Waarneembaarheid in Azure enclave

Azure Enclave biedt ingebouwde waarneembaarheidsfuncties ter ondersteuning van veilige, schaalbare en gecentraliseerde bewaking van bedrijfskritieke omgevingen. Deze mogelijkheden helpen communitymanagers en enclave-eigenaren naleving af te dwingen, afwijkingen te onderzoeken en de operationele status voor geïsoleerde workloads te garanderen.

De volgende zijn standaard ingeschakeld voor Azure Enclave-resources:

• Log Analytics Werkruimte is standaard geïmplementeerd in de door de community beheerde resourcegroep
• (Optioneel) Log Analytics-werkruimte wordt geïmplementeerd in de beheerde resourcegroep van de enclave
• Opslagaccount wordt geïmplementeerd in de door Enclave beheerde resourcegroep
• De Virtual Network-stroomlogboeken voor elke enclave zijn ingeschakeld, verwijzen naar het opslagaccount van de enclave en worden doorgestuurd naar de Community- en/of Enclave-Log Analytics-werkruimte
• Diagnostische instellingen zijn ingeschakeld voor resources die zijn uitgerold naar zowel Community- als Enclave-beheerde resourcegroepen

Gecentraliseerde en geïsoleerde waarneembaarheid

Waarneembaarheid in Azure Enclave is gebaseerd op een logboekregistratiemodel met twee lagen dat ondersteuning biedt voor gecentraliseerde en enclave-geïsoleerde diagnostische logboekregistratie met behulp van Azure Monitor, Log Analytics en Opslagaccounts.

Waarneembaarheid op communityniveau

Elke community die in Azure Enclave wordt gemaakt, bevat een gecentraliseerde Log Analytics werkruimte. Deze werkruimte is ontworpen voor het volgende:

• Verzamel diagnostische gegevens en metrische gegevens uit alle enclaves binnen de community.
• Geef één deelvenster glas op voor het bewaken en opvragen van diagnostische gegevens en stroomlogboeken.
• Ondersteuning voor analyse tussen enclaves, waarschuwingen en nalevingstracering.

Wanneer de community wordt aangemaakt, wordt de werkruimte automatisch aangemaakt. De werkruimte kan tijdens implementatie- of updatebewerkingen door eigenaren van enclaves of workloads worden geselecteerd als doel voor diagnostische gegevens. Openbare toegang is uitgeschakeld voor de community-Log-A werkruimte, maar is niet standaard geïsoleerd via het netwerk. Als u openbare toegang of netwerkisolatie wilt configureren, kunt u overwegen beveiliging van private link toe te voegen.

Note

Diagnostische instellingen van enclave-resources (zoals workloads, openbare IP-adressen of Application Gateways) kunnen worden geconfigureerd voor het verzenden van logboeken naar de gecentraliseerde werkruimte ter ondersteuning van geïntegreerde bewaking.

Waarneembaarheid op enclaveniveau

Naast de Community-werkruimte wordt elke enclave ingericht met een geïsoleerde Log Analytics werkruimte die specifiek is afgestemd op die enclave. Deze werkruimte is geoptimaliseerd voor loggingscenario's op enclaveniveau en heeft de volgende kenmerken:

• Standaardopslag van Virtual Network stroomlogboeken, die automatisch worden ingeschakeld voor elke enclave.
• Optionele diagnostische instellingen voor resources binnen een enclave, zoals interne workloads en netwerkcomponenten.
• Ontworpen om te voldoen aan isolatie- of wettelijke vereisten die aggregatie van logboeken tussen enclaves voorkomen.

Beheerders kunnen ervoor kiezen om enclavediagnose privé te houden door alleen logboeken naar deze geïsoleerde werkruimte te verzenden.

Configureerbare logboekregistratiebestemmingen

Azure Enclave ondersteunt flexibele configuraties voor logboekregistratie waarmee resource-eigenaren kunnen kiezen tussen:

Logbestemming	Purpose	Standaardgebruik
Community Log Analytics-werkruimte	Gecentraliseerde bewaking en analyse tussen enclaves mogelijk maken	Optional
Enclave Log Analytics werkruimte	Onderhoudt isolatie op enclaveniveau en gegevenssoevereine	Standaard voor stroomlogboeken voor virtuele netwerken

U kunt diagnostische instellingen configureren via de Azure-portal, CLI of Bicep/ARM-sjablonen tijdens of na de implementatie.

Important

Stroomlogboeken van Virtual Network worden standaard altijd naar de enclavespecifieke werkruimte verzonden om ervoor te zorgen dat de zichtbaarheid op netwerkniveau behouden blijft, zelfs in geïsoleerde omgevingen.

Veelvoorkomende waarneembaarheidsscenario's

Scenario	Strategie voor logboekregistratie
Dashboard voor de status van meerdere enclaves	Diagnostische gegevens verzenden van alle enclaves naar de gecentraliseerde community-Log Analytics-werkruimte
Gereguleerde enclave met strikte gegevenscontroles	Diagnostische gegevens bewaren in de enclavespecifieke Log Analytics werkruimte
Langetermijnretentie voor controledoeleinden	Logboeken verzenden naar een opslagaccount met door beleid beheerde bewaarinstellingen
Netwerkonderzoek of opsporing van bedreigingen	De enclavewerkruimte gebruiken om de standaardstroomlogboeken voor virtuele netwerken te analyseren

Resourcegroepen voor Network Watcher configureren

Als u potentiële problemen met het maken van een virtueel netwerkstroomlogboek wilt voorkomen, stelt u de NetworkWatcherRG resourcegroep handmatig in en wijst u de app de Mission EnclaveOwner rol toe aan die resourcegroep, of controleert u of de installatie en roltoewijzing automatisch zijn uitgevoerd voordat u uw eerste enclave in het abonnement maakt.

Om dit mogelijke probleem te beperken, maakt u voor elk abonnement handmatig de NetworkWatcher-resourcegroep met de naam NetworkWatcherRG in nieuwe abonnementen en verleent u vervolgens de Mission Enclave Azure Enclave-app Owner tot de NetworkWatcherRG:

1. Selecteer de NetworkWatcherRG resourcegroep, selecteer Access control (IAM)en selecteer Add en Add role assignment.

   

2. Selecteer Privileged administrator roles, selecteer owneren selecteer Nextvervolgens .

   

3. Selecteer Select members, typ Mission Enclave de zoekopdracht en selecteer de Mission Enclave app, selecteer Selecten selecteer vervolgens Next.

   

4. Als uw abonnement een voorwaarde vereist, selecteert u Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)en selecteert u Review + assign.

   

5. Zodra de update is voltooid, kunt u beginnen met het implementeren van Azure Enclave-resources.

Wanneer een community of enclave wordt gemaakt, probeert Azure Enclave de volgende stappen uit te voeren:

1. Controleer of het NetworkWatcherRG bestaat. Zo niet, probeer die resourcegroep te maken.
2. Controleer of de Mission Enclave App een permanente Owner-toewijzing heeft op NetworkWatcherRG. Zo niet, probeer de Mission Enclave App als permanente Owner-toewijzing toe te wijzen op NetworkWatcherRG. Zelfs als er een overgeërfde Owner machtiging bestaat, wordt geprobeerd een permanente Owner toewijzing aan te maken.
3. Als er een stap mislukt, kunnen enclave-implementaties mislukken bij het maken van stroomlogboeken voor virtuele netwerken.