Introdução ao enclave de Azure

Use este guia de início rápido para começar a usar o Azure Enclave, registrando os provedores de recursos necessários e concedendo as permissões necessárias para gerenciar os recursos do Azure Enclave em sua assinatura.

Pré-requisitos

  • Você já deve ter um tenant do Azure e uma assinatura.
  • Você deve ser proprietário de uma assinatura de Azure existente.

Registrar o Microsoft.Mission provedor de recursos e conceder permissões

Opção 1: PowerShell

O PowerShell é a maneira mais rápida de registrar os provedores de recursos necessários.

Você pode executar o código a seguir para registrar rapidamente todos os provedores de recursos necessários para começar a usar Azure Enclave.

  1. Entre em seu tenant do Azure e abra a assinatura.

  2. No portal Azure, selecione o Cloud Shell ícone na parte superior da janela.

    Captura de tela mostrando o local do ícone Cloud Shell no portal.

  3. Defina o contexto de Azure para sua assinatura. Por exemplo, execute Set-AzContext -Subscription <subscription-id>.

  4. Copie e cole esse código em Cloud Shell e pressione Enter.

# Register the Azure Enclave Resource Provider and grant permissions to the Resource Provider application

$resourceProviders = @(
   "Microsoft.Advisor",
   "Microsoft.AlertsManagement",
   "Microsoft.Authorization",
   "Microsoft.Automation",
   "Microsoft.Billing",
   "Microsoft.Capacity",
   "Microsoft.ChangeAnalysis",
   "Microsoft.ClassicSubscription",
   "Microsoft.CognitiveServices",
   "Microsoft.Compute",
   "Microsoft.Consumption",
   "Microsoft.CostManagement",
   "Microsoft.DesktopVirtualization",
   "Microsoft.Features",
   "Microsoft.GuestConfiguration",
   "Microsoft.insights",
   "Microsoft.KeyVault",
   "Microsoft.Logic",
   "Microsoft.ManagedIdentity",
   "Microsoft.MarketplaceOrdering",
   "Microsoft.Network",
   "Microsoft.OperationalInsights",
   "Microsoft.OperationsManagement",
   "Microsoft.PolicyInsights",
   "Microsoft.Portal",
   "Microsoft.ResourceGraph",
   "Microsoft.ResourceHealth",
   "Microsoft.ResourceNotifications",
   "Microsoft.Resources",
   "Microsoft.Security",
   "Microsoft.SecurityInsights",
   "Microsoft.SerialConsole",
   "Microsoft.SqlVirtualMachine",
   "Microsoft.Storage",
   "Microsoft.support",
   "Microsoft.Web",
   "Microsoft.Mission"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}
  1. (Opcional) Habilitar o EncryptionAtHost recurso

O recurso EncryptionAtHost habilita a criptografia no nível do host de computação.

# Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute
  1. Após a conclusão da atualização, prossiga para configuração do Azure ou as próximas etapas.

Opção 2: portal do Azure

  1. Faça login no diretório do Azure e abra a assinatura.

  2. Em Configurações, abra provedores de recursos.

  3. Registre os provedores de recursos listados na Opção 1: PowerShell na assinatura. O script do PowerShell é a opção mais rápida e a fonte autoritativa para os registros necessários. Essas imagens mostram o estado final esperado.

    Captura de tela mostrando o primeiro conjunto de provedores de recursos exigido por Azure Enclave.

    Captura de tela mostrando o segundo conjunto de provedores de recursos exigido por Azure Enclave.

  4. Pesquise e selecione Microsoft.Missione selecione Registrar.

    Captura de tela que mostra o provedor de recursos Microsoft.Mission registrado com êxito.

  5. Prossiga para configuração do Azure ou próximas etapas.

Para referência, você também pode examinar as instruções genéricas para habilitar um recurso de visualização.

Configurar grupo de recursos do Observador de Rede

Para evitar possíveis problemas com a criação do log de fluxo da rede virtual, configure manualmente com antecedência o grupo de recursos NetworkWatcherRG e atribua ao aplicativo Mission Enclave a função Owner nesse grupo de recursos, ou verifique se essa configuração e essa atribuição de função ocorreram automaticamente antes de criar seu primeiro enclave na assinatura.

Para atenuar esse possível problema, para cada assinatura, crie manualmente o grupo de recursos NetworkWatcher chamado NetworkWatcherRG em novas assinaturas e conceda o Mission Enclave aplicativo Owner enclave Azure no NetworkWatcherRG:

  1. Selecione o NetworkWatcherRG grupo de recursos, selecione Access control (IAM), selecione Add e Add role assignment.

    Captura de tela mostrando a seleção de adicionar função ao grupo de recursos no portal.

  2. Selecione Privileged administrator roles, selecione ownere, em seguida, selecione Next.

    Captura de tela mostrando a tela de seleção para adicionar a função de proprietário no portal.

  3. Selecione Select members, digite Mission Enclave na pesquisa e selecione o aplicativo Mission Enclave, selecione Select e, em seguida, Next.

    Captura de tela mostrando como selecionar o aplicativo Enclave de Missão no portal.

  4. Se sua assinatura exigir uma condição, selecione Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)e selecione Review + assign.

    Captura de tela mostrando a tela Adicionar condição, se sua assinatura exigir.

  5. Depois que a atualização for concluída, você poderá começar a implantar recursos do Azure Enclave.

Quando uma comunidade ou enclave é criado, Azure Enclave tenta as seguintes etapas:

  1. Verifique se NetworkWatcherRG existe. Caso contrário, tente criar esse grupo de recursos.
  2. Verifique se o aplicativo Mission Enclave tem uma atribuição permanente Owner em NetworkWatcherRG. Caso contrário, tente atribuir o Mission Enclave Aplicativo como uma atribuição permanente Owner em NetworkWatcherRG. Mesmo que exista uma permissão herdada Owner, será feita uma tentativa de criar uma atribuição permanente Owner.
  3. Se qualquer etapa falhar, as implantações de enclave poderão falhar ao tentar criar logs de fluxo de rede virtual.

Etapas de transição para clientes de versão prévia existentes

Os clientes existentes da versão preliminar devem registrar novamente o provedor de recursos Azure Enclave para que suas assinaturas possam usar a API mais recente do Azure Enclave e as atualizações do serviço.

Conclua estas etapas para usar a API do Enclave Azure mais recente:

  1. No portal do Azure, navegue até sua assinatura.
  2. Em Configurações, abra provedores de recursos.
  3. Pesquise e selecione Microsoft.Missione selecione Registrar novamente.
  4. Repita estas etapas para quaisquer assinaturas adicionais.

Próximas Etapas 

Depois de registrar o provedor de recursos do Azure Enclave, você pode começar a implantar recursos do Enclave Azure em sua assinatura.

  • Last updated on