Наблюдаемость в Azure Enclave

Azure Enclave предоставляет встроенные средства наблюдаемости для безопасного, масштабируемого и централизованного мониторинга критически важных сред. Эти возможности помогают руководителям сообщества и владельцам анклава обеспечить соответствие требованиям, исследовать аномалии и обеспечить работоспособность в изолированных рабочих нагрузках.

Следующие параметры включены по умолчанию для ресурсов анклава Azure:

• Рабочая область Log Analytics по умолчанию развертывается в группе ресурсов, управляемой сообществом
• (Необязательно) Рабочая область Log Analytics развертывается в управляемой группе ресурсов анклава
• Учетная запись хранения данных развернута в группе управляемых ресурсов Enclave
• Журналы потоков виртуальной сети включены для каждого анклава, направляются в учетную запись хранения анклава и перенаправляются в рабочую область Log Analytics сообщества и (или) анклава
• Параметры диагностики включены для ресурсов, развернутых как в управляемых группах ресурсов Community, так и в управляемых группах ресурсов Enclave

Централизованная и изолированная наблюдаемость

Средства наблюдаемости в Azure Enclave построены на двухуровневой модели ведения журналов, которая поддерживает как централизованное диагностическое журналирование, так и изолированное журналирование диагностики внутри анклава с использованием Azure Monitor, Log Analytics и учетных записей хранения.

Наблюдаемость на уровне сообщества

Каждое сообщество, созданное в Azure Enclave, содержит централизованную рабочую область Log Analytics. Эта рабочая область предназначена для:

• Соберите диагностические данные и метрики из всех анклавов в рамках сообщества.
• Обеспечить единую панель для мониторинга и выполнения запросов к диагностическим данным и журналам потоков.
• Поддержка межанклавной аналитики, оповещений и отслеживания соответствия требованиям.

При создании сообщества рабочая область создается автоматически. Рабочая область может быть выбрана владельцами анклава или рабочей нагрузки в качестве места назначения диагностических данных при развертывании или обновлении. Общедоступный доступ отключен для рабочей области Сообщества Log-A, но по умолчанию он не изолирован от сети. Чтобы настроить общедоступный доступ или сетевую изоляцию, рекомендуется добавить безопасность приватного канала.

Note

Параметры диагностики из ресурсов анклава (например, рабочие нагрузки, общедоступные IP-адреса или шлюзы приложений) можно настроить для отправки журналов в централизованную рабочую область для поддержки единого мониторинга.

Наблюдаемость на уровне анклава

Помимо рабочей области Community, для каждого анклава создается изолированная рабочая область Log Analytics, предназначенная исключительно для этого анклава. Эта рабочая область оптимизирована для вариантов использования ведения журнала на уровне анклава и включает следующие характеристики:

• Хранилище по умолчанию для журналов потоков виртуальной сети, которые автоматически включаются для каждого анклава.
• Необязательные параметры диагностики для ресурсов в области анклава, таких как внутренние рабочие нагрузки и сетевые компоненты.
• Разработано с учётом требований к изоляции или регуляторных требований, препятствующих агрегации журналов между анклавами.

Администраторы могут хранить диагностику анклава в закрытом режиме, отправляя журналы только в эту изолированную рабочую область.

Настраиваемые назначения ведения журнала

Azure Enclave поддерживает гибкие конфигурации журналирования, которые позволяют владельцам ресурсов выбирать между:

Назначение ведения журнала	Purpose	Использование по умолчанию
Рабочая область сообщества Log Analytics	Обеспечивает централизованный мониторинг и межанклавную аналитику	Optional
Рабочая область анклава Log Analytics	Поддерживает изоляцию и суверенитет данных на уровне анклава	По умолчанию для журналов потоков виртуальной сети

Параметры диагностики можно настроить с помощью портала Azure, интерфейса командной строки или Bicep/шаблонов ARM во время или после развертывания.

Important

Журналы потоков виртуальной сети по умолчанию всегда отправляются в рабочую область, предназначенную для анклава, чтобы сохранялась видимость на уровне сети даже в изолированных средах.

Распространенные сценарии наблюдаемости

Сценарий	Стратегия журналирования
Межанклавная панель мониторинга работоспособности	Отправка диагностики из всех анклавах в централизованную рабочую область сообщества Log Analytics
Регулируемый анклав со строгим контролем данных	Храните данные диагностики в рабочей области Log Analytics, относящейся к анклаву
Долгосрочное хранение для целей аудита	Отправка журналов в учетную запись хранения с параметрами хранения, контролируемыми политикой
Исследование сети или охота на угрозы	Используйте рабочую область enclave для анализа журналов потоков виртуальной сети по умолчанию

Настройка групп ресурсов Наблюдатель за сетями

Чтобы избежать потенциальных проблем с созданием журнала потоков виртуальной сети , настройте NetworkWatcherRG группу ресурсов вручную и назначьте Mission Enclave приложению Owner роль в этой группе ресурсов или убедитесь, что установка и назначение ролей произошли автоматически перед созданием первого анклава в подписке.

Чтобы устранить эту потенциальную проблему, для каждой подписки вручную создайте в новых подписках группу ресурсов NetworkWatcher с именем NetworkWatcherRG, а затем назначьте приложению Azure Enclave App роль Mission EnclaveOwner для NetworkWatcherRG:

1. Выберите группу NetworkWatcherRG ресурсов, выберите Access control (IAM), а затем выберите Add и Add role assignment.

   

2. Выберите Privileged administrator roles, выберите owner, а затем выберите Next.

   

3. Выберите Select members, введите Mission Enclave в строке поиска и выберите приложение Mission Enclave, выберите Select, а затем Next.

   

4. Если для подписки требуется условие, выберите Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended), а затем выберите Review + assign.

   

5. После завершения обновления можно приступить к развертыванию ресурсов Azure Enclave.

При создании сообщества или анклава Azure Enclave пытается выполнить следующие шаги:

1. Проверьте, существует ли NetworkWatcherRG. В противном случае попытайтесь создать группу ресурсов.
2. Проверьте, имеет ли приложение Mission Enclave постоянное назначение Owner на NetworkWatcherRG. В противном случае попробуйте назначить приложение Mission Enclave как постоянное назначение Owner на NetworkWatcherRG. Даже если существует унаследованное Owner разрешение, предпринимается попытка создать постоянное назначение Owner.
3. Если какой-либо шаг завершается ошибкой, развертывания анклава могут завершиться ошибкой при попытке создать журналы потоков виртуальной сети.