Kom igång med Azure Enclave

Använd denna artikel för att onboarda Azure Enclave genom att registrera de nödvändiga resursleverantörerna och förbereda de behörigheter som behövs för att hantera Azure Enclave-resurser i din prenumeration.

Förutsättningar

Registrera resursleverantörer för Azure Enclave och konfigurera åtkomst till NetworkWatcherRG

PowerShell är det snabbaste sättet att registrera de resursleverantörer som krävs av Azure Enclave själv.

  1. Logga in på din Azure klientorganisation och öppna prenumerationen.

  2. I Azure-portalen väljer du Cloud Shell ikonen överst i fönstret.

    Skärmdump som visar platsen för Cloud Shell-ikonen i portalen.

  3. Ange Azure-kontexten för din prenumeration. Kör till exempel Set-AzContext -Subscription <subscription-id>.

  4. Kopiera och klistra in den här koden i Cloud Shell och tryck sedan på Retur.

    # Register the Azure Enclave resource providers

$resourceProviders = @(
   "Microsoft.Mission",
   "Microsoft.Network",
   "Microsoft.Storage",
   "Microsoft.KeyVault",
   "Microsoft.OperationalInsights",
   "Microsoft.Insights",
   "Microsoft.ManagedIdentity"
)

$resourceProviders | foreach {Register-AzResourceProvider -ProviderNamespace $_ -Verbose}

Villkorliga resursleverantörer

Registrera dessa resursleverantörer endast när du använder motsvarande arbetsbelastning:

  • Microsoft.SecurityInsights för Microsoft Sentinel.
  • Microsoft.Logic för Logic Apps.
  • Microsoft.Compute för virtuella maskiner.
  • Microsoft.DesktopVirtualization för Azure Virtual Desktop.
  • Microsoft.SqlVirtualMachine för SQL-virtuella maskiner.

Till exempel, kör följande PowerShell-kod för de arbetsbelastningar du använder:

$conditionalResourceProviders = @(
   "Microsoft.SecurityInsights",
   "Microsoft.Logic",
   "Microsoft.Compute",
   "Microsoft.DesktopVirtualization",
   "Microsoft.SqlVirtualMachine"
)

$conditionalResourceProviders | ForEach-Object {
   Register-AzResourceProvider -ProviderNamespace $_ -Verbose
}

  1. (Valfritt) Aktivera EncryptionAtHost funktionen.

    Funktionen EncryptionAtHost aktiverar kryptering på beräkningsvärdnivå.

    # Register the feature
az feature register --namespace Microsoft.Compute --name EncryptionAtHost

# Check registration status (may take 10-15 minutes)
az feature show --namespace Microsoft.Compute --name EncryptionAtHost

# Once registered, refresh the provider
az provider register --namespace Microsoft.Compute

  2. När uppdateringen är klar fortsätter du till Azure konfiguration eller nästa steg.

Konfigurera åtkomst till NetworkWatcherRG

För att undvika potentiella problem med skapandet av virtuella nätverksflödesloggar , se till att NetworkWatcherRG resursgruppen finns i varje prenumeration och att Mission Enclave appen har rollen Network Contributor i den gruppen innan du skapar din första enklav. Om nätverksbevakarinstansen skapas automatiskt (till exempel genom en befintlig Azure-resursutplacering i den regionen), granska rollfördelningen på din lista över nätverksväktarinstanser. Lär dig mer om Network Watcher.

Important

Om NetworkWatcherRG inte finns eller om Mission Enclave-appen inte har rollen Network Contributor, kan enklavdistributioner misslyckas vid försök att skapa flödesloggar för virtuella nätverk. Contributor- eller Owner-rollerna fungerar också, men ger fler behörigheter än vad som krävs.

  1. Välj resursgruppen NetworkWatcherRG, välj Access control (IAM) och välj sedan Add och Add role assignment.

    Skärmdump som visar rolltilldelning i NetworkWatcherRG:s resursgrupp.

  2. Skriv Network Contributor, markera Network Contributor, och sedan markera Next.

    Skärmdump som visar val av nätverksbidragsgivare i rolltilldelningsguiden.

  3. Välj Select members, skriv Mission Enclave i sökrutan, välj Mission Enclave appen och välj Select sedan och Next, sedan Review + assign.

    Skärmdump som visar Mission Enclave-appval i medlemsväljaren.

  4. När uppdateringen är klar kan du börja distribuera Azure Enklaverresurser.

När en community eller en enklav skapas gör Azure Enklaver följande steg:

  1. Kontrollera om resursgruppen NetworkWatcherRG finns. Om inte, försök skapa den resursgruppen på samma plats som communityn.
  2. Kolla om Mission Enclave appen redan har en Owner, Contributor, eller Network Contributor rolltilldelning på NetworkWatcherRG. Om någon av dessa roller redan finns – inklusive en redan existerande Owner uppgift – lämnar Azure Enclave den kvar istället för att skapa en ytterligare uppgift. Om ingen av dessa roller finns försöker Azure Enclave tilldela Mission Enclave appen rollen Contributor på NetworkWatcherRG. Denna behörighetshöjning delegeras för den inloggade anroparens räkning, vilket kräver att identiteten som utför distributionen har tillräcklig behörighet (till exempel User Access Administrator) för att tilldela rollen.
  3. Om något steg misslyckas kan distributioner av enklaver misslyckas vid försök att skapa flödesloggar för virtuella nätverk.

Övergångssteg för befintliga förhandsversionskunder

Befintliga förhandsversionskunder måste registrera resursprovidern Azure Enclave igen så att deras prenumerationer kan använda den senaste Azure Enclave API och tjänstuppdateringar.

Slutför de här stegen för att använda det senaste api:et för Azure Enclave:

  1. Gå till din prenumeration i Azure-portalen.
  2. Under Inställningar väljer du Resursprovidrar.
  3. Sök efter och välj Microsoft. Mission, och välj sedan Registrera om.
  4. Upprepa de här stegen för eventuella ytterligare prenumerationer.

Nästa steg

När du har registrerat resursprovidern Azure Enclave kan du börja distribuera Azure Enclave-resurser till din prenumeration.

  • Last updated on