Azure Enclave 中的可观测性

Azure Enclave 提供内置的可观测性功能，以支持任务关键型环境的安全、可缩放和集中监视。 这些功能可帮助社区经理和 Enclave 所有者落实合规要求、调查异常，并确保隔离工作负载的运行状况。

默认情况下，Azure Enclave 资源启用以下内容：

• 默认情况下，Log Analytics工作区部署到社区托管资源组
• （可选）Log Analytics 工作区已部署到 enclave 托管资源组中
• 存储帐户已部署到 Enclave 托管资源组中
• 已为每个 enclave 启用虚拟网络流日志，并将其指向 enclave 的存储帐户，同时转发到 Community 和/或 Enclave Log Analytics 工作区
• 已为部署到 Community 和 Enclave 托管的资源组中的资源启用诊断设置

集中和隔离的可观测性

Azure Enclave 中的可观测性是基于双层日志记录模型构建的，该模型支持使用Azure Monitor、Log Analytics和存储帐户进行集中式和 enclave 隔离的诊断日志记录。

社区级可观测性

在 Azure Enclave 中创建的每个社区都包括集中式Log Analytics工作区。 此工作区旨在：

• 聚合社区内所有隔离区的诊断信息和指标。
• 提供用于监视和查询诊断和流日志的单一窗格。
• 支持跨隔离区分析、告警和合规性跟踪。

创建社区后，会自动创建工作区。 在部署或更新操作期间，enclave 或工作负载所有者可将工作区选作诊断目标。 社区 Log-A 工作区禁用公共访问，但默认情况下它不会隔离网络。 若要配置公共访问或网络隔离，请考虑添加 专用链接安全性。

注释

可以将 enclave 资源的诊断设置（例如工作负载、公共 IP 或应用程序网关）配置为将日志发送到集中式工作区以支持统一监视。

Enclave 级别可观测性

除了 Community 工作区之外，每个 Enclave 都预配有一个隔离的 Log Analytics 工作区，其作用域专门限定于该 Enclave。 此工作区针对 enclave 级日志记录用例进行优化，并包含以下特征：

• 自动为每个隔离区启用的虚拟网络流日志的默认存储
• 适用于隔离区范围内资源的可选诊断设置，例如内部工作负载和网络组件。
• 旨在满足防止跨安全域日志聚合的隔离或监管要求。

管理员可以选择仅将日志发送到此隔离工作区来保持 enclave 诊断的私密性。

可配置的日志记录目标

Azure Enclave 支持灵活的日志记录配置，这些配置允许资源所有者在以下项之间进行选择：

日志目标	Purpose	默认使用
社区 Log Analytics 工作区	支持集中式监控和跨隔区分析	Optional
Enclave Log Analytics 工作区	保持隔离域级别的隔离和数据主权	虚拟网络流日志的默认值

可以在部署期间或部署后通过Azure门户、CLI 或 Bicep/ARM 模板配置诊断设置。

Important

默认情况下，虚拟网络流日志始终会发送到 enclave 专用工作区，以确保即使在隔离环境中也能保留网络级可见性。

常见可观测性场景

Scenario	日志记录策略
跨隔离区运行状况仪表板	将来自所有隔离环境的诊断数据发送到集中式 Community Log Analytics 工作区
具有严格数据管控的受监管隔离区	将诊断数据保留在 enclave 专属的 Log Analytics 工作区中
用于审核目的的长期保留	使用策略控制的保留设置将日志发送到存储帐户
网络调查或威胁搜寻	使用 enclave 工作区分析默认虚拟网络流日志

配置网络观察程序资源组

若要避免创建 虚拟网络流日志 时出现潜在问题，请提前手动创建 NetworkWatcherRG 资源组，并在该资源组上为 Mission Enclave 应用分配 Owner 角色；或者先确认上述设置和角色分配已自动完成，然后再在该订阅中创建第一个 enclave。

若要缓解此潜在问题，请为每个订阅在新订阅中手动创建名为NetworkWatcherRG的 NetworkWatcher 资源组，然后在 NetworkWatcherRG 上向Mission Enclave Azure Enclave 应用授予Owner：

1. 选择 NetworkWatcherRG 资源组，选择 Access control (IAM)，然后选择 Add 和 Add role assignment。

   

2. 依次选择 Privileged administrator roles、选择 owner、选择 Next。

   

3. 选择 Select members，键入 Mission Enclave 搜索并选择 Mission Enclave 应用，然后选择 Select，然后选择 Next。

   

4. 如果订阅需要条件，请选择 Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)，然后选择 Review + assign。

   

5. 更新完成后，可以开始部署 Azure Enclave 资源。

创建社区或 enclave 时，Azure Enclave 会尝试执行以下步骤：

1. 检查是否存在 NetworkWatcherRG 。 如果不是，则尝试创建该资源组。
2. 检查 Mission Enclave 应用是否在 NetworkWatcherRG 上具有永久 Owner 分配。 否则，请尝试将 Mission Enclave 应用设为 NetworkWatcherRG 上的永久 Owner 分配。 即使存在继承的 Owner 权限，也会尝试创建永久性 Owner 分配。
3. 如果任何步骤失败，尝试创建虚拟网络流日志时 enclave 部署可能会失败。