Azure 隔離區中的可觀察性

Azure Enclave 提供內建可觀察性功能，以支援安全、可擴展且集中式監控關鍵任務環境。 這些能力協助社群經理與飛地擁有者執行合規、調查異常，並確保個別工作負載的運作健康。

以下功能預設為 Azure Enclave 資源啟用：

  • Log Analytics Workspace 預設部署於社群管理資源群組中
  • （可選）Log Analytics Workspace 已部署到 enclave 受控資源群組中
  • Storage Account 已部署至 Enclve 管理資源群組
  • 每個 enclave 的 虛擬網路 Flow Logs 已啟用，指向 Enclave 儲存帳號，並轉發至 Community 及/或 Enclave Log Analytics 工作區
  • 已對部署至 Community 與 Enclave 管理的資源群組中的資源啟用診斷設定

集中式與隔離式可觀察性

Azure Enclave 的可觀察性建立在雙層日誌模型上，支援集中式及隔離式診斷日誌，使用 Azure 監視器、Log Analytics 及儲存帳號。

社群層級可觀察性

每個在 Azure Enclave 建立的社群都包含一個集中式的 Log Analytics 工作空間。 此工作空間設計目的是：

  • 彙整社區內所有據點的診斷與指標。
  • 提供單一整合檢視介面，以監視及查詢診斷資訊和流量記錄。
  • 支援跨區分析、警示與合規追蹤。

當社群建立時，工作區也會自動建立。 工作區可由隔離區或工作負載擁有者在部署或更新操作中選擇為診斷目的地。 Community Log-A 工作區的公共存取是關閉的，但預設並非網路隔離。 若要設定公共存取或網路隔離，請考慮加入 私有連結安全。

Note

來自隔離資源（如工作負載、公共 IP 或應用閘道）的診斷設定可設定為將日誌傳送至集中式工作空間，以支援統一監控。

飛地層級可觀測性

除了社群工作區外，每個 Enclave 還會配置一個專門針對該 Enclave 的獨立 Log Analytics 工作區。 此工作區已針對 enclave 層級的記錄使用案例進行最佳化，並具備以下特性：

  • 虛擬網路流程記錄的預設儲存體，其會針對每個 enclave 自動啟用。
  • 針對 enclave 範圍的資源（如內部工作負載與網路元件）提供可選的診斷設定。
  • 旨在符合隔離或法規要求，以防止跨隔離區域的日誌彙總。

管理員可選擇讓 enclave 診斷資料維持私密，只將記錄傳送至此隔離工作區。

可配置的日誌目的地

Azure Enclave 支援彈性的日誌設定，讓資源擁有者可從以下選項中選擇：

伐木目的地 Purpose 預設使用
Community Log Analytics 工作區 支援集中監控與跨區分析 Optional
Enclave Log Analytics 工作空間 維持隔離區層級的隔離性與資料主權 虛擬網路流量日誌的預設

你可以在部署期間或部署後，透過 Azure 入口網站、CLI 或 Bicep/ARM 範本來設定診斷設定。

Important

虛擬網路 Flow Logs 依預設一律會傳送至隔離區專屬的工作區，以確保即使在隔離環境中，仍能保留網路層級的可視性。

常見的可觀察性情境

狀況 伐木策略
跨區健康儀表板 將所有 enclave 的診斷資料傳送到集中式的 Community Log Analytics 工作空間
受管制的隔離區域，並具備嚴格的資料管控 將診斷資料保留在 enclave 專屬的 Log Analytics 工作空間內
長期保留以供審計使用 將日誌傳送到具有政策控制保留設定的儲存帳號
網路調查或威脅狩獵 使用 enclave 工作區來分析預設的虛擬網路流量日誌

配置 網路監看員 資源群組

為避免建立 虛擬網路流量記錄 時可能發生的問題，請預先手動設定 NetworkWatcherRG 資源群組，並在該資源群組上將 Owner 角色指派給 Mission Enclave 應用程式，或者先確認系統已自動完成該設定與角色指派，再建立該訂閱中的第一個隔離區。

為降低此潛在問題，針對每個訂閱，請在新訂閱中手動建立名為 NetworkWatcherRG 的 NetworkWatcher 資源群組，然後在 NetworkWatcherRG 上將 Mission Enclave Azure Enclave App Owner 授與：

  1. 選擇 NetworkWatcherRG 資源群組，選擇 Access control (IAM)，然後選擇 Add 和 Add role assignment。

    截圖顯示資源群組新增角色選擇在入口網站中。

  2. 選擇 Privileged administrator roles、選擇 owner、再選擇 Next。

    截圖顯示入口網站中「新增擁有者角色」的選取畫面。

  3. 選取Select members，在搜尋中輸入Mission Enclave，然後選取Mission Enclave應用程式，選取Select，再選取Next。

    截圖顯示如何在入口網站中選擇 Mission Enclave 應用程式。

  4. 如果你的訂閱需要條件，請選擇 Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)，然後選擇 Review + assign。

    如果您的訂閱需要此功能，顯示新增條件畫面的螢幕擷圖。

  5. 更新完成後，你就可以開始部署 Azure Enclave 資源。

當社群或 Enclave 建立後，Azure Enclave 會嘗試執行下列步驟：

  1. 檢查 NetworkWatcherRG 是否存在。 如果不存在，請嘗試建立該資源群組。
  2. 檢查 Mission Enclave App 是否在 NetworkWatcherRG 上有永久Owner指派。 如果沒有，請嘗試將 Mission Enclave App 在 NetworkWatcherRG 上設為永久 Owner 指派。 即使已存在繼承的 Owner 權限，仍會嘗試建立永久性的 Owner 指派。
  3. 若任何步驟失敗，enclave 部署在嘗試建立虛擬網路流量記錄時可能會失敗。
  • Last updated on