Azure エンクレーブは、複数の境界保護層とガードレールを介して多層防御を提供し、データを保護します。
- ロールベースのアクセス制御 (RBAC) - すべてのAzure リソースの標準アクセス管理システム。 セキュリティ プリンシパルは、Microsoft Entra ID から取得されます (たとえば、コミュニティ所有者やエンクレーブ所有者など)。
- Azure Policy - 組織の標準を適用し、コンプライアンスを大規模に評価するためのポリシー エンジン。 Azure Policyは、ポリシー定義と呼ばれるビジネス ルールに対して、Azure Resource Manager (ARM) 要求とリソースを評価します。 ポリシーは、ワークロード リソース グループで割り当てられ、マネージド リソース グループ スコープをエンクレーブします。 また、どの Azure サービスをデプロイできるか、およびワークロードをどのエンクレーブ仮想ネットワークにデプロイできるかを制御するためにも使用されます。
- Azure Virtual Wide Area Network - セキュリティ、ルーティング、接続を管理するためのソフトウェア定義のワイド エリア ネットワーク。 Virtual WAN実装には、セキュリティで保護されたハブがAzure Firewallによって保護されています。
- Azure Firewall - クラウドネイティブのインテリジェントネットワークファイアウォールセキュリティサービスで、コミュニティへの出入りするネットワークトラフィックおよびコミュニティ内のエンクレーブ間の内部トラフィックフローに対して最高レベルの脅威保護を提供します。
- Azure Virtual Network - プライベート Azure リソースをホストするためのソフトウェア定義ネットワーク。 エンクレーブでは、ワークロードはプライベート IP アドレスを使用します。フローはコミュニティAzure Firewallを通じて強制されます。 エンクレーブの所有者のみが、エンクレーブのVirtual Networkを作成または変更できます。 ネットワークの細分性を高めるためにサブネットが含まれています。
- ネットワーク セキュリティ グループ - Azure 仮想ネットワーク内の Azure リソースとの間で送受信されるトラフィックをフィルター処理する、OSI レイヤー 3 および 4 のネットワーク セキュリティ サービス。 これは、OS ファイアウォールとコミュニティ Azure Firewallによって提供される制御の補足です。 すべてのフローは NSG フロー ログを介してログに記録されます。
- ワークロード - クラウド サービスと、仮想ネットワーク内でホストされているインストール済みソフトウェアの組み合わせ。 サービスはVirtual Networkにデプロイされるか、Virtual Networkにリンクされるため、フローは中央Azure Virtual WANを介してAzure Firewallによって制御されます。
Note
Virtual Network統合は、プラットフォーム リソースを分離する 1 つのパターンにすぎません。 Microsoft Entra IDや属性ベースのAccess Controlなど、他の ID およびアクセス管理ソリューションを使用してワークロードをさらに分離できます。
- シークレット、ログ記録、監視 - エンクレーブ固有のシークレット ストア (Key Vault) と Log Analytics ワークスペース。 これらのサービスはプラットフォームサービスですが、エンクレーブ仮想ネットワーク(ファイアウォール+プライベートエンドポイント)内からのみアクセス可能です。Azure Enclave管理および顧客ワークロードリソースは、診断設定データとAzureアクティビティログを自動的に記録します。 コミュニティ所有者は、新しいエンクレーブを作成する際に、このログ データの宛先（エンクレーブの Log Analytics ワークスペース、コミュニティの Log Analytics ワークスペース、またはその両方）を選択できます。
階層型セキュリティ
Azure エンクレーブによって提供される多層保護は次のとおりです。
物理的なセキュリティ: Microsoftでは、Azureデータ センターが保護され、セキュリティで保護されるように、厳格なセキュリティ対策が適用されます。 これは、Air-Gapped クラウド環境と商用クラウド環境の両方に当てはまります。
仮想ネットワーク分離: Azure Virtual WAN、Firewall、Policy、Role Based Access Controls (RBAC)、Network Watcher、Monitor、Microsoft Sentinel、Defender などの機能を活用して組み合わせることで、データの所在とアクセスしているユーザーを常に把握できるようにする次世代のゼロ トラスト ネットワーク。
仮想接続管理: 内部または外部のすべての接続は、不正アクセスを防ぐために、厳密なユーザー定義規則によって管理されます。
Azure Policy の適用: コミュニティ、Enclave、ワークロードの各レベルで組み込まれたポリシーにより、環境全体の一貫性とコンプライアンスを監査または強制し、環境を安全な状態に維持します。
必須Access Control - Azureエンクレーブ リソースへのアクセスは、サブスクリプション、リソース グループ、個々のリソースまで、任意のスコープで割り当てることができる組み込みの RBAC ロールによって制御されます
必須の可観測性: Azure エンクレーブ サービスは、Microsoft Sentinel、Defender、その他のネットワーク監視およびセキュリティ ツールとの統合を通じて、Azureの組み込みのログ記録、アラート、監査機能の完全な機能を統合して、データのセキュリティを確保します。
