デフォルトでは、すべてのenclaveワークロードはAzure Enclave管理のAzure Policy Initiativesに従い、詳細はAzure Enclaveのガバナンス/ガバナンスに記載されています。 このポリシーセットは、Azure Enclave管理のAzure Policy Initiative割り当てを通じてすべてのユーザーワークロードを管理します。
特定のエンクレーブ所有者の場合、このレベルのガバナンスは保護されすぎたり、さまざまな理由で十分に保護されない可能性があります。 たとえば、一部のエンクレーブ所有者には、ワークロードにパブリック IP アドレスを設定するための規制要件がある場合がありますが、Azureエンクレーブ ガバナンス/ガバナンス ポリシーを使用すると、セキュリティまたはコンプライアンス上の理由からパブリック IP アドレスの作成がブロックされます。
現在、この例はワークロード上のガバナンスにおける期待される挙動です。 しかし、エンクレイブ所有者がエンクレーブガバナンスに対してより柔軟性や細かさを求める場合は、Azure Enclave管理のAzureポリシーを手動で免除することができます。 これらの変更を行うには、ポリシー例外と呼ばれるネイティブのAzure Policy機能を使ってください。 しかし、エンクレイブ所有者は、エンクレーブ内のワークロードに対するプラットフォーム設計のガバナンス動作を具体的に修正しなければなりません。
Overview
まず、エンクレーブ所有者は、ワークロード内でどのAzure Policy イニシアティブの割り当てにカスタムの適用除外動作が必要かを特定する必要があります。 ポリシーの除外を 使用すると、管理者は、イニシアチブまたは定義の評価からリソース階層または個々のリソースを除外できます。
これらのイニシアティブの割り当てが特定されると、エンクレーブ所有者は独自のポリシー除外を作成して管理できます。 これらの手順を実行する方法の詳細については、除外を作成および管理する方法の詳細を参照してください
この図では、contoso4-aadconnect エンクレーブ内のcontoso4 ワークロード内のポリシー イニシアチブの割り当てには除外が必要です。
Azure Policyの除外を調査するためにさらにトラブルシューティングが必要な場合は、Azure サポートにお問い合わせください。
