Azure エンクレーブとは

Azure エンクレーブは、最も機密性の高いワークロードに対して、セキュリティで保護され、分離され、準拠しているクラウド環境のデプロイと管理を加速し、合理化します。 Azureエンクレーブは、商用環境およびエアギャップ環境向けに設計されています。

Important

Azure エンクレーブは現在プレビュー段階であり、サービス レベル アグリーメントなしで提供されています。 現時点では、Azure エンクレーブは運用環境のワークロードには使用しないでください。 特定の機能がサポートされていない、機能が制限されている、またはすべてのAzureの場所で使用できない場合があります。 ベータ版、プレビュー版、またはその他の一般提供にまだリリースされていないAzure機能に適用される法的条件については、Azureエンクレーブの使用条件を参照してください。

Azure エンクレーブは、仮想境界保護に対して多層および階層型のアプローチを採用します。 コミュニティは、エンクレーブと呼ばれる分離されたネットワークのコレクションのネットワーク、ガバナンス、監視の中心的なハブとして機能します。 Azureエンクレーブは、構成されたエンクレーブ ネットワーク パスのハブとファイアウォールのルーティングと、仮想ネットワーク フロー のログ記録を管理します。 エンクレーブは、Azure サービス ワークロードをホストする、分離されたゼロトラストのソフトウェア定義ネットワーク (Azure Virtual Network) です。 エンクレーブとワークロードは、ポリシー構成管理 (Azure Policy) によって管理されます。

コミュニティとエンクレーブのアーキテクチャ例を示す図。

高速デプロイと管理

Azure エンクレーブにより、セキュリティで保護された準拠しているクラウド環境を作成および管理するために必要な時間と複雑さが大幅に削減されます。 従来のセキュリティで保護された環境のデプロイには、数週間または数か月の計画、構成、テストが必要になる場合があり、それでも重要な分離とポリシー制御が不足している可能性があります。 Azure Enclaveは、Enclaveの管理型インフラと組み込みのセキュリティコントロールを通じて、展開時間を数時間から数日に短縮Azure顧客やユーザーに集中できるようにします。

分離された仮想ネットワークとワークロード

Azure エンクレーブを使用すると、分離されたゼロトラストの新しいソフトウェア定義ネットワークを簡単に作成し、それらのネットワークにワークロードをデプロイして、Azureのビジネス要件を満たすことができます。

  • コミュニティ - 孤立したゼロトラストのAzure Enclave管理型仮想WAN境界をAzure Firewall、ポリシーガードレール、ロールベースアクセス制御(RBAC)拒否割り当ての組み合わせで保護し、1つ以上のエンクレーブのハブとして機能します。 コミュニティのエンドポイントやトランジットハブリソースを通じて、コミュニティ外の接続を管理し、信頼できる目的地への接続を可能にします。 既定では、コミュニティ内のすべてのエンクレーブとワークロードに対してログと診断が有効になります。 各エンクレイブはログデータをコミュニティに送信することも、エンクレイブに限定するか、両方にログを送信することも可能です。

  • Enclaves - 孤立したゼロトラストのAzure Enclave管理仮想ネットワークで、ネットワークセキュリティグループ(NSG)、ポリシーガードレール、RBAC拒否割り当ての組み合わせで保護され、1つ以上のワークロードの仮想ネットワークとして機能します。 エンクレーブの仮想ネットワークやNSGを直接変更することはできません。 ネットワーク接続を確立するために、エンクレーブエンドポイントやエンクレイブリソースを通じて管理しなければなりません。

  • ワークロード - ワークロード リソース グループをエンクレーブにリンクする論理グループ。 ワークロード リソース グループは、カスタマー マネージド Azure リソースをデプロイする場所です。 これらのリソースは、エンクレーブのセキュリティ体制、ポリシー、アクセス許可を継承します。

Azureの管理レイヤー内の Azure エンクレーブ レイヤーを示す図。

何がデプロイされるか

Azure Enclave リソースをデプロイすると、次のリソースがデプロイされます。

  • コミュニティ - コミュニティ管理リソース グループには、コミュニティ作成時の選択に応じて、これらのリソースが含まれます。

    • Azure Virtual WAN
    • Azure Firewall
    • ファイアウォール ポリシー
    • ポリシー適用用のマネージド ID
    • Log Analytics ワークスペース
    • (省略可) データ収集ルール (エンクレーブ ログをコミュニティに送信するよう構成した場合の、エンクレーブ Virtual Network フロー ログ分析用)
    • (省略可) データ収集エンドポイント (エンクレーブのログをコミュニティに送信するように構成した場合の、エンクレーブ Virtual Network のフロー ログ分析用)

    Note

    Virtual WANリージョン ハブ - エンクレーブがデプロイされる新しいリージョンごとにエンクレーブの作成時に、セキュリティで保護されたハブ (Virtual WAN ハブとAzure Firewall) が作成されます。 Virtual WAN転送用ハブ - トランジット ハブを作成すると、選択に応じて次のいずれかのリソースも作成されます。

    • VPN Gateway
    • ExpressRoute ゲートウェイ
    • 仮想ネットワーク接続

  • エンクレーブ

    • Virtual Network
    • 各サブネットのネットワーク セキュリティ グループ (各顧客サブネットに 1 つ必要、1 つ)
    • マネージド ID。1 つはポリシー適用用、1 つはVirtual Network フロー ログ用
    • ネットワーク フロー ログのストレージ アカウント
    • ストレージ アカウントでのネットワーク フロー ログの暗号化のKey Vault
    • （省略可）エンクレーブへのログ記録を選択した場合の Log Analytics
    • （オプション）データ収集ルール（エンクレーブ ログがエンクレーブに送信されるように構成している場合の、エンクレーブ仮想ネットワークのフロー ログ分析用）
    • (オプション) データ収集エンドポイント (エンクレーブ ログをエンクレーブに送信するように構成した場合の、エンクレーブ Virtual Network のフロー ログ分析用)
    • (省略可能)Azure Bastion
    • (省略可能)Azure Bastion サブネット
    • (省略可能)Azure Bastionのパブリック IP アドレス

  • ワークロード

仮想接続の管理

Azureエンクレーブを使用すると、コミュニティ、エンクレーブ、ワークロードを、Azureとオンプレミスの両方の他のネットワークとリソースに簡単に接続できます。

  • エンクレーブ エンドポイント は、エンクレーブまたは個々のワークロードへの簡素化された標準化された接続を可能にするネットワーク規則のコレクションです。
  • コミュニティ エンドポイント は、パブリック Web サイト、既知のサービス、外部プライベート ネットワークなど、信頼できる宛先への外部接続を可能にするネットワーク規則のコレクションです。
  • トランジット ハブをコミュニティ エンドポイント ルールに関連付けて、VPN Gatewayまたは ExpressRoute 経由で外部プライベート ネットワークへのサイト間接続をセキュリティで保護できます。
  • エンクレーブ接続 はコミュニティまたはエンクレーブ エンドポイントに関連付け、エンドポイント内で定義されている規則に基づいてネットワーク トラフィックを許可します。

多層ガバナンス、セキュリティ、および監視

Azure エンクレーブは、サービスに直接組み込まれた次のセキュリティ層を提供します。

  • Azure Policy ガードレール - コミュニティ、エンクレーブ、ワークロードで許可されるリソースの種類と構成を制御するのに役立ちます。
  • マネージド ネットワーク境界 - マネージド エンドポイント、接続、ネットワーク セキュリティ グループ、およびAzure Firewallを介して承認されたトラフィックをルーティングします。
  • ログ記録と監視 - 構成に応じて、アクティビティと診断をコミュニティ Log Analytics ワークスペース、エンクレーブ ワークスペース、またはその両方に送信します。
  • アクセス制御 - Azureの役割を使用し、割り当てを拒否してAzure Enclave管理リソースへの不正な変更を防ぎます。
  • 接続管理 - エンクレーブ エンドポイント、コミュニティ エンドポイント、トランジット ハブ、エンクレーブ接続を使用して、明示的に定義されたトラフィックのみを許可します。
  • サービス カタログ - 反復可能なワークロード リソースのデプロイ用に検証済みのデプロイ テンプレートを提供します。

ガバナンス ガイダンスの詳細については、エンクレーブのベスト プラクティスとアクセス制御に関するページを参照してください。

深層防御

Azure エンクレーブは、次のような既存のAzureセキュリティおよび監視サービスとの統合を簡素化します。

Microsoft Sentinel: Microsoft Sentinelのセキュリティ情報イベント管理 (SIEM) とセキュリティ オーケストレーション、自動化、応答 (SOAR) 機能と Azure エンクレーブを組み合わせて、クラウド環境全体で脅威の検出、調査、対応を強化します。

Azure Monitor: Azure Monitorの高度な分析の恩恵を受けて、Azureエンクレーブ操作のエンドツーエンドの可視性と詳細な監視を実現します。

Microsoft Defender for Cloud: Microsoft Defender for Cloudの包括的な脅威保護機能とセキュリティ ベースラインの分析情報を使用して、Azure エンクレーブを強化します。

Azure Virtual Desktop: エンクレーブをAzure Virtual Desktopと統合して、どこからでも安全なリモート デスクトップ エクスペリエンスをユーザーに提供します。

エンクレーブAzure多層防御を組み込む方法の詳細について説明します。

次のステップ

新しい Azure Enclave リソースについて学ぶための、そのほかの記事を次に示します。

  • Last updated on