エンクレーブとは

エンクレーブは、コミュニティに属する分離されたAzure Virtual Networkです。 ネットワークの分離、監視、セキュリティ の境界を 必要とする 1 つ以上のワークロードをホストします。 エンクレーブ エンドポイントを使用してエン クレーブ を接続し、セキュリティで保護された エンクレーブ間通信を有効にすることができます。

エンクレーブを作成する理由

エンクレーブにより、セキュリティ、ガバナンス、およびリソースの分離の境界が提供されます。 各エンクレーブには次の機能があります。

  • ネットワークの分離: エンクレーブは、エンクレーブの既定値以外から分離されます。 トラフィックは、許可されたMicrosoft サービスと、エンクレーブ エンドポイントを使用して明示的に有効にする接続に制限されます。
  • 組み込みの監視と監査ログ: エンクレーブ内のすべてのアクティビティが自動的に Log Analytics ワークスペースに送信され、環境内で何が起こっているかを把握できます。
  • 共有セキュリティ ポリシー: エンクレーブ内のリソースはエンクレーブのセキュリティ体制を継承するため、ワークロード間で一貫性のあるポリシーを簡単に適用できます。

エンクレーブのアーキテクチャ

エンクレーブには、次のプラットフォームで管理されるリソースが付属しています。

ネットワーク

監視とアクセス

  • Log Analytics ワークスペース: エンクレーブ リソースの診断ログと監視を提供します。 Azure Enclave とユーザーがデプロイしたリソースは、ログをここへ送信できます。ルーティングは診断設定で構成できます。
  • Azure Bastion: エンクレーブ内のリソースへの安全な RDP/SSH 管理者アクセスを提供します。

エンクレーブを使用してデプロイされたマネージド リソースとデプロイされたリソースを示す図。

マネージド リソース グループをエンクレーブする

エンクレーブを作成すると、Azure エンクレーブ リソース プロバイダーによって、プラットフォームで管理されているすべてのリソースを保持するマネージド リソース グループが作成されます。 拒否割り当てにより、このリソース グループに対する未承認の変更が防止され、エンクレーブの分離とセキュリティ境界が偶発的または悪意のある変更から保護されます。 このメカニズムにより、プラットフォームで管理されるリソースは、セキュリティで保護された一貫性のある状態を維持できます。

メンテナンス モード

メンテナンス モードでは、エンクレーブ所有者は特権メンテナンス タスクの拒否割り当て制限を一時的にバイパスできます。 拒否割り当てをバイパスすることは、分離保護を失うことなくマネージド リソースに制御された変更を加える必要がある場合に便利です。 一般的なユース ケースは次のとおりです。

  • ネットワーク構成の更新プログラムの適用
  • エンクレーブ セキュリティ ポリシーの更新
  • 監視またはログ設定の変更

メンテナンス モードの詳細を確認します。

Azure Enclave は enclave 仮想ネットワークの権限を持ちます

Azure Enclaveがエンクレーブをプロビジョニングすると、隔離されたゼロトラスト境界の一部としてエンクレーブのVirtual Networkを作成し、継続的に管理します。 Azure EnclaveはそのVirtual Networkの権威あるコントロールプレーンであり、ネットワークトポロジー、ルーティング、構成を所有しており、Virtual Networkをエンクレーブ接続管理にバインドします。これには、エンクレーブエンドポイント、エンクレイブ接続、エンクレイブサブネット機能などのリソースタイプや機能が含まれます。

エンクレイブがこの権威的な状態を保持しているため、エンクレイブのVirtual Networkとそのリソースを変更するのはAzure Enclave管理体験を通じてのみです。 Virtual Networkを直接編集すると、たとえメンテナンスモード(例えばAzureポータル、Azure CLI、Azure Enclave外のARM/Bicep経由)であっても、設定がずれてしまいます。 Virtual NetworkがAzure Enclave管理から離れると、Enclave接続管理はネットワークを確実に調和できなくなり、それに依存する機能が機能しなくなることがあります。

  • エンクレーブエンドポイントがプロビジョニングや解決に失敗することがあります。
  • エンクレイブ接続が確立されなかったり、切断されたりすることがあります。
  • エンクレイブのサブネット機能、例えば委任されたサブネットやエンクレイブ管理のサブネット設定が利用できなくなる可能性があります。

Important

Azure EnclaveをEnclave Virtual Networkの唯一の真実のソースとして扱いましょう。 Virtual Networkを直接編集するのではなく、エンクレイブのManage体験を通じてVirtual Networkやサブネットの変更を行うのが良いでしょう。

エンクレーブ内のサブネット委任

エンクレイブ内のVirtual Network内のサブネットはAzureサブネット委任をサポートしています。 委任は特定のAzureサービスで使用されるサブネットを指定し、そのサービスがそのサブネット内でサービス固有のリソースを作成・管理できるようにします。 サブネット委任をエンクレーブ経由でサブネットを作成または管理する際に設定し、委任がエンクレーブの権威状態でキャプチャされ、エンクレーブ接続管理と整合性を保つようにしましょう。 Azure Enclaveを経由せず、サブネットを直接Virtual Networkに委譲することは、ドリフトを引き起こす操作です。

サブネットの追加や管理の手順については、「 エンクレイブ内のサブネットを作成する」をご覧ください。

テンプレート

テンプレート ドキュメントを参照してください。

マネージド リソース

エンクレーブ マネージド リソース グループには、次の種類のリソースがデプロイされます。

次のステップ

  • Last updated on