Azure Enclave는 중요 업무용 환경의 안전하고 확장 가능하며 중앙 집중식 모니터링을 지원하는 기본 제공 관찰 기능을 제공합니다. 이러한 기능은 커뮤니티 관리자와 Enclave 소유자가 규정 준수를 적용하고, 변칙을 조사하고, 격리된 워크로드에서 운영 상태를 보장하는 데 도움이 됩니다.
다음은 Azure Enclave 리소스에 대해 기본적으로 사용하도록 설정됩니다.
- Log Analytics 작업 영역은 기본적으로 커뮤니티 관리 리소스 그룹에 배포됩니다.
- (선택 사항) Log Analytics 작업 영역이 enclave 관리되는 리소스 그룹에 배포됨
- Storage 계정이 Enclave 관리되는 리소스 그룹에 배포됨
- 각 enclave별 가상 네트워크 흐름 로그가 활성화되고, enclave 스토리지 계정을 대상으로 지정하며, 커뮤니티 및/또는 enclave Log Analytics 작업 영역으로 전달됩니다.
- 진단 설정은 커뮤니티 및 Enclave 관리 리소스 그룹 모두에 배포된 리소스에서 사용하도록 설정됩니다.
중앙 집중식 및 격리된 관찰 가능성
Azure Enclave의 관찰성은 Azure Monitor, Log Analytics 및 스토리지 계정을 사용하여 중앙 집중식 및 enclave 격리 진단 로깅을 모두 지원하는 이중 계층 로깅 모델을 기반으로 합니다.
커뮤니티 수준 관찰 가능성
Azure Enclave에서 만든 모든 커뮤니티에는 중앙 집중식 Log Analytics 작업 영역이 포함됩니다. 이 작업 영역은 다음을 수행하도록 설계되었습니다.
- 커뮤니티 내의 모든 Enclave에서 진단 및 메트릭을 집계합니다.
- 진단 및 흐름 로그를 모니터링하고 쿼리하기 위한 단일 창을 제공합니다.
- Enclave 간 분석, 경고 및 규정 준수 추적을 지원합니다.
커뮤니티가 만들어지면 작업 영역이 자동으로 만들어집니다. 배포 또는 업데이트 작업 중에 enclave 또는 워크로드 소유자가 작업 영역을 진단 대상으로 선택할 수 있습니다. 커뮤니티 Log-A 작업 영역에 대한 공용 액세스는 사용하지 않도록 설정되지만 기본적으로 네트워크 격리되지는 않습니다. 공용 액세스 또는 네트워크 격리를 구성하려면 프라이빗 링크 보안을 추가하는 것이 좋습니다.
메모
Enclave 리소스(예: 워크로드, 공용 IP 또는 Application Gateway)의 진단 설정은 통합 모니터링을 지원하기 위해 중앙 집중식 작업 영역으로 로그를 보내도록 구성할 수 있습니다.
Enclave 수준의 가시성
커뮤니티 작업 영역 외에도 각 Enclave는 해당 enclave로 특별히 범위가 지정된 격리된 Log Analytics 작업 영역으로 프로비전됩니다. 이 작업 영역은 enclave 수준 로깅 사용 사례에 최적화되어 있으며 다음과 같은 특징을 포함합니다.
- 모든 enclave에 대해 자동으로 사용하도록 설정되는 Virtual Network 흐름 로그의 기본 스토리지입니다.
- 내부 워크로드 및 네트워킹 구성 요소와 같은 enclave 범위의 리소스에 대한 선택적 진단 설정입니다.
- Enclave 간 로그 집계를 방지하는 격리 또는 규정 요구 사항을 충족하도록 설계되었습니다.
관리자는 이 격리된 작업 영역에만 로그를 전송하여 enclave 진단을 비공개로 유지할 수 있습니다.
구성 가능한 로깅 대상
Azure Enclave는 리소스 소유자가 다음 중에서 선택할 수 있는 유연한 로깅 구성을 지원합니다.
| 로깅 대상 | Purpose | 기본 사용 |
|---|---|---|
| 커뮤니티 Log Analytics 작업 영역 | 중앙 집중식 모니터링 및 엔클레이브 간 분석 지원 | 선택 사항 |
| Enclave Log Analytics 작업 영역 | 엔클레이브 수준의 격리 및 데이터 주권 유지 | 가상 네트워크 흐름 로그의 기본값 |
배포 중 또는 배포 후에 Azure 포털, CLI 또는 Bicep/ARM 템플릿을 통해 진단 설정을 구성할 수 있습니다.
Important
가상 네트워크 흐름 로그는 격리된 환경에서도 네트워크 수준의 가시성이 유지되도록 기본적으로 항상 엔클레이브별 작업 영역으로 전송됩니다.
일반적인 관찰 가능성 시나리오
| Scenario | 로깅 전략 |
|---|---|
| 엔클레이브 간 상태 대시보드 | 모든 enclave에서 중앙 집중식 커뮤니티 Log Analytics 작업 영역으로 진단 보내기 |
| 엄격한 데이터 통제가 적용되는 규제된 격리 구역 | enclave별 Log Analytics 작업 영역 내에서 진단 유지 |
| 감사 목적으로 장기 보존 | 정책 제어 보존 설정을 사용하여 스토리지 계정에 로그 보내기 |
| 네트워크 조사 또는 위협 헌팅 | enclave 작업 영역을 사용하여 기본 가상 네트워크 흐름 로그 분석 |
Network Watcher 리소스 그룹 구성
가상 네트워크 흐름 로그 생성과 관련된 잠재적인 문제를 방지하려면 리소스 그룹을 미리 설정하고 NetworkWatcherRG 해당 리소스 그룹에 대한 역할을 앱 Mission Enclave 에 할당 Owner 하거나 구독에서 첫 번째 Enclave를 만들기 전에 설정 및 역할 할당이 자동으로 수행되었는지 확인합니다.
이 잠재적인 문제를 완화하려면 각 구독마다 새 구독에서 NetworkWatcherRG라는 NetworkWatcher 리소스 그룹을 수동으로 만든 다음, NetworkWatcherRG에 대해 Azure Enclave 앱에 Mission EnclaveOwner 권한을 부여합니다.
NetworkWatcherRG리소스 그룹을 선택하고Access control (IAM)을 선택한 다음,Add및Add role assignment을 선택합니다.
Privileged administrator roles을 선택하고,owner을 선택한 다음Next을 선택합니다.
를 선택하고
Select members, 검색에 입력Mission Enclave하고, 앱을 선택하고Mission Enclave, 다음Select을 선택합니다Next.
구독에 조건이 필요한 경우
Allow user to assign all roles except privileged administrator roles Owner, UAA, RBAC (Recommended)을 선택한 다음Review + assign을 선택합니다.
업데이트가 완료되면 Azure Enclave 리소스 배포를 시작할 수 있습니다.
커뮤니티 또는 enclave를 만들 때 Azure Enclave는 다음 단계를 시도합니다.
-
NetworkWatcherRG이(가) 존재하는지 확인합니다. 그렇지 않은 경우 해당 리소스 그룹을 만들려고 시도합니다. -
NetworkWatcherRG에서Mission Enclave앱에 영구Owner할당이 있는지 확인합니다. 그렇지 않은 경우Mission Enclave앱을NetworkWatcherRG에 영구Owner할당으로 할당해 보세요. 상속된Owner사용 권한이 있더라도 영구Owner할당 만들기가 시도됩니다. - 단계가 실패하면 가상 네트워크 흐름 로그를 만들려고 할 때 enclave 배포가 실패할 수 있습니다.