Distribuisci bus di servizio dal catalogo servizi in un workload

Azure Enclave è un servizio di networking cloud che offre alle organizzazioni che gestiscono dati altamente sensibili la possibilità di distribuire e gestire rapidamente carichi di lavoro su larga scala nei cloud Azure commerciali e nei cloud Azure isolati. Questo avvio rapido spiega come:

• Distribuire un modello di catalogo di servizi per un bus di servizio in un carico di lavoro esistente dal portale.

Prima di iniziare

• Questa guida introduttiva rapida presuppone una conoscenza di base dei concetti di rete e di Azure Enclave. Per altre informazioni, vedere Concetti e procedure consigliate di Azure Enclave.

• È necessario un account Azure con una sottoscrizione attiva. Se non ne hai uno, crea gratuitamente un account.

• Sono necessarie una community, un enclave, un carico di lavoro e almeno un gruppo di risorse del carico di lavoro e autorizzazioni per creare risorse all'interno del gruppo di risorse del carico di lavoro.

• Abilitare la Advancedmodalità di manutenzione per l'enclave in modo da poter aggiungere le risorse collegamento privato al gruppo di risorse gestite dall'enclave.

Prerequisiti

Esistono requisiti di salvaguardia per le enclave per garantire che le risorse delle enclave siano crittografate utilizzando chiavi gestite dal cliente (CMK). Ciò richiede una chiave e un'identità per accedere alla chiave accessibile nell'enclave. Creare la CMK (un insieme di credenziali delle chiavi facoltativo) e l'identità gestita nel modello del catalogo di servizi Dipendenze comuni

1. Subnet per endpoint privati: è possibile creare subnet durante la creazione dell'enclave oppure creare nuove subnet dopo la creazione dell'enclave. La subnet per l'endpoint privato non deve avere alcuna delega della subnet affinché gli endpoint privati funzionino correttamente.
2. Creare rapidamente queste zone DNS privato in base a quanto creato di seguito:
   • Key Vaultobbligatorio quando si crea un Key Vault da questo modello o il modello di Key Vault più personalizzabile.
   • privatelink.servicebus.windows.net in Additional DNS privato Zone names, necessario per accedere privatamente a Cosmos DB.
3. Per questo modello sono necessari un Key Vault, una chiave gestita dal cliente e un'identità gestita. Creare un insieme di credenziali delle chiavi, un CMK e un'identità gestita nell'avvio rapido del catalogo dei servizi Dipendenze comuni oppure crearne di totalmente nuovi.
   • Queste risorse devono essere create all'interno di un gruppo di risorse del carico di lavoro.
   • Dopo aver creato l'identità gestita dall'utente, verificare che abbia accesso alla chiave CMK
     • Assegnare il ruolo RBAC Key Vault Crypto Service Encryption User all'identità gestita con ambito nell'insieme di credenziali delle chiavi seguendo queste istruzioni. In questo modo è possibile assegnare successivamente l'identità gestita a un'altra risorsa, ad esempio una macchina virtuale, e tale macchina virtuale può crittografare il disco del sistema operativo con la CMK nell'insieme di credenziali senza disporre delle autorizzazioni per eseguire altre operazioni nell'insieme di credenziali, secondo il principio del privilegio minimo.

Implementare il modello

1. Passare al carico di lavoro per la distribuzione prevista.
2. Selezionare il pulsante Add Service.
3. Selezionare il bus di servizio modello di servizio dall'elenco a discesa del catalogo dei servizi, confermare la versione necessaria (impostazione predefinita: latest) e selezionare .Next

1. Passare attraverso ogni scheda e immettere tutti i parametri obbligatori.
2. Modifica uno qualsiasi dei parametri precompilati secondo necessità.
3. Selezionare Review + Create quindi Create.

Il completamento della creazione di tutte le risorse può richiedere fino a 30 minuti. Attendere che la distribuzione venga completata correttamente prima di eseguire eventuali azioni all'interno delle risorse distribuite.

Convalidare la distribuzione

Passare al gruppo di risorse specificato per verificare che siano state create le risorse desiderate. Tra cui: bus di servizio

Connect

Tramite la VM di amministrazione: la VM di amministrazione viene utilizzata per consentire agli amministratori di accedere alle risorse all’interno del perimetro dell’enclave dall’esterno del perimetro. La macchina virtuale di amministrazione può anche essere denominata "jumpbox".

1. Accedere alla macchina virtuale amministratore distribuita per l'enclave o creare una nuova macchina virtuale amministratore
2. Dal menu Start digitare RDPe aprire la finestra RDP
3. Immettere l'indirizzo IP della macchina virtuale come indirizzo IP di destinazione per la connessione RDP.
4. Immetti le credenziali della macchina virtuale e seleziona Accept/Yes per gli avvisi relativi a una nuova connessione.
5. Dal desktop della macchina virtuale, verificare eventuali impostazioni della VM configurate durante la distribuzione. In caso contrario, iniziare a usare le nuove risorse.

Eliminare la distribuzione

Se non prevedi di mantenere queste risorse, elimina quelle non necessarie per evitare addebiti di Azure. Se non esistono altre distribuzioni nel gruppo di risorse, è possibile eliminare l'intero gruppo di risorse.

Recommendations

• Aggiungere tag alle distribuzioni del catalogo dei servizi per tenere traccia di informazioni importanti per tale risorsa, ad esempio:
  • Proprietario: <main POC>
  • Deployer: <yourName>
  • Scopo: <service comms>
  • Nome del catalogo servizi: <bus di servizio>
  • Versione del catalogo dei servizi: <version you deployed>
• Prendere in considerazione l'aggiunta di un Criteri di Azure per applicare ed ereditare i tag