Zum Hauptinhalt springen
Verbinden Sie Ihren Azure-Tenant, damit Enclave die Ressourcen und Identitäten in jeder Subscription erfassen und mit Ihrem Code verknüpfen kann. Der Zugriff ist rein lesend, und es müssen keine Secrets gespeichert werden.

​
Was Enclave benötigt

Enclave verbindet sich über eine mandantenfähige Microsoft-Entra-App, die Enclave gehört. Sie erteilen ihr zwei Dinge:
  • Admin Consent für die Enclave-App. Dazu gehört die Microsoft-Graph-Berechtigung Directory.Read.All, mit der Enclave Entra-Identitäten wie Service Principals, Anwendungen und Gruppen liest.
  • Die Rolle Reader auf Ihrer Tenant Root Management Group. Reader auf Root-Ebene wird von jeder Subscription im Tenant geerbt, auch von später erstellten.

​
Wer das Setup starten kann

  • Um Admin Consent zu erteilen, benötigen Sie eine Entra-Rolle, die für die gesamte Organisation zustimmen darf.
  • Um den Cloud-Shell-Befehl auszuführen, benötigen Sie die Berechtigung, Rollenzuweisungen auf der Tenant Root Management Group zu erstellen.
  • In Enclave benötigen Sie die Rolle Owner oder Admin.

​
Tenant verbinden

1

Setup-Seite öffnen

Öffnen Sie Settings → Integrations und klicken Sie neben Microsoft Azure auf Connect.
2

Admin Consent erteilen

Klicken Sie unter Connect Microsoft auf Connect Microsoft. Melden Sie sich als Entra-Admin an und genehmigen Sie die Enclave-App für Ihre Organisation. Enclave wartet auf die Zustimmung und zeigt dann den nächsten Schritt an.
3

Reader auf Tenant-Root-Ebene erteilen

Kopieren Sie unter Grant tenant-root Reader den Befehl. Öffnen Sie Azure Cloud Shell und führen Sie ihn aus. Der Befehl sieht so aus:
4

Validieren

Klicken Sie zurück in Enclave auf Validate. Enclave prüft, ob es die Subscriptions Ihres Tenants auflisten kann.
Nach der Validierung erkennt Enclave Ihre Subscriptions beim nächsten Scan. Jede Subscription erscheint dann als eigener Eintrag in der Verbindung.

​
Was Enclave erkennt

  • Infrastruktur: jede Ressource in jeder Subscription, gelesen über Azure Resource Graph.
  • Netzwerktopologie: Subnetze, Routen und Firewall-Regeln.
  • Identitäten: Rollenzuweisungen und -definitionen, Managed Identities sowie Entra Service Principals, Anwendungen und Gruppen. Enclave verknüpft virtuelle Maschinen und andere Compute-Ressourcen mit den Managed Identities, unter denen sie laufen.

​
Verbindung verwalten

Öffnen Sie Settings → Integrations → Microsoft Azure, um Ihre verbundenen Subscriptions zu sehen.
  • Re-validate prüft, ob Enclave eine Subscription weiterhin lesen kann.
  • Remove beendet den Scan einer Subscription.
  • Disconnect Azure entfernt die gesamte Verbindung und beendet die Scans.
Um den Zugriff in Azure zu widerrufen, entfernen Sie die Zustimmung für die Enclave-App in Entra und löschen Sie ihre Reader-Rollenzuweisung auf Tenant-Root-Ebene.

​
Was Enclave tut und was nicht

  • Tut: Ressourcenkonfiguration und Identitäten mit der Rolle Reader und Directory.Read.All lesen.
  • Tut nicht: Ressourcen erstellen, ändern oder löschen oder den Inhalt Ihrer Dateien, Secrets, Nachrichten oder Datenbanken lesen. Enclave speichert keine Anmeldedaten für Ihren Tenant. Jeder Scan verwendet kurzlebige Tokens.

​
Fehlerbehebung

Die Reader-Rollenzuweisung fehlt oder ist noch nicht wirksam. Führen Sie den Cloud-Shell-Befehl erneut aus, warten Sie eine Minute und klicken Sie dann auf Revalidate.
Wenn die Verbindung Tenant validated. Subscriptions are discovered on the next scan. anzeigt, hat Enclave noch nicht gescannt. Um sofort zu scannen, klicken Sie in Coverage auf Analyze Environment.
Die Erkennung von Identitäten erfordert die Zustimmung für Directory.Read.All, die von der Rolle Reader getrennt ist. Erteilen Sie der Enclave-App erneut Admin Consent.