> ## Documentation Index
> Fetch the complete documentation index at: https://docs.enclave.ai/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> Enclave in these docs is the code and cloud security platform at enclave.ai. It is not Open Enclave, Intel SGX or other hardware enclaves, or enclave.gg.
> People use Enclave in the web app at https://app.enclave.ai or the desktop app. These docs describe no public Enclave API or CLI, so don't invent endpoints, commands, or config files.
> Connecting an integration needs a person to sign in and approve access in a browser. Tell the user the exact step to take instead of saying you completed it.

# Azure

> Verbinden Sie Ihren Azure-Tenant mit Admin Consent und der Rolle Reader mit Lesezugriff, ohne zu speichernde Secrets.

Verbinden Sie Ihren Azure-Tenant, damit Enclave die Ressourcen und Identitäten in jeder Subscription erfassen und mit Ihrem Code verknüpfen kann. Der Zugriff ist rein lesend, und es müssen keine Secrets gespeichert werden.

## Was Enclave benötigt

Enclave verbindet sich über eine mandantenfähige Microsoft-Entra-App, die Enclave gehört. Sie erteilen ihr zwei Dinge:

* **Admin Consent** für die Enclave-App. Dazu gehört die Microsoft-Graph-Berechtigung `Directory.Read.All`, mit der Enclave Entra-Identitäten wie Service Principals, Anwendungen und Gruppen liest.
* Die Rolle **Reader** auf Ihrer **Tenant Root Management Group**. Reader auf Root-Ebene wird von jeder Subscription im Tenant geerbt, auch von später erstellten.

### Wer das Setup starten kann

* Um Admin Consent zu erteilen, benötigen Sie eine Entra-Rolle, die für die gesamte Organisation zustimmen darf.
* Um den Cloud-Shell-Befehl auszuführen, benötigen Sie die Berechtigung, Rollenzuweisungen auf der Tenant Root Management Group zu erstellen.
* In Enclave benötigen Sie die Rolle **Owner** oder **Admin**.

## Tenant verbinden

**1. Setup-Seite öffnen**

Öffnen Sie **Settings → Integrations** und klicken Sie neben **Microsoft Azure** auf **Connect**.

**2. Admin Consent erteilen**

Klicken Sie unter **Connect Microsoft** auf **Connect Microsoft**. Melden Sie sich als Entra-Admin an und genehmigen Sie die Enclave-App für Ihre Organisation. Enclave wartet auf die Zustimmung und zeigt dann den nächsten Schritt an.

**3. Reader auf Tenant-Root-Ebene erteilen**

Kopieren Sie unter **Grant tenant-root Reader** den Befehl. Öffnen Sie [Azure Cloud Shell](https://shell.azure.com) und führen Sie ihn aus. Der Befehl sieht so aus:

```bash theme={null}
az role assignment create --assignee <enclave-app-id> --role Reader --scope /providers/Microsoft.Management/managementGroups/<tenant-id>
```

**4. Validieren**

Klicken Sie zurück in Enclave auf **Validate**. Enclave prüft, ob es die Subscriptions Ihres Tenants auflisten kann.

Nach der Validierung erkennt Enclave Ihre Subscriptions beim nächsten Scan. Jede Subscription erscheint dann als eigener Eintrag in der Verbindung.

## Was Enclave erkennt

* **Infrastruktur**: jede Ressource in jeder Subscription, gelesen über Azure Resource Graph.
* **Netzwerktopologie**: Subnetze, Routen und Firewall-Regeln.
* **Identitäten**: Rollenzuweisungen und -definitionen, Managed Identities sowie Entra Service Principals, Anwendungen und Gruppen. Enclave verknüpft virtuelle Maschinen und andere Compute-Ressourcen mit den Managed Identities, unter denen sie laufen.

## Verbindung verwalten

Öffnen Sie **Settings → Integrations → Microsoft Azure**, um Ihre verbundenen Subscriptions zu sehen.

* **Re-validate** prüft, ob Enclave eine Subscription weiterhin lesen kann.
* **Remove** beendet den Scan einer Subscription.
* **Disconnect Azure** entfernt die gesamte Verbindung und beendet die Scans.

Um den Zugriff in Azure zu widerrufen, entfernen Sie die Zustimmung für die Enclave-App in Entra und löschen Sie ihre Reader-Rollenzuweisung auf Tenant-Root-Ebene.

## Was Enclave tut und was nicht

* **Tut**: Ressourcenkonfiguration und Identitäten mit der Rolle Reader und `Directory.Read.All` lesen.
* **Tut nicht**: Ressourcen erstellen, ändern oder löschen oder den Inhalt Ihrer Dateien, Secrets, Nachrichten oder Datenbanken lesen. Enclave speichert keine Anmeldedaten für Ihren Tenant. Jeder Scan verwendet kurzlebige Tokens.

## Fehlerbehebung

> [accordion] Die Validierung schlägt fehl
>
> Die Reader-Rollenzuweisung fehlt oder ist noch nicht wirksam. Führen Sie den Cloud-Shell-Befehl erneut aus, warten Sie eine Minute und klicken Sie dann auf **Revalidate**.

> [accordion] Die Verbindung zeigt keine Subscriptions
>
> Wenn die Verbindung **Tenant validated. Subscriptions are discovered on the next scan.** anzeigt, hat Enclave noch nicht gescannt. Um sofort zu scannen, klicken Sie in [Coverage](https://docs.enclave.ai/de/onboarding/coverage.md) auf **Analyze Environment**.

> [accordion] Ressourcen erscheinen, Entra-Identitäten aber nicht
>
> Die Erkennung von Identitäten erfordert die Zustimmung für `Directory.Read.All`, die von der Rolle Reader getrennt ist. Erteilen Sie der Enclave-App erneut Admin Consent.

> [accordion] Die Seite meldet, dass Admin Consent nicht verfügbar ist
>
> Nur Owner und Admins können das Azure-Setup starten. Wenn Sie die richtige Rolle haben und diese Meldung trotzdem sehen, wenden Sie sich an den Support.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.