Passer au contenu principal
Connectez votre tenant Azure pour qu’Enclave puisse cartographier les ressources et les identités de chaque abonnement, et les relier à votre code. L’accès est en lecture seule, et il n’y a aucun secret à stocker.

​
Ce dont Enclave a besoin

Enclave se connecte via une application Microsoft Entra multi-tenant dont Enclave est propriétaire. Vous lui accordez deux choses :
  • Le consentement administrateur pour l’application Enclave. Il inclut l’autorisation Microsoft Graph Directory.Read.All, qu’Enclave utilise pour lire les identités Entra comme les principaux de service, les applications et les groupes.
  • Le rôle Reader sur votre groupe d’administration racine du tenant. Le rôle Reader attribué à la racine est hérité par tous les abonnements du tenant, y compris ceux que vous créerez plus tard.

​
Qui peut lancer la configuration

  • Pour accorder le consentement administrateur, vous avez besoin d’un rôle Entra autorisé à donner son consentement pour toute l’organisation.
  • Pour exécuter la commande Cloud Shell, vous devez avoir l’autorisation de créer des attributions de rôle sur le groupe d’administration racine du tenant.
  • Dans Enclave, vous avez besoin du rôle Owner ou Admin.

​
Connecter votre tenant

1

Ouvrez la page de configuration

Ouvrez Settings → Integrations et cliquez sur Connect à côté de Microsoft Azure.
2

Accordez le consentement administrateur

Sous Connect Microsoft, cliquez sur Connect Microsoft. Connectez-vous en tant qu’administrateur Entra et approuvez l’application Enclave pour votre organisation. Enclave attend le consentement, puis affiche l’étape suivante.
3

Accordez le rôle Reader à la racine du tenant

Sous Grant tenant-root Reader, copiez la commande. Ouvrez Azure Cloud Shell et exécutez-la. La commande ressemble à ceci :
4

Validez

De retour dans Enclave, cliquez sur Validate. Enclave vérifie qu’il peut lister les abonnements de votre tenant.
Après la validation, Enclave découvre vos abonnements lors de sa prochaine analyse. Chaque abonnement apparaît ensuite dans la connexion comme une entrée distincte.

​
Ce qu’Enclave découvre

  • Infrastructure : chaque ressource de chaque abonnement, lue via Azure Resource Graph.
  • Topologie réseau : les sous-réseaux, les routes et les règles de pare-feu.
  • Identités : les attributions et définitions de rôles, les identités managées, ainsi que les principaux de service, applications et groupes Entra. Enclave relie les machines virtuelles et les autres ressources de calcul aux identités managées sous lesquelles elles s’exécutent.

​
Gérer une connexion

Ouvrez Settings → Integrations → Microsoft Azure pour voir vos abonnements connectés.
  • Re-validate vérifie qu’Enclave peut toujours lire un abonnement.
  • Remove arrête l’analyse d’un abonnement.
  • Disconnect Azure supprime toute la connexion et arrête l’analyse.
Pour révoquer l’accès depuis Azure, retirez le consentement de l’application Enclave dans Entra et supprimez son attribution du rôle Reader à la racine du tenant.

​
Ce qu’Enclave fera et ne fera pas

  • Fera : lire la configuration des ressources et les identités grâce au rôle Reader et à Directory.Read.All.
  • Ne fera pas : créer, modifier ou supprimer des ressources, ni lire le contenu de vos fichiers, secrets, messages ou bases de données. Enclave ne stocke aucun identifiant pour votre tenant. Chaque analyse utilise des jetons de courte durée.

​
Dépannage

L’attribution du rôle Reader est absente ou n’a pas encore pris effet. Exécutez de nouveau la commande Cloud Shell, patientez une minute, puis cliquez sur Revalidate.
Si la connexion indique Tenant validated. Subscriptions are discovered on the next scan., Enclave n’a pas encore lancé d’analyse. Pour lancer une analyse immédiatement, cliquez sur Analyze Environment dans Coverage.
La découverte des identités nécessite le consentement Directory.Read.All, distinct du rôle Reader. Accordez de nouveau le consentement administrateur à l’application Enclave.
Seuls les propriétaires et les administrateurs peuvent lancer la configuration Azure. Si vous avez le bon rôle et voyez quand même ce message, contactez le support.