Pular para o conteúdo principal
Conecte seu tenant do Azure para que o Enclave possa mapear os recursos e as identidades de todas as assinaturas e vinculá-los ao seu código. O acesso é somente leitura, e não há segredos para armazenar.

​
Do que o Enclave precisa

O Enclave se conecta por meio de um app multilocatário do Microsoft Entra que pertence ao Enclave. Você concede duas coisas a ele:
  • Consentimento de administrador para o app do Enclave. Isso inclui a permissão Directory.Read.All do Microsoft Graph, que o Enclave usa para ler identidades do Entra, como entidades de serviço, aplicativos e grupos.
  • A função Reader no grupo de gerenciamento raiz do tenant. A função Reader na raiz é herdada por todas as assinaturas do tenant, incluindo as que você criar depois.

​
Quem pode executar a configuração

  • Para conceder o consentimento de administrador, você precisa de uma função do Entra que possa consentir em nome de toda a organização.
  • Para executar o comando no Cloud Shell, você precisa de permissão para criar atribuições de função no grupo de gerenciamento raiz do tenant.
  • No Enclave, você precisa da função Owner ou Admin.

​
Conectar seu tenant

1

Abra a página de configuração

Abra Settings → Integrations e clique em Connect ao lado de Microsoft Azure.
2

Conceda o consentimento de administrador

Em Connect Microsoft, clique em Connect Microsoft. Entre como administrador do Entra e aprove o app do Enclave para a sua organização. O Enclave aguarda o consentimento e depois mostra a próxima etapa.
3

Conceda Reader na raiz do tenant

Em Grant tenant-root Reader, copie o comando. Abra o Azure Cloud Shell e execute-o. O comando é parecido com este:
4

Valide

De volta ao Enclave, clique em Validate. O Enclave verifica se consegue listar as assinaturas do seu tenant.
Depois da validação, o Enclave descobre suas assinaturas na próxima verificação. Cada assinatura passa a aparecer na conexão como uma entrada própria.

​
O que o Enclave descobre

  • Infraestrutura: todos os recursos de cada assinatura, lidos pelo Azure Resource Graph.
  • Topologia de rede: sub-redes, rotas e regras de firewall.
  • Identidades: atribuições e definições de funções, identidades gerenciadas e entidades de serviço, aplicativos e grupos do Entra. O Enclave vincula máquinas virtuais e outros recursos de computação às identidades gerenciadas com que eles são executados.

​
Gerenciar uma conexão

Abra Settings → Integrations → Microsoft Azure para ver suas assinaturas conectadas.
  • Re-validate verifica se o Enclave ainda consegue ler uma assinatura.
  • Remove para de verificar uma assinatura.
  • Disconnect Azure remove a conexão inteira e para as verificações.
Para revogar o acesso pelo Azure, remova o consentimento do app do Enclave no Entra e exclua a atribuição da função Reader dele na raiz do tenant.

​
O que o Enclave faz e não faz

  • Faz: lê a configuração de recursos e as identidades com a função Reader e com Directory.Read.All.
  • Não faz: criar, alterar ou excluir recursos, nem ler o conteúdo dos seus arquivos, segredos, mensagens ou bancos de dados. O Enclave não armazena uma credencial para o seu tenant. Cada verificação usa tokens temporários.

​
Solução de problemas

A atribuição da função Reader está ausente ou ainda não entrou em vigor. Execute o comando no Cloud Shell de novo, aguarde um minuto e clique em Revalidate.
Se a conexão mostrar Tenant validated. Subscriptions are discovered on the next scan., o Enclave ainda não fez a verificação. Para verificar agora, clique em Analyze Environment no Coverage.
A descoberta de identidades exige o consentimento Directory.Read.All, que é separado da função Reader. Conceda novamente o consentimento de administrador ao app do Enclave.
Só owners e admins podem iniciar a configuração do Azure. Se você tem a função certa e ainda vê esta mensagem, entre em contato com o suporte.