Azure Enclave je pripravljen za produkcijo, selitev okolja pa ni podprta

Microsoft je 13. oktobra 2026 objavil splošno dostopnost Azure Enclave v komercialnem Azure in okolju Azure za vlado ZDA. Upravljana storitev je namenjena izoliranim okoljem za občutljive produkcijske obremenitve. Organizacijam ponuja skupne omrežne kontrole, medtem ko mejo posamezne obremenitve določa njena enklava.

Produkcijska dostopnost ne odpravi omejitve pri selitvi: tehnična dokumentacija Azure Enclave izrecno navaja, da selitev samega vira enclave ni podprta. Vire delovne obremenitve je mogoče premakniti le, če to dopuščajo pravila za njihovo vrsto. Za organizacijo, ki že uporablja Azure, je zato odločilno, ali želi prenesti aplikacijo in podatke ali obstoječo enklavo z njenimi upravljanimi omrežnimi mejami.

Izolacija velja za omrežje in obremenitve

Azure Enclave uporablja model skupnosti in enklav. Skupnost deluje kot omrežno središče s skupnimi kontrolami, vsaka enklava pa ima ločeno mejo za svoje delovne obremenitve. Promet poteka po posebej odobrenih povezavah med končnimi točkami; pravila in usmerjanje veljajo za te poti. To omogoča sodelovanje med povezanimi okolji, ne da bi jim bilo treba odpreti splošen medsebojni dostop.

Takšna razmejitev je uporabna, kadar raziskovalna ustanova loči projekte ali kadar regulirana organizacija omeji povezave med aplikacijami, ki obdelujejo občutljive podatke. Sama vključitev projekta v enklavo še ne določa, kateri uporabniki, aplikacije ali zunanji sistemi smejo do njega. Te povezave je treba izrecno nastaviti in upravljati v skladu z zahtevami konkretne obremenitve.

Ime storitve lahko povzroči tudi terminološko zmedo. Azure Enclave vzpostavlja izolirana virtualna omrežja, meje obremenitev in pravila za vire Azure. Strojno podprte izvajalne enklave pri zaupnem računalništvu varujejo podatke med obdelavo in rešujejo drugo vprašanje. Če aplikacija potrebuje tudi takšno zaščito, lahko ustrezno tehnologijo uporablja znotraj obremenitve Azure Enclave, vendar je omrežna izolacija sama ne zagotovi.

Kaj upravlja Microsoft in kaj ostane naročniku

Storitev postavi in upravlja del omrežnega ogrodja, ki povezuje skupnosti in enklave. Med upravljanimi viri so glede na uvedbo Azure Virtual WAN, Azure Firewall, virtualna omrežja in omrežne varnostne skupine; za beleženje je lahko vključena tudi storitev Log Analytics. Skupno ogrodje organizaciji prihrani ponovno sestavljanje osnovnih omrežnih meja za vsako novo obremenitev, ne določi pa namesto nje dovoljenih povezav.

Naročnik mora opredeliti uporabnike, aplikacije, storitve in podatke, ki smejo komunicirati, ter nastaviti ustrezne končne točke in povezave. Azure Policy omogoča upravljanje pravil v skupnostih in enklavah, vloge in dovoljenja pa omejujejo posege v vire. Skupnosti in enklave lahko obstajajo v isti naročnini ali v ločenih naročninah znotraj istega najemnika. Tako je mogoče povezane obremenitve upravljati po skupnih pravilih, čeprav so njihovi viri organizacijsko ločeni.

Beleženje in spremljanje pomagata zaznati dostop, spremembe konfiguracije ter omrežni promet. Organizacija mora kljub temu sama presoditi zahteve za svojo aplikacijo, določiti pravila dostopa in upravljati vire, ki jih namesti v enklavo. Tudi strošek ima več sestavin: obračuna se uporaba enklave po urah, poleg nje pa upravljani viri in viri delovne obremenitve. Produkcijski status zato ne pomeni vnaprej določene konfiguracije ali enotnega stroška za vsako uvedbo.

Vir enclave ostane na mestu, obremenitev ima svoje možnosti

Omejitev selitve zadeva sam vir enclave in ne pomeni, da nobenega vira v njem ni mogoče premakniti. Premiki niso podprti niti za nekatere vire v skupini upravljanih virov, med njimi Azure Bastion, skupine IP in uporabniško dodeljene upravljane identitete. Načrt, ki predvideva prenos celotnega obstoječega okolja kot enega vira, zato ne ustreza podprtemu načinu selitve.

Za vire delovne obremenitve veljajo možnosti posamezne storitve Azure. Če vrsta vira dopušča premik, ga je mogoče izvesti po njenih pravilih. Pri virtualnem stroju dokumentacija kot primer navaja izdelavo slike, s katero se stroj znova ustvari ali replicira v novi enklavi. To je drugačen poseg kot premik prvotnega vira enclave: ciljno okolje potrebuje svoje omrežne meje, povezave in pravila.

Razlika vpliva tudi na obnovitev po okvari in poznejše spremembe arhitekture. Kopija aplikacije ali podatkov še ne vzpostavi poti, po katerih smejo do njih dostopati uporabniki in povezane storitve. Če je obremenitev odvisna od upravljanih omrežnih virov, je treba pri novem okolju upoštevati tudi njihovo ponovno vzpostavitev. Prav zato je pri oceni selitve pomembno ločiti prenosljive vire obremenitve od infrastrukture, ki jo storitev ustvari za enklavo.

Regija in akreditacija sta ločeni od produkcijskega statusa

Splošna dostopnost v komercialnem Azure in okolju za vlado ZDA še ne pove, v kateri regiji je mogoče ustvariti posamezno skupnost. Podprte regije in kvote so odvisne od trenutne razpoložljivosti storitve. Za organizacijo v Sloveniji je kraj uvedbe pomemben tudi zaradi njenih zahtev glede hrambe in obdelave podatkov, zato ga ni mogoče sklepati zgolj iz oznake »splošno dostopno«.

Pri rezidentnosti je treba razlikovati med podatki storitve in podatki aplikacije. Podatki storitve vključujejo metapodatke virov ter revizijske in diagnostične dnevnike; njihova rezidentnost velja za geografsko območje Azure, ne nujno za eno samo regijo. Podatki obremenitve sledijo pravilom uporabljenih storitev in naročnikovi konfiguraciji. Izbrani cilji za dnevnike, varnostne kopije, replikacijo ali omrežne povezave lahko zato vplivajo na to, kje podatki dejansko končajo.

Odprti ostajajo tudi nekateri ameriški akreditacijski postopki: MeriTalkovo poročilo navaja FedRAMP, ravni vpliva ameriškega obrambnega ministrstva 4, 5 in 6 ter okolja po direktivi ICD 503; Justin Shirk iz Accenture Federal Services je namen storitve opisal z besedami: »This enables teams to spend less time managing infrastructure and more time focused on delivering outcomes for the mission.« Te presoje zadevajo ameriška okolja in same po sebi ne določajo skladnosti uvedbe v Sloveniji. Za občutljivo obremenitev ostajata odločilna podprta lokacija uvedbe in presoja zahtev, ki veljajo za njene podatke.

Preberite tudi:

• Copilot in Gemini preizkusite na delu, ne na pripravljenem demu
• Selitev podkasta: spremenjen GUID lahko podvoji celoten arhiv
• PDF leta 2028 ne bo e-račun: podjetja morajo pripraviti XML in kontrole