Sdílet prostřednictvím

Důvěrné zpracování Azure

  • Článek

Microsoft Cloud for Sovereignty umožňuje zákazníkům konfigurovat a chránit jejich data a zdroje způsoby, které jim pomáhají být v souladu s jejich konkrétními regulačními požadavky a požadavky na zabezpečení a suverenitu. Tento proces zajišťuje, že zákaznická data nebudou přístupná stranám mimo kontrolu zákazníka, dokonce ani poskytovatelům cloudu, správcům nebo uživatelům. Když spojíte Důvěrné zpracování Azure (ACC) s Microsoft Cloud for Sovereignty, poskytují kontrolu nad přístupem k zákaznickým úlohám.

Důvěrná výpočetní technika je oborový pojem definovaný Consortium Confidential Computing Consortium (CCC), nadací věnující se definování a urychlování zavádění důvěrné výpočetní techniky. CCC definuje důvěrnou výpočetní techniku jako ochrany používaných dat prováděním výpočtů v hardwarovém důvěryhodném provozním prostředí (TEE).

TEE je prostředí, které vynucuje provádění pouze autorizovaného kódu. Žádný kód mimo toto prostředí nemůže číst žádná data v TEE ani s nimi manipulovat. Model hrozeb důvěrné výpočetní techniky si klade za cíl odstranit nebo snížit schopnost operátora cloudového poskytovatele a dalších aktérů v doméně tenanta přistupovat ke kódu a datům během provádění.

Obrázek ukazuje, jak jsou data chráněna důvěrnou výpočetní technikou.

Při použití s ​​šifrováním dat v klidu a při přenosu eliminuje důvěrné výpočty největší bariéru šifrování – šifrování při používání. Chrání citlivé nebo vysoce regulované datové sady a úlohy aplikací v zabezpečené veřejné cloudové platformě. Důvěrná výpočetní technika přesahuje obecnou ochranu dat. TEE také pomáhají chránit proprietární obchodní logiku, analytické funkce, algoritmy strojového učení nebo celé aplikace.

ACC snižuje potřebu důvěry napříč různými aspekty infrastruktury výpočetního cloudu. Důvěrná výpočetní technika Azure minimalizuje důvěru v oba systémové procesy, jako je jádro hostitelského operačního systému a hypervisor, a lidské operátory, mezi které patří správce virtuálního počítače a správce hostitele. V kombinaci se stávajícími řešeními, která chrání data v klidu, jako je šifrování dat Microsoft, a při přenosu, jako je TLS nebo IPsec, jsou data nyní chráněna při používání, protože samotná paměť zůstává šifrována, tj. kompletní ochrana v průběhu životního cyklu dat.

S mantinely a vynucováním souladu Microsoft Cloud for Sovereignty poskytuje ACC vylepšenou ochranu suverénních, citlivých nebo vysoce regulovaných dat a úloh v rámci škálovatelnosti, flexibility, dostupnosti a výkonných služeb platformy veřejného cloudu Azure. Další informace o výhodách Důvěrného zpracování Azure najdete v článku Produkty důvěrné výpočetní techniky Azure.

Suverenita podporovaná v Důvěrném zpracování Azure

Datová suverenita zajišťuje, že zákazníci jedinečně ovládají zákaznické zdroje, jako jsou virtuální počítače, a ostatní nemají k těmto zdrojům přístup. ACC pomáhá zákazníkům dosáhnout suverenity dat poskytováním důvěrnosti celého kořene důvěry, od hardwaru po aplikaci. Důvěrné virtuální počítače (CVM) Azure DCasv5 a DCadsv5-series jsou hardwarově izolované virtuální počítače, které chrání data v paměti před jinými virtuálními počítači, hypervisorem a kódem správy hostitele. Ani technici Azure s přístupem pro správu k hostiteli virtuálního počítače nemají přístup k datům zákazníků v paměti. Tato řada také nabízí předběžné šifrování disku operačního systému před zřízením virtuálního počítače s různými řešeními správy klíčů.

Suverenita je na všech úrovních posílena poskytováním důvěrných výpočetních prostředí pro:

  • Ověření identity Microsoft Azure, vzdálená služba ověření identity, která ověřuje důvěryhodnost více TEE a ověřuje integritu binárních souborů běžících uvnitř TEE. Toto ověření základního kořene důvěry je nezbytné pro zajištění suverenity dat.
  • Důvěryhodné spuštění přináší posílené funkce zabezpečení – bezpečné spouštění, modul virtuální důvěryhodné platformy a monitorování integrity spouštění – které chrání před bootovacími sadami, rootkity a malwarem na úrovni jádra.
  • Trusted Hardware Identity Management, služba, která spravuje správu mezipaměti certifikátů pro všechna TEE, která jsou umístěna v Azure, a poskytuje informace Trusted Computing Base (TCB) k vynucení minimální základní linie pro řešení atestací.

Mnoho zákazníků používá Azure Kubernetes Service (AKS) ke správě aplikací založených na kontejnerech a komponent pro úložiště a sítě. Aby zákazníci splnili požadavky na suverenitu, důvěrnost a zabezpečení, mohou používat Kontejnery zohledňující Azure App-enclave, které běží na AKS. Důvěrné výpočetní uzly na AKS využívají Intel SGX k vytvoření izolovaných enklávových prostředí v uzlech mezi jednotlivými kontejnerovými aplikacemi. Azure také nabízí Preview podpory fondu uzlů důvěrných virtuálních počítačů v AKS s komponentami virtuálního počítače AMD SEV-SNP. AKS je první, kdo uvádí na trh umožnění důvěrného virtuálního počítače s fondy uzlů AMD SEV-SNP v Kubernetes a přidává hloubkovou ochranu profilu posíleného zabezpečení Azure.

Důvěrná správa tajných klíčů

Spravované HSM Azure Key Vault (AKV) je plně spravovaná, vysoce dostupná cloudová služba v jednom tenantovi vyhovující standardům, která chrání aplikační kryptografické klíče pomocí ověřených hardwarových bezpečnostních modulů (HSM) FIPS 140-2 úrovně 3. AKV mHSM používá stejná rozhraní API jako Azure Key Vault Standard a Premium a integruje se s většinou služeb Azure, aby umožnila šifrování služeb pomocí klíčů spravovaných zákazníkem. Hardwarová ochrana zajišťuje, že k šifrovacím klíčům má přístup pouze zákazník. Ani technici Azure k nim nemají přístup.

Zabezpečené uvolnění klíče (SKR) je funkce spravovaného HSM Azure Key Vault (AKV) a nabídky Premium, která poskytuje lepší řízení přístupu. Zabezpečené uvolnění klíče umožňuje uvolnění klíče chráněného HSM z AKV do ověřeného důvěryhodného provozního prostředí (TEE), jako je zabezpečená enkláva, TEE založené na virtuálním počítači atd. SKR přidává další vrstvu ochrany k vašim klíčům pro dešifrování/šifrování dat, kde může cílit na běhové prostředí aplikace + TEE se známou konfigurací, aby získal přístup k materiálu klíče. Přístup k těmto klíčům řídí zásady SKR definované v době vytvoření exportovatelného klíče.

Důvěrné analytické služby

Zákazníci z veřejného sektoru a regulovaného odvětví Azure naléhavě potřebují pokročilé analytické funkce, které jim pomohou splnit jejich požadavky na suverenitu, soukromí a zabezpečení. Microsoft Cloud for Sovereignty pomáhá těmto zákazníkům využívat služby, jako jsou:

  • Se službou Vždy šifrováno pomocí zabezpečených enkláv v Azure SQL mohou zákazníci spouštět dotazy SQL přímo v TEE, což pomáhá zajistit ochranu citlivých dat před malwarem a vysoce privilegovanými neoprávněnými uživateli.
  • Azure Databricks s virtuálním počítačem důvěrného zpracování může zákazníkům pomoci provozovat analytiku, strojové učení a další úlohy s ohledem na ochranu osobních údajů.
  • Rychlý růst internetu věcí (IoT) otevírá nová rizika suverenity, protože zařízení IoT Edge jsou mimo geografickou kontrolu zákazníka a útočníci k nim mohou fyzicky přistupovat, což vystavuje tato zařízení zvýšenému riziku kompromitace. Důvěrné IoT Edge dodává důvěryhodnost a integritu na zařízení edge tím, že chrání přístup k datům zachyceným a uloženým v zařízení IoT, čímž se snižuje riziko manipulace nebo kompromitace.
  • Zákazníkům se doporučuje používání Microsoft Azure Confidential Ledger (ACL) ke správě citlivých datových záznamů. ACL běží výhradně na hardwarově podporovaných zabezpečených enklávách v silně monitorovaném a izolovaném runtime prostředí, které chrání citlivé datové záznamy a činí je neměnnými.

Zavádění důvěrné výpočetní techniky v rámci Microsoft Cloud for Sovereignty

Zákazníci Microsoft Cloud for Sovereignty mohou využít suverénní cílovou zónu k zefektivnění zavádění důvěrných počítačových funkcí společnosti Microsoft v kompatibilním a suverénním prostředí.

Pokyny, jak začít s používáním ACC ve suverénní cílové zóně (SLZ), viz SLZ na GitHub.