Azure 기밀 컴퓨팅

Microsoft Cloud for Sovereignty를 통해 고객은 특정 규제, 보안 및 주권 요구 사항을 준수하는 데 도움이 되는 방식으로 데이터와 리소스를 구성하고 보호할 수 있습니다. 이 프로세스를 통해 고객의 통제 범위를 벗어난 당사자, 심지어 클라우드 공급자, 관리자 또는 사용자도 고객 데이터에 액세스할 수 없습니다. Azure 기밀 컴퓨팅(ACC)과 Microsoft Cloud for Sovereignty를 결합하면 고객 워크로드에 대한 액세스를 제어할 수 있습니다.

기밀 컴퓨팅은 기밀 컴퓨팅의 채택을 정의하고 가속화하는 데 전념하는 재단인 기밀 컴퓨팅 컨소시엄(CCC)에서 정의한 업계 용어입니다. CCC는 기밀 컴퓨팅을 하드웨어 기반 TEE(신뢰 실행 환경)에서 계산을 수행하여 사용 중인 데이터 보호로 정의합니다.

TEE는 승인된 코드만 실행하도록 강제하는 환경입니다. 해당 환경 외부의 모든 코드는 TEE의 데이터를 읽거나 변조할 수 없습니다. 기밀 컴퓨팅 위협 모델은 클라우드 공급자 운영자 및 테넌트 도메인의 기타 행위자가 실행되는 동안 코드 및 데이터에 액세스할 수 있는 능력을 제거하거나 줄이는 것을 목표로 합니다.

저장 및 전송 중인 데이터 암호화와 함께 사용하면 기밀 컴퓨팅은 암호화의 가장 큰 장벽인 사용 중 암호화를 제거합니다. 안전한 퍼블릭 클라우드 플랫폼에서 민감하거나 규제가 엄격한 데이터 세트와 애플리케이션 워크로드를 보호합니다. 기밀 컴퓨팅은 일반적인 데이터 보호 이상으로 확장됩니다. 또한 TEE는 독점 비즈니스 로직, 분석 기능, 기계 학습 알고리즘 또는 전체 애플리케이션을 보호하는 데 도움이 됩니다.

ACC는 컴퓨팅 클라우드 인프라의 다양한 측면에서 신뢰의 필요성을 줄여줍니다. Azure 기밀 컴퓨팅은 호스트 OS 커널 및 하이퍼바이저와 같은 시스템 프로세스와 VM 관리자 및 호스트 관리자를 포함하는 인간 운영자 모두에 대한 신뢰를 최소화합니다. Microsoft 데이터 암호화와 같은 미사용 데이터 및 TLS 또는 IPsec와 같은 전송 중인 데이터를 보호하는 기존 솔루션과 결합으로 이제 메모리 자체가 암호화된 상태로 유지되므로 사용 중에도 데이터가 보호됩니다. 즉, 데이터 수명 주기 전반에 걸쳐 완벽한 보호가 가능합니다.

Microsoft Cloud for Sovereignty의 가드레일과 규정 준수 적용을 통해 ACC는 Azure 퍼블릭 클라우드 플랫폼의 확장성, 유연성, 가용성 및 강력한 서비스 내에서 주권 데이터, 중요 데이터 또는 고도로 규제된 데이터 및 워크로드에 대한 향상된 보호를 제공합니다. Azure 기밀 컴퓨팅의 이점에 대한 자세한 내용은 Azure 기밀 컴퓨팅 제품을 참조하세요.

Azure 기밀 컴퓨팅에서 지원되는 주권

데이터 주권은 고객이 VM과 같은 고객 리소스를 고유하게 제어하고 다른 사람이 이러한 리소스에 액세스할 수 없도록 보장합니다. ACC는 하드웨어부터 애플리케이션까지 전체 신뢰 루트의 기밀성을 제공하여 고객이 데이터 주권을 달성하도록 돕습니다. Azure DCasv5 및 DCadsv5 시리즈 기밀 가상 머신(CVM)은 다른 VM, 하이퍼바이저 및 호스트 관리 코드로부터 메모리의 데이터를 보호하는 하드웨어 격리 VM입니다. VM 호스트에 대한 관리 액세스 권한이 있는 Azure 엔지니어라도 메모리의 고객 데이터에 액세스할 수 없습니다. 이 시리즈는 또한 다양한 키 관리 솔루션을 사용하여 VM을 프로비저닝하기 전에 OS 디스크 사전 암호화를 제공합니다.

다음과 같은 기밀 컴퓨팅 환경을 제공함으로써 모든 수준에서 주권이 강화됩니다.

• Microsoft Azure Attestation은 여러 TEE의 신뢰성을 확인하고 TEE 내부에서 실행되는 바이너리의 무결성을 확인하는 원격 증명 서비스입니다. 이러한 기본 신뢰 루트에 대한 검증은 데이터의 주권을 보장하는 데 필수적입니다.
• 신뢰할 수 있는 시작은 보안 부팅, 신뢰할 수 있는 가상 플랫폼 모듈, 부팅 무결성 모니터링 등 강화된 보안 기능을 제공하여 부팅 키트, 루트킷, 커널 수준 악성 코드로부터 보호합니다.
• 신뢰할 수 있는 하드웨어 ID 관리는 Azure에 있는 모든 TEE에 대한 인증서의 캐시 관리를 관리하고 TCB(신뢰할 수 있는 컴퓨팅 기반) 정보를 제공하여 증명 솔루션에 대한 최소 기준을 적용하는 서비스입니다.

많은 고객이 AKS(Azure Kubernetes Service)를 사용하여 컨테이너 기반 애플리케이션, 스토리지 및 네트워킹 구성 요소를 관리합니다. 주권, 기밀성 및 보안 요구 사항을 충족하기 위해 고객은 AKS에서 실행되는 Azure App-enclave 인식 컨테이너를 사용할 수 있습니다. AKS의 기밀 컴퓨팅 노드는 Intel SGX를 사용하여 각 컨테이너 애플리케이션 사이의 노드에 격리된 인클레이브 환경을 만듭니다. 또한 Azure는 AMD SEV-SNP VM 구성 요소를 사용하여 AKS에서 기밀l VM 노드 풀 지원을 미리 선보이고 있습니다. AKS는 Kubernetes에서 AMD SEV-SNP 노드 풀을 사용하는 기밀 VM을 활성화하는 최초의 출시 제품으로 Azure의 강화된 보안 프로필에 심층 방어를 추가합니다.

기밀 비밀 관리

AKV(Azure Key Vault) 관리되는 HSM은 FIPS 140-2 레벨 3 검증 HSM(하드웨어 보안 모듈)을 사용하여 애플리케이션 암호화 키를 보호하는 완전 관리형, 고가용성, 단일 테넌트, 표준 준수 클라우드 서비스입니다. AKV mHSM은 Azure Key Vault Standard 및 Premium과 동일한 API를 사용하고 대부분의 Azure 서비스와 통합되어 고객 관리형 키로 서비스 암호화를 활성화합니다. 하드웨어 보호를 통해 고객만 암호화 키에 액세스할 수 있습니다. Azure 엔지니어도 액세스할 수 없습니다.

SKR(보안 키 릴리스)은 더 많은 액세스 제어를 제공하는 AKV(Azure Key Vault) 관리되는 HSM 및 프리미엄 제품의 기능입니다. 보안 키 릴리스를 사용하면 AKV에서 보안 엔클레이브, VM 기반 TEE 등과 같은 증명된 TEE(신뢰 실행 환경)로 HSM 보호 키를 릴리스할 수 있습니다. SKR은 키 자료에 액세스하기 위해 알려진 구성이 있는 애플리케이션 + TEE 런타임 환경을 대상으로 할 수 있는 데이터 암호 해독/암호화 키에 또 다른 보호 계층을 추가합니다. 내보낼 수 있는 키 생성 시 정의된 SKR 정책은 이러한 키에 대한 액세스를 관리합니다.

기밀 분석 서비스

Azure의 공공 부문 및 규제 대상 산업 고객은 주권, 개인 정보 보호 및 보안 요구 사항을 준수하는 데 도움이 되는 고급 분석 기능이 시급히 필요합니다. Microsoft Cloud for Sovereignty는 이러한 고객이 다음과 같은 서비스를 사용할 수 있도록 지원합니다.

• Azure SQL에서 보안 엔클레이브 사용 상시 암호화 서비스를 통해 고객은 TEE 내에서 직접 SQL 쿼리를 실행하여 중요한 데이터를 멀웨어 및 권한이 높은 무단 사용자로부터 보호할 수 있습니다.
• 기밀 컴퓨팅 VM을 사용하는 Azure Databricks는 고객이 개인 정보를 보호하는 방식으로 분석, Machine Learning 및 기타 워크로드를 실행하는 데 도움이 될 수 있습니다.
• IoT(사물 인터넷)의 급속한 성장은 IoT Edge 장치가 고객의 지리적 통제 범위를 벗어나고 악의적인 행위자가 물리적으로 액세스하여 이러한 장치를 손상시킬 위험이 높기 때문에 새로운 주권 위험을 야기합니다. 기밀 IoT Edge는 IoT 장치에서 캡처하고 내부에 저장한 데이터에 대한 액세스를 보호하여 변조 또는 손상의 위험을 줄임으로써 엣지에 신뢰와 무결성을 추가합니다.
• 고객은 Microsoft Azure Confidential Ledger(ACL)을 사용하여 민감한 데이터 레코드를 관리하는 것이 좋습니다. ACL은 철저하게 모니터링되고 격리된 런타임 환경의 하드웨어 지원 보안 엔클레이브에서만 실행되므로 중요한 데이터 레코드를 보호하고 변경할 수 없습니다.

Microsoft Cloud for Sovereignty에 기밀 컴퓨팅 채택

Microsoft Cloud for Sovereignty 고객은 소버린 랜딩 존을 사용하여 규정을 준수하는 주권 환경 내에서 Microsoft 기밀 컴퓨팅 기능의 채택을 간소화할 수 있습니다.

SLZ(소버린 랜딩 존)에서 ACC 사용을 시작하는 방법에 대한 지침은 GitHub의 SLZ를 참조하세요.