Zabezpečte nasazení Azure Attestation

Microsoft Azure Attestation je služba, která pomáhá ověřit důvěryhodnost komponent platformy a aplikací spuštěných v prostředích důvěryhodného spouštění (TEE). Azure Attestation pomáhá vytvořit základ důvěry tím, že ověřuje, že TEE jsou pravé, nezměněné a spouštějí očekávaný software. Pokud používáte Azure Attestation pro pracovní postupy ověřování kritické pro zabezpečení, proveďte kroky k maximalizaci zabezpečení poskytovatelů ověření identity a dat zpracovaných prostřednictvím těchto pracovních postupů.

Doporučení zabezpečení v tomto článku implementují principy nulové důvěryhodnosti: "Ověřit explicitně", "Použít přístup s nejnižšími oprávněními" a "Předpokládat porušení zabezpečení". Pro podrobné pokyny k principu nulová důvěra (Zero Trust) navštivte Centrum pro pokyny k nulová důvěra (Zero Trust).

Tento článek obsahuje doporučení zabezpečení, která pomáhají chránit nasazení Azure Attestation.

Zabezpečení sítě

Azure Attestation podporuje funkce zabezpečení sítě, které pomáhají chránit poskytovatele ověření identity a jejich data před neoprávněným přístupem.

  • Azure Private Link použijte pro zabezpečený přístup: Nakonfigurujte Službu Azure Private Link tak, aby se bezpečně připojila k azure Attestation z vaší virtuální sítě a zabránila vystavení koncových bodů ověření identity veřejnému internetu. Private Link poskytuje privátní připojení, které používá privátní IP adresy a efektivně přináší ověření identity Azure do vaší virtuální sítě. Další informace najdete v tématu Vytvoření privátního koncového bodu pro Azure Attestation pomocí PowerShellu.

  • Pokud nepotřebujete přístup k veřejné síti, zakažte přístup k veřejné síti: Azure Attestation podporuje publicNetworkAccess vlastnost u poskytovatelů ověření identity. Nastavte ji na Disabled pro poskytovatele, kteří jsou dostupní výhradně přes Private Link, aby z veřejného internetu nemohl přicházet žádný provoz v datové rovině. Další informace najdete v tématu Azure Private Link.

Správa identit a přístupu

Správná správa identit a přístupu je zásadní pro zabezpečení přístupu k vašim poskytovatelům ověření identity, jejich zásadám a podpisům certifikátů. Azure Attestation používá Microsoft Entra ID pro ověřování v datové rovině a Azure RBAC pro autorizaci.

  • Použijte ověřování pomocí Microsoft Entra ID: Azure Attestation ve výchozím nastavení ověřuje volající datové roviny prostřednictvím Microsoft Entra ID. Pomocí této integrované integrace můžete na operace atestace uplatnit mechanismy řízení identit vaší organizace (Podmíněný přístup, vícefaktorové ověřování, zásady relací). Další informace najdete v tématu Požadavky na role a oprávnění pro správu zásad ve službě Azure Attestation.

  • Používejte spravované identity pro aplikace: Když aplikace potřebují volat Azure Attestation, ověřte je pomocí Azure spravovaných identit, abyste tajné kódy nebo certifikáty neukládali do kódu. Azure Attestation podporuje spravované identity pro operace v rovině dat. Další informace najdete v tématu Co jsou spravované identity pro prostředky Azure?.

  • Instanční objekty používejte jenom v případě, že spravované identity nejde použít: Pro scénáře automatizace, ve kterých se spravované identity nepoužívají (například scénáře napříč tenanty), vytvořte vyhrazené instanční objekty s oprávněními s nejnižšími oprávněními. Pravidelně obměňujte přihlašovací údaje a monitorujte jejich přihlašovací aktivitu. Další informace najdete v tématu Vytvoření služebního principálu Azure.

  • Použijte Azure RBAC s rolí Přispěvatel ověření identity: Přiřaďte předdefinované role Přispěvatel ověření identity jenom uživatelům a instančním objektům, které potřebují spravovat zásady nebo podpisové certifikáty zásad u zprostředkovatele ověření identity. Udělte přístup jen pro čtení pomocí role Čtenář ověření identity . Další informace najdete v tématu Požadavky na role a oprávnění pro správu zásad ve službě Azure Attestation.

  • Vynucení PIM pro privilegovaná přiřazení: Pomocí Microsoft Entra Privileged Identity Management (PIM) zajistěte, aby role Attestation Contributor byla způsobilá, a ne trvale přiřazená, a aby při aktivaci role bylo vyžadováno ověření MFA a schválení. Další informace najdete v Privileged Identity Management přehledu.

Ochrana dat

Azure Attestation zpracovává důkazy o ověření identity a zásady, jejichž integrita je ústřední pro navázání důvěry v vaše TEE. Šifrování uložených dat i přenášených dat je ve výchozím nastavení povoleno a konfigurovatelné ovládací prvky se týkají podepisování zásad.

  • Podepište vlastní zásady atestace: Používejte podepsané zásady (namísto nepodepsaných), pokud vaše pracovní zátěž vyžaduje spolehlivý původ změn zásad. Podepsané zásady vám umožňují ověřit, že zásady pocházejí od důvěryhodného podepisovatele zásad a že při přenosu nebyly pozměněny. Další informace najdete v tématu Jak vytvořit a podepsat zásady ověření identity.

  • Chraňte privátní klíče certifikátů pro podepisování zásad: Uložte privátní klíče používané k podepisování zásad atestace do služby Azure Key Vault (nebo do modulu HSM, který spravujete) a udělte přístup pouze identitám, které musí zásady podepisovat. Obměňte tyto klíče podle plánu, který odpovídá kryptografickým zásadám vaší organizace. Další informace najdete v tématu o službě Azure Key Vault.

  • Vysvětlení výchozího chování šifrování: Azure Attestation automaticky šifruje všechna neaktivní uložená data pomocí klíčů spravovaných Microsoft a všechna přenášená data používají protokol TLS 1.2 nebo vyšší. Pro výchozí stav nemusíte nic konfigurovat. Ověřte, že vaše klientské aplikace vyjednávají protokol TLS 1.2 nebo vyšší s koncovým bodem ověření identity. Další informace najdete v tématu Šifrování neaktivních uložených dat.

Protokolování a monitorování

Monitorování a protokolování jsou klíčové komponenty komplexní strategie zabezpečení pro ověřování Azure.

  • Umožněte protokolování diagnostiky: Nakonfigurujte protokoly prostředků Azure tak, aby zaznamenávaly podrobné informace o operacích atestace. Tyto protokoly podporují šetření zabezpečení, požadavky na dodržování předpisů a provozní řešení potíží. Další informace najdete v článku Protokolování Azure Attestation.

  • Konfigurace výstrah pro podezřelé aktivity: Nastavte Azure Monitor výstrahy, které vás upozorní na neobvyklé vzory nebo potenciální incidenty zabezpečení zahrnující poskytovatele ověření identity. Zaměřte se na vysoce rizikové operace, jako jsou změny zásad, obměny certifikátů podepisující zásady a neočekávané selhání ověřování. Další informace najdete ve výstrahách služby Azure Monitor.

Dodržování předpisů a zásady správného řízení

Kontrolní mechanismy zásad správného řízení pomáhají vynucovat konzistentní stav zabezpečení napříč poskytovateli ověření identity při růstu vašich aktiv.

  • Vynucení konfigurace pomocí Azure Policy: Pomocí definic Azure Policy můžete auditovat nebo vynutit požadované konfigurace u zprostředkovatelů ověření identity – například vyžadování publicNetworkAccess: Disabled nebo omezení oblastí, ve kterých je možné poskytovatele vytvořit. Další informace najdete v tématu předdefinované definice služby Azure Policy pro Azure Attestation.

  • Přijměte srovnávací test zabezpečení cloudu Microsoft: Zarovnejte stav ověření identity s srovnávacím testem zabezpečení cloudu Microsoft (MCSB), který poskytuje horizontální kontroly zabezpečení sítě, identity, ochrany dat a monitorování, které platí i pro Azure Attestation.

Zálohování a obnovování

Azure Attestation spravuje základní infrastrukturu. Vaše odpovědnost v oblasti obnovení se omezuje na vaše vlastní zásady atestace a certifikáty pro podepisování zásad.

  • Spravujte artefakty zásad pomocí správy verzí: Ukládejte zdrojové soubory atestačních zásad (a zdrojové soubory používané k sestavení podepsaných zásad) v repozitáři se správou verzí, abyste mohli deterministicky znovu vytvořit libovolnou nasazenou zásadu. V kombinaci se podepsanými zásadami tento přístup poskytuje auditovatelnou cestu obnovení.

  • Zálohování podpisových certifikátů zásad: Pokud používáte podepsané zásady, uložte podpisový certifikát zásad do úložiště založeného na HSM, jako je Azure Key Vault, a zálohujte ho podle postupů správy klíčů vaší organizace. Pokud podpisový klíč ztratíte, nemůžete vytvořit nové podepsané verze zásad pod stejnou identitou podepisující osoby.

  • Pravidelně testujte obnovení: Pravidelně si vyzkoušejte postup opětovného nasazení zásad ověření identity u testovacího poskytovatele ověření identity, abyste měli připravený ověřený postup pro případ, že dojde ke ztrátě nebo poškození produkční zásady.

Další kroky

  • Poslední aktualizace v