Freigeben über

Empfehlungen für die Datenverschlüsselung

  • Artikel

Gilt für Empfehlung der Sicherheitsprüfliste für well-Architected Framework:

SE:07 Verschlüsseln Sie Daten mithilfe moderner Branchenstandardmethoden, um Vertraulichkeit und Integrität zu schützen. Ausrichten des Verschlüsselungsbereichs an Datenklassifizierungen; Priorisieren sie systemeigene Plattformverschlüsselungsmethoden.

Wenn Ihre Daten nicht geschützt sind, kann sie böswillig geändert werden, was zu Einem Verlust von Integrität und Vertraulichkeit führt.

In diesem Leitfaden werden die Empfehlungen zum Verschlüsseln und Schützen Ihrer Daten beschrieben. Verschlüsselung ist der Prozess der Verwendung von Kryptografiealgorithmen, um die Daten unlesbar zu machen und die Daten mit einem Schlüssel zu sperren. Im verschlüsselten Zustand können Daten nicht entschlüsselt werden. Sie kann nur mithilfe eines Schlüssels entschlüsselt werden, der mit dem Verschlüsselungsschlüssel gekoppelt ist.

Definitionen

Bedingungen Definition
Zertifikate Digitale Dateien, die die öffentlichen Schlüssel zur Verschlüsselung oder Entschlüsselung enthalten.
Verschlüsselungssammlung Eine Reihe von Algorithmen, die zum Verschlüsseln und Entschlüsseln von Informationen verwendet werden, um eine Netzwerkverbindung über Transport Layer Security (TLS) zu sichern.
Confidential Computing Vertrauliches Computing ist der Schutz von Daten, die verwendet werden, indem berechnungen in einer hardwarebasierten, bestätigten vertrauenswürdigen Ausführungsumgebung ausgeführt werden.
Entschlüsselung Der Prozess, bei dem verschlüsselte Daten mit einem geheimen Code entsperrt werden.
Doppelte Verschlüsselung Der Vorgang zum Verschlüsseln von Daten mithilfe von zwei oder mehr unabhängigen Verschlüsselungsebenen.
Verschlüsselung Der Prozess, mit dem Daten unlesbar gemacht und mit einem geheimen Code gesperrt werden.
Hashing Der Vorgang zum Transformieren von Daten in Text oder Zahlen mit dem Ziel, Informationen auszublenden.
Tasten Ein geheimer Code, der zum Sperren oder Entsperren verschlüsselter Daten verwendet wird.
Signature Ein verschlüsselter Stempel der Authentifizierung für Daten.
signatur- Der Prozess der Überprüfung der Authentizität der Daten mithilfe einer Signatur.
X.509 Ein Standard, der das Format von Zertifikaten für öffentliche Schlüssel definiert.

Wichtige Entwurfsstrategien

Organisationsmandats oder behördliche Anforderungen können Verschlüsselungsmechanismen erzwingen. Es kann z. B. eine Anforderung geben, dass Daten nur in der ausgewählten Region verbleiben müssen, und Kopien der Daten werden in dieser Region verwaltet.

Diese Anforderungen sind häufig das Basis-Minimum. Streben Sie nach einem höheren Schutzniveau an. Sie sind dafür verantwortlich, vertrauliche Datenlecks und Manipulationen vertraulicher Daten zu verhindern, unabhängig davon, ob es sich um externe Benutzerdaten oder Mitarbeiterdaten handelt.

Verschlüsselungsmechanismen müssen die Daten wahrscheinlich in drei Phasen sichern:

  • Ruhende Daten sind alle Informationen, die in Speicherobjekten aufbewahrt werden.

    Ein Beispiel für das Sichern ruhender Daten ist die Verwendung von BitLocker zum Verschlüsseln von Daten, die auf einem Datenträger gespeichert sind.

  • Daten bei der Übertragung sind Informationen, die zwischen Komponenten, Standorten oder Programmen übertragen werden.

    Ein Beispiel für die Sicherung von Daten während der Übertragung ist das Verschlüsseln von Daten mit TLS, sodass Pakete, die über öffentliche und private Netzwerke verschoben werden, sicher sind.

  • Daten, die verwendet werden, sind Daten, die aktiv im Arbeitsspeicher bearbeitet werden.

    Ein Beispiel für die Sicherung der verwendeten Daten ist die Verschlüsselung mit vertraulichen Daten, um Daten zu schützen, während sie verarbeitet werden.

Die vorstehenden Auswahlmöglichkeiten schließen sich nicht gegenseitig aus. Sie werden häufig im Kontext der gesamten Lösung zusammen verwendet. Eine Phase kann als Ausgleichssteuerung fungieren. Sie müssen z. B. Daten isolieren, um Manipulationen zu verhindern, wenn Daten aus dem Speicher gelesen werden.

Ermitteln der Verschlüsselungsanforderungen

Klassifizieren Sie Daten anhand ihrer Zweck- und Vertraulichkeitsstufe , um zu bestimmen, welche Daten Sie verschlüsseln müssen. Legen Sie für Daten, die verschlüsselt werden sollen, die erforderliche Schutzebene fest. Benötigen Sie end-to-End TLS-Verschlüsselung für alle Daten während der Übertragung? Welche Azure-Features können für ruhende Daten Ihre Anforderungen erfüllen? Müssen Sie Daten an jedem Speicherpunkt doppelt verschlüsseln? Wie implementieren Sie den Informationsschutz?

Es ist wichtig, Ihre Verschlüsselungsentscheidungen abzuwägen, da es erhebliche Kompromisse gibt.

Tradeoff: Jeder Verschlüsselungshüpfer kann leistungslatenz führen. Operative Komplexitäten können in Bezug auf Problembehandlung und Observierbarkeit auftreten. Die Wiederherstellung kann eine Herausforderung sein.

Beschränken Sie diese Kompromisse. Antizipieren Sie Kompromisse für Daten, die als vertraulich eingestuft werden. Anforderungen können sogar die Kompromisse bestimmen, z. B. wenn eine bestimmte Art von Daten verschlüsselt und innerhalb bestimmter Schwellenwerte gespeichert werden muss.

Es gibt Fälle, in denen die Verschlüsselung aufgrund technischer Einschränkungen, Investitionen oder anderer Gründe nicht möglich ist. Stellen Sie sicher, dass diese Gründe klar, gültig und dokumentiert sind.

Starke Verschlüsselungsmechanismen sollten nicht Ihre einzige Verteidigungsform sein. Implementieren Sie Datendiebstahlprozesse, geeignete Testmethoden und Anomalieerkennung.

Informationen zur Klassifizierung finden Sie unter Empfehlungen zur Datenklassifizierung.

Verwenden von systemeigenen Verschlüsselungsmechanismen

Die meisten Azure-Dienste bieten eine Basisverschlüsselungsebene. Erkunden Sie die von der Plattform bereitgestellten Verschlüsselungsoptionen.

Es wird dringend empfohlen, die Plattformfunktionen nicht zu deaktivieren, um Ihre eigenen Funktionen zu entwickeln. Plattformverschlüsselungsfeatures verwenden moderne Branchenstandards, werden von Experten entwickelt und sind hochgradig getestet.

Wenn Sie die von der Plattform bereitgestellte Verschlüsselung ersetzen müssen, bewerten Sie die Vor- und Nachteile, und verwenden Sie branchenübische Kryptografiealgorithmen.

Entwickler sollten Kryptografie-APIs verwenden, die in das Betriebssystem integriert sind, anstatt in nichtplatforme Kryptografiebibliotheken. Folgen Sie für .NET dem .NET-Kryptografiemodell.

Auswählen eines Verschlüsselungsschlüsselansatzes

Standardmäßig verwenden Azure-Dienste von Microsoft verwaltete Verschlüsselungsschlüssel zum Verschlüsseln und Entschlüsseln von Daten. Azure ist für die Schlüsselverwaltung verantwortlich.

Sie können sich für vom Kunden verwaltete Schlüssel entscheiden. Azure verwendet weiterhin Ihre Schlüssel, aber Sie sind für Schlüsselvorgänge verantwortlich. Sie haben die Flexibilität, Schlüssel bei Bedarf zu ändern. Die Entschlüsselung ist ein überzeugender Grund für die Verwendung von vom Kunden verwalteten Schlüsseln.

Sie sollten eine starke Verschlüsselung mit starker Entschlüsselung koppeln. Aus Sicherheitsgründen ist der Schutz eines Entschlüsselungsschlüssels wichtig, da drehung eine häufige Möglichkeit ist, den Strahlradius zu steuern, wenn ein Schlüssel kompromittiert wird. Überwachen Sie den Zugriff, um anomale Zugriffe und Aktivitäten zu erkennen.

Speichern Sie Schlüssel getrennt von verschlüsselten Daten. Durch diese Entkopplung wird sichergestellt, dass sich die Kompromittierung einer Entität nicht auf die andere auswirkt. Wenn Sie vom kundenseitig verwaltete Schlüssel verwenden, speichern Sie sie in einem Schlüsselspeicher. Speichern streng vertraulicher Daten in einem verwalteten Hardwaresicherheitsmodul (HSM).

Beide Speicher sind durch identitätsbasierten Zugriff geschützt. Mit diesem Feature können Sie den Zugriff sogar auf die Plattform verweigern.

Verwenden von Standardverschlüsselungsalgorithmen

Verwenden Sie Kryptografiealgorithmen, die etablierten und branchenspezifischen Standards entsprechen, anstatt benutzerdefinierte Implementierungen zu erstellen.

Branchenstandards für Algorithmen erfordern, dass Verschlüsselungsschemata ein bestimmtes Maß an Entropie aufweisen. Die Entropiequellen werden während der Verschlüsselung eingefügt. Entropy macht den Algorithmus stark und macht es für einen Angreifer schwierig, Informationen zu extrahieren. Bestimmen Sie die tolerierbaren Schwellenwerte der Entropie. Verschlüsselungsverfahren sind prozessorintensiv. Finden Sie das richtige Gleichgewicht, damit Sie die Computezyklen maximieren, die für die Verschlüsselung aufgewendet werden, relativ zu den allgemeinen Leistungszielen der Computeanforderung.

Kompromiss: Wenn Sie einen Algorithmus auswählen, der hochkomplex ist oder mehr als eine angemessene Menge an Entropie einjiziert, beeinträchtigt es die Leistung Ihres Systems.

Verwenden von Hashes und Prüfsummen

In der Regel ist Hashing eine Fehlererkennungsmethode. Sie können auch Hashing für Sicherheit verwenden, da änderungen an Daten erkannt werden, die durch Manipulationen verursacht werden können. Hashfunktionen basieren auf Kryptografie, verwenden aber keine Schlüssel. Hashfunktionen verwenden Algorithmen, um Prüfsummen zu erzeugen. Prüfsummen können Daten vergleichen, um die Integrität zu überprüfen.

Anwendungen sollten die SHA-2-Familie von Hashalgorithmen wie SHA-256, SHA-384 oder SHA-512 verwenden.

Verschlüsselung ruhender Daten

Klassifizieren und Schützen von Informationsspeicherobjekten gemäß den internen und externen Compliance-Anforderungen. Sehen Sie sich die folgenden Empfehlungen an:

  • Verschlüsseln Sie Daten mithilfe systemeigener Optionen , die für Speicherdienste, Datenspeicher und andere Ressourcen bereitgestellt werden, die zum Speichern von Daten verwendet werden. Verschlüsseln Sie diese Daten auch dann, wenn Sie Daten nur vorübergehend in diesen Speicherdiensten oder Ressourcen speichern. Verschlüsseln Sie auch Ihre Sicherungsdaten, um die gleiche Sicherheitsstufe wie die ursprüngliche Quelle beizubehalten.

    Weitere Informationen finden Sie unter "Ruhezustandsschutz".

  • Verwenden Sie die doppelte Verschlüsselung. Wenn Ihre Geschäftlichen Anforderungen eine höhere Sicherheit fordern, können Sie eine doppelte Verschlüsselung durchführen. Verschlüsseln Sie Daten in zwei oder mehr Ebenen mithilfe von unabhängigen vom Kunden verwalteten Schlüsseln. Speichern Sie die Daten in einem verwalteten HSM. Zum Lesen der Daten ist Zugriff auf beide Schlüssel erforderlich. Wenn ein Schlüssel kompromittiert wird, schützt der andere Schlüssel die Daten weiterhin. Diese Technik zielt darauf ab, die Kosten der Angreifer*innen zu erhöhen.

    Sie können auch die von der Plattform bereitgestellte Verschlüsselung verwenden, um Daten zu verschlüsseln. Die von der Plattform bereitgestellte Verschlüsselung schützt die Speichermedien auf Infrastrukturebene, und Sie wenden eine weitere Verschlüsselungsebene auf Datenebene an. Beispielsweise verfügt ein Nachrichtenbrokerdienst über plattformbasierte Verschlüsselung über von Microsoft verwaltete Schlüssel, die die Nachrichtenpipeline schützen. Mit dieser Methode können Sie die Nachrichten mit vom Kunden verwalteten Schlüsseln verschlüsseln.

    Verwenden Sie mehr als einen Verschlüsselungsschlüssel. Verwenden Sie einen Schlüsselverschlüsselungsschlüssel (KEY Encryption Key, KEK), um Ihren Datenverschlüsselungsschlüssel (DATA Encryption Key, DEK) zu schützen.

  • Verwenden Sie identitätsbasierte Zugriffssteuerungen, um den Zugriff auf Daten zu steuern. Fügen Sie Netzwerkfirewalls hinzu, um eine zusätzliche Sicherheitsebene bereitzustellen, die unerwarteten und unsicheren Zugriff blockiert.

    Weitere Informationen finden Sie unter Empfehlungen für die Identitäts- und Zugriffsverwaltung.

  • Speichern Sie Schlüssel in einem verwalteten HSM , das über die Zugriffssteuerung mit den geringsten Berechtigungen verfügt. Trennen Sie die Daten von den Schlüsseln zu den Daten.

  • Speichern Sie eine begrenzte Datenmenge , sodass Sie nur verschlüsseln, was erforderlich ist. Ihre Daten sollten nicht länger als ihr Verschlüsselungszyklus sein. Wenn Daten nicht mehr benötigt werden, löschen Sie die verschlüsselten Daten, ohne die Entschlüsselungszyklen aufzugeben.

Verschlüsseln von Daten während der Übertragung

  • Verwenden Sie sichere Protokolle für die Clientserverkommunikation. Transportprotokolle verfügen über eine integrierte Sicherheitsebene. TLS ist der Branchenstandard für den Datenaustausch zwischen Client- und Serverendpunkten.

    Verwenden Sie keine Versionen unter TLS 1.2. Migrieren Sie Lösungen zur Unterstützung von TLS 1.2, und verwenden Sie diese Version standardmäßig. Alle Azure-Dienste unterstützen TLS 1.2 auf öffentlichen HTTPS-Endpunkten.

    Risiko: Ältere Clients, die TLS 1.2 nicht unterstützen, funktionieren möglicherweise nicht ordnungsgemäß, wenn die Abwärtskompatibilität nicht unterstützt wird.

    Jede Websitekommunikation sollte HTTPS verwenden, unabhängig von der Vertraulichkeit der übertragenen Daten. Während eines Clientserver-Handshakes wird die Verwendung der RICHTLINIE HTTP Strict Transport Security (HSTS) ausgehandelt, sodass der HTTPS-Transport während der Kommunikation nicht auf HTTP übertragen wird. Diese Richtlinie schützt vor Man-in-the-Middle-Angriffen.

    Die Unterstützung für HSTS ist für neuere Versionen vorgesehen. Sie können die Abwärtskompatibilität mit älteren Browsern unterbrechen.

    Hinweis

    Sie können protokolle auch verschlüsseln, um sichere Verbindungen für Datenbanken herzustellen. Beispielsweise unterstützt Azure SQL-Datenbank das TDS-Protokoll (Tabular Data Stream), das einen TLS-Handshake integriert.

    Eine Verschlüsselungssuite ist eine Reihe von Algorithmen, die verwendet werden, um den Handshake zwischen dem Client und dem Server zu standardisieren. Die Verschlüsselungen stellen sicher, dass der Austausch verschlüsselt und authentifiziert wird. Die Wahl der Chiffre hängt von der TLS-Version ab, die der Server verwendet. Bei einigen Diensten, z. B. Azure-App lizenzierungsgateway, können Sie die Version von TLS und die Verschlüsselungssammlungen auswählen, die Sie unterstützen möchten. Implementieren Sie Verschlüsselungssammlungen, die den Advanced Encryption Standard (AES) als symmetrische Blockchiffre verwenden. AES-128, AES-192 und AES-256 sind akzeptabel.

  • Verwalten des Lebenszyklus von Zertifikaten. Zertifikate haben eine vordefinierte Lebensdauer. Behalten Sie keine langlebigen Zertifikate bei, und lassen Sie sie nicht allein ablaufen. Implementieren Sie einen Prozess, der Zertifikate mit einer akzeptablen Häufigkeit erneuert. Sie können den Prozess für Erneuerungen automatisieren, die in kurzen Intervallen auftreten.

    Hinweis

    Wenn Sie das Anheften von Zertifikaten verwenden, machen Sie sich mit den Einschränkungen der Flexibilität und der Zertifikatverwaltung vertraut.

    Ihr Workflow sollte nicht zulassen, dass ungültige Zertifikate in der Umgebung akzeptiert werden. Der Prozess zum Anheften von Zertifikaten sollte Zertifikate überprüfen und diese Überprüfung erzwingen. Sie sollten Zugriffsprotokolle überwachen, um sicherzustellen, dass der Signaturschlüssel mit ordnungsgemäßen Berechtigungen verwendet wird.

    Wenn ein Schlüssel kompromittiert wird, muss das Zertifikat sofort widerrufen werden. Eine Zertifizierungsstelle (Certificate Authority, CA) stellt eine Zertifikatsperrliste (Certificate Revocation List, CRL) bereit, die die Zertifikate angibt, die vor dem Ablauf ungültig sind. Ihre Überprüfung sollte Zertifikatsperrlisten (CRL) berücksichtigen.

    Kompromiss: Der Zertifizierungsüberprüfungsprozess kann umständlich sein und umfasst in der Regel eine Zertifizierungsstelle. Ermitteln Sie die Daten, die Sie mit Zertifikaten verschlüsseln müssen. Ermitteln Sie bei anderen Kommunikationsarten, ob Sie lokalisierte Ausgleichssteuerelemente implementieren können, um Sicherheit hinzuzufügen.

    Eine Möglichkeit zum Lokalisieren von Steuerelementen ist mit gegenseitigem TLS (mTLS). Es richtet Vertrauen in beide Richtungen zwischen dem Client und dem Server ein. Sowohl der Client als auch der Server verfügen über eigene Zertifikate, und jedes Zertifikat wird mit dem öffentlichen oder privaten Schlüsselpaar authentifiziert. Bei mTLS sind Sie nicht von der externen Zertifizierungsstelle abhängig. Der Kompromiss ist die zusätzliche Komplexität der Verwaltung von zwei Zertifikaten.

  • Bei Bedarf doppelt verschlüsseln Sie VPN-Verbindungen. Führen Sie eine doppelte Verschlüsselung aus, um Ihrem VPN-Tunnel eine tiefe Verteidigung hinzuzufügen. Wenn Sie zwei VPN-Server verwenden, können Sie die IP-Adresse zwischen den Servern ausblenden und auch die IP-Adresse zwischen dem Server und dem Ziel ausblenden. Während dieses Prozesses werden daten während der Übertragung ebenfalls zweimal verschlüsselt.

    Kompromiss: Im Vergleich zu einzelnen VPN-Setups sind doppelte VPN-Setups oft teurer, und Verbindungen sind oft langsamer.

  • Implementieren Sie Protokollierungs- und Überwachungsprozesse. Behalten Sie den Überblick über Zugriffsanmeldungsressourcen, die Informationen zu Clients speichern, z. B. deren Quell-IP, Port und Protokoll. Verwenden Sie diese Informationen, um Anomalien zu erkennen.

Verschlüsseln von daten, die verwendet werden

Für hohe Sicherheitsarbeitslasten werden Segmentierung, Isolierung und geringste Rechte empfohlen, Entwurfsmuster.

Im Kontext des In-Use-Schutzes erfordern Hardwaregrenzen möglicherweise eine Verschlüsselung von Daten, während sie in der physischen CPU und im Arbeitsspeicher verwendet wird, um die Isolierung von VMs, Hostverwaltungscode und anderen Komponenten sicherzustellen. Die Verschlüsselung und Entschlüsselung von Daten darf nur innerhalb dieser Isolationsgrenzen erfolgen.

Strengere Sicherheits- oder behördliche Anforderungen können auch hardwarebasierte, kryptografisch signierte Nachweise erfordern, dass Daten während der Verwendung verschlüsselt werden, dies kann durch Nachweis abgerufen werden. Vertrauliches Computing ist eine solche Technologie, die die Anforderung unterstützt. Bestimmte Dienste in Azure bieten die Möglichkeit, Daten zu schützen, während sie berechnet werden. Weitere Informationen finden Sie unter Azure Facilitation: Azure Confidential Compute.

Berücksichtigen Sie den End-End-Lebenszyklus von Daten, die Sie schützen , häufig durch mehrere Systeme in seiner Lebensdauer, achten Sie darauf, dass alle Komponenten einer Lösung die erforderlichen Schutzebenen bereitstellen können, oder sicherstellen, dass Ihre Datenverwaltungsstrategie geeignete Segmentierung oder Maskierung bietet.

Azure-Erleichterung

In den folgenden Abschnitten werden Azure-Dienste und -Features beschrieben, mit denen Sie Ihre Daten verschlüsseln können.

Kundenseitig verwaltete Schlüssel

Speichern von vom Kunden verwalteten Schlüsseln in Azure Key Vault oder in einem vom Key Vault verwalteten HSM.

Der Schlüsseltresor behandelt die Schlüssel wie alle anderen geheimen Schlüssel. Azure-rollenbasierte Zugriffssteuerungen (RBAC) greifen über ein Berechtigungsmodell auf die Schlüssel zu. Dieses identitätsbasierte Steuerelement muss mit Key Vault-Zugriffsrichtlinien verwendet werden.

Weitere Informationen finden Sie unter Bereitstellen des Zugriffs auf Schlüsseltresorschlüssel, Zertifikate und geheime Schlüssel mithilfe von RBAC.

Azure Key Vault Premium und Managed-HSM verbessern das Angebot weiter, indem vertrauliche Computing-Capabilites und Secure Key Release eingeschlossen werden, die eine Richtlinie unterstützen, um sicherzustellen, dass ein Schlüssel nur für eine Workload freigegeben wird, die kryptografisch nachweisen kann, dass er in einer Trusted Execution Environment (TEE) ausgeführt wird.

Schutz ruhender Daten

  • Azure Storage verschlüsselt Ihre Daten automatisch mit Blockchiffre, wenn die Daten in einem Speicherkonto gespeichert werden. Für Azure Blob Storage und Azure Queue Storage bietet Storage auch clientseitige Verschlüsselung über Bibliotheken.

    Weitere Informationen finden Sie unter "Speicherverschlüsselung".

  • Virtuelle Azure-Computer verfügen über Datenträgerdateien, die als virtuelle Speichervolumes dienen. Sie können die Dateien des virtuellen Datenträgers verschlüsseln, sodass auf die Inhalte nicht zugegriffen werden kann.

    Verwaltete Datenträger können aus dem Portal exportiert werden. Serverseitige Verschlüsselung und Verschlüsselung auf dem Host können Daten erst schützen, nachdem sie exportiert wurden. Sie sollten daten jedoch während des Exportvorgangs schützen. Sie können Azure Disk Encryption verwenden, um Ihre Daten während des Exportvorgangs zu schützen und zu schützen.

    Azure bietet mehrere Verschlüsselungsoptionen für verwaltete Datenträger. Weitere Informationen finden Sie unter Übersicht über die Verschlüsselungsoptionen für verwaltete Datenträger.

  • SQL-Datenbank bietet ein transparentes Datenverschlüsselungsfeature, das zum Verschlüsseln einer Datenbankdatei auf Seitenebene verwendet wird.

Schutz vor Daten während der Übertragung

Mit Key Vault können Sie öffentliche und private SSL-Zertifikate (Secure Sockets Layer) oder TLS-Zertifikate bereitstellen, verwalten und bereitstellen. Sie können die Zertifikate mit Azure und ihren internen verbundenen Ressourcen verwenden.

Datenschutz

Bestimmte Dienste in Azure bieten die Möglichkeit, Daten zu schützen, während sie innerhalb der physischen CPU und des Arbeitsspeichers eines Hosts mit Azure Vertraulich Computing berechnet werden.

  • Vertrauliche virtuelle Computer bieten einen ganzen virtuellen Computer, der in einem TEE ausgeführt wird, der Arbeitsspeicher und die Ausführung von CPU-Inhalten des virtuellen Computers werden verschlüsselt, die einen einfachen "Lift & Shift"-Ansatz für das Verschieben unmodifizierter Anwendungen mit hohen Sicherheitsanforderungen in Azure bieten. Jede vertrauliche Azure-VM verfügt über ein eigenes dediziertes virtual Trust Platform Module (TPM). Die Verschlüsselung wird ausgeführt, während die Betriebssystemkomponenten sicher starten.

  • Vertrauliche AKS-Workerknoten, vertrauliche Container auf AKS oder vertraulichen Containern in Azure Container Instances (ACI) bieten die Möglichkeit, nicht modifizierte Container in einem TEE auszuführen und zu verwalten, wodurch Kunden von in-Use-Schutz profitieren können. Containerangebote basieren auf vertraulichen virtuellen Computern und profitieren von denselben Schutzmaßnahmen.

  • Anwendungs-Enklave-Lösungen sind speziell erstellte Anwendungen, die bestimmte CPU-Erweiterungen nutzen, die von SKUs des virtuellen Computers angeboten werden, die Intel Software Guard Extensions (SGX) unterstützen, bieten diese eine sehr granulare Trusted Compute Base (TCB), erfordern jedoch, dass Anwendungen speziell codiert werden, um die Features zu nutzen.

  • Secure Key Release kann mit diesen Technologien kombiniert werden, um sicherzustellen, dass verschlüsselte Daten nur innerhalb eines TEEs entschlüsselt werden, was beweist, dass es das erforderliche Schutzniveau durch einen Prozess bietet, der als Nachweis bezeichnet wird.

Verwaltung von Geheimnissen

Sie können Key Vault verwenden, um den Zugriff auf Token, Kennwörter, Zertifikate, API-Schlüssel und andere geheime Schlüssel sicher zu speichern und zu steuern. Verwenden Sie Key Vault als Schlüssel- und Zertifikatverwaltungslösung. Premium-SKU unterstützt HSMs.

Beispiel

Das folgende Beispiel zeigt Verschlüsselungslösungen, die Sie zum Verwalten von Schlüsseln, Zertifikaten und geheimen Schlüsseln verwenden können.

Diagramm, das Verschlüsselungslösungen zum Verwalten von Schlüsseln, Zertifikaten und geheimen Schlüsseln zeigt.

Checkliste für die Sicherheit

Lesen Sie den vollständigen Satz von Empfehlungen.

Checkliste für die Sicherheit