Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Microsoft Azure Attestation ist ein Dienst, der Ihnen hilft, die Vertrauenswürdigkeit von Plattformkomponenten und Anwendungen zu überprüfen, die in vertrauenswürdigen Ausführungsumgebungen (Trusted Execution Environments, TEEs) ausgeführt werden. Azure Attestation hilft dabei, einen Vertrauensanker zu schaffen, indem überprüft wird, dass TEEs authentisch und unverändert sind und die erwartete Software ausführen. Wenn Sie Azure Attestation für sicherheitskritische Überprüfungsworkflows verwenden, führen Sie Schritte aus, um die Sicherheit Ihrer Nachweisanbieter und die darin verarbeiteten Daten zu maximieren.
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Dieser Artikel enthält Sicherheitsempfehlungen zum Schutz Ihrer Azure Attestation Bereitstellung.
Netzwerksicherheit
Azure Attestation unterstützt Netzwerksicherheitsfunktionen, um Ihre Attestation Provider und deren Daten vor unbefugtem Zugriff zu schützen.
Verwenden Sie Azure Private Link für den sicheren Zugriff: Konfigurieren Sie azure Private Link, um eine sichere Verbindung mit dem Azure-Nachweis aus Ihrem virtuellen Netzwerk herzustellen und die Gefährdung von Nachweisendpunkten im öffentlichen Internet zu verhindern. Private Link stellt eine private Verbindung bereit, die private IP-Adressen verwendet, wodurch der Azure-Nachweis effektiv in Ihr virtuelles Netzwerk eingebunden wird. Weitere Informationen finden Sie unter Erstellen eines privaten Endpunkts für Azure Attestation mithilfe von PowerShell.
Deaktivieren Sie den öffentlichen Netzwerkzugriff, wenn er nicht benötigt wird: Azure Attestation unterstützt die
publicNetworkAccessEigenschaft für Nachweisanbieter. Legen Sie diesen Wert aufDisabledfest für Anbieter, die ausschließlich über Private Link erreichbar sind, damit kein Datenverkehr auf der Datenebene aus dem öffentlichen Internet gelangen kann. Weitere Informationen finden Sie unter Azure Private Link.
Identitäts- und Zugriffsverwaltung
Die ordnungsgemäße Identitäts- und Zugriffsverwaltung ist entscheidend für die Sicherung des Zugriffs auf Ihre Nachweisanbieter, deren Richtlinien und ihre Signaturzertifikate. Azure Attestation verwendet Microsoft Entra ID für die Datenebenenauthentifizierung und Azure RBAC für die Autorisierung.
Microsoft Entra ID-Authentifizierung verwenden: Azure Attestation authentifiziert Aufrufer der Datenebene standardmäßig über die Microsoft Entra ID. Verwenden Sie diese integrierte Funktion, um die Identitätsgovernance-Kontrollen Ihrer Organisation (Bedingter Zugriff, MFA, Sitzungsrichtlinien) auf Attestierungsvorgänge anzuwenden. Weitere Informationen finden Sie unter Rollen- und Berechtigungsanforderungen für die Richtlinienverwaltung in Azure Attestation.
Verwenden Sie verwaltete Identitäten für Anwendungen: Wenn Anwendungen Azure Attestation aufrufen müssen, authentifizieren Sie sie mithilfe von Azure verwalteten Identitäten, sodass Sie geheime Schlüssel oder Zertifikate nicht im Code speichern. Azure Attestation unterstützt verwaltete Identitäten für Datenebenenvorgänge. Weitere Informationen finden Sie unter Was sind verwaltete Identitäten für Azure-Ressourcen?.
Verwenden Sie Dienstprinzipale nur, wenn verwaltete Identitäten nicht verwendet werden können: Für Automatisierungsszenarien, in denen verwaltete Identitäten nicht gelten (z. B. mandantenübergreifende Szenarien), erstellen Sie dedizierte Dienstprinzipale mit Berechtigungen mit geringsten Berechtigungen. Erneuern Sie Anmeldeinformationen regelmäßig und überwachen Sie deren Anmeldeaktivität. Weitere Informationen finden Sie unter Erstellen eines Azure-Dienstprinzipals.
Verwenden Sie Azure RBAC mit der Rolle „Mitwirkender für Attestierung“: Weisen Sie die integrierte Rolle „Mitwirkender für Attestierung“ nur Benutzern und Dienstprinzipalen zu, die Richtlinien oder Richtliniensignaturzertifikate für einen Attestierungsanbieter verwalten müssen. Gewähren Sie mit der Rolle „Attestation Reader“ Lesezugriff. Weitere Informationen finden Sie unter Rollen- und Berechtigungsanforderungen für die Richtlinienverwaltung in Azure Attestation.
Erzwingen Sie PIM für privilegierte Zuweisungen: Verwenden Sie Microsoft Entra Privileged Identity Management (PIM), um die Rolle Mitwirkender für Bestätigungen aktivierbar zu machen, anstatt sie dauerhaft zuzuweisen, und fordern Sie bei der Aktivierung MFA und eine Genehmigung an. Weitere Informationen finden Sie unter Übersicht zu Privileged Identity Management.
Datenschutz
Azure Attestation verarbeitet Attestierungsnachweise und Richtlinien, deren Integrität für die Vertrauensbildung in Ihren TEEs von zentraler Bedeutung ist. Die Verschlüsselung von Daten im Ruhezustand und von Daten während der Übertragung ist standardmäßig aktiviert, und die verfügbaren Steuerungsmöglichkeiten beziehen sich auf die Richtliniensignierung.
Signieren Sie Ihre benutzerdefinierten Attestierungsrichtlinien: Verwenden Sie signierte Richtlinien (anstelle nicht signierter Richtlinien), wenn Ihre Arbeitslast eine lückenlose Nachvollziehbarkeit der Richtlinienänderungen erfordert. Mit signierten Richtlinien können Sie überprüfen, ob eine Richtlinie von einem vertrauenswürdigen Richtliniensignierer stammt und bei der Übertragung nicht manipuliert wurde. Weitere Informationen finden Sie unter Erstellen und Signieren einer Nachweisrichtlinie.
Schützen Sie private Schlüssel für die Richtliniensignierung von Zertifikaten: Speichern Sie die privaten Schlüssel, die zum Signieren von Nachweisrichtlinien in Azure Key Vault (oder einem von Ihnen kontrollierten HSM) verwendet werden, und gewähren Sie nur Zugriff auf die Identitäten, die Richtlinien signieren müssen. Wechseln Sie diese Schlüssel gemäß einem Zeitplan, der im Einklang mit der Kryptografierichtlinie Ihrer Organisation steht. Weitere Informationen finden Sie unter About Azure Key Vault.
Grundlegendes zum Standardverschlüsselungsverhalten: Azure Attestation verschlüsselt alle ruhenden Daten automatisch mithilfe von Microsoft verwalteten Schlüsseln, und alle übertragenen Daten verwenden TLS 1.2 oder höher. Sie müssen für die Standardeinstellung nichts konfigurieren. Überprüfen Sie, ob Ihre Clientanwendungen beim Nachweisendpunkt TLS 1.2 oder höher aushandeln. Weitere Informationen finden Sie unter Verschlüsselung ruhender Daten.
Protokollierung und Überwachung
Überwachung und Protokollierung sind wichtige Komponenten einer umfassenden Sicherheitsstrategie für den Azure-Nachweis.
Diagnoseprotokollierung aktivieren: Konfigurieren Sie Azure-Ressourcenprotokolle, um detaillierte Informationen zu Nachweisvorgängen zu erfassen. Diese Protokolle unterstützen Sicherheitsuntersuchungen, Complianceanforderungen und operative Problembehandlung. Weitere Informationen finden Sie unter Azure Attestation Protokollierung.
Konfigurieren Sie Warnungen für verdächtige Aktivitäten: Richten Sie Azure Monitor Warnungen ein, um Sie über ungewöhnliche Muster oder potenzielle Sicherheitsvorfälle mit Ihren Nachweisanbietern zu informieren. Konzentrieren Sie sich auf Vorgänge mit hohem Risiko wie Richtlinienänderungen, Rotationen von Signaturzertifikaten für Richtlinien und unerwartete Authentifizierungsfehler. Weitere Informationen finden Sie unter Azure Monitor-Warnungen.
Compliance und Governance
Governance-Kontrollen helfen Ihnen, über alle Sicherheitsanbieter hinweg ein einheitliches Sicherheitsniveau durchzusetzen, wenn Ihre IT-Umgebung wächst.
Erzwingen der Konfiguration mit Azure Policy: Verwenden Sie Azure Policy Definitionen zum Überwachen oder Erzwingen erforderlicher Konfigurationen für Nachweisanbieter, z. B. zum Anfordern
publicNetworkAccess: Disabledoder Einschränken der Regionen, in denen Anbieter erstellt werden können. Weitere Informationen finden Sie unter die integrierten Definitionen von Azure Policy für Azure Attestation.Übernehmen Sie den Microsoft Cloudsicherheits-Benchmark: Richten Sie Ihren Nachweisstatus mit dem Microsoft Cloud Security Benchmark (MCSB) aus, der horizontale Kontrollen für Netzwerksicherheit, Identität, Datenschutz und Überwachung bereitstellt, die auch für Azure Attestation gelten.
Sicherung und Wiederherstellung
Azure Attestation verwaltet die zugrunde liegende Infrastruktur. Ihre Wiederherstellungsaufgaben sind auf Ihre benutzerdefinierten Nachweisrichtlinien und Richtliniensignaturzertifikate beschränkt.
Versionskontrolle Ihrer Richtlinienartefakte: Speichern Sie Ihre Quelldateien für die Nachweisrichtlinie (und die Quelle, die zum Erstellen signierter Richtlinien verwendet wird) in einem versionsgesteuerten Repository, damit Sie alle bereitgestellten Richtlinien deterministisch neu erstellen können. In Kombination mit signierten Richtlinien bietet dieser Ansatz einen auditierbaren Wiederherstellungspfad.
Sichern Sie Richtliniensignaturzertifikate: Wenn Sie signierte Richtlinien verwenden, speichern Sie das Richtliniensignaturzertifikat in einem HSM-gesicherten Speicher, z. B. Azure Key Vault, und sichern Sie es gemäß den wichtigsten Verwaltungsprozeduren Ihrer Organisation. Wenn Sie den Signaturschlüssel verlieren, können Sie keine neuen signierten Richtlinienversionen unter derselben Signiereridentität erstellen.
Testen Sie die Wiederherstellung regelmäßig: Regelmäßig üben Sie den Fluss der erneuten Bereitstellung Ihrer Nachweisrichtlinie an einen Testnachweisanbieter aus, damit ein validiertes Verfahren bereit ist, wenn eine Produktionsrichtlinie verloren geht oder beschädigt ist.