Megosztás a következőn keresztül:

Biztonságos kulcskiadás bizalmas virtuális gépekkel – útmutató

  • Cikk

Az alábbi cikk bemutatja, hogyan hajthat végre biztonságos kulcskiadást az Azure Key Vaultból, amikor az alkalmazások AMD SEV-SNP-alapú bizalmas virtuális géppel futnak. A biztonságos kulcsok kiadásáról és az Azure Confidential Computingról itt talál további információt.

Az SKR megköveteli, hogy az SKR-t végző alkalmazások távoli vendégigazolási folyamaton menjenek keresztül a Microsoft Azure Attestation (MAA) használatával az itt leírtak szerint.

Teljes folyamat és architektúra

Ahhoz, hogy az Azure Key Vault kiadhasson egy kulcsot egy igazolt bizalmas virtuális gépre, bizonyos lépéseket végre kell hajtania:

  1. Felügyelt identitás hozzárendelése a bizalmas virtuális géphez. A rendszer által hozzárendelt felügyelt identitás vagy felhasználó által hozzárendelt felügyelt identitás támogatott.
  2. Állítson be egy Key Vault hozzáférési szabályzatot, hogy a felügyelt identitásnak "kiadási" kulcsengedélyt adjon. A szabályzatok lehetővé teszik, hogy a bizalmas virtuális gép hozzáférjen a Key Vaulthoz, és végrehajtsa a kiadási műveletet. A Key Vault felügyelt HSM használata esetén rendelje hozzá a "Managed HSM Crypto Service Release User" szerepkör-tagságot.
  3. Hozzon létre egy exportálhatóként megjelölt Key Vault-kulcsot, és rendelkezik egy kapcsolódó kiadási szabályzattal. A kulcskiadási szabályzat egy igazolt bizalmas virtuális géphez társítja a kulcsot, és hogy a kulcs csak a kívánt célra használható.
  4. A kiadás végrehajtásához küldjön egy HTTP-kérést a Key Vaultnak a bizalmas virtuális gépről. A HTTP-kérésnek tartalmaznia kell a bizalmas virtuális gépek által igazolt platformjelentést a kérelem törzsében. A hitelesített platformjelentés a megbízható végrehajtási környezet által támogatott platform állapotának , például a bizalmas virtuális gép megbízhatóságának ellenőrzésére szolgál. A Microsoft Azure Igazolási szolgáltatással létrehozhatja az igazolást tartalmazó platformjelentést, és belefoglalhatja a kérelembe.

A fent említett műveletek diagramja, amelyet végre fogunk hajtani.

Azure Key Vault üzembe helyezése

Az AKV Premium vagy az AKV mHSM beállítása exportálható kulccsal. Az SKR exportálható kulcsainak beállításához kövesse az itt található részletes utasításokat

Bicep

@description('Required. Specifies the Azure location where the key vault should be created.')
param location string = resourceGroup().location

@description('Specifies the Azure Active Directory tenant ID that should be used for authenticating requests to the key vault. Get it by using Get-AzSubscription cmdlet.')
param tenantId string = subscription().tenantId

resource keyVault 'Microsoft.KeyVault/vaults@2021-11-01-preview' = {
  name: 'mykeyvault'
  location: location
  properties: {
    tenantId: tenantId
    sku: {
      name: 'premium'
      family: 'A'
    }
  }
}

ARM-sablon

    {
      "type": "Microsoft.KeyVault/vaults",
      "apiVersion": "2021-11-01-preview",
      "name": "mykeyvault",
      "location": "[parameters('location')]",
      "properties": {
        "tenantId": "[parameters('tenantId')]",
        "sku": {
          "name": "premium",
          "family": "A"
        }
      }
    }

Bizalmas virtuális gép üzembe helyezése

Kövesse a "Bizalmas virtuális gép üzembe helyezése ARM-sablonnal" című rövid útmutató utasításait

Rendszer által hozzárendelt felügyelt identitás engedélyezése

Az Azure-erőforrások felügyelt identitásai automatikusan felügyelt identitást biztosítanak az Azure-szolgáltatások számára a Microsoft Entra ID-ban. Ezt az identitást használhatja a Microsoft Entra hitelesítést támogató bármely szolgáltatáshoz történő hitelesítéshez anélkül, hogy a kódjában hitelesítő adatokkal rendelkezne.

A rendszer által hozzárendelt felügyelt identitás CVM-en való engedélyezéséhez a fióknak szüksége van a virtuálisgép-közreműködői szerepkör-hozzárendelésre. Nincs szükség más Microsoft Entra címtárszerepkör-hozzárendelésre.

  1. Akár helyileg, akár az Azure Portalon keresztül jelentkezik be az Azure-ba, használjon egy fiókot, amely a virtuális gépet tartalmazó Azure-előfizetéshez van társítva.

  2. A rendszer által hozzárendelt felügyelt identitás engedélyezéséhez töltse be a sablont egy szerkesztőbe, keresse meg a Microsoft.Compute/virtualMachines kívánt erőforrást, és adja hozzá a "identity" tulajdonságot a name: vmName tulajdonságtal azonos szinten. Alkalmazza a következő szintaxist:

       identity:{
     type: 'SystemAssigned'
   }

  3. Adja hozzá a resource részleteket a sablonhoz.

     resource confidentialVm 'Microsoft.Compute/virtualMachines@2021-11-01' = {
   name: vmName
   location: location
   identity:{
     type: 'SystemAssigned'
   }
   // other resource provider properties
 }