Azure bizalmas számítástechnika

A Microsoft Cloud for Sovereignty lehetővé teszi az ügyfelek számára, hogy adataikat és erőforrásaikat úgy konfigurálják és védjék, hogy azok megfeleljenek speciális szabályozási, biztonsági és szuverenitási követelményeiknek. Ez a folyamat biztosítja, hogy az ügyféladatokhoz ne férhessenek hozzá az ügyfél ellenőrzésén kívül eső felek, még a felhőszolgáltatók, rendszergazdák vagy felhasználók sem. Az Azure bizalmas számítástechnika (ACC) és az Microsoft Cloud for Sovereignty kombinációja biztosítja az ügyfelek számítási feladataihoz való hozzáférés szabályozását.

A bizalmas számítástechnika egy, az ágazaton belül használt és a Confidential Computing Consortium (CCC) által meghatározott fogalom. Az alapítvány célja a bizalmas számítástechnika meghatározásának és elterjedésének felgyorsítása. A CCC definíciója szerint a bizalmas számítástechnika a használatban lévő adatok védelme hardver alapú megbízható végrehajtási környezetben (TEE) végzett számítások révén.

A TEE egy olyan környezet, amely csak az engedélyezett kódok végrehajtását kényszeríti ki. A környezeten kívüli kódok semmilyen adatot nem tudnak olvasni vagy módosítani a TEE-ben. A bizalmas számítástechnika fenyegetési modelljének célja, hogy eltávolítsa vagy csökkentse a felhőszolgáltató operátorának és a bérlői tartomány más szereplőinek lehetőségét a kódhoz és az adatokhoz való hozzáféréshez a végrehajtás közben.

Ha tárolt és átviteli adattitkosítással használják, a bizalmas számítástechnika megszünteti a titkosítás egyetlen legnagyobb akadályát – a használat közbeni titkosítást. Ez megvédi az érzékeny vagy szigorúan szabályozott adatkészleteket és az alkalmazás számítási feladatait egy biztonságos nyilvános felhőplatformon. A bizalmas számítástechnika túlmutat az általános adatvédelmen. A TEE-k emellett segítenek megvédeni a jogvédett üzleti logikát, az analitikai funkciókat, a gépi tanulás algoritmusait vagy teljes alkalmazásokat.

Az ACC csökkenti a bizalom szükségességét a számítási felhőinfrastruktúra különböző aspektusai között. Az Azure bizalmas számítástechnikája minimalizálja a bizalom igényét mindkét rendszerfolyamatban, például a gazda operációs rendszer kernelén és a hipervizorban, valamint az emberi operátorokban, amelyek magukban foglalják a virtuális gép és a gazdagép rendszergazdáját. Az inaktív adatokat védő meglévő megoldásokkal, például a Microsoft Data Encryption szolgáltatással és az átvitel közbeni, például a TLS vagy IPsec megoldásokkal kombinálva, az adatok mostantól használat közben is védettek lesznek, mert maga a memória titkosított marad, vagyis teljes a védelem az adatéletciklus során.

A Microsoft Cloud for Sovereignty védőkorlátjaival és megfelelőségének betartatásával az ACC fokozott védelmet biztosít a szuverén, bizalmas vagy szigorúan szabályozott adatok és számítási feladatok számára az Azure nyilvános felhőplatform skálázhatóságán, rugalmasságán, elérhetőségén és hatékony szolgáltatásain belül. Az Azure bizalmas számítástechnika előnyeire vonatkozó további információért tekintse meg az Azure bizalmas számítástechnikai termékeit.

Az Azure bizalmas számítástechnika támogatja a szuverenitást

Az adatszuverenitás biztosítja, hogy az ügyfelek egyedileg szabályozzák az ügyfélerőforrásokat, például a virtuális gépeket, és mások ne férhessenek hozzá ezekhez az erőforrásokhoz. Az ACC segít az ügyfeleknek az adatszuverenitás elérésében a teljes bizalomalap bizalmas kezelésével, a hardvertől az alkalmazásig. Az Azure DCasv5 és DCadsv5 sorozatú bizalmas virtuális gépek (CVM-ek) hardvertől elkülönített virtuális gépek, amelyek megvédik a memóriában lévő adatokat más virtuális gépektől, hipervizoroktól és gazdagép-felügyeleti kódoktól. Még a virtuális gép gazdagépéhez rendszergazdai hozzáféréssel rendelkező Azure-mérnökök sem férhetnek hozzá a memóriában tárolt ügyféladatokhoz. Ez a sorozat az operációs rendszer lemezének előtitkosítását is kínálja a virtuális gép kiépítése előtt különböző kulcskezelési megoldásokkal.

A szuverenitás minden szinten növekszik azáltal, hogy bizalmas számítástechnikai környezetet biztosít a következőkhöz:

• A Microsoft Azure Attestation egy távoli tanúsító szolgáltatás, amely több TEE megbízhatóságát és a TEE-n belül futó binárisok integritását ellenőrzi. Az alapvető bizalomalap ellenőrzése elengedhetetlen az adatok szuverenitásának biztosításához.
• A megbízható indítás megerősített biztonsági funkciókat – biztonságos rendszerindítást, virtuális megbízható platformmodult és rendszerindítási integritás-felügyeletet – kínál, amelyek védelmet nyújtanak a rendszerindító készletek, gyökérkészletek és kernelszintű rosszindulatú programok ellen.
• A megbízható hardveres identitáskezelés egy olyan szolgáltatás, amely az Azure-ban található összes TEE-tanúsítvány gyorsítótár-kezelését kezeli, és a megbízható számítási alap (TCB) információit biztosítja az igazolási megoldások minimális alapértékeinek érvényesítése érdekében.

Sok ügyfél az Azure Kubernetes Service (AKS) szolgáltatásait használja tárolóalapú alkalmazásai, valamint tároló- és hálózati összetevői kezelésére. A szuverenitási, bizalmassági és biztonsági követelmények teljesítése érdekében az ügyfelek használhatják az AKS-en futó Azure App-enklávéérzékeny tárolókat . Az AKS bizalmas számítástechnika csomópontjai az Intel SGX-et használják az izolált enklávékörnyezetek létrehozására a csomópontokban az egyes tárolóalkalmazások között. Az Azure a bizalmas virtuálisgép-csomópontkészlet támogatását is megtekinti az AMD SEV-SNP virtuálisgép-összetevőkkel az AKS-en. Az AKS az első a piacon, amely engedélyezi a bizalmas virtuális gépeket AMD SEV-SNP csomópontkészletekkel a Kubernetesben, és mélyreható védelmet nyújt az Azure megerősített biztonsági profiljához.

Bizalmas titkok kezelése

Az Azure Key Vault (AKV) felügyelt HSM egy teljesen felügyelt, magas rendelkezésre állású, egyetlen bérlős, a szabványoknak megfelelő felhőszolgáltatás, amely 3. szintű FIPS 140-2 hitelesített hardverbiztonsági modulok (HSM) használatával védi az alkalmazások kriptográfiai kulcsait. Az AKV mHSM ugyanazokat az API-kat használja, mint az Azure Key Vault Standard és Premium, és integrálódik a legtöbb Azure-szolgáltatással, hogy lehetővé tegye a szolgáltatás titkosítását az ügyfél által felügyelt kulcsokkal. A hardveres védelem biztosítja, hogy csak az ügyfél férhessen hozzá a titkosítási kulcsokhoz. Ezekhez még az Azure mérnökei sem férhetnek hozzá.

A Biztonságos kulcskiadás (SKR) az Azure Key Vault (AKV) felügyelt HSM és prémium ajánlatának egy olyan funkciója, amely nagyobb szintű hozzáférés-vezérlést biztosít. A biztonságos kulcskiadás lehetővé teszi egy HSM által védett kulcs kiadását az AKV-ból egy tanúsított megbízható végrehajtási környezethez (TEE), például biztonságos enklávéhoz, VM-alapú TEE-ekhez stb. Az SKR egy újabb védelmi réteget ad hozzá az adatok visszafejtési/titkosítási kulcsaihoz, ahol megcélozhat egy ismert konfigurációval rendelkező alkalmazást + TEE futási környezetet, hogy hozzáférjen a kulcsfontosságú anyagokhoz. Az exportálható kulcsok létrehozásakor meghatározott SKR-szabályzatok szabályozzák a kulcsokhoz való hozzáférést.

Bizalmas analitikai szolgáltatások

Az Azure közszektorbeli és szabályozott iparági ügyfeleinek sürgősen szükségük van olyan fejlett elemzési képességekre, amelyek segíthetnek nekik megfelelni a szuverenitási, adatvédelmi és biztonsági követelményeiknek. A Microsoft Cloud for Sovereignty segít ezeknek az ügyfeleknek az olyan szolgáltatások használatában, mint például:

• Az Always Encypted Azure SQL-ben lévő biztonságos enklávéival az ügyfelek közvetlenül a TEE-n belül futtathatnak SQL-lekérdezéseket, így biztosítva az érzékeny adatok védelmét a rosszindulatú programokkal és a kiemelt jogokkal rendelkező jogosulatlan felhasználókkal szemben.
• Azure Databricks bizalmas számítástechnikai virtuális géppel segíthet az ügyfeleknek az elemzési, gépi tanulás és egyéb számítási feladatok adatvédelmet biztosító futtatásában.
• Az eszközök internetes hálózatának (IoT) gyors növekedése új szuverenitási kockázatokat nyit meg, mivel az IoT Edge-eszközök kívül esnek az ügyfél földrajzi ellenőrzésén, és a rosszindulatú felek fizikailag hozzájuk férhetnek, ami fokozottan veszélyezteti ezeket az eszközöket. A bizalmas IoT Edge növeli a bizalmat és az integritást az éleken azáltal, hogy védelmet nyújt az IoT-eszköz által rögzített és abban tárolt adatokhoz való hozzáféréshez, csökkentve a manipuláció vagy a feltörés kockázatát.
• Arra biztatjuk az ügyfeleket, hogy használják a Microsoft Azure Confidential Ledger (ACL) szolgáltatást az érzékeny adatrekordok kezelésére. Az ACL kizárólag hardverrel támogatott biztonságos enklávékon fut, egy erősen felügyelt és izolált futásidejű környezetben, amely védi az érzékeny adatrekordokat, és megváltoztathatatlanná teszi azokat.

Használja a bizalmas számítástechnikát a Microsoft Cloud for Sovereignty szolgáltatásban

A Microsoft Cloud for Sovereignty ügyfelei a Sovereign Landing Zone segítségével egyszerűsíthetik a Microsoft bizalmas számítástechnikai funkcióinak bevezetését egy megfelelő és szuverén környezetben.

Ha útmutatást szeretne kapni az ACC használatának megkezdéséhez a Sovereign Landing Zone-ban (SLZ), tekintse meg az SLZ-t a GitHubon.