Amankan penerapan Azure Attestation Anda

Microsoft Azure Attestation adalah layanan yang membantu Anda memverifikasi kepercayaan komponen platform dan aplikasi yang berjalan di Trusted Execution Environments (TEEs). Azure Attestation membantu membangun akar kepercayaan dengan memvalidasi bahwa TEE asli, tidak dimodifikasi, dan menjalankan perangkat lunak yang diharapkan. Saat Anda menggunakan Azure Attestation untuk alur kerja verifikasi penting keamanan, ambil langkah-langkah untuk memaksimalkan keamanan penyedia pengesahan Anda dan data yang diproses melaluinya.

Rekomendasi keamanan dalam artikel ini menerapkan prinsip-prinsip Zero Trust: "Verifikasi secara eksplisit", "Gunakan akses hak istimewa paling sedikit", dan "Asumsikan pelanggaran". Untuk panduan Zero Trust yang komprehensif, lihat Pusat Panduan Zero Trust.

Artikel ini menyediakan rekomendasi keamanan untuk membantu melindungi penyebaran Azure Attestation Anda.

Keamanan jaringan

Azure Attestation mendukung fitur keamanan jaringan untuk membantu melindungi penyedia pengesahan Anda dan datanya dari akses yang tidak sah.

  • Gunakan Azure Private Link untuk akses aman: Mengonfigurasi Azure Private Link untuk terhubung dengan aman ke Azure Attestation dari jaringan virtual Anda, mencegah paparan titik akhir pengesahan ke internet publik. Private Link menyediakan koneksi privat yang menggunakan alamat IP privat, secara efektif membawa Azure Attestation ke jaringan virtual Anda. Untuk informasi selengkapnya, lihat Membuat titik akhir privat untuk Azure Attestation menggunakan PowerShell.

  • Nonaktifkan akses jaringan publik jika tidak perlu: Azure Attestation mendukung properti pada penyedia pengesahanpublicNetworkAccess. Atur ke Disabled untuk penyedia layanan yang hanya dapat diakses melalui Private Link agar tidak ada lalu lintas data-plane yang dapat masuk dari internet publik. Untuk informasi selengkapnya, lihat Azure Private Link.

Pengelolaan identitas dan akses

Manajemen identitas dan akses yang tepat sangat penting untuk mengamankan akses ke penyedia pengesahan Anda, kebijakan mereka, dan sertifikat penandatanganannya. Azure Attestation menggunakan Microsoft Entra ID untuk autentikasi bidang data dan Azure RBAC untuk otorisasi.

  • Gunakan autentikasi Microsoft Entra ID: Azure Attestation mengautentikasi pemanggil bidang data melalui Microsoft Entra ID secara default. Gunakan integrasi bawaan ini untuk menerapkan kontrol tata kelola identitas organisasi Anda (Akses Bersyarat, MFA, kebijakan sesi) pada operasi atestasi. Untuk informasi selengkapnya, lihat Persyaratan peran dan izin untuk manajemen kebijakan di Azure Attestation.

  • Gunakan identitas terkelola untuk aplikasi: Saat aplikasi perlu memanggil Azure Attestation, autentikasi dengan menggunakan identitas terkelola Azure sehingga Anda tidak menyimpan rahasia atau sertifikat dalam kode. Azure Attestation mendukung identitas terkelola untuk operasi bidang data. Untuk informasi selengkapnya, lihat Apa yang dimaksud dengan identitas terkelola untuk sumber daya Azure?.

  • Gunakan perwakilan layanan hanya ketika identitas terkelola tidak dapat digunakan: Untuk skenario otomatisasi di mana identitas terkelola tidak berlaku (misalnya, skenario lintas penyewa), buat perwakilan layanan khusus dengan izin hak istimewa paling sedikit. Putar kredensial secara teratur dan pantau aktivitas masuk mereka. Untuk informasi selengkapnya, lihat Membuat perwakilan layanan Azure.

  • Terapkan Azure RBAC dengan peran Kontributor Pengesahan: Tetapkan peran Kontributor Pengesahan bawaan hanya untuk pengguna dan perwakilan layanan yang perlu mengelola kebijakan atau sertifikat penandatanganan kebijakan pada penyedia pengesahan. Berikan akses baca-saja dengan peran Pembaca Pengesahan . Untuk informasi selengkapnya, lihat Persyaratan peran dan izin untuk manajemen kebijakan di Azure Attestation.

  • Terapkan PIM untuk penugasan istimewa: Gunakan Microsoft Entra Privileged Identity Management (PIM) untuk membuat peran Kontributor Pengesahan memenuhi syarat daripada ditetapkan secara permanen, dan memerlukan MFA ditambah persetujuan tentang aktivasi. Untuk informasi selengkapnya, lihat ringkasan Privileged Identity Management.

Perlindungan data

Azure Attestation memproses bukti pengesahan dan kebijakan yang integritasnya terpusat untuk membangun kepercayaan pada TEEs Anda. Enkripsi data saat disimpan dan data saat ditransmisikan diaktifkan secara default, dan kontrol yang dapat dikonfigurasi berkaitan dengan penandatanganan kebijakan.

  • Menandatangani kebijakan pengesahan kustom Anda: Gunakan kebijakan yang ditandatangani (daripada kebijakan yang tidak ditandatangani) saat beban kerja Anda memerlukan pembuktian yang kuat untuk perubahan kebijakan. Kebijakan yang ditandatangani memungkinkan Anda memverifikasi bahwa kebijakan berasal dari penanda tangan kebijakan tepercaya dan tidak diubah saat transit. Untuk informasi selengkapnya, lihat Cara menulis dan menandatangani kebijakan pengesahan.

  • Melindungi kunci privat sertifikat penandatanganan kebijakan: Simpan kunci privat yang digunakan untuk menandatangani kebijakan pengesahan di Azure Key Vault (atau HSM yang Anda kontrol) dan berikan akses hanya ke identitas yang harus menandatangani kebijakan. Putar kunci ini pada jadwal yang selaras dengan kebijakan kriptografi organisasi Anda. Untuk informasi selengkapnya, lihat Tentang Azure Key Vault.

  • Memahami perilaku enkripsi default: Azure Attestation secara otomatis mengenkripsi semua data tidak aktif dengan menggunakan kunci yang dikelola Microsoft, dan semua data saat transit menggunakan TLS 1.2 atau yang lebih tinggi. Anda tidak perlu mengonfigurasi apa pun untuk postur default. Validasi bahwa aplikasi klien Anda menegosiasikan TLS 1.2 atau yang lebih tinggi terhadap titik akhir pengesahan. Untuk informasi selengkapnya, lihat Enkripsi data saat disimpan.

Pencatatan dan pemantauan

Pemantauan dan pengelogan adalah komponen utama dari strategi keamanan komprehensif untuk Azure Attestation.

  • Mengaktifkan pembuatan log diagnostik: Mengonfigurasi log sumber daya Azure untuk mengambil informasi terperinci tentang operasi pengesahan. Log ini mendukung penyelidikan keamanan, persyaratan kepatuhan, dan pemecahan masalah operasional. Untuk informasi selengkapnya, lihat pengelogan Azure Attestation.

  • Mengonfigurasi pemberitahuan untuk aktivitas mencurigakan: Siapkan pemberitahuan Azure Monitor untuk memberi tahu Anda tentang pola yang tidak biasa atau potensi insiden keamanan yang melibatkan penyedia pengesahan Anda. Fokus pada operasi berisiko tinggi seperti perubahan kebijakan, rotasi sertifikat penanda tangan kebijakan, dan kegagalan autentikasi yang tidak terduga. Untuk informasi selengkapnya, lihat Pemberitahuan Azure Monitor.

Kepatuhan dan tata kelola

Kontrol tata kelola membantu Anda memberlakukan postur keamanan yang konsisten di seluruh penyedia pengesahan saat estate Anda tumbuh.

  • Terapkan konfigurasi dengan Azure Policy: Gunakan definisi Azure Policy untuk mengaudit atau menerapkan konfigurasi yang diperlukan pada penyedia pengesahan - misalnya, memerlukan publicNetworkAccess: Disabled atau membatasi wilayah tempat penyedia dapat dibuat. Untuk informasi selengkapnya, lihat definisi bawaan Azure Policy untuk Azure Attestation.

  • Mengadopsi tolok ukur keamanan cloud Microsoft: Selaraskan postur pengesahan Anda dengan tolok ukur keamanan cloud (MCSB) Microsoft, yang menyediakan kontrol horizontal untuk keamanan jaringan, identitas, perlindungan data, dan pemantauan yang juga berlaku untuk Azure Attestation.

Pencadangan dan pemulihan

Azure Attestation mengelola infrastruktur yang mendasar. Tanggung jawab pemulihan Anda terbatas pada kebijakan pengesahan kustom dan sertifikat penandatanganan kebijakan Anda.

  • Kontrol versi artefak kebijakan Anda: Simpan file sumber kebijakan pengesahan Anda (dan sumber yang digunakan untuk membangun kebijakan yang ditandatangani) di repositori yang dikendalikan versi sehingga Anda dapat membuat ulang kebijakan yang disebarkan secara deterministik. Dikombinasikan dengan kebijakan yang ditandatangani, pendekatan ini menyediakan jalur pemulihan yang dapat diaudit.

  • Mencadangkan sertifikat penandatanganan kebijakan: Jika Anda menggunakan kebijakan yang ditandatangani, simpan sertifikat penandatanganan kebijakan di penyimpanan yang didukung HSM seperti Azure Key Vault dan cadangkan sesuai dengan prosedur manajemen kunci organisasi Anda. Jika Anda kehilangan kunci penandatanganan, Anda tidak dapat membuat versi kebijakan baru yang ditandatangani di bawah identitas penanda tangan yang sama.

  • Uji pemulihan secara berkala: Secara teratur menjalankan alur penyebaran ulang kebijakan pengesahan Anda ke penyedia pengesahan pengujian sehingga prosedur yang divalidasi siap jika kebijakan produksi hilang atau rusak.

Langkah berikutnya

  • Terakhir diperbarui pada