Manajemen kunci dan manajemen sertifikat di Microsoft Cloud for Sovereignty
Otentikasi dan enkripsi kriptografi adalah strategi efektif untuk memenuhi persyaratan kerahasiaan, privasi, dan kedaulatan data. Namun, efektivitas solusi ini bergantung pada keamanan dan ketahanan teknologi kriptografi dan proses operasional yang mendasarinya. Artikel ini memperkenalkan konsep yang harus Anda ketahui saat merencanakan penggunaan kunci enkripsi dan sertifikat digital untuk mengamankan beban kerja yang Anda migrasikan ke cloud.
Manajemen kunci
Materi kriptografi disimpan dan dikelola di Azure menggunakan Azure Key Vault, yang tersedia dalam mode penyebaran multipenyewa dan penyewa tunggal. Azure Key Vault (AKV) menyediakan kunci asli cloud, rahasia, dan manajemen sertifikat dalam layanan multipenyewa yang didukung oleh modul keamanan perangkat keras yang divalidasi FIPS 140. Azure Key Vault Managed HSM adalah layanan penyewa tunggal yang memberi Anda kontrol administratif penuh atas domain keamanan organisasi Anda dan kunci enkripsi terkait.
Rekomendasi untuk manajemen kunci yang efektif
Kontrol platform, meskipun penting, bukan satu-satunya aspek manajemen kunci yang efektif. Microsoft juga menghadirkan beberapa praktik terbaik untuk manajemen kunci yang efektif.
Kontrol akses
Jika Anda menggunakan SKU Standar atau Premium Azure Key Vault, sebaiknya sebarkan satu vault per aplikasi, lingkungan, dan wilayah, untuk menerapkan hak istimewa paling sedikit. Jika Anda menggunakan Azure Managed HSM, menyebarkan sejumlah kecil vault terpusat mungkin lebih disukai untuk mengelola biaya. Terlepas dari SKU yang Anda terapkan, Anda harus mengatur akses vault dengan ketat menggunakan Kontrol Akses Berbasis Peran (RBAC) dan memastikan bahwa kebijakan akses dalam setiap vault mematuhi prinsip hak istimewa paling rendah. Kami merekomendasikan pemberian akses kepada pengguna, grup, dan aplikasi pada cakupan tertentu, seperti langganan, grup sumber daya, atau hanya brankas kunci tertentu, menggunakan peran Azure RBAC yang telah ditentukan sebelumnya. Mengontrol akses sangat penting dan direkomendasikan pada manajemen dan bidang data.
Pemulihan dan backup
Anda harus rutin membuat cadangan di tingkat HSM dan untuk kunci tertentu. Kami menyarankan Anda mengkonfigurasi hapus sementara dan fitur perlindungan pembersihan untuk mencegah penghapusan yang tidak disengaja dan berbahaya. Azure Monitor, yang terintegrasi penuh dengan Azure Managed HSM, direkomendasikan untuk memantau dan mencatat akses ke brankas kunci. Untuk informasi selengkapnya, lihat Praktik terbaik Azure Managed HSM.
Rotasi kunci
Pastikan rotasi rutin Kunci yang Dikelola Pelanggan (CMK) dilakukan, dengan frekuensi yang ditentukan oleh kebijakan organisasi Anda. Kunci juga harus dirotasi jika administrator dengan akses kunci meninggalkan atau mengubah peran, atau jika ada CMK yang disusupi. Rotasi otomatis didukung melalui Gudang Kunci Azure dan HSM Terkelola Azure. Jika memungkinkan, pastikan proses rotasi dilakukan secara otomatis, dijalankan tanpa interaksi manusia, dan diuji untuk memastikan efektivitas. Dalam keadaan darurat seperti kunci yang disusupi, Anda memerlukan sistem yang kuat untuk segera membuat ulang rahasia. Jika otomatisasi proses ini tidak memungkinkan, sebaiknya siapkan peringatan untuk mencegah habis masa berlaku dan penghentian sertifikat.
Catatan
Meskipun rotasi CMK untuk VM rahasia didukung, proses otomatisasi belum didukung. Anda dapat melihat rekomendasi lainnya di sini.
Rekomendasi terkait HSM
Beberapa pelanggan menyatakan minatnya untuk memisahkan kunci mereka dari data dengan menyimpan kunci dalam HSM eksternal, baik di cloud pihak ketiga atau lokal. Meskipun langkah ini mungkin tampak sebagai transisi alami dari mengelola lingkungan lokal, HSM eksternal dapat menimbulkan risiko baru pada lapisan identitas, jaringan, dan perangkat lunak. HSM eksternal juga dapat meningkatkan risiko kinerja dan menimbulkan kekhawatiran seperti masalah jaringan penyebab latensi, masalah SLA yang disebabkan oleh masalah dengan HSM pihak ketiga, serta biaya pemeliharaan dan pelatihan. Selain itu, HSM pihak ketiga mungkin tidak menyediakan fitur penting seperti perlindungan penghapusan sementara dan pembersihan.
Untuk informasi selengkapnya tentang kontrol teknis yang dibangun ke dalam Sovereign Landing Zone (SLZ) untuk menegakkan praktik manajemen kunci yang sesuai, lihat portofolio kebijakan.
Manajemen sertifikat
Sertifikat keamanan digital banyak digunakan untuk mengamankan komunikasi untuk aplikasi cloud. Overhead yang terkait dengan aktivitas manajemen sertifikat, termasuk menerbitkan, memutar, dan mencabut sertifikat, dapat tumbuh dengan cepat karena lebih banyak beban kerja yang dimigrasikan ke cloud. Pelanggan yang berencana untuk memigrasikan beban kerja mereka ke harus Microsoft Cloud for Sovereignty memahami skenario sertifikat keamanan digital mereka sehingga mereka dapat mengembangkan rencana manajemen sertifikat sebagai bagian dari migrasi cloud mereka.
Skenario sertifikat digital umum
Bagian ini menjelaskan skenario cloud umum yang menggunakan sertifikat digital untuk mengamankan komunikasi.
Autentikasi dan enkripsi situs web
Situs web menggunakan sertifikat TLS untuk memverifikasi identitas mereka kepada pengunjung dan untuk mengenkripsi komunikasi. Situs web publik biasanya menggunakan sertifikat dari otoritas sertifikat publik (CA), tetapi organisasi sering menggunakan sertifikat dari CA pribadi untuk situs web yang tidak diekspos ke publik. Dalam kedua kasus, sertifikat untuk situs web harus diperbarui ketika kedaluwarsa atau ketika integritas sertifikat dipertanyakan. Untuk organisasi dengan kehadiran web yang besar, mengelola sertifikat ini dapat memerlukan perencanaan dan upaya yang signifikan.
Autentikasi layanan
Aplikasi terdistribusi dan layanan mikro sering menggunakan model sesi stateless, yang memungkinkan fleksibilitas dalam menangani permintaan aplikasi, tetapi mungkin juga memerlukan autentikasi dan enkripsi tambahan untuk mengurangi risiko keamanan. Sertifikat sering digunakan untuk otentikasi timbal balik antara lapisan aplikasi dan komponen. Seringkali, komponen-komponen ini dikelola oleh tim pengembangan aplikasi terdesentralisasi, yang membuat pengelolaan sertifikat digital sulit dilacak dan dipantau di seluruh perusahaan.
Autentikasi infrastruktur
Server dan perangkat jaringan sering menggunakan sertifikat klien untuk otentikasi di seluruh jaringan perusahaan dan selama kegiatan pemeliharaan. Organisasi yang menggunakan solusi seperti Active Directory atau Kerberos biasanya harus mengelola sertifikat klien untuk infrastruktur yang diterapkan.
Skenario Sertifikat lainnya
Solusi manajemen titik akhir sering menggunakan sertifikat perangkat untuk mengautentikasi perangkat pengguna akhir seperti PC, Laptop, dan perangkat seluler. Sertifikat penandatanganan kode digunakan dalam lingkungan pengembangan untuk memverifikasi penerbit perangkat lunak sebagai bagian dari pendekatan keamanan aplikasi organisasi.
Manajemen siklus hidup sertifikat di cloud
Sertifikat yang dikelola platform vs. sertifikat yang dikelola pelanggan
Layanan Azure PaaS yang menyediakan enkripsi untuk data saat transit biasanya menerapkan enkripsi menggunakan sertifikat digital yang dikelola oleh platform dan terkait dengan nama host default yang ditetapkan pada pembuatan sumber daya. Saat Anda ingin menggunakan nama domain kustom dengan sumber daya yang Anda sebarkan ke cloud, Anda perlu mengonfigurasi sertifikat yang dapat digunakan oleh pengguna eksternal saat mereka mengakses layanan. Untuk komunikasi intra-layanan antara layanan Azure yang tidak dikonfigurasi untuk menggunakan nama domain kustom, sertifikat yang dikelola platform adalah cara default untuk mengenkripsi data saat transit. Jika Anda ingin menggunakan sertifikat yang terkait dengan nama domain kustom, lihat dokumentasi untuk layanan Azure yang Anda rencanakan untuk disebarkan, seperti contoh berikut.
Membuat sertifikat dengan Azure Key Vault
Azure Key Vault memberi pelanggan fitur manajemen sertifikat asli cloud yang memungkinkan platform Azure menggunakan sertifikat yang dibuat atau diimpor pelanggan. Anda dapat membuat sertifikat yang ditandatangani sendiri di Key Vault, meminta sertifikat dari penerbit, atau mengimpor sertifikat dari otoritas sertifikat Anda sendiri. Key Vault juga membantu Anda menentukan kebijakan untuk sertifikat, seperti apakah akan membuat sertifikat dapat diekspor atau tidak dapat diekspor.
- Mulai menggunakan Sertifikat Key Vault
- Mengintegrasikan Key Vault dengan Otoritas Sertifikat Terintegrasi
- Membuat dan menggabungkan permintaan penandatanganan sertifikat di Key Vault
Membuat sertifikat lokal dan mengelolanya di Azure
Jika Anda ingin menerbitkan sertifikat dari otoritas sertifikat lokal, Anda dapat mengimpor sertifikat tersebut ke Azure Key Vault untuk digunakan oleh layanan Azure lainnya. Setelah sertifikat diekspor sebagai file PEM atau PFX, Anda dapat mengimpornya ke Azure Key Vault.
Membuat dan mengelola sertifikat lokal dengan solusi pihak ketiga
Organisasi yang sudah memiliki kemampuan manajemen sertifikat tingkat perusahaan dapat mempertimbangkan apakah akan mengintegrasikan solusi lokal mereka dengan beban kerja mereka di cloud. Banyak otoritas sertifikat lokal dan solusi manajemen sertifikat dapat berintegrasi dengan Key Vault menggunakan REST API dan identitas terkelola.
Manajemen sertifikat terdesentralisasi
Salah satu pendekatan untuk menskalakan kemampuan manajemen sertifikat organisasi adalah dengan mendesentralisasikan penerbitan dan pengelolaan sertifikat ke tim aplikasi dan infrastruktur. Solusi seperti Azure Key Vault memungkinkan organisasi untuk menstandarisasi teknologi dan proses manajemen kunci yang dapat diterima, tanpa memusatkan administrasi proses manajemen kunci tersebut dalam satu tim operasi. Beberapa strategi dapat digunakan untuk mendelegasikan tanggung jawab manajemen utama lebih dekat ke tim aplikasi dan infrastruktur.
Sertifikat terkelola
Situs web yang menghadap publik yang memerlukan sertifikat dari otoritas sertifikat publik dapat memanfaatkan sertifikat terkelola di layanan Azure PaaS, seperti Azure App Service atau Azure Front Door. Sertifikat dari otoritas sertifikat terintegrasi juga dapat dibuat, dikelola, dan diputar di Azure Key Vault. Untuk informasi lebih lanjut, lihat sumber daya berikut:
- Domain dan sertifikat kustom di Azure App Service
- Domain kustom di Azure Front Door
- Mengintegrasikan Key Vault dengan otoritas sertifikat DigiCert
Mengotomatiskan penerbitan sertifikat dalam Alur CI/CD
Organisasi yang mengadopsi proses Dev/Ops dapat mengotomatiskan penerbitan sertifikat sebagai bagian dari alur CI/CD mereka. Pendekatan ini mendelegasikan beberapa tanggung jawab manajemen sertifikat kepada tim aplikasi, dan memungkinkan mereka untuk menyediakan sertifikat mereka sendiri menggunakan layanan Azure asli, seperti Azure DNS, Azure App Service, dan Azure Key Vault.
Mengelola sertifikat titik akhir
Sertifikat titik akhir digunakan dalam beban kerja IaaS, di mana server dan layanan menggunakan sertifikat untuk autentikasi. Karena skenario ini dikaitkan dengan komputer virtual, organisasi dapat mengelola sertifikat ini menggunakan alat manajemen konfigurasi yang sama atau membangun alat otomatisasi yang digunakan untuk mengelola konfigurasi komputer virtual.