Proteggere la distribuzione di attestazione di Azure

Microsoft attestazione di Azure è un servizio che consente di verificare l'attendibilità dei componenti e delle applicazioni della piattaforma in esecuzione in ambienti di esecuzione attendibili . attestazione di Azure consente di stabilire una radice di attendibilità convalidando che le TEE siano originali, non modificate ed eseguano il software previsto. Quando si usa attestazione di Azure per i flussi di lavoro di verifica critici per la sicurezza, eseguire le operazioni necessarie per ottimizzare la sicurezza dei provider di attestazioni e i dati elaborati tramite di essi.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Questo articolo fornisce raccomandazioni sulla sicurezza per proteggere la distribuzione di attestazione di Azure.

Sicurezza della rete

Attestazione di Azure supporta le funzionalità di sicurezza di rete per proteggere i provider di attestazioni e i relativi dati da accessi non autorizzati.

  • Usare collegamento privato di Azure per l'accesso sicuro: configurare il collegamento privato di Azure per connettersi in modo sicuro all'attestazione di Azure dalla rete virtuale, impedendo l'esposizione degli endpoint di attestazione alla rete Internet pubblica. Il collegamento privato fornisce una connessione privata che usa indirizzi IP privati, portando in modo efficace l'attestazione di Azure nella rete virtuale. Per altre informazioni, vedere Creare un endpoint privato per attestazione di Azure tramite PowerShell.

  • Disabilitare l'accesso alla rete pubblica quando non è necessario: attestazione di Azure supporta la publicNetworkAccess proprietà nei provider di attestazione. Impostarlo su Disabled per i provider raggiunti esclusivamente tramite collegamento privato in modo che nessun traffico del piano dati possa arrivare dalla rete Internet pubblica. Per altre informazioni, vedere collegamento privato di Azure.

Gestione delle identità e dell'accesso

La gestione corretta delle identità e degli accessi è fondamentale per proteggere l'accesso ai provider di attestazioni, ai relativi criteri e ai relativi certificati di firma. attestazione di Azure usa Microsoft Entra ID per l'autenticazione del piano dati e Azure controllo degli accessi in base al ruolo per l'autorizzazione.

  • Usare l'autenticazione Microsoft Entra ID: attestazione di Azure autentica i chiamanti del piano dati tramite Microsoft Entra ID per impostazione predefinita. Usare questa integrazione predefinita per applicare i controlli di governance delle identità dell'organizzazione (accesso condizionale, MFA, criteri di sessione) alle operazioni di attestazione. Per altre informazioni, vedere Requisiti di ruolo e autorizzazione per la gestione dei criteri in Attestazione di Azure.

  • Usare le identità gestite per le applicazioni: quando le applicazioni devono chiamare attestazione di Azure, autenticarle usando Azure identità gestite in modo da non archiviare segreti o certificati nel codice. attestazione di Azure supporta l'uso delle identità gestite per le operazioni del piano dati. Per altre informazioni, vedere Che cosa sono le identità gestite per le risorse di Azure?

  • Usare le entità servizio solo quando non è possibile usare le identità gestite: per gli scenari di automazione in cui le identità gestite non si applicano (ad esempio, scenari tra tenant), creare entità servizio dedicate con autorizzazioni con privilegi minimi. Ruotare le credenziali regolarmente e monitorare l'attività di accesso. Per altre informazioni, vedere Creare un'entità servizio di Azure.

  • Applicare il controllo degli accessi in base al ruolo di Azure con il ruolo Collaboratore attestazione: assegnare il ruolo predefinito Collaboratore attestazione solo agli utenti e alle entità servizio che devono gestire criteri o certificati di firma dei criteri in un provider di attestazione. Concedi l'accesso in sola lettura con il ruolo Lettore di attestazioni. Per altre informazioni, vedere Requisiti di ruolo e autorizzazione per la gestione dei criteri in Attestazione di Azure.

  • Applica PIM alle assegnazioni privilegiate: usare Microsoft Entra Privileged Identity Management (PIM) per configurare il ruolo Collaboratore attestazioni come idoneo anziché assegnarlo in modo permanente e richiedere l'autenticazione a più fattori e l'approvazione all'attivazione. Per altre informazioni, vedere panoramica di Privileged Identity Management.

Protezione dei dati

attestazione di Azure elabora le prove e i criteri di attestazione, la cui integrità è fondamentale per instaurare un rapporto di fiducia nei TEE. La crittografia dei dati a riposo e dei dati in transito è abilitata per impostazione predefinita e i controlli disponibili riguardano la firma dei criteri.

  • Firmare i criteri di attestazione personalizzati: usare i criteri firmati (anziché i criteri non firmati) quando il carico di lavoro richiede una comprovata attendibilità per le modifiche ai criteri. I criteri firmati consentono di verificare che un criterio provenisse da un firmatario di criteri attendibile e che non fosse manomesso in transito. Per ulteriori informazioni, vedere Come creare e firmare un criterio di attestazione.

  • Proteggere le chiavi private del certificato di firma dei criteri: archiviare le chiavi private usate per firmare i criteri di attestazione in Azure Key Vault (o un modulo di protezione hardware controllato) e concedere l'accesso solo alle identità che devono firmare i criteri. Ruotare queste chiavi in base a una pianificazione allineata ai criteri di crittografia dell'organizzazione. Per altre informazioni, vedere About Azure Key Vault.

  • Informazioni sul comportamento di crittografia predefinito: attestazione di Azure crittografa automaticamente tutti i dati inattivi usando chiavi gestite da Microsoft e tutti i dati in transito usano TLS 1.2 o versione successiva. Non è necessario configurare alcun elemento per la postura predefinita. Verificare che le applicazioni client negoziino TLS 1.2 o versione successiva rispetto all'endpoint di attestazione. Per ulteriori informazioni, consulta Crittografia dei dati a riposo.

Registrazione e monitoraggio

Il monitoraggio e la registrazione sono componenti chiave di una strategia di sicurezza completa per l'attestazione di Azure.

  • Abilitare la registrazione diagnostica: configurare i log delle risorse di Azure per acquisire informazioni dettagliate sulle operazioni di attestazione. Questi log supportano indagini sulla sicurezza, requisiti di conformità e risoluzione dei problemi operativi. Per altre informazioni, vedere Registrazione di Attestazione di Azure.

  • Configurare gli avvisi per attività sospette: configurare gli avvisi di Monitoraggio di Azure per essere informati di schemi insoliti o potenziali incidenti di sicurezza che coinvolgono i provider di attestazione. Concentrarsi su operazioni ad alto rischio, ad esempio modifiche ai criteri, rotazioni dei certificati del firmatario di criteri e errori di autenticazione imprevisti. Per altre informazioni, vedi avvisi di Monitoraggio di Azure.

Conformità e governance

I controlli di governance consentono di applicare un livello di sicurezza coerente in tutti i provider di attestazione, man mano che il tuo ambiente IT si espande.

  • Applicare la configurazione con Criteri di Azure: usare Criteri di Azure definizioni per controllare o applicare le configurazioni necessarie ai provider di attestazione, ad esempio richiedendo publicNetworkAccess: Disabled o limitando le aree in cui è possibile creare i provider. Per altre informazioni, vedere Criteri di Azure definizioni predefinite per attestazione di Azure.

  • Adottare il benchmark di sicurezza cloud Microsoft: allineare il comportamento di attestazione con il benchmark di sicurezza cloud Microsoft (MCSB), che fornisce controlli orizzontali per la sicurezza di rete, l'identità, la protezione dei dati e il monitoraggio che si applicano anche alle attestazione di Azure.

Backup e ripristino

attestazione di Azure gestisce l'infrastruttura sottostante. Le responsabilità dell'utente relative al ripristino sono limitate ai criteri di attestazione personalizzati e ai certificati per la firma dei criteri.

  • Gestisci con il controllo della versione gli artefatti dei criteri: archivia i file sorgente dei criteri di attestazione (e i sorgenti usati per generare i criteri firmati) in un repository con controllo della versione, così da poter ricreare in modo deterministico qualsiasi criterio distribuito. In combinazione con i criteri firmati, questo approccio fornisce un percorso di ripristino controllabile.

  • Eseguire il backup dei certificati di firma dei criteri: se si usano criteri firmati, archiviare il certificato di firma dei criteri in un archivio con backup HSM, ad esempio Azure Key Vault e eseguirne il backup in base alle procedure di gestione delle chiavi dell'organizzazione. Se si perde la chiave di firma, non è possibile creare nuove versioni dei criteri firmate con la stessa identità del firmatario.

  • Eseguire periodicamente il test di ripristino: esercizio regolare del flusso di ridistribuzione dei criteri di attestazione a un provider di attestazioni di test in modo che una procedura convalidata sia pronta se un criterio di produzione viene perso o danneggiato.

Passaggi successivi

  • Ultimo aggiornamento: