Azure Attestation 배포를 보호하세요

Microsoft Azure Attestation TEE(신뢰할 수 있는 실행 환경)에서 실행되는 플랫폼 구성 요소 및 애플리케이션의 신뢰성을 확인하는 데 도움이 되는 서비스입니다. Azure Attestation TEE가 정품이고 수정되지 않았으며 예상 소프트웨어를 실행하는지 확인하여 신뢰의 루트를 설정하는 데 도움이 됩니다. 보안에 중요한 확인 워크플로에 Azure Attestation 사용하는 경우 증명 공급자 및 이를 통해 처리된 데이터의 보안을 최대화하는 단계를 수행합니다.

이 문서의 보안 권장 사항은 제로 트러스트 원칙인 "명시적으로 확인", "최소 권한 액세스 사용" 및 "위반 가정"을 구현합니다. 포괄적인 제로 트러스트 지침은 제로 트러스트 지침 센터를 참조하세요.

이 문서에서는 Azure Attestation 배포를 보호하는 데 도움이 되는 보안 권장 사항을 제공합니다.

네트워크 보안

Azure Attestation은 증명 공급자와 해당 데이터를 무단 액세스로부터 보호하는 데 도움이 되는 네트워크 보안 기능을 지원합니다.

  • 보안 액세스를 위해 Azure Private Link 사용: 가상 네트워크에서 Azure Attestation에 안전하게 연결하여 증명 엔드포인트가 공용 인터넷에 노출되지 않도록 Azure Private Link를 구성합니다. Private Link는 개인 IP 주소를 사용하는 프라이빗 연결을 제공하여 Azure Attestation을 가상 네트워크로 효과적으로 가져옵니다. 자세한 내용은 PowerShell을 사용하여 Azure Attestation 프라이빗 엔드포인트 만들기를 참조하세요.

  • 불필요한 경우 공용 네트워크 액세스를 사용하지 않도록 설정합니다. Azure Attestation 증명 공급자의 publicNetworkAccess 속성을 지원합니다. 공용 인터넷에서 데이터 평면 트래픽이 유입되지 않도록, Private Link를 통해서만 연결되는 공급자의 경우 Disabled로 설정하세요. 자세한 내용은 Azure Private Link를 참조하세요.

ID 및 액세스 관리

적절한 ID 및 액세스 관리는 증명 공급자, 해당 정책 및 서명 인증서에 대한 액세스를 보호하는 데 중요합니다. Azure Attestation은 데이터 평면 인증에 Microsoft Entra ID를 사용하고 권한 부여에 Azure RBAC를 사용합니다.

  • Microsoft Entra ID 인증 사용: Azure Attestation 기본적으로 Microsoft Entra ID 통해 데이터 평면 호출자를 인증합니다. 이 기본 제공 통합을 사용하여 조직의 ID 거버넌스 제어(조건부 액세스, MFA, 세션 정책)를 증명 작업에 적용합니다. 자세한 내용은 Azure Attestation의 정책 관리에 대한 역할 및 권한 요구 사항을 참조하세요.

  • 애플리케이션에 관리 ID 사용: 애플리케이션이 Azure Attestation 호출해야 하는 경우 코드에 비밀 또는 인증서를 저장하지 않도록 Azure 관리 ID를 사용하여 인증합니다. Azure Attestation 데이터 평면 작업에 대한 관리 ID를 지원합니다. 자세한 내용은 Azure 리소스에 대한 관리 ID는 무엇입니까? 참조하세요.

  • 관리 ID를 사용할 수 없는 경우에만 서비스 주체를 사용합니다. 관리 ID가 적용되지 않는 자동화 시나리오(예: 테넌트 간 시나리오)의 경우 최소 권한으로 전용 서비스 주체를 만듭니다. 정기적으로 자격 증명을 회전하고 로그인 활동을 모니터링합니다. 자세한 내용은 Azure 서비스 주체 만들기를 참조하세요.

  • 증명 기여자 역할을 사용하여 Azure RBAC 적용: 증명 공급자에서 정책 또는 정책 서명 인증서를 관리해야 하는 사용자 및 서비스 주체에게만 기본 제공 증명 기여자 역할을 할당합니다. 증명 읽기 권한자 역할을 사용하여 읽기 전용 액세스 권한을 부여합니다. 자세한 내용은 Azure Attestation의 정책 관리에 대한 역할 및 권한 요구 사항을 참조하세요.

  • 권한 있는 할당에 PIM 적용: PIM(Microsoft Entra Privileged Identity Management)을 사용하여 영구 할당이 아닌 증명 기여자 역할을 적격으로 만들고 MFA와 활성화 승인이 필요합니다. 자세한 내용은 Privileged Identity Management 개요를 참조하세요.

데이터 보호

Azure Attestation은 TEE에 대한 신뢰를 구축하는 데 핵심적인 역할을 하는 인증 증거 및 정책을 처리합니다. 미사용 데이터 및 전송 중 데이터 암호화는 기본적으로 사용하도록 설정되며 실행 가능한 컨트롤은 정책 서명과 관련되어 있습니다.

  • 사용자 지정 증명 정책에 서명: 워크로드에 정책 변경에 대한 강력한 출처가 필요한 경우 서명되지 않은 정책이 아닌 서명된 정책을 사용합니다. 서명된 정책을 사용하면 정책이 신뢰할 수 있는 정책 서명자에서 제공되었으며 전송 중에 변조되지 않았는지 확인할 수 있습니다. 자세한 내용은 증명 정책을 작성하고 서명하는 방법을 참조하세요.

  • 정책 서명 인증서 프라이빗 키 보호: 증명 정책에 서명하는 데 사용되는 프라이빗 키를 Azure Key Vault(또는 사용자가 제어하는 HSM)에 저장하고 정책에 서명해야 하는 ID에만 액세스 권한을 부여합니다. 조직의 암호화 정책에 맞게 일정에 따라 이러한 키를 회전합니다. 자세한 내용은 about Azure Key Vault 참조하세요.

  • 기본 암호화 동작 이해: Azure Attestation Microsoft 관리형 키를 사용하여 미사용 데이터를 자동으로 암호화하고 전송 중인 모든 데이터는 TLS 1.2 이상을 사용합니다. 기본 태세에 대해 아무것도 구성할 필요가 없습니다. 클라이언트 애플리케이션이 증명 엔드포인트에 대해 TLS 1.2 이상을 협상하는지 확인합니다. 자세한 내용은 미사용 데이터 암호화를 참조하세요.

로깅 및 모니터링

모니터링 및 로깅은 Azure Attestation에 대한 포괄적인 보안 전략의 주요 구성 요소입니다.

  • 진단 로깅 사용: 증명 작업에 대한 자세한 정보를 캡처하도록 Azure 리소스 로그를 구성합니다. 이러한 로그는 보안 조사, 규정 준수 요구 사항 및 운영 문제 해결을 지원합니다. 자세한 내용은 Azure Attestation 로깅을 참조하세요.

  • 의심스러운 활동에 대한 경고 구성: 증명 공급자와 관련된 비정상적인 패턴 또는 잠재적인 보안 인시던트를 알리도록 Azure Monitor 경고를 설정합니다. 정책 변경, 정책 서명자 인증서 회전 및 예기치 않은 인증 실패와 같은 위험 수준이 높은 작업에 집중합니다. 자세한 내용은 Azure Monitor 경고를 참조하세요.

규정 준수 및 거버넌스

거버넌스 제어는 자산이 증가함에 따라 증명 공급자 간에 일관된 보안 태세를 적용하는 데 도움이 됩니다.

백업 및 복구

Azure Attestation 기본 인프라를 관리합니다. 복구 책임은 사용자 지정 증명 정책 및 정책 서명 인증서로 제한됩니다.

  • 정책 아티팩트 버전 제어: 배포된 정책을 결정적으로 다시 만들 수 있도록 증명 정책 원본 파일(및 서명된 정책을 빌드하는 데 사용되는 원본)을 버전 제어 리포지토리에 저장합니다. 서명된 정책과 결합된 이 방법은 감사 가능한 복구 경로를 제공합니다.

  • 정책 서명 인증서 백업: 서명된 정책을 사용하는 경우 Azure Key Vault 같은 HSM 지원 저장소에 정책 서명 인증서를 저장하고 조직의 주요 관리 절차에 따라 백업합니다. 서명 키가 손실되면 동일한 서명자 ID 아래에 서명된 새 정책 버전을 만들 수 없습니다.

  • 주기적으로 테스트 복구: 프로덕션 정책이 손실되거나 손상된 경우 유효성 검사 프로시저가 준비되도록 증명 정책을 테스트 증명 공급자에 다시 배포하는 흐름을 정기적으로 실행합니다.

다음 단계

  • 에 마지막으로 업데이트됨