Uw Azure Attestation-implementatie beveiligen

Microsoft Azure Attestation is een service waarmee u de betrouwbaarheid van platformonderdelen en toepassingen die worden uitgevoerd in TEEs (Trusted Execution Environments) kunt controleren. Azure Attestation helpt een basis van vertrouwen tot stand te brengen door te valideren dat TEE's authentiek en ongewijzigd zijn en de verwachte software uitvoeren. Wanneer u Azure Attestation gebruikt voor beveiligingskritieke verificatiewerkstromen, voert u stappen uit om de beveiliging van uw attestation-providers en de gegevens die via deze providers worden verwerkt, te maximaliseren.

In de aanbevelingen voor beveiliging in dit artikel worden zero Trust-principes geïmplementeerd: 'Expliciet verifiëren', 'Minimale toegang tot bevoegdheden gebruiken' en 'Inbreuk aannemen'. Zie het Zero Trust Guidance Center voor uitgebreide richtlijnen voor Zero Trust.

Dit artikel bevat aanbevelingen voor beveiliging om uw Azure Attestation implementatie te beschermen.

Netwerkbeveiliging

Azure Attestation ondersteunt netwerkbeveiligingsfuncties om uw Attestation-providers en hun gegevens te beschermen tegen onbevoegde toegang.

  • Azure Private Link gebruiken voor beveiligde toegang: Configureer Azure Private Link om veilig verbinding te maken met Azure Attestation vanuit uw virtuele netwerk, waardoor de blootstelling van attestation-eindpunten aan het openbare internet wordt voorkomen. Private Link biedt een privéverbinding die gebruikmaakt van privé-IP-adressen, waardoor Azure Attestation effectief in uw virtuele netwerk wordt gebracht. Zie Privé-eindpunt maken voor Azure Attestation met behulp van PowerShell voor meer informatie.

  • Schakel openbare netwerktoegang uit wanneer dit niet nodig is: Azure Attestation ondersteunt de publicNetworkAccess eigenschap op attestation-providers. Stel deze voor providers die uitsluitend via Private Link toegankelijk zijn in op Disabled, zodat er geen datavlakverkeer kan binnenkomen vanaf het publieke internet. Zie Azure Private Link voor meer informatie.

Identiteits- en toegangsbeheer

Goed identiteits- en toegangsbeheer is van cruciaal belang voor het beveiligen van de toegang tot uw attestation-providers, hun beleid en hun ondertekeningscertificaten. Azure Attestation gebruikt Microsoft Entra ID voor verificatie van gegevensvlakken en Azure RBAC voor autorisatie.

  • Microsoft Entra ID-authenticatie gebruiken: Azure Attestation authenticeert gegevensvlakaanroepers standaard via Microsoft Entra ID. Gebruik deze ingebouwde integratie om de besturingselementen voor identiteitsbeheer van uw organisatie (voorwaardelijke toegang, MFA, sessiebeleid) toe te passen op attestation-bewerkingen. Zie Rol- en machtigingsvereisten voor beleidsbeheer in Azure Attestation voor meer informatie.

  • Beheerde identiteiten gebruiken voor toepassingen: wanneer toepassingen Azure Attestation moeten aanroepen, moet u deze verifiëren met behulp van Azure beheerde identiteiten, zodat u geen geheimen of certificaten in code opslaat. Azure Attestation ondersteunt beheerde identiteiten voor gegevensvlakbewerkingen. Zie Wat zijn beheerde identiteiten voor Azure-resources? voor meer informatie.

  • Gebruik service-principals alleen wanneer beheerde identiteiten niet kunnen worden gebruikt: voor automatiseringsscenario's waarbij beheerde identiteiten niet van toepassing zijn (bijvoorbeeld scenario's voor meerdere tenants), maakt u toegewezen service-principals met machtigingen voor minimale bevoegdheden. Roteer referenties regelmatig en bewaak hun aanmeldingsactiviteit. Zie Een Azure-service-principal maken voor meer informatie.

  • Pas Azure RBAC toe met de rol Attestation-inzender: Wijs de ingebouwde rol Attestation-inzender alleen toe aan gebruikers en service-principals die beleidsregels of certificaten voor beleidsondertekening op een attestation-provider moeten beheren. Alleen-lezentoegang verlenen met de rol Attestation Reader . Zie Rol- en machtigingsvereisten voor beleidsbeheer in Azure Attestation voor meer informatie.

  • PIM afdwingen voor bevoegde toewijzingen: gebruik Microsoft Entra Privileged Identity Management (PIM) om ervoor te zorgen dat de rol Attestation-inzender in aanmerking komt in plaats van permanent toegewezen, en MFA plus goedkeuring vereisen voor activering. Zie Privileged Identity Management overzicht voor meer informatie.

Gegevensbescherming

Azure Attestation verwerkt attestatiebewijzen en beleidsregels waarbij de integriteit essentieel is voor het vertrouwen in uw TEEs. Versleuteling van gegevens in rust en tijdens overdracht is standaard ingeschakeld, en de instelbare opties hebben betrekking op het ondertekenen van beleid.

  • Onderteken uw aangepaste attestatiebeleid: Gebruik ondertekend beleid (in plaats van niet-ondertekend beleid) wanneer uw workload een sterke herkomstgarantie voor beleidswijzigingen vereist. Met ondertekende beleidsregels kunt u controleren of een beleidsregel afkomstig is van een vertrouwde ondertekenaar van beleidsregels en onderweg niet is gewijzigd. Zie Een attestation-beleid ontwerpen en ondertekenen voor meer informatie.

  • Persoonlijke sleutels voor certificaatondertekening beveiligen: sla de persoonlijke sleutels op die worden gebruikt voor het ondertekenen van attestation-beleid in Azure Key Vault (of een HSM die u beheert) en ververleent alleen toegang tot de identiteiten die beleid moeten ondertekenen. Draai deze sleutels volgens een schema dat is afgestemd op het cryptografische beleid van uw organisatie. Zie Over Azure Key Vault voor meer informatie.

  • Het standaardversleutelingsgedrag begrijpen: Azure Attestation versleutelt automatisch alle gegevens in rust met behulp van door Microsoft beheerde sleutels, en voor alle gegevens tijdens overdracht wordt TLS 1.2 of hoger gebruikt. U hoeft niets te configureren voor de standaardpostuur. Controleer of uw clienttoepassingen TLS 1.2 of hoger gebruiken met het attestation-eindpunt. Zie Versleuteling van opgeslagen gegevens voor meer informatie.

Logboekregistratie en bewaking

Bewaking en logboekregistratie zijn belangrijke onderdelen van een uitgebreide beveiligingsstrategie voor Azure Attestation.

  • Diagnostische logboekregistratie inschakelen: Azure-resourcelogboeken configureren om gedetailleerde informatie over attestation-bewerkingen vast te leggen. Deze logboeken ondersteunen beveiligingsonderzoeken, nalevingsvereisten en operationele probleemoplossing. Zie Azure Attestation logboekregistratie voor meer informatie.

  • Waarschuwingen configureren voor verdachte activiteiten: stel Azure Monitor waarschuwingen in om u op de hoogte te stellen van ongebruikelijke patronen of mogelijke beveiligingsincidenten met betrekking tot uw attestation-providers. Richt u op bewerkingen met een hoog risico, zoals beleidswijzigingen, certificaatrotaties voor beleids ondertekenen en onverwachte verificatiefouten. Voor meer informatie, zie Azure Monitor-waarschuwingen.

Naleving en bestuur

Met besturingselementen voor governance kunt u een consistente beveiligingspostuur afdwingen voor attestation-providers naarmate uw activa groeien.

  • Configuratie afdwingen met Azure Policy: gebruik Azure Policy definities om vereiste configuraties op attestation-providers te controleren of af te dwingen, bijvoorbeeld het vereisen publicNetworkAccess: Disabled of beperken van de regio's waar providers kunnen worden gemaakt. Zie Azure Policy ingebouwde definities voor Azure Attestation voor meer informatie.

  • Gebruik de Microsoft cloudbeveiligingsbenchmark: stem uw attestation-houding af met de Microsoft MCSB (Cloud Security Benchmark), die horizontale besturingselementen biedt voor netwerkbeveiliging, identiteit, gegevensbeveiliging en bewaking die ook van toepassing zijn op Azure Attestation.

Back-up en herstel

Azure Attestation beheert de onderliggende infrastructuur. Uw herstelverantwoordelijkheden zijn beperkt tot uw aangepaste attestation-beleid en certificaten voor beleidsondertekening.

  • Versiebeheer voor uw beleidsartefacten: Sla de bronbestanden van het attestation-beleid (en de bron die wordt gebruikt om ondertekende beleidsregels te bouwen) op in een door versie beheerde opslagplaats, zodat u geïmplementeerd beleid deterministisch opnieuw kunt maken. In combinatie met ondertekende beleidsregels biedt deze benadering een controleerbaar herstelpad.

  • Maak een back-up van certificaten voor beleidsondertekening: Als u ondertekende beleidsregels gebruikt, slaat u het certificaat voor beleidsondertekening op in een archief met HSM-ondersteuning, zoals Azure Key Vault en maakt u er een back-up van volgens de sleutelbeheerprocedures van uw organisatie. Als u de ondertekeningssleutel kwijtraakt, kunt u geen nieuwe ondertekende beleidsversies maken onder dezelfde ondertekenaar-identiteit.

  • Test het herstel periodiek: oefen regelmatig de stroom uit van het opnieuw implementeren van uw attestation-beleid naar een testverklaringprovider, zodat een gevalideerde procedure gereed is als een productiebeleid verloren gaat of beschadigd is.

Volgende stappen 

  • Laatst bijgewerkt om