Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Microsoft Azure Attestation to usługa, która pomaga zweryfikować wiarygodność składników platformy i aplikacji działających w zaufanych środowiskach wykonywania (TEE). Azure Attestation pomaga ustanowić podstawę zaufania przez sprawdzenie, czy środowiska TEE są autentyczne, niezmodyfikowane i uruchamiają oczekiwane oprogramowanie. W przypadku korzystania z Azure Attestation w przypadku przepływów pracy weryfikacji o znaczeniu krytycznym dla zabezpieczeń wykonaj kroki w celu zmaksymalizowania bezpieczeństwa dostawców zaświadczania i przetwarzanych przez nie danych.
Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące zerowego zaufania, zobacz Centrum wskazówek dotyczących zerowego zaufania.
Ten artykuł zawiera zalecenia dotyczące zabezpieczeń ułatwiające ochronę wdrożenia Azure Attestation.
Bezpieczeństwo sieci
Zaświadczenie platformy Azure obsługuje funkcje zabezpieczeń sieci, aby chronić dostawców zaświadczania i ich dane przed nieautoryzowanym dostępem.
Użyj usługi Azure Private Link do bezpiecznego dostępu: skonfiguruj usługę Azure Private Link, aby bezpiecznie łączyć się z usługą Azure Attestation z sieci wirtualnej, uniemożliwiając narażenie punktów końcowych zaświadczania na publiczny Internet. Usługa Private Link zapewnia połączenie prywatne, które używa prywatnych adresów IP, efektywnie przenosząc zaświadczanie platformy Azure do sieci wirtualnej. Aby uzyskać więcej informacji, zobacz Tworzenie prywatnego punktu końcowego dla Azure Attestation przy użyciu programu PowerShell.
Wyłącz dostęp do sieci publicznej, gdy jest to niepotrzebne: Azure Attestation obsługuje
publicNetworkAccesswłaściwość u dostawców zaświadczania. Ustaw tę wartość naDisableddla dostawców dostępnych wyłącznie za pośrednictwem usługi Private Link, aby żaden ruch płaszczyzny danych nie mógł docierać z publicznego Internetu. Aby uzyskać więcej informacji, zobacz Azure Private Link.
Zarządzanie tożsamością i dostępem
Odpowiednie zarządzanie tożsamościami i dostępem ma kluczowe znaczenie dla zabezpieczania dostępu do dostawców zaświadczania, ich zasad i certyfikatów podpisywania. Azure Attestation korzysta z identyfikatora Microsoft Entra ID do uwierzytelniania w płaszczyźnie danych oraz z usługi Azure RBAC do autoryzacji.
Użyj uwierzytelniania Microsoft Entra ID: Azure Attestation domyślnie uwierzytelnia klientów płaszczyzny danych przy użyciu usługi Microsoft Entra ID. Użyj tej wbudowanej integracji, aby zastosować mechanizmy nadzoru nad tożsamościami w organizacji (dostęp warunkowy, uwierzytelnianie wieloskładnikowe, zasady sesji) do operacji związanych z poświadczeniami. Aby uzyskać więcej informacji, zobacz Role and permission requirements for policy management in Azure Attestation (Wymagania dotyczące roli i uprawnień do zarządzania zasadami w usłudze Azure Attestation).
Używaj tożsamości zarządzanych dla aplikacji: Gdy aplikacje muszą wywoływać usługę Azure Attestation, uwierzytelniaj je za pomocą tożsamości zarządzanych platformy Azure, aby nie przechowywać w kodzie wpisów tajnych ani certyfikatów. Azure Attestation obsługuje tożsamości zarządzane dla operacji płaszczyzny danych. Aby uzyskać więcej informacji, zobacz Czym są tożsamości zarządzane dla zasobów platformy Azure?.
Używaj nazw głównych usług tylko wtedy, gdy nie można użyć tożsamości zarządzanych: w scenariuszach automatyzacji, w których tożsamości zarządzane nie mają zastosowania (na przykład w scenariuszach międzydzierżawowych), twórz dedykowane nazwy główne usług z uprawnieniami o najmniejszym niezbędnym zakresie. Regularnie obracaj poświadczenia i monitoruj ich aktywność logowania. Aby uzyskać więcej informacji, zobacz Tworzenie głównej jednostki usługi platformy Azure.
Zastosuj Azure RBAC z rolą Współautor zaświadczania: przypisz wbudowaną rolę Współautor zaświadczania tylko do użytkowników i jednostek usługi, które muszą zarządzać zasadami lub certyfikatami podpisywania zasad u dostawcy zaświadczania. Udziel dostępu tylko do odczytu przy użyciu roli Czytelnik poświadczeń. Aby uzyskać więcej informacji, zobacz Role and permission requirements for policy management in Azure Attestation (Wymagania dotyczące roli i uprawnień do zarządzania zasadami w usłudze Azure Attestation).
Wymuś użycie mechanizmu PIM w przypadku przypisań uprzywilejowanych: użyj Microsoft Entra Privileged Identity Management (PIM), aby rola Attestation Contributor kwalifikowała się do aktywacji zamiast być przypisana na stałe, oraz wymagaj uwierzytelniania wieloskładnikowego i zatwierdzenia przy aktywacji. Aby uzyskać więcej informacji, zobacz Omówienie usługi Privileged Identity Management.
Ochrona danych
Usługa Azure Attestation przetwarza dowody poświadczenia i zasady, których integralność ma kluczowe znaczenie dla ustanowienia zaufania do Twoich środowisk TEE. Szyfrowanie danych przechowywanych i przesyłanych jest domyślnie włączone, a dostępne opcje konfiguracji dotyczą podpisywania polityk.
Podpisuj niestandardowe zasady zaświadczania: Używaj podpisanych zasad (zamiast niepodpisanych), gdy Twoje obciążenie robocze wymaga wiarygodnego udokumentowania pochodzenia zmian zasad. Podpisane zasady umożliwiają zweryfikowanie, czy dana zasada pochodzi od zaufanego podmiotu podpisującego zasady i nie została zmodyfikowana podczas przesyłania. Aby uzyskać więcej informacji, zobacz Jak tworzyć i podpisywać zasady zaświadczania.
Chroń klucze prywatne certyfikatu używanego do podpisywania zasad: Przechowuj klucze prywatne używane do podpisywania zasad poświadczania w usłudze Azure Key Vault (lub w kontrolowanym przez siebie module HSM) i przyznawaj dostęp wyłącznie tożsamościom, które muszą podpisywać zasady. Obróć te klucze zgodnie z harmonogramem zgodnym z zasadami kryptograficznymi organizacji. Aby uzyskać więcej informacji, zobacz About Azure Key Vault (Informacje o usłudze Azure Key Vault).
Omówienie domyślnego zachowania szyfrowania: Azure Attestation automatycznie szyfruje wszystkie dane magazynowane przy użyciu kluczy zarządzanych Microsoft, a wszystkie dane przesyłane używają protokołu TLS 1.2 lub nowszego. Nie musisz konfigurować niczego dla stanu domyślnego. Sprawdź, czy aplikacje klienckie negocjują protokół TLS 1.2 lub nowszy względem punktu końcowego zaświadczania. Aby uzyskać więcej informacji, zobacz Szyfrowanie danych magazynowanych.
Rejestrowanie i monitorowanie
Monitorowanie i rejestrowanie to kluczowe składniki kompleksowej strategii zabezpieczeń dla zaświadczania platformy Azure.
Włącz rejestrowanie diagnostyczne: skonfiguruj dzienniki zasobów platformy Azure, aby przechwycić szczegółowe informacje o operacjach zaświadczania. Te dzienniki obsługują badania zabezpieczeń, wymagania dotyczące zgodności i rozwiązywanie problemów operacyjnych. Aby uzyskać więcej informacji, zobacz rejestrowanie w usłudze Azure Attestation.
Konfigurowanie alertów dotyczących podejrzanych działań: skonfiguruj alerty Azure Monitor w celu powiadamiania o nietypowych wzorcach lub potencjalnych zdarzeniach zabezpieczeń dotyczących dostawców zaświadczania. Skoncentruj się na operacjach wysokiego ryzyka, takich jak zmiany zasad, rotacja certyfikatów podpisywania zasad i nieoczekiwane błędy uwierzytelniania. Aby uzyskać więcej informacji, zobacz alerty usługi Azure Monitor.
Zgodność i ład
Mechanizmy nadzoru pomagają egzekwować spójne podejście do zabezpieczeń u dostawców usług poświadczania w miarę rozwoju środowiska.
Wymuszanie konfiguracji za pomocą Azure Policy: użyj definicji Azure Policy, aby przeprowadzać inspekcję lub wymuszać wymagane konfiguracje dostawców zaświadczania — na przykład wymagając
publicNetworkAccess: Disabledlub ograniczając regiony, w których można utworzyć dostawców. Aby uzyskać więcej informacji, zobacz wbudowane definicje usługi Azure Policy dla usługi Azure Attestation.Wdrożenie testu porównawczego zabezpieczeń Microsoft w chmurze: dopasuj stan zaświadczania do testu porównawczego zabezpieczeń chmury Microsoft (MCSB), który zapewnia poziome mechanizmy kontroli zabezpieczeń sieci, tożsamości, ochrony danych i monitorowania, które mają zastosowanie również do Azure Attestation.
Kopia zapasowa i przywracanie
Azure Attestation zarządza podstawową infrastrukturą. Twoje obowiązki związane z przywracaniem ograniczają się do niestandardowych zasad atestacji i certyfikatów do podpisywania zasad.
Kontroluj wersje artefaktów zasad: Przechowuj pliki źródłowe zasad zaświadczania (oraz kod źródłowy używany do tworzenia podpisanych zasad) w repozytorium z kontrolą wersji, aby można było w sposób deterministyczny odtworzyć każdą wdrożoną zasadę. W połączeniu z podpisanymi zasadami takie podejście zapewnia proces odzyskiwania podlegający audytowi.
Tworzenie kopii zapasowych certyfikatów podpisywania zasad: jeśli używasz podpisanych zasad, zapisz certyfikat podpisywania zasad w magazynie opartym na module HSM, takim jak Azure Key Vault i wykonaj kopię zapasową zgodnie z kluczowymi procedurami zarządzania w organizacji. Jeśli utracisz klucz podpisywania, nie możesz utworzyć nowych podpisanych wersji zasad w ramach tej samej tożsamości osoby podpisującego.
Regularnie testuj odzyskiwanie: Regularnie przeprowadzaj proces ponownego wdrażania polityki poświadczania u testowego dostawcy poświadczania, aby mieć gotową, zweryfikowaną procedurę na wypadek utraty lub uszkodzenia polityki produkcyjnej.