Proteja a implantação do Atestado do Azure

O Microsoft Atestado do Azure é um serviço que ajuda você a verificar a confiabilidade de componentes de plataforma e aplicativos em execução em TEEs (Ambientes de Execução Confiável). Atestado do Azure ajuda a estabelecer uma raiz de confiança validando que os TEEs são genuínos, não modificados e executando o software esperado. Quando você usa Atestado do Azure para fluxos de trabalho de verificação críticos de segurança, execute medidas para maximizar a segurança de seus provedores de atestado e os dados processados por meio deles.

As recomendações de segurança neste artigo implementam os princípios de Confiança Zero: "Verificar explicitamente", "Usar acesso de privilégio mínimo" e "Presumir violação". Para obter diretrizes abrangentes sobre Confiança Zero, consulte o Centro de Diretrizes de Confiança Zero.

Este artigo fornece recomendações de segurança para ajudar a proteger sua implantação de Atestado do Azure.

Segurança de rede

O Atestado do Azure dá suporte a recursos de segurança de rede para ajudar a proteger seus provedores de atestado e seus dados contra acesso não autorizado.

  • Use o Link Privado do Azure para acesso seguro: configure o Link Privado do Azure para se conectar com segurança ao Atestado do Azure de sua rede virtual, impedindo a exposição de pontos de extremidade de atestado à Internet pública. O Link Privado fornece uma conexão privada que usa endereços IP privados, efetivamente trazendo o Atestado do Azure para sua rede virtual. Para obter mais informações, consulte Criar ponto de extremidade privado para o Atestado do Azure usando o PowerShell.

  • Desative o acesso à rede pública quando não for necessário: o Atestado do Azure oferece suporte à propriedade publicNetworkAccess em provedores de atestação. Defina-o como Disabled para provedores acessados exclusivamente por meio do Link Privado, para que nenhum tráfego do plano de dados possa chegar pela internet pública. Para obter mais informações, consulte Link Privado do Azure.

Gerenciamento de identidade e acesso

O gerenciamento adequado de identidade e acesso é crucial para proteger o acesso aos seus provedores de atestado, suas políticas e seus certificados de assinatura. Atestado do Azure usa Microsoft Entra ID para autenticação de plano de dados e AZURE RBAC para autorização.

  • Usar autenticação do Microsoft Entra ID: O Atestado do Azure autentica os chamadores do plano de dados por meio do Microsoft Entra ID por padrão. Use essa integração interna para aplicar os controles de governança de identidade da sua organização (Acesso Condicional, MFA, políticas de sessão) a operações de atestado. Para obter mais informações, consulte Os requisitos de função e permissão para o gerenciamento de políticas no Atestado do Azure.

  • Use identidades gerenciadas para aplicativos: quando os aplicativos precisarem chamar Atestado do Azure, autentique-as usando Azure identidades gerenciadas para que você não armazene segredos ou certificados no código. Atestado do Azure dá suporte a identidades gerenciadas para operações de plano de dados. Para obter mais informações, consulte O que são identidades gerenciadas para recursos do Azure?.

  • Use entidades de serviço somente quando as identidades gerenciadas não puderem ser usadas: para cenários de automação em que as identidades gerenciadas não se aplicam (por exemplo, cenários entre locatários), crie entidades de serviço dedicadas com permissões de privilégio mínimo. Altere as credenciais regularmente e monitore sua atividade de login. Para mais informações, consulte Criar um principal de serviço do Azure.

  • Aplicar RBAC do Azure com a função de Colaborador de Atestação: Atribua a função interna Colaborador de Atestação somente a usuários e entidades de serviço que precisam gerenciar políticas ou certificados de assinatura de políticas em um provedor de atestado. Conceda acesso somente de leitura com a função Leitor de Atestação. Para obter mais informações, consulte Os requisitos de função e permissão para o gerenciamento de políticas no Atestado do Azure.

  • Impor PIM para atribuições privilegiadas: Use o Privileged Identity Management (PIM) do Microsoft Entra para tornar a função Colaborador de Atestação elegível em vez de atribuída permanentemente e exigir MFA mais aprovação na ativação. Para obter mais informações, consulte visão geral do Privileged Identity Management.

Proteção de dados

Atestado do Azure processa evidências e políticas de atestado cuja integridade é central para estabelecer a confiança em suas TEEs. A criptografia de dados em repouso e em trânsito é habilitada por padrão, e os controles disponíveis se concentram na assinatura de políticas.

  • Assine suas políticas de atestação personalizadas: use políticas assinadas (em vez de políticas não assinadas) quando sua carga de trabalho exigir comprovação robusta da origem das alterações nas políticas. As políticas assinadas permitem verificar se uma política veio de um signatário de política confiável e não foi adulterada em trânsito. Para obter mais informações, consulte Como criar e assinar uma política de atestado.

  • Proteger chaves privadas de certificado de assinatura de política: armazene as chaves privadas usadas para assinar políticas de atestado em Azure Key Vault (ou um HSM que você controla) e conceda acesso apenas às identidades que devem assinar políticas. Gire essas chaves em um agendamento alinhado com a política criptográfica da sua organização. Para obter mais informações, consulte About Azure Key Vault.

  • Entenda o comportamento de criptografia padrão: Atestado do Azure criptografa automaticamente todos os dados em repouso usando chaves gerenciadas Microsoft e todos os dados em trânsito usam o TLS 1.2 ou superior. Você não precisa configurar nada para a postura padrão. Valide que seus aplicativos clientes negociem TLS 1.2 ou superior com o endpoint de atestação. Para obter mais informações, consulte Criptografia de dados em repouso.

Registro e monitoramento

O monitoramento e o registro em log são os principais componentes de uma estratégia de segurança abrangente para o Atestado do Azure.

  • Habilitar o log de diagnóstico: configure os logs de recursos do Azure para capturar informações detalhadas sobre operações de atestado. Esses logs dão suporte a investigações de segurança, requisitos de conformidade e solução de problemas operacionais. Para obter mais informações, consulte Registro em log do Atestado do Azure.

  • Configurar alertas para atividades suspeitas: Configure alertas do Azure Monitor para notificar você sobre padrões incomuns ou possíveis incidentes de segurança envolvendo seus provedores de atestação. Concentre-se em operações de alto risco, como alterações de política, rotações de certificado do signatário de política e falhas de autenticação inesperadas. Para obter mais informações, consulte Azure Monitor alerts.

Conformidade e governança

Os controles de governança ajudam você a impor uma postura de segurança consistente entre provedores de atestado à medida que sua propriedade cresce.

  • Aplicar configurações com o Azure Policy: use definições do Azure Policy para auditar ou impor as configurações necessárias nos provedores de atestado, por exemplo, exigindo publicNetworkAccess: Disabled ou restringindo as regiões em que os provedores podem ser criados. Para obter mais informações, consulte definições internas do Azure Policy para o Atestado do Azure.

  • Adote o benchmark de segurança na nuvem da Microsoft: alinhe sua postura de atestação ao benchmark de segurança na nuvem da Microsoft (MCSB), que fornece controles horizontais para segurança de rede, identidade, proteção de dados e monitoramento, que também se aplicam ao Atestado do Azure.

Backup e recuperação

Atestado do Azure gerencia a infraestrutura subjacente. Suas responsabilidades de recuperação estão limitadas às suas políticas de atestação personalizadas e aos certificados de assinatura de políticas.

  • Controle de versão de seus artefatos de política: armazene os arquivos de origem da política de atestado (e a origem usada para criar políticas assinadas) em um repositório controlado por versão para que você possa recriar qualquer política implantada deterministicamente. Combinada com políticas assinadas, essa abordagem fornece um caminho de recuperação auditável.

  • Fazer backup de certificados de assinatura de política: se você usar políticas assinadas, armazene o certificado de assinatura de política em um repositório com suporte de HSM, como Azure Key Vault e faça backup de acordo com os principais procedimentos de gerenciamento da sua organização. Se você perder a chave de assinatura, não poderá criar novas versões de política assinada na mesma identidade do signatário.

  • Teste a recuperação periodicamente: Pratique regularmente o fluxo de reimplementação de sua política de atestação para um provedor de atestado de teste para que um procedimento validado esteja pronto caso uma política de produção seja perdida ou corrompida.

Próximas Etapas 

  • Última atualização em