Proteja a sua implementação no Azure Attestation

O Microsoft Azure Attestation é um serviço que ajuda a verificar a fiabilidade dos componentes e aplicações da plataforma a correr em Ambientes de Execução Confiáveis (TEEs). O Azure Attestation ajuda a estabelecer uma raiz de confiança ao validar que os TEEs são genuínos, não modificados e estão a correr o software esperado. Quando utiliza o Azure Attestation para fluxos de trabalho de verificação críticos para a segurança, tome medidas para maximizar a segurança dos seus fornecedores de atestação e dos dados processados por eles.

As recomendações de segurança neste artigo implementam os princípios do Confiança Zero: "Verificar explicitamente", "Usar acesso com privilégios mínimos" e "Assumir violação". Para obter orientações abrangentes sobre Confiança Zero, consulte o Centro de Orientação Confiança Zero.

Este artigo apresenta recomendações de segurança para ajudar a proteger a sua implementação do Azure Attestation.

Segurança de rede

O Azure Atestação suporta funcionalidades de segurança de rede para ajudar a proteger os seus fornecedores de atestação e os seus dados contra acessos não autorizados.

  • Use o Azure Private Link para acesso seguro: Configure o Azure Private Link para se ligar de forma segura ao Azure Attestation a partir da sua rede virtual, evitando a exposição dos endpoints de atestação à internet pública. O Private Link fornece uma ligação privada que utiliza endereços IP privados, trazendo efetivamente o Azure Attestation para a sua rede virtual. Para mais informações, consulte Criar endpoint privado para Azure Attestation usando PowerShell.

  • Desative o acesso à rede pública quando não for necessário: O Azure Attestation suporta a publicNetworkAccess propriedade nos fornecedores de atestacionamento. Defina-o para Disabled para fornecedores acedidos exclusivamente por Private Link, para que nenhum tráfego do plano de dados possa chegar a partir da Internet pública. Para obter mais informações, consulte Azure Private Link.

Gestão de identidade e acesso

Uma gestão adequada de identidade e acessos é crucial para garantir o acesso aos seus fornecedores de atestado, às suas políticas e aos seus certificados de assinatura. O Azure Attestation utiliza o Microsoft Entra ID para autenticação no plano de dados e o Azure RBAC para autorização.

  • Utilize a autenticação do Microsoft Entra ID: o Azure Attestation autentica, por predefinição, os autores das chamadas do plano de dados através de Microsoft Entra ID. Utilize esta integração incorporada para aplicar os controlos de governação de identidade da sua organização (Acesso Condicional, MFA, políticas de sessão) às operações de atestado. Para mais informações, consulte Requisitos de funções e permissões para gestão de políticas no Azure Attestation.

  • Use identidades geridas para aplicações: Quando as aplicações precisarem de chamar o Azure Attestation, autentifique-as usando identidades geridas pelo Azure para não armazenar segredos ou certificados no código. O Azure Attestation suporta identidades geridas para operações no plano de dados. Para obter mais informações, consulte O que são identidades gerenciadas para recursos do Azure?.

  • Use princípios de serviço apenas quando identidades geridas não possam ser usadas: Para cenários de automação onde as identidades geridas não se aplicam (por exemplo, cenários entre inquilinos), crie princípios de serviço dedicados com permissões de privilégio mínimo. Rotative as credenciais regularmente e monitorize a atividade de login deles. Para obter mais informações, consulte Criar um principal de serviço do Azure.

  • Aplique o Azure RBAC com o papel de Contribuidor de Atestado: Atribua o papel de Contribuidor de Atestação incorporado apenas a utilizadores e principais de serviço que necessitem de gerir políticas ou certificados de assinatura de políticas num fornecedor de atestado. Atribua acesso apenas de leitura com a função de Leitor de Atestação. Para mais informações, consulte Requisitos de funções e permissões para gestão de políticas no Azure Attestation.

  • Impor o PIM para atribuições privilegiadas: Utilize o Microsoft Entra Privileged Identity Management (PIM) para tornar a função Colaborador de Atestação elegível em vez de estar atribuída permanentemente, e exigir MFA e aprovação aquando da ativação. Para mais informações, consulte Privileged Identity Management Overview.

Proteção de dados

O Azure Attestation processa provas e políticas de atestação cuja integridade é central para estabelecer confiança nos seus TEEs. A encriptação dos dados em repouso e em trânsito está ativada por predefinição, e os controlos disponíveis dizem respeito à assinatura de políticas.

  • Assine as suas políticas de atestação personalizadas: Utilize políticas assinadas (em vez de políticas não assinadas) quando a sua carga de trabalho exigir uma rastreabilidade sólida das alterações às políticas. Políticas assinadas permitem-te verificar que uma apólice veio de um signatário de apólice de confiança e não foi adulterada durante o trânsito. Para mais informações, consulte Como redigir e assinar uma política de atestado.

  • Proteger as chaves privadas do certificado de assinatura de políticas: Armazene as chaves privadas usadas para assinar políticas de atestação no Azure Key Vault (ou num HSM que controle) e conceda acesso apenas às identidades que devem assinar políticas. Roda estas chaves num calendário alinhado com a política criptográfica da sua organização. Para obter mais informações, consulte Sobre o Azure Key Vault.

  • Compreenda o comportamento de encriptação por defeito: o Azure Attestation encripta automaticamente todos os dados em repouso usando chaves geridas pela Microsoft, e todos os dados em trânsito usam TLS 1.2 ou superior. Não precisas de configurar nada para a postura padrão. Valide que as suas aplicações cliente negociam TLS 1.2 ou posterior com o ponto final de atestação. Para mais informações, veja Encriptação de dados em repouso.

Registo e monitorização

A monitorização e o registo são componentes-chave de uma estratégia de segurança abrangente para o Azure Attestation.

  • Ativar registos de diagnóstico: Configure os registos de recursos do Azure para captar informações detalhadas sobre as operações de atestado. Estes registos suportam investigações de segurança, requisitos de conformidade e resolução de problemas operacionais. Para mais informações, consulte Azure Attestation logging.

  • Configure alertas para atividades suspeitas: Configure alertas no Azure Monitor para o notificar sobre padrões invulgares ou potenciais incidentes de segurança envolvendo os seus fornecedores de atestado. Foque-se em operações de alto risco, como alterações de políticas, rotações de certificados entre assinantes e falhas inesperadas de autenticação. Para obter mais informações, consulte Alertas do Azure Monitor.

Conformidade e governança

Os controlos de governação ajudam-no a impor uma postura de segurança consistente entre os prestadores de atestação à medida que o seu património cresce.

  • Impor a configuração com o Azure Policy: Utilize as definições do Azure Policy para auditar ou impor configurações obrigatórias nos fornecedores de atestação – por exemplo, exigindo publicNetworkAccess: Disabled ou restringindo as regiões onde os fornecedores podem ser criados. Para mais informações, consulte as definições incorporadas do Azure Policy para o Azure Attestation.

  • Adote o benchmark de segurança na cloud da Microsoft: Alinhe a sua postura de atestação com o benchmark de segurança na nuvem da Microsoft (MCSB), que fornece controlos horizontais para segurança de rede, identidade, proteção de dados e monitorização que também se aplicam ao Azure Attestation.

Backup e recuperação

O Azure Attestation gere a infraestrutura subjacente. As suas responsabilidades de recuperação limitam-se às suas políticas de atestação personalizadas e aos certificados de assinatura da apólice.

  • Coloque os seus artefactos de política sob controlo de versões: Armazene os ficheiros-fonte da sua política de atestação (e o código-fonte utilizado para compilar políticas assinadas) num repositório com controlo de versões, para que possa recriar de forma determinista qualquer política implementada. Combinada com apólices assinadas, esta abordagem proporciona um caminho de recuperação auditável.

  • Faça cópias de segurança dos certificados de assinatura de políticas: Se usar políticas assinadas, armazene o certificado de assinatura de políticas numa loja apoiada por HSM, como o Azure Key Vault, e faça cópias de segurança de acordo com os procedimentos de gestão de chaves da sua organização. Se perder a chave de assinatura, não pode criar novas versões de políticas assinadas sob a mesma identidade de assinante.

  • Teste periodicamente a recuperação: Teste regularmente o processo de voltar a implementar a sua política de atestação num fornecedor de atestação para testes, para que exista um procedimento validado caso uma política de produção se perca ou fique corrompida.

Passos seguintes

  • Última atualização a