Защитите развертывание Аттестация Azure

Microsoft Аттестация Azure — это служба, которая помогает проверить надежность компонентов платформы и приложений, работающих в доверенных средах выполнения (TEEs). Аттестация Azure помогает установить корень доверия, проверяя, что TEEs являются подлинными, неизмененными и выполняют ожидаемое программное обеспечение. При использовании Аттестация Azure для рабочих процессов проверки, критически важных для безопасности, выполните действия по максимальной безопасности поставщиков аттестации и данных, обработанных через них.

Рекомендации по безопасности в этой статье реализуют принципы нулевого доверия: "Проверить явно", "Использовать минимальный доступ к привилегиям" и "Предположить нарушение". Подробные рекомендации по нулю доверия см. в центре рекомендаций по нулю доверия.

В этой статье приведены рекомендации по обеспечению безопасности, помогающие защитить развертывание Аттестация Azure.

Сетевая безопасность

Аттестация Azure поддерживает функции безопасности сети для защиты поставщиков аттестации и их данных от несанкционированного доступа.

  • Используйте Приватный канал Azure для безопасного доступа: настройте Приватный канал Azure для безопасного подключения к аттестации Azure из виртуальной сети, предотвращая воздействие конечных точек аттестации на общедоступный Интернет. Приватный Link предоставляет приватное подключение, которое использует частные IP-адреса, что позволяет интегрировать Аттестация Azure в вашу виртуальную сеть. Дополнительные сведения см. в статье "Создание частной конечной точки для Аттестация Azure с помощью PowerShell".

  • Отключение доступа к общедоступной сети при необходимости: Аттестация Azure поддерживает publicNetworkAccess свойство для поставщиков аттестации. Установите значение Disabled для поставщиков, доступ к которым осуществляется исключительно через Приватный канал, чтобы трафик плоскости данных не мог поступать из общедоступного Интернета. Дополнительные сведения см. в разделе Приватный канал Azure.

Управление идентификацией и доступом

Правильное управление удостоверениями и доступом имеет решающее значение для защиты доступа к поставщикам аттестации, их политикам и их сертификатам подписи. Аттестация Azure использует Microsoft Entra ID для проверки подлинности на уровне данных и Azure RBAC для авторизации.

  • Используйте аутентификацию Microsoft Entra ID: Аттестация Azure по умолчанию аутентифицирует клиентов плоскости данных с помощью Microsoft Entra ID. Используйте эту встроенную интеграцию, чтобы применить элементы управления удостоверениями организации (условный доступ, MFA, политики сеансов) к операциям аттестации. Дополнительные сведения см. в документации о требованиях к роли и разрешениям для управления политиками в Аттестация Azure.

  • Используйте управляемые удостоверения для приложений: если приложениям нужно вызывать Аттестация Azure, аутентифицируйте их с помощью управляемых удостоверений Azure, чтобы не хранить секреты или сертификаты в коде. Аттестация Azure поддерживает управляемые удостоверения для операций на уровне плоскости данных. Дополнительные сведения см. в разделе Что такое управляемые удостоверения для ресурсов Azure?.

  • Используйте субъекты-служб только в тех случаях, когда нельзя использовать управляемые идентификаторы: для сценариев автоматизации, где управляемые идентификаторы неприменимы (например, в межтенантных сценариях), создайте отдельные субъекты-служб с минимально необходимыми разрешениями. Регулярно меняйте учетные данные и отслеживайте активность входа в систему. Дополнительные сведения см. в статье Создание учётной записи службы Azure.

  • Примените Azure RBAC с ролью участника аттестации: назначьте встроенную роль участника аттестации только пользователям и субъектам-службам, которым необходимо управлять политиками или сертификатами подписи политик в поставщике аттестации. Предоставьте доступ только для чтения с помощью роли читателя аттестации . Дополнительные сведения см. в документации о требованиях к роли и разрешениям для управления политиками в Аттестация Azure.

  • Применяйте PIM для привилегированных назначений: Используйте Microsoft Entra управление привилегированными пользователями (PIM), чтобы сделать роль Attestation Contributor доступной для назначения вместо постоянного назначения, а также требовать многофакторную аутентификацию и утверждение при активации. Дополнительные сведения см. в обзоре управление привилегированными пользователями.

Защита данных

Аттестация Azure обрабатывает свидетельства аттестации и политики, целостность которых имеет решающее значение для установления доверия к вашим TEE. Шифрование данных при хранении и данных при передаче включено по умолчанию, а доступные пользователю элементы управления связаны с подписанием политик.

  • Подписывайте настраиваемые политики аттестации: используйте подписанные политики (а не неподписанные), если вашей рабочей нагрузке требуется надёжное подтверждение происхождения изменений политики. Подписанные политики позволяют убедиться, что они получены от доверенного подписанта политики и не были изменены во время передачи. Дополнительные сведения см. в статье "Как создать и подписать политику аттестации".

  • Защищайте закрытые ключи сертификатов подписи политик: Храните закрытые ключи, используемые для подписывания политик аттестации, в Azure Key Vault (или в HSM, который вы контролируете), и предоставляйте доступ только тем субъектам, которые должны подписывать политики. Регулярно меняйте эти ключи по графику, соответствующему криптографической политике вашей организации. Дополнительные сведения см. в статье Сведения об Azure Key Vault.

  • Понять поведение шифрования по умолчанию: Аттестация Azure автоматически шифрует все неактивные данные с помощью ключей, управляемых Microsoft, и все данные при передаче используют TLS 1.2 или более поздней версии. Вам не нужно настраивать ничего для состояния по умолчанию. Убедитесь, что клиентские приложения согласовывают TLS 1.2 или более поздней версии с конечной точкой аттестации. Дополнительные сведения см. в разделе "Шифрование неактивных данных".

Ведение журналов и мониторинг

Мониторинг и ведение журнала являются ключевыми компонентами комплексной стратегии безопасности для аттестации Azure.

  • Включение ведения журнала диагностики. Настройка журналов ресурсов Azure для сбора подробных сведений об операциях аттестации. Эти журналы поддерживают исследования безопасности, требования к соответствию требованиям и устранение неполадок в эксплуатации. Дополнительные сведения см. в разделе ведение журнала Аттестация Azure.

  • Настройте оповещения для подозрительных действий: настройте оповещения Azure Monitor, чтобы уведомить вас о необычных шаблонах или потенциальных инцидентах безопасности с участием поставщиков аттестации. Сосредоточьтесь на операциях с высоким риском, таких как изменения политики, смены сертификатов подписывания политик и непредвиденные сбои проверки подлинности. Для получения дополнительной информации см. оповещения Azure Monitor.

Соответствие требованиям и управление

Средства управления помогают обеспечивать единый уровень безопасности у разных поставщиков аттестации по мере роста вашей инфраструктуры.

  • Принудительное применение конфигурации с помощью Политика Azure. Используйте определения Политика Azure для аудита или принудительного применения необходимых конфигураций для поставщиков аттестации, например требование publicNetworkAccess: Disabled или ограничение регионов, где можно создавать поставщиков. Дополнительные сведения см. в встроенных определениях Политика Azure для Аттестация Azure.

  • Используйте тест Microsoft облачной безопасности: выравнивайте состояние аттестации с помощью теста Microsoft облачной безопасности (MCSB), который предоставляет горизонтальные элементы управления для сетевой безопасности, идентификации, защиты данных и мониторинга, которые также применяются к Аттестация Azure.

Резервное копирование и восстановление

Аттестация Azure управляет базовой инфраструктурой. Ваши обязанности по восстановлению ограничены настраиваемыми политиками аттестации и сертификатами подписывания политик.

  • Храните артефакты политики в системе контроля версий: храните исходные файлы политики аттестации (и исходные материалы, используемые для сборки подписанных политик) в репозитории с системой контроля версий, чтобы можно было детерминированно воссоздать любую развёрнутую политику. В сочетании с подписанными политиками этот подход предоставляет путь для восстановления с возможностью аудита.

  • Создайте резервную копию сертификата для подписывания политик: Если вы используете подписанные политики, сохраните сертификат для подписывания политик в хранилище с поддержкой HSM, например в Azure Key Vault, и создайте его резервную копию в соответствии с процедурами управления ключами, принятыми в вашей организации. Если вы потеряете ключ подписывания, вы не можете создать новые версии подписанных политик под тем же удостоверением подписывчика.

  • Периодически проверяйте восстановление: регулярно отрабатывайте процесс повторного развертывания политики аттестации в тестовой службе аттестации, чтобы проверенная процедура была готова на случай, если рабочая политика будет утеряна или повреждена.

Дальнейшие действия

  • Последнее обновление: