Конфиденциальный реестр Microsoft Azure
Конфиденциальный реестр Microsoft Azure (ACL) — это новая надежно защищенная служба для управления записями конфиденциальных данных. Он работает исключительно на аппаратных защищенных анклавах, сильно отслеживаемой и изолированной среде выполнения, которая сохраняет потенциальные атаки в страхе. Кроме того, конфиденциальный реестр Azure выполняется на минималистичной доверенной вычислительной базе (TCB), что гарантирует, что никто (даже Майкрософт) не имеет прав больше, чем реестр.
Как говорится в своем имени, конфиденциальный реестр Azure использует платформу Конфиденциальных вычислений Azure и платформу конфиденциального консорциума для обеспечения высокой целостности решения, защищенного и очевидного. Один реестр охватывает три или более идентичных экземпляров, каждый из которых выполняется в выделенном, полностью протестированном аппаратном анклаве. Целостность реестра поддерживается через блокчейн на основе консенсуса.
Конфиденциальный реестр Azure предоставляет уникальные преимущества целостности данных, включая неизменяемость, защиту от незаконного изменения и операции только для добавления. Эти функции, обеспечивающие целостность всех записей, идеально подходят для тех случаев, когда необходимо сохранять критически важные записи метаданных без изменений (например, с целью соответствия нормативным требованиям или архивирования).
Ниже приведены несколько примеров вещей, которые можно хранить в реестре:
- записи, относящиеся к бизнес-транзакциям (например, денежным переводам или изменению конфиденциальных документов);
- обновления доверенных ресурсов (например, основных приложений или контрактов);
- административные изменения и изменения элементов управления (например, предоставление прав доступа);
- рабочие ИТ-события и события безопасности (например, оповещения Microsoft Defender для облака).
Дополнительные сведения см. в демонстрации конфиденциального реестра Azure.
Основные возможности
Конфиденциальный реестр предоставляется через REST API, которые можно интегрировать в новые или существующие приложения. Администратор istrator может управлять конфиденциальным реестром с помощью Администратор istrative API (уровень управления). Конфиденциальный реестр также можно вызывать непосредственно с помощью кода приложения с помощью функциональных API (плоскости данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление. Функциональные API позволяют напрямую взаимодействовать с экземпляром реестра и включать такие операции, как размещение и получение данных.
Безопасность Реестра
API реестра поддерживают процесс проверки подлинности на основе сертификатов с ролями владельца, а также проверку подлинности на основе идентификатора Microsoft Entra, а также доступ на основе ролей (например, владелец, читатель и участник).
Данные в реестр отправляются через подключение TLS 1.3, а подключение TLS 1.3 завершается внутри аппаратных анклавов безопасности (анклавы Intel® SGX), гарантируя, что никто не сможет перехватывать подключение между клиентом клиента и узлами сервера конфиденциального реестра.
Хранилище Реестра
Конфиденциальные реестры создаются как блоки в контейнерах хранилища BLOB-объектов, принадлежащих учетной записи служба хранилища Azure. Данные транзакций могут храниться в зашифрованном виде или в виде обычного текста в зависимости от ваших потребностей.
Администратор istrator может управлять конфиденциальным реестром с помощью Администратор istrative API (плоскости управления), а конфиденциальный реестр можно вызывать непосредственно с помощью кода приложения через функциональные API (плоскость данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление.
Функциональные API позволяют напрямую взаимодействовать с созданным экземпляром конфиденциального реестра и выполнять такие операции, как размещение и получение данных.
Ограничения
- После создания конфиденциального реестра нельзя изменить тип реестра (частный или общедоступный).
- Удаление конфиденциального реестра является "необратимым", поэтому его данные не подлежат восстановлению.
- Имена для конфиденциальных реестров должны быть глобально уникальными. Реестры с одинаковым именем (независимо от типа) запрещены.
Терминология
| Термин | Определение |
|---|---|
| ACL | Конфиденциальный реестр Azure |
| Бухгалтерская книга | Неизменяемая запись транзакций только для добавления (также известная как блокчейн) |
| Commit | Подтверждение того, что транзакция была добавлена в реестр. |
| Получение | Подтверждение того, что реестр обработал транзакцию. |