Azure konfidentiell databehandling

Microsoft Cloud for Sovereignty gör det möjligt för kunder att konfigurera och skydda sina data och resurser på ett sätt som hjälper dem att följa sina specifika regelverks-, säkerhets- och suveränitetskrav. Denna process säkerställer att kunddata inte är tillgänglig för parter utanför kundens kontroll, inte ens för molnleverantörer, administratörer eller användare. När man kombinerar Azure konfidentiell databehandling (ACC) med Microsoft Cloud for Sovereignty ger dessa kontroll över åtkomst till kundernas arbetsbelastningar.

Konfidentiell datoranvändning är en branschterm som definieras av Confidential Computing Consortium (CCC), en stiftelse dedikerad till att definiera och påskynda införandet av konfidentiell databehandling. CCC definierar konfidentiell databehandling som skydd av data som används genom att utföra beräkningar i en hårdvarubaserad Trusted Execution Environment (TEE).

En TEE är en miljö som upprätthåller körning av enbart auktoriserad kod. Ingen kod utanför den miljön kan läsa eller manipulera någon data i TEE. Den konfidentiella datorhotsmodellen syftar till att ta bort eller minska möjligheten för en molnleverantörsoperatör och andra aktörer på klientorganisationens domän att komma åt kod och data medan de körs.

När det används tillsammans med datakryptering i vila och under överföring eliminerar konfidentiell databehandling det enskilt största hindret för kryptering - kryptering under användning. Det skyddar känsliga eller mycket reglerade datamängder och programarbetsbelastningar i en säker offentlig molnplattform. Konfidentiell datoranvändning sträcker sig längre än allmänt dataskydd. TEE:er hjälper också till att skydda egen affärslogik, analysfunktioner, maskininlärningsalgoritmer eller hela program.

ACC minskar behovet av förtroende inom olika aspekter av datormolninfrastrukturen. Azure konfidentiell databehandling minimerar förtroendet för både systemprocesser, såsom OS-värdkerneln och hypervisorn, samt mänskliga operatörer som inkluderar VM-admin och värdens administratör. I kombination med befintliga lösningar som skyddar vilande data, såsom Microsoft Data Encryption, och under överföring, såsom TLS eller IPsec, skyddas datan nu när den används eftersom själva minnet förblir krypterat, det vill säga ett fullständigt skydd över hela datalivscykeln.

Med skydden och efterlevnadsupprätthållandet i Microsoft Cloud for Sovereignty ger ACC ett förbättrat skydd av suveräna, känsliga eller högt reglerade data och arbetsbelastningar inom skalbarheten, flexibiliteten, tillgängligheten och de kraftfulla tjänsterna för Azure Public Cloud-plattformen. För mer information om fördelarna med Azure konfidentiell databehandling, se Azures konfidentiella dataprodukter.

Suveränitet stöds i Azure konfidentiell databehandling

Datasuveränitet säkerställer att kunder unikt kontrollerar kundresurser, såsom virtuella datorer, och att andra inte kan komma åt dessa resurser. ACC hjälper kunder att uppnå datasuveränitet genom att tillhandahålla konfidentialitet för hela förtroenderoten, från hårdvara till program. Azure DCasv5- och DCadsv5-seriens konfidentiella virtuella datorer (CVM) är maskinvaruisolerade virtuella datorer som skyddar data i minnet från andra virtuella datorer, hypervisor- och värdhanteringskod. Inte ens Azure-ingenjörer med administrativ åtkomst till VM-värden kan komma åt kunddata i minnet. Den här serien erbjuder också OS-diskförkryptering före VM-etablering med olika nyckelhanteringslösningar.

Suveräniteten stärks på alla nivåer genom att tillhandahålla konfidentiella datormiljöer för:

• Microsoft Azure Attestering, en fjärrattesteringstjänst som validerar tillförlitligheten hos flera TEE:Er och verifierar integriteten hos de binärfiler som körs inuti TEE:erna. Denna validering av den grundläggande förtroenderoten är avgörande för att säkerställa datans suveränitet.
• Betrodd start för härdade säkerhetsfunktioner – säker start, virtuell betrodd plattformsmodul och övervakning av startintegritet – som skyddar mot startkits, rootkits och skadlig programvara på kernelnivå.
• Trusted Hardware Identity Management, en tjänst som hanterar cachehantering av certifikat för alla TEE:er som finns i Azure och tillhandahåller Trusted Computing Base (TCB)-information för att upprätthålla en minimigrundnivå för attesteringslösningar.

Många kunder använder Azure Kubernetes Service (AKS) för att hantera sina containerbaserade program, samt lagrings- och nätverkskomponenter. För att hjälpa till att uppfylla suveränitets-, konfidentialitets- och säkerhetskrav kan kunder använda Azure App-enklavmedvetna containers som ​​körs på AKS. Konfidentiella datornoder på AKS använder Intel SGX för att skapa isolerade enklavmiljöer i noderna mellan respektive containerprogram. Azure förhandsgranskar också Konfidentiellt VM-nodpoolstöd på AKS med AMD SEV-SNP VM-komponenter. AKS är först på marknaden med att möjliggöra konfidentiell virtuell dator med AMD SEV-SNP-nodpooler i Kubernetes, vilket lägger till ett djupgående försvar till Azures härdade säkerhetsprofil.

Konfidentiell hemlighetshantering

Azure Key Vault (AKV) Managed HSM är en fullständigt hanterad, högtillgänglig, standardkompatibel molntjänst för en enskild klientorganisation som skyddar programkrypteringsnycklar med FIPS 140-2 Level 3-validerade hårdvarusäkerhetsmoduler (HSM). AKV mHSM använder samma API:er som Azure Key Vault Standard och Premium, och integreras med de flesta Azure-tjänster i syfte att möjliggöra tjänstekryptering med Customer Managed Keys. Hårdvaruskydd säkerställer att endast kunden kan komma åt krypteringsnycklarna. Inte ens Azure-ingenjörer kan komma åt dem.

Secure Key Release (SKR) är en funktion i Azure Key Vault (AKV) Managed HSM- och Premium-erbjudande som ger mer åtkomstkontroll. Säker nyckelfrigivning möjliggör frigivning av en HSM-skyddad nyckel från AKV till en bestyrkt Trusted Execution Environment (TEE), såsom en säker enklav, VM-baserade TEE:er, osv. SKR lägger till ytterligare ett skyddslager till dina datadekrypterings-/krypteringsnycklar där du kan rikta in dig på ett program + TEE runtime-miljö med känd konfiguration för att få tillgång till nyckelmaterialet. De SKR-policyer som definierades vid tidpunkten för skapandet av exporterbar nyckel styr åtkomsten till dessa nycklar.

Konfidentiella analystjänster

Azures kunder inom offentlig sektor och reglerade branscher har ett akut behov av avancerade analysfunktioner som hjälper dem att uppfylla sina suveränitets-, integritets- och säkerhetskrav. Microsoft Cloud for Sovereignty hjälper dessa kunder att använda tjänster såsom:

• Med Alltid krypterat med säkra enklaver i Azure SQL-tjänsten kan kunder köra SQL-frågor direkt i en TEE, detta för att säkerställa att känsliga data skyddas mot skadlig programvara och högprivilegierade obehöriga användare.
• Azure Databricks med VM för konfidentiell databehandling kan hjälpa kunder att köra sina analyser, maskininlärning och andra arbetsbelastningen på ett sätt som bevarar sekretessen.
• Den snabba tillväxten inom Internet of Things (IoT) öppnar nya suveränitetsrisker eftersom IoT Edge-enheter ligger utanför kundens geografiska kontroll, och dåliga aktörer kan komma åt dem fysiskt, vilket innebär en förhöjd risk att dessa enheter komprometteras. Konfidentiellt IoT Edge tillför förtroende och integritet i framkanten genom att skydda åtkomsten till data som registreras av och lagras inuti en IoT-enhet, vilket minskar risken för manipulering eller kompromettering.
• Kunder uppmuntras att använda Microsoft Azure Confidential Ledger (ACL) för att hantera känsliga uppgifter. ACL körs uteslutande på hårdvarustödda säkra enklaver i en hårt övervakad och isolerad körningsmiljö, vilket skyddar känsliga dataposter och gör dem oföränderliga.

Implementera konfidentiell databehandling inom Microsoft Cloud for Sovereignty

Microsoft Cloud for Sovereignty-kunder kan använda Sovereign landningszon för att effektivisera implementeringen av Microsofts konfidentiella datorfunktioner i en regelefterlevande och suverän miljö.

För vägledning om hur du kommer igång med att använda ACC i Sovereign landningszon (SLZ), se SLZ på GitHub.