Bu makalede, Azure gizli bilgi işlemin (ACC) kullanımdaki verileri şifrelemek için sunduğu bir çözüm sunulmaktadır.
Mimari
Bu mimarinin bir Visio dosyasını indirin.
Diyagramda mimari özetlenmektedir. Sistem genelinde:
- Ağ iletişimi aktarım sırasında TLS ile şifrelenir.
- Azure İzleyici bileşen performansını izler ve çözümün kapsayıcılarını Azure Container Registry (ACR) yönetir.
İş Akışı
Çözüm aşağıdaki adımları içerir:
- Yerel bir hastanenin katibi bir web portalı açar. Web uygulamasının tamamı Azure Blob Depolama statik bir web sitesidir.
- Katip, verileri hastanenin popüler bir tıbbi platform satıcısı tarafından oluşturulan Python Flask tabanlı web API'sine bağlanan web portalına girer. SCONE gizli bilgi işlem yazılımındaki gizli düğüm, hasta verilerini korur. SCONE, kapsayıcıyı bir kapanımda çalıştırmaya yardımcı olan Software Guard Uzantıları'nın (SGX) etkinleştirildiği bir AKS kümesinde çalışır. Web API'si, hassas verilerin ve uygulama kodunun Şifrelenmiş ve Güvenilir Yürütme Ortamında yalıtılmış olduğuna dair kanıt sağlar. Bu, hiçbir insan, işlem ve hiçbir günlük cleartext verilerine veya uygulama koduna erişemeyen anlamına gelir.
- Hastanenin web uygulaması istemcisi, bir kanıtlama hizmetinin (Azure Doğrulama) bu kanıtı doğrulamasını ister ve diğer uygulamaların doğrulaması için imzalı bir kanıtlama belirteci alır.
- Web API'si ek bileşenler gerektiriyorsa (Redis önbelleği gibi), veri ve uygulama kodunun şu ana kadar güvenli bir kapanımda kaldığını doğrulamak için kanıtlama belirtecini geçirebilir (doğrulama için 6. adıma bakın).
- Web API'si, üçüncü taraf tanılama sağlayıcısı tarafından barındırılan ml modeli gibi uzak hizmetleri bile kullanabilir. Bunu yaparken, gerekli kuşatmaların güvenli olduğuna dair kanıt için kanıtlama belirteçlerini geçirmeye devam eder. Web API'si, tanılama sağlayıcısının altyapısı için kanıtlama belirteçlerini almayı ve doğrulamayı da dener.
- Uzak altyapı, tıbbi platformun web API'sinden kanıtlama belirtecini kabul eder ve Azure Doğrulama hizmetinde bulunan bir genel sertifikayla doğrular. Belirteç doğrulanırsa, kapanım güvenli olduğundan ve ne verilerin ne de uygulama kodunun kapanım dışında açıldığına dair kesin bir kesinlik vardır.
- Verilerin kullanıma sunulmadığından emin olan tanılama sağlayıcısı, verileri bir Açık Sinir Ağı Değişimi (ONNX) çalışma zamanı sunucusunda kendi kapanıma gönderir. Yapay zeka modeli, tıbbi görüntüleri yorumlar ve tanılama sonuçlarını tıbbi platformun gizli Web API'sine geri döndürür. Yazılım buradan hasta kayıtlarıyla etkileşim kurabilir ve/veya diğer hastane personeliyle iletişime geçebilir.
Bileşenler
Azure Blob Depolama doğrudan bir depolama kapsayıcısından HTML, CSS, JavaScript ve görüntü dosyaları gibi statik içerikler sunar.
Azure Doğrulama, bir platformun güvenilirliğini uzaktan doğrulayan birleşik bir çözümdür. Azure Doğrulama ayrıca platformda çalışan ikili dosyaların bütünlüğünü uzaktan doğrular. Gizli uygulamayla güven oluşturmak için Azure Doğrulama kullanın.
Azure Kubernetes Service , Kubernetes kümesi dağıtma işlemini basitleştirir.
Gizli bilgi işlem düğümleri , donanım tabanlı güvenilir yürütme ortamı (TEE) içinde AKS üzerinde hassas iş yükleri çalıştırabilen belirli bir sanal makine serisinde barındırılır ve kullanıcı düzeyinde kodun bellekte kuşatma olarak bilinen özel bölgeleri ayırmasına izin verir. Gizli bilgi işlem düğümleri gizli kapsayıcıları veya kapanım kullanan kapsayıcıları destekleyebilir.
SCONE platformu , Scontain tarafından sunulan bir Azure İş Ortağı bağımsız yazılım satıcısı (ISV) çözümüdür.
Redis , açık kaynaklı, bellek içi bir veri yapısı deposudur.
Güvenli Kapsayıcı Ortamı (SCONE), kubernetes kümesi içinde çalışan kapsayıcılarda gizli uygulamaların yürütülmesini destekler.
Gizli Çıkarım ONNX Çalışma Zamanı Sunucusu Kapanım (ONNX RT - Enclave), ML barındırma partisinin hem çıkarım isteğine hem de buna karşılık gelen yanıta erişmesini kısıtlayan bir konaktır.
Alternatifler
Kapsayıcılı uygulamanızla kullanmak üzere gizli kapsayıcılar dağıtmak için SCONE yerine Fortanix kullanabilirsiniz. Fortanix, en geniş uygulama kümesini çalıştırmak ve yönetmek için ihtiyacınız olan esnekliği sağlar: mevcut uygulamalar, yeni yerel uygulamalar ve önceden paketlenmiş uygulamalar.
SGX'in etkinleştirildiği AKS kümesinde çalışmak için SCONE yerine Occlum kullanabilirsiniz. Occlum, eski uygulamaların yalıtılmış bir ortamda çok az veya hiç değişiklik yapmadan çalışmasını sağlar.
Graphene basit, açık kaynaklı bir konuk işletim sistemidir. Graphene, tek bir Linux uygulamasını yalıtılmış bir ortamda çalıştırabilir ve tam bir işletim sistemi çalıştırmaya benzer avantajlar sunar. Mevcut Docker kapsayıcı uygulamalarını Graphene Korumalı Kapsayıcılara (GSC) dönüştürmek için iyi bir araç desteğine sahiptir.
Senaryo ayrıntıları
Kuruluşlar işbirliği yaparken bilgileri paylaşır. Ancak çoğu taraf, diğer taraflara verilerin tüm bölümlerine erişim vermek istemez. Bekleyen ve aktarımdaki verileri korumaya yönelik mekanizmalar vardır. Ancak kullanımda olan verileri şifrelemek farklı zorluklara neden olabilir.
Gizli bilgi işlem ve kapsayıcıları kullanan çözüm, sağlayıcı tarafından barındırılan bir uygulamanın bir hastane ve üçüncü taraf tanılama sağlayıcısıyla güvenli bir şekilde işbirliği yapmasına yönelik bir yol sağlar. Azure Kubernetes Service (AKS) gizli bilgi işlem düğümlerini barındırıyor. Azure Doğrulama, tanılama sağlayıcısıyla güven oluşturur. Mimari, bu Azure bileşenlerini kullanarak belirli paylaşılan veriler bulutta işlenirken hastane hastalarının hassas verilerini yalıtıyor. Daha sonra hastane verilerine tanılama sağlayıcısı tarafından erişilemez. Bu mimari aracılığıyla, sağlayıcı tarafından barındırılan uygulama gelişmiş analizden de yararlanabilir. Tanılama sağlayıcısı bu analizleri makine öğrenmesi (ML) uygulamalarının gizli bilgi işlem hizmetleri olarak kullanıma sunar.
Olası kullanım örnekleri
Birçok sektör, bu amaçlar için gizli bilgi işlem kullanarak verilerini korur:
- Finansal verilerin güvenliğini sağlama
- Hasta bilgilerini koruma
- Hassas bilgiler üzerinde ML işlemlerini çalıştırma
- Birçok kaynaktan şifrelenmiş veri kümelerinde algoritmalar gerçekleştirme
- Kapsayıcı verilerini ve kod bütünlüğünü koruma
Dikkat edilmesi gereken noktalar
Bu önemli noktalar, bir iş yükünün kalitesini artırmak için kullanılabilecek bir dizi yol gösteren ilke olan Azure İyi Tasarlanmış Çerçeve'nin yapı taşlarını uygular. Daha fazla bilgi için bkz . Microsoft Azure İyi Tasarlanmış Çerçeve.
Azure gizli bilgi işlem sanal makineleri (VM'ler), genel amaçlı ihtiyaçlar için 2. nesil D aile boyutlarında kullanılabilir. Bu boyutlar topluca D Serisi v2 veya DCsv2 serisi olarak bilinir. Bu senaryoda 2. Nesil işletim sistemi (OS) görüntülerine sahip Intel SGX özellikli DCs_v2 serisi sanal makineler kullanılır. Ancak belirli boyutları yalnızca belirli bölgelere dağıtabilirsiniz. Daha fazla bilgi için bkz . Hızlı Başlangıç: Market'te Azure Gizli Bilgi İşlem VM'sini dağıtma ve Bölgelere göre kullanılabilen ürünler.
Maliyet iyileştirme
Maliyet iyileştirmesi, gereksiz giderleri azaltmanın ve operasyonel verimlilikleri iyileştirmenin yollarını aramaktır. Daha fazla bilgi için bkz . Maliyet iyileştirme sütununa genel bakış.
Bu senaryoyu çalıştırmanın maliyetini keşfetmek için tüm Azure hizmetlerini önceden yapılandıran Azure fiyatlandırma hesaplayıcısını kullanın.
Contoso Tıp hizmet olarak yazılım (SaaS) Platformu için diyagramda gösterildiği gibi örnek bir maliyet profili sağlanır. Şu bileşenler bulunur:
- Sistem düğümü havuzu ve SGX düğüm havuzu: disk yok, tümü kısa ömürlü
- AKS Load Balancer
- Azure Sanal Ağ: nominal
- Azure Container Registry
- Tek sayfalı uygulama (SPA) için Depolama hesabı
Profil aşağıdaki bileşenleri içermez:
Azure Doğrulama Hizmeti: ücretsiz
Azure İzleyici Günlükleri: kullanım tabanlı
SCONE ISV lisansı
Aşağıdakiler dahil olmak üzere hassas verilerle çalışan çözümler için gereken uyumluluk hizmetleri:
- Kubernetes için Bulut için Microsoft Defender ve Microsoft Defender
- Azure DDoS Koruması: Ağ Koruması
- Azure Güvenlik Duvarı
- Azure Uygulaması Lication Gateway ve Azure Web Uygulaması Güvenlik Duvarı
- Azure Key Vault
Bu senaryoyu dağıtın
Bu senaryonun dağıtılması aşağıdaki üst düzey adımları içerir:
Gizli çıkarım sunucusunu mevcut SGX özellikli AKS Kümesine dağıtın. Bu adım hakkında bilgi için GitHub'daki gizli ONNX çıkarım sunucusu projesine bakın.
Azure Doğrulama ilkelerini yapılandırın.
SGX özellikli AKS kümesi düğüm havuzu dağıtma.
SconeApps adlı özel olarak seçilmiş gizli uygulamalara erişim elde edin. SconeApps, SCONE Standard Sürümü aracılığıyla şu anda yalnızca ticari müşteriler tarafından kullanılabilen özel bir GitHub deposunda kullanılabilir. SCONE web sitesine gidin ve bu hizmet düzeyini almak için doğrudan şirketle iletişime geçin.
AKS kümenize SCONE hizmetlerini yükleyin ve çalıştırın.
AKS kümenizde Flask tabanlı uygulamayı yükleyin ve test edin.
Web istemcisini dağıtın ve bu istemciye erişin.
Bu adımlar, kapanım kapsayıcılarına odaklanır. Güvenli bir altyapı bu uygulamanın ötesine uzanır ve HIPAA tarafından gereken ek korumalar gibi uyumluluk gereksinimlerini içerir.
Katkıda Bulunanlar
Bu makale Microsoft tarafından yönetilir. Başlangıçta aşağıdaki katkıda bulunanlar tarafından yazılmıştır.
Asıl yazar:
- Amar Gowda | Ana Ürün Yöneticisi
Sonraki adımlar
Azure gizli bilgi işlem hakkında daha fazla bilgi edinin
GitHub'da gizli ONNX çıkarım sunucusu projesine bakın.
Anonimleştirilmiş blok zinciri verileriyle MobileCoin kullanım örneği
