Azure Doğrulama dağıtımınızın güvenliğini sağlama

Microsoft Azure Doğrulama, Güvenilen Yürütme Ortamlarında (TEE) çalışan platform bileşenlerinin ve uygulamaların güvenilirliğini doğrulamanıza yardımcı olan bir hizmettir. Azure Doğrulama, TEE'lerin orijinal, değiştirilmemiş ve beklenen yazılımı çalıştırdığını doğrulayarak güven kökünün oluşturulmasına yardımcı olur. Güvenlik açısından kritik doğrulama iş akışları için Azure Doğrulama kullandığınızda, kanıtlama sağlayıcılarınızın ve bunlar aracılığıyla işlenen verilerin güvenliğini en üst düzeye çıkarmak için adımlar atın.

Bu makaledeki güvenlik önerileri Sıfır Güven ilkelerini uygular: "Açıkça doğrula", "En az ayrıcalık erişimi kullan" ve "İhlal varsay". Kapsamlı Sıfır Güven kılavuzu için bkz. Sıfır Güven Kılavuzu Merkezi.

Bu makalede, Azure Doğrulama dağıtımınızın korunmasına yardımcı olmak için güvenlik önerileri sağlanır.

Ağ güvenliği

Azure Kanıtlama, kanıtlama sağlayıcılarınızı ve verilerini yetkisiz erişime karşı korumaya yardımcı olmak için ağ güvenlik özelliklerini destekler.

  • Güvenli erişim için Azure Özel Bağlantı'yı kullanma: Sanal ağınızdan Azure Kanıtlama'ya güvenli bir şekilde bağlanmak için Azure Özel Bağlantı'yı yapılandırın ve kanıtlama uç noktalarının genel İnternet'e açıklanmasını önleyin. Özel Bağlantı, özel IP adreslerini kullanan özel bir bağlantı sağlayarak Azure Kanıtlama'yı sanal ağınıza etkili bir şekilde getirir. Daha fazla bilgi için bkz. PowerShell kullanarak Azure Doğrulama için özel uç nokta oluşturma.

  • Gereksiz olduğunda genel ağ erişimini devre dışı bırakın: Azure Doğrulama kanıtlama sağlayıcılarında özelliğini desteklerpublicNetworkAccess. Yalnızca Özel Bağlantı üzerinden erişilen sağlayıcılar için, genel internetten hiçbir veri düzlemi trafiği ulaşamasın diye bunu Disabled olarak ayarlayın. Daha fazla bilgi için bkz. Azure Özel Bağlantı.

Kimlik ve erişim yönetimi

Doğru kimlik ve erişim yönetimi, kanıtlama sağlayıcılarınıza, ilkelerine ve imzalama sertifikalarına erişimin güvenliğini sağlamak için çok önemlidir. Azure Doğrulama, veri düzlemi kimlik doğrulaması için Microsoft Entra ID ve yetkilendirme için Azure RBAC kullanır.

  • Microsoft Entra ID kimlik doğrulamasını kullanın: Azure Doğrulama varsayılan olarak Microsoft Entra ID aracılığıyla veri düzlemi arayanların kimliğini doğrular. Kanıtlama işlemlerine kuruluşunuzun kimlik idare denetimlerini (Koşullu Erişim, MFA, oturum ilkeleri) uygulamak için bu yerleşik tümleştirmeyi kullanın. Daha fazla bilgi için bkz. Azure Kanıtlama'da ilke yönetimi için rol ve izin gereksinimleri.

  • Uygulamalar için yönetilen kimlikleri kullanma: Uygulamaların Azure Doğrulama çağırması gerektiğinde, gizli dizileri veya sertifikaları kodda depolamamak için yönetilen kimlikleri Azure kullanarak kimliklerini doğrulayın. Azure Doğrulama, veri düzlemi işlemleri için yönetilen kimlikleri destekler. Daha fazla bilgi için bkz. Azure kaynakları için yönetilen kimlikler nelerdir?.

  • Hizmet sorumlularını yalnızca yönetilen kimlikler kullanılamadığında kullanın: Yönetilen kimliklerin uygulanmadığı otomasyon senaryolarında (örneğin, kiracılar arası senaryolar), en az ayrıcalıklı izinlere sahip ayrılmış hizmet sorumluları oluşturun. Kimlik bilgilerini düzenli olarak döndürün ve oturum açma etkinliklerini izleyin. Daha fazla bilgi için bkz Azure hizmet sorumlusu oluşturma.

  • Kanıtlama Katkıda Bulunanı rolüyle Azure RBAC uygulayın: Yerleşik Kanıtlama Katkıda Bulunanı rolünü yalnızca bir kanıtlama sağlayıcısında ilkeleri veya ilke imzalama sertifikalarını yönetmesi gereken kullanıcılara ve hizmet sorumlularına atayın. Kanıtlama Okuyucusu rolüyle salt okunur erişim verin. Daha fazla bilgi için bkz. Azure Kanıtlama'da ilke yönetimi için rol ve izin gereksinimleri.

  • Ayrıcalıklı atamalar için PIM’i zorunlu kılın: Attestation Contributor rolünü kalıcı olarak atamak yerine uygun atama olarak yapılandırmak ve etkinleştirme sırasında MFA ile onay gerektirmek için Microsoft Entra Privileged Identity Management (PIM) kullanın. Daha fazla bilgi için bkz. Privileged Identity Management genel bakış.

Veri koruma

Azure Doğrulama, TEE’lerinizde güven tesis etmenin temelinde yer alan bütünlüğe sahip kanıtları ve ilkeleri işler. Depolanan verilerin ve aktarım sırasındaki verilerin şifrelenmesi varsayılan olarak etkindir ve uygulanabilir denetimler ilke imzalama etrafında şekillenir.

  • Özel kanıtlama ilkelerinizi imzalayın: İş yükünüz ilke değişiklikleri için güçlü bir kanıtlanmışlık gerektirdiğinde imzalı ilkeleri (imzasız ilkeler yerine) kullanın. İmzalı ilkeler, bir ilkenin güvenilir bir ilke imzalayandan geldiğini ve aktarım sırasında değiştirilmediğini doğrulamanıza olanak sağlar. Daha fazla bilgi için bkz. Kanıtlama ilkesini oluşturma ve imzalama.

  • İlke imzalama sertifikası özel anahtarlarını koruma: Kanıtlama ilkelerini imzalamak için kullanılan özel anahtarları Azure Key Vault(veya denetlediğiniz bir HSM) içinde depolayın ve yalnızca ilkeleri imzalaması gereken kimliklere erişim verin. Bu anahtarları kuruluşunuzun şifreleme ilkesiyle uyumlu bir zamanlamaya göre döndürün. Daha fazla bilgi için bkz . Azure Key Vault hakkında.

  • Varsayılan şifreleme davranışını anlama: Azure Doğrulama Microsoft yönetilen anahtarları kullanarak bekleyen tüm verileri otomatik olarak şifreler ve aktarımdaki tüm veriler TLS 1.2 veya üzerini kullanır. Varsayılan duruş için herhangi bir yapılandırma yapmanız gerekmez. İstemci uygulamalarınızın kanıtlama uç noktasıyla TLS 1.2 veya üzeri bir anlaşmada bulunduğunu doğrulayın. Daha fazla bilgi için bkz. Bekleyen verilerin şifrelenmesi.

Kayıt ve izleme

İzleme ve günlüğe kaydetme, Azure Kanıtlama için kapsamlı bir güvenlik stratejisinin temel bileşenleridir.

  • Tanılama günlüğünü etkinleştirme: Kanıtlama işlemleriyle ilgili ayrıntılı bilgileri yakalamak için Azure kaynak günlüklerini yapılandırın. Bu günlükler güvenlik araştırmalarını, uyumluluk gereksinimlerini ve işlem sorunlarını gidermeyi destekler. Daha fazla bilgi için bkz. Azure Doğrulama günlüğü.

  • Şüpheli etkinlikler için uyarıları yapılandırma: Olağan dışı desenleri veya kanıtlama sağlayıcılarınızla ilgili olası güvenlik olaylarını size bildirmek için Azure İzleyici uyarıları ayarlayın. İlke değişiklikleri, ilke imzalayan sertifika döndürmeleri ve beklenmeyen kimlik doğrulama hataları gibi yüksek riskli işlemlere odaklanın. Daha fazla bilgi için bkz. Azure İzleyici uyarıları.

Uyumluluk ve idare

İdare denetimleri, varlığınız büyüdükçe kanıtlama sağlayıcıları arasında tutarlı bir güvenlik duruşu uygulamanıza yardımcı olur.

  • Azure İlkesi ile yapılandırmayı zorunlu kılma: Kanıtlama sağlayıcılarında gerekli yapılandırmaları denetlemek veya zorunlu kılmak için Azure İlkesi tanımlarını kullanın; örneğin, sağlayıcıların oluşturulabileceği bölgeleri zorunlu publicNetworkAccess: Disabled kılma veya kısıtlama. Daha fazla bilgi için bkz. Azure Doğrulama için Azure İlkesi yerleşik tanımları.

  • Microsoft bulut güvenliği karşılaştırmasını benimseyin: Kanıtlama duruşunuzu Azure Doğrulama için de geçerli olan ağ güvenliği, kimlik, veri koruması ve izleme için yatay denetimler sağlayan Microsoft bulut güvenliği karşılaştırması (MCSB) ile uyumlu hale getirme.

Yedekleme ve kurtarma

Azure Doğrulama temel altyapıyı yönetir. Kurtarma sorumluluklarınız özel kanıtlama ilkeleriniz ve ilke imzalama sertifikalarınızla sınırlıdır.

  • İlke artefaktlarınızı sürüm denetimine alın: Dağıtılmış herhangi bir ilkeyi deterministik olarak yeniden oluşturabilmeniz için, kanıtlama ilkesi kaynak dosyalarınızı (ve imzalı ilkeleri oluşturmak için kullanılan kaynağı) sürüm denetimli bir depoda saklayın. bu yaklaşım, imzalı ilkelerle birlikte denetlenebilir bir kurtarma yolu sağlar.

  • İlke imzalama sertifikalarını yedekleme: İmzalı ilkeler kullanıyorsanız, ilke imzalama sertifikasını Azure Key Vault gibi HSM destekli bir depoda depolayın ve kuruluşunuzun anahtar yönetimi yordamlarına göre yedekleyin. İmzalama anahtarını kaybederseniz, aynı imzalayan kimliği altında yeni imzalı ilke sürümleri oluşturamazsınız.

  • Kurtarmayı düzenli olarak test edin: Üretim ilkesinin kaybolması veya bozulması durumunda doğrulanmış bir prosedür hazır olsun diye, kanıtlama ilkenizi bir test kanıtlama sağlayıcısına yeniden dağıtma sürecini düzenli olarak uygulayın.

Sonraki Adımlar

  • Son güncelleştirme: