本文解答有关 Azure 机密账本的常见问题。
概况
如何判断 Azure 机密账本服务对我的组织是否有用？
Azure 机密账本非常适合记录价值足以让有动机的攻击者尝试入侵基础日志记录或存储系统的组织，包括恶意员工可能尝试伪造、修改或删除以前的记录的“预览体验成员”方案。
是什么使 Azure 机密账本更安全？
顾名思义，账本利用 Azure 机密计算平台 和 机密联盟框架 提供高度完整性的解决方案，该解决方案受到篡改和明显保护。 一个账本跨三个或更多相同的实例，每个实例在专用的、经过全面测试的硬件支持的 Enclave 中运行。 账本的完整性通过基于共识的区块链进行维护。
写入 Azure 机密账本时，是否需要存储写回执？
不一定。 目前某些解决方案要求用户保留写入回执，以便将来进行日志验证。 这要求用户在安全存储设施中管理这些收据，这增加了额外的负担。 账本通过基于 Merkle 树的方法消除了这一挑战，其中写回执包括已签名信任根的完整树路径。 用户无需存储或管理任何账本数据即可验证事务。
如何验证账本的真实性？
可以验证客户端与之通信的账本服务器节点是否真实。 有关详细信息，请参阅 对机密账本节点进行身份验证。
客户端与 ACL 之间的通信是否可以被 Azure 管理员入侵，因为 Azure 控制客户端与 ACL 之间的 TLS？
TLS 连接是在客户端与 enclave 中运行的特定节点之间建立的。 当连接在 enclave 内部终止时，Azure 管理员和其他人都无权通过 Intel SGX 专用硬件提供的安全性访问 enclave 数据。
ACL 是否提供对收据/事务 ID 以外的属性的查询？
除了使用收据/事务 ID 进行查询外，ACL 还提供历史查询功能，以使用集合 ID（也称为子账 ID）参数读取特定键的数据（或范围内）。 此外，最新的预览版增加了使用标记写入和查询数据的功能，这些标记可以视为集合中的键。 我们将有兴趣了解哪些其他属性可用于查询，因为我们正在收集产品路线图的输入。
磁盘上的数据是否单独加密？ 如果是这样，密钥存储在哪里？
将数据存储在账本上时，可以选择公共或专用选项。 公共选项未加密;纯文本，非常适合某些需要防篡改和可审核账本使用的用例。 但是，专用选项已加密。 数据使用三个级别的加密（即账本机密、账本机密包装密钥和恢复密钥共享）进行加密， 此处对此进行了详细介绍。
用户管理
如何在账本上管理用户？
Microsoft能否帮助管理我创建的账本上的用户？
否。 创建账本后，Microsoft无权访问用户管理。
我创建了一个没有管理员的账本。 我仍然可以添加用户吗？
如果在没有管理员的情况下创建账本，AAD/cert 将获取管理员权限。 该标识可用于管理账本。