你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Microsoft Azure 机密账本
Microsoft Azure 机密账本 (ACL) 是一项高度安全的新服务，用于管理敏感数据记录。 它仅在硬件支持的安全 Enclave 中运行，这是一个受到严密监视的独立运行时环境，可防范可能的攻击。 此外，Azure 机密账本在一个精简的受信任计算库 (TCB) 中运行，这确保没有任何人（甚至包括 Microsoft）能够掌控账本。
顾名思义，Azure 机密账本利用 Azure 机密计算平台和机密联盟框架来提供可防篡改且作用显著的高完整性解决方案。 一个账本跨三个或更多相同的实例，每个实例在专用的、经过全面测试的硬件支持的 Enclave 中运行。 账本的完整性通过基于共识的区块链进行维护。
Azure 机密账本提供独特的数据完整性优势，包括不可变性、防篡改和仅追加操作。 这些功能确保所有记录保持原样，在不得修改关键元数据记录（例如出于法规遵从和存档目的）的情况下，它们是理想的选择。
下面是一些可在账本上存储的内容示例：
- 与业务事务相关的记录（例如资金转移或机密文档编辑）。
- 受信任资产的更新（例如核心应用程序或合同）。
- 管理和控制更改（例如授予访问权限）。
- 操作 IT 和安全事件（例如 Microsoft Defender for Cloud 警报）。
有关详细信息，请观看 Azure 机密账本演示。
关键功能
机密账本通过 REST API 公开，这可以集成到新的或现有的应用程序中。 管理员可以使用管理 API（控制平面）管理机密账本。 应用程序代码也可通过功能 API（数据平面）直接调用机密账本。 管理 API 支持创建、更新、获取和删除等基本操作。 功能 API 允许与实例化账本直接交互，并包含输入和获取数据等操作。
账本安全性
账本 API 通过所有者角色，以及基于 Microsoft Entra ID 的身份验证和基于角色的访问（例如所有者、读取者和参与者）支持基于证书的身份验证过程。
数据通过 TLS 1.3 连接发送到账本，并且 TLS 1.3 连接会在硬件支持的安全 enclave (Intel® SGX enclave) 内终止，从而确保无人能够截获客户客户端与机密账本服务器节点之间的连接。
账本存储
机密账本是作为属于 Azure 存储帐户的 blob 存储容器中的块而创建。 事务数据可以存储为加密数据，也可以以纯文本形式存储，具体取决于你的需求。
管理员可使用管理 API（控制平面）管理机密账本，并且应用程序代码也可通过功能 API（数据平面）直接调用机密账本。 管理 API 支持创建、更新、获取和删除等基本操作。
功能 API 允许与实例化机密账本直接交互，并包含输入和获取数据等操作。
约束
- 创建机密账本后，无法更改账本类型（专用或公用）。
- Azure 机密账本删除会导致“硬删除”，因此删除后，你的数据将无法恢复。
- Azure 机密账本名称必须是全局唯一的名称。 不允许使用具有相同名称的账本，无论其类型如何。
术语
| 术语 | 定义 |
|---|---|
| ACL | Azure 机密账本 |
| 账本 | 不可变的事务仅追加记录（也称为区块链） |
| 提交 | 已将事务追加到账本的确认。 |
| 回执 | 有关账本已处理某一事务的证明。 |