Конфиденциальный реестр Microsoft Azure

  • Статья

Конфиденциальный реестр Microsoft Azure (ACL) — это новая надежно защищенная служба для управления записями конфиденциальных данных. Он работает исключительно на аппаратных защищенных анклавах, сильно отслеживаемой и изолированной среде выполнения, которая сохраняет потенциальные атаки в страхе. Кроме того, конфиденциальный реестр Azure выполняется на минималистичной доверенной вычислительной базе (TCB), что гарантирует, что никто (даже Майкрософт) не имеет прав больше, чем реестр.

Как говорится в своем имени, конфиденциальный реестр Azure использует платформу Конфиденциальных вычислений Azure и платформу конфиденциального консорциума для обеспечения высокой целостности решения, защищенного и очевидного. Один реестр охватывает три или более идентичных экземпляров, каждый из которых выполняется в выделенном, полностью протестированном аппаратном анклаве. Целостность реестра поддерживается через блокчейн на основе консенсуса.

Конфиденциальный реестр Azure предоставляет уникальные преимущества целостности данных, включая неизменяемость, защиту от незаконного изменения и операции только для добавления. Эти функции, обеспечивающие целостность всех записей, идеально подходят для тех случаев, когда необходимо сохранять критически важные записи метаданных без изменений (например, с целью соответствия нормативным требованиям или архивирования).

Ниже приведены несколько примеров вещей, которые можно хранить в реестре:

  • записи, относящиеся к бизнес-транзакциям (например, денежным переводам или изменению конфиденциальных документов);
  • обновления доверенных ресурсов (например, основных приложений или контрактов);
  • административные изменения и изменения элементов управления (например, предоставление прав доступа);
  • рабочие ИТ-события и события безопасности (например, оповещения Microsoft Defender для облака).

Дополнительные сведения см. в демонстрации конфиденциального реестра Azure.

Основные возможности

Конфиденциальный реестр предоставляется через REST API, которые можно интегрировать в новые или существующие приложения. Администраторы могут управлять конфиденциальным реестром с помощью административных API (плоскости управления). Конфиденциальный реестр также можно вызывать непосредственно с помощью кода приложения с помощью функциональных API (плоскости данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление. Функциональные API позволяют напрямую взаимодействовать с экземпляром реестра и включать такие операции, как размещение и получение данных.

Безопасность Реестра

API реестра поддерживают процесс проверки подлинности на основе сертификатов с ролями владельца, а также проверку подлинности на основе идентификатора Microsoft Entra, а также доступ на основе ролей (например, владелец, читатель и участник).

Данные в реестр отправляются через подключение TLS 1.3, а подключение TLS 1.3 завершается внутри аппаратных анклавов безопасности (анклавы Intel® SGX), гарантируя, что никто не сможет перехватывать подключение между клиентом клиента и узлами сервера конфиденциального реестра.

Хранилище Реестра

Конфиденциальные реестры создаются как блоки в контейнерах хранилища BLOB-объектов, принадлежащих учетной записи служба хранилища Azure. Данные транзакций могут храниться в зашифрованном виде или в виде обычного текста в зависимости от ваших потребностей.

Администраторы могут управлять конфиденциальным реестром с помощью административных API (плоскости управления), а конфиденциальный реестр можно вызывать непосредственно с помощью кода приложения через функциональные API (плоскость данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление.

Функциональные API позволяют напрямую взаимодействовать с созданным экземпляром конфиденциального реестра и выполнять такие операции, как размещение и получение данных.

Ограничения

  • После создания конфиденциального реестра нельзя изменить тип реестра (частный или общедоступный).
  • Удаление конфиденциального реестра является "необратимым", поэтому его данные не подлежат восстановлению.
  • Имена для конфиденциальных реестров должны быть глобально уникальными. Реестры с одинаковым именем (независимо от типа) запрещены.

Терминология

Термин Определение
ACL Конфиденциальный реестр Azure
Бухгалтерская книга Неизменяемая запись транзакций только для добавления (также известная как блокчейн)
Commit Подтверждение того, что транзакция была добавлена в реестр.
Получение Подтверждение того, что реестр обработал транзакцию.

Следующие шаги