Конфиденциальный реестр Microsoft Azure

В эпоху цифрового преобразования целостность данных является первостепенной задачей. Поскольку предприятия все чаще полагаются на решения на основе данных, точность и безопасность их источников данных становятся критически важными.

Конфиденциальный реестр Microsoft Azure (ACL) — это безопасное неизменяемое хранилище данных для управления записями конфиденциальных данных. Служба олицетворяет нашу приверженность безопасному, надежному и неизменяемому хранилищу данных.

Конфиденциальный реестр предоставляет аудитируемое хранилище данных с уникальными преимуществами целостности данных, включая неизменяемость, защиту от несанкционированного вмешательства и операции только добавления данных, сочетая криптографические методы и технологии блокчейна.

Эти функции идеально подходят, если критически важные записи метаданных должны иметь защиту целостности, например для соответствия нормативным требованиям и архивации. Данные, хранящиеся в бухгалтерской книге, остаются с повышенной конфиденциальностью и защищены от внутренних угроз в рамках организации, включая угрозы со стороны поставщика облачных услуг. Это также полезно в качестве репозитория следов аудита или записей, которые необходимо защитить и выборочно предоставить доступ определенным лицам (например, аудиторам).

Конфиденциальный реестр может защитить существующие базы данных и приложения, выступая в качестве источника истины на определенный момент времени для дайджестов и хэшей. Каждая транзакция в конфиденциальном реестре предоставляет криптографические доказательства в сценариях проверки. Например, данные SQL Azure могут быть дополнительно защищены с точки зрения целостности, где дайджесты таблиц или журналы могут храниться в защищённом реестре.

Дополнительные сведения о защите целостности источника данных с помощью конфиденциального реестра Azure или демонстрации конфиденциального реестра Azure см. в демонстрации конфиденциального реестра Azure. Вы также можете ознакомиться с недавним блогом о защите аппаратной безопасности Azure с помощью ACL.

Что хранить

Ниже приведены несколько примеров вещей, которые можно хранить в реестре:

• записи, относящиеся к бизнес-транзакциям (например, денежным переводам или изменению конфиденциальных документов);
• обновления доверенных ресурсов (например, основных приложений или контрактов);
• административные изменения и изменения элементов управления (например, предоставление прав доступа);
• Операционные ИТ-события и события безопасности (например, оповещения Microsoft Defender для облака)

Случаи использования

• У меня есть реляционные данные , для которых требуются конечные гарантии целостности данных. Сохраните данные в реестре базы данных SQL Azure и включите конфиденциальный реестр Azure в качестве доверенного дайджеста.
• У меня есть данные BLOB-объектов, которые требуют обеспечения целостности на всех этапах. Сохраните данные в хранилище BLOB и настройте приложение Azure Marketplace, использующее конфиденциальный реестр, для хранения подписей и проверки их подлинности.
• У меня есть системные записи , которые нуждаются в защите целостности с возможностью проверки. Храните свои записи непосредственно в конфиденциальном реестре. Например, все записи разработки отправляются в один экземпляр реестра, а рабочие журналы отправляются в другой экземпляр! Когда приходит время для аудита, делитесь только выборочно операциями бухгалтерского учёта с аудитором.
• У меня есть конфиденциальные данные транзакций , которые требуют конфиденциальности и защиты целостности. Храните записи приложений критически важных конфиденциальных данных непосредственно в конфиденциальном реестре.

Обеспечение целостности данных для источников данных

Базы данных SQL и системы хранения являются основой для корпоративной архитектуры данных. Конфиденциальный реестр улучшает эти системы, обеспечивая дополнительный уровень защиты целостности. Для баз данных SQL ACL может выступать во внешнем реестре, где изменения и транзакции записываются и проверяются, добавляя новое измерение безопасности и доверия.

Для хранилища BLOB-объектов Azure конфиденциальный реестр повышает безопасность, предоставляя неизменяемый журнал операций хранения, который ценен для соответствия нормативным требованиям и архивации, где целостность данных с течением времени имеет решающее значение.

Принцип работы

Конфиденциальный реестр выполняется исключительно на аппаратно защищенных анклавах, строго контролируемой и изолированной среде выполнения, которая предотвращает возможные атаки. Кроме того, конфиденциальный реестр Azure выполняется на минималистичной доверенной вычислительной базе (TCB), что гарантирует, что никто (даже Майкрософт) не имеет прав больше, чем реестр.

Как следует из названия, конфиденциальный реестр Azure использует платформу Конфиденциальных вычислений Azure и Confidential Consortium Framework, чтобы обеспечить решение с высокой целостностью, защищённое от вмешательства и с возможностью обнаружения вмешательства. Один реестр охватывает три или более идентичных экземпляров, каждый из которых выполняется в выделенном, полностью протестированном аппаратном анклаве. Целостность реестра поддерживается через блокчейн на основе консенсуса.

Ключевые особенности

Конфиденциальный реестр предоставляет интерфейс REST, который упрощает интеграцию с новыми или существующими приложениями. Кроме того, пакеты SDK на популярных языках (.NET, Java, Python и JavaScript) предоставляются для интеграции.

Реестр поддерживает идентификатор коллекции для простого управления данными. Группирование данных с помощью идентификаторов коллекций — отличный способ эффективного управления и запроса данных. Он позволяет легко идентифицировать и извлекать определенные наборы данных. Этот метод может значительно улучшить организацию данных, делая такие операции, как поиск и обновление более упрощенным.

Каждая транзакция в реестре содержит связанную квитанцию, которая записывает структуру данных дерева merkle, которая используется для проверки целостности транзакции. Дополнительные сведения о том, как можно проверить квитанции о транзакциях.

Хранилище данных в конфиденциальном реестре

Данные реестра записываются в блоки, которые связаны друг с другом и хранятся в файловом хранилище на основе Azure. Данные транзакций могут храниться в зашифрованном виде (например, тип частного реестра) или в виде обычного текста (например, типа общедоступного реестра) в зависимости от ваших потребностей.

Администраторы могут создавать конфиденциальный реестр и управлять ими с помощью административных API (плоскости управления), например удалять ресурс или перемещать его по группам ресурсов. Реестр предоставляет функциональные API (плоскость данных) для операций CRUD данных, таких как создание, обновление, размещение и получение.

Безопасность Реестра

Конфиденциальный реестр поддерживает учетную запись Microsoft Entra и учетные данные на основе сертификатов для аутентификации (AuthN), а также пользовательскую модель RBAC для авторизации (AuthZ). В отличие от других служб Azure, управление пользователями локализовано. Другими словами, пользователи хранятся и управляются в реестре с помощью функциональных API. Эта конструкция сокращает базу доверенных вычислений (TCB) и устраняет необходимость полагаться на внешние системы авторизации, такие как Azure RBAC.

Конфиденциальный реестр использует протокол TLS 1.3 для установления подключения клиента и обмена данными. Подключение завершается внутри аппаратно защищённых анклавов безопасности (анклавы Intel® SGX), тем самым предотвращая атаку посредника.

Приложения рекомендуется проверить подлинность узлов реестра путем проверки подлинности узлов реестра , чтобы установить доверие перед обменом данными. Этот процесс гарантирует, что узлы реестра являются подлинными и не вредоносными.

Устойчивость и непрерывность бизнес-процессов

Узлы конфиденциального реестра развертываются в зонах доступности Azure (AZ), чтобы обеспечить устойчивость. Сеть может самовосстановляться во время сбоев на уровне зоны. Чтобы обеспечить непрерывность бизнес-процессов, файлы реестра автоматически реплицируются в вторичную учетную запись хранения периодически. При возникновении аварии эти файлы используются для восстановления. Непрерывный мониторинг используется для наблюдения и автоматического запуска процессов восстановления, когда состояние экземпляра снижается ниже заданного порога.

Ограничения

• После создания конфиденциального реестра нельзя изменить тип реестра (частный или общедоступный).
• Удаление конфиденциального реестра является "необратимым", поэтому его данные не подлежат восстановлению.
• Имена для конфиденциальных реестров должны быть глобально уникальными. Реестры с одинаковым именем (независимо от типа) запрещены.

Терминология

Следующие шаги

• Архитектура Конфиденциального реестра Microsoft Azure
• Краткое руководство. Портал Azure
• Краткое руководство. Python
• Краткое руководство. Шаблон Azure Resource Manager (ARM)