Сведения о Конфиденциальном реестре Azure

Azure Confidential Ledger — одна из рабочих нагрузок платформы Confidential Computing Ledger. Это реестр, которым управляет клиент и в который можно только добавлять записи; вы создаете его в своей подписке и напрямую записываете в него данные. Azure Confidential Ledger предоставляет проверяемое хранилище данных с уникальными преимуществами с точки зрения целостности данных, включая неизменяемость, записи, позволяющие обнаружить несанкционированное изменение, и операции только добавления. Он объединяет криптографические методы и технологии блокчейна, созданные на основе общей Azure платформы конфиденциального реестра.

Эти функции идеально подходят, если критически важные записи метаданных должны иметь защиту целостности, например для соответствия нормативным требованиям и архивации. Данные, хранящиеся в конфиденциальном реестре Azure, сохраняют повышенную конфиденциальность и защищены от инсайдерских угроз внутри организации, включая самого поставщика облачных услуг. Это также полезно в качестве репозитория следов аудита или записей, которые необходимо защитить и выборочно предоставить доступ определенным лицам (например, аудиторам).

Azure Confidential Ledger помогает защитить существующие базы данных и приложения, выступая в качестве достоверного источника данных на определенный момент времени для дайджестов и хэшей. Каждая транзакция предоставляет криптографические доказательства в сценариях проверки. Например, данные Azure SQL можно дополнительно защитить с точки зрения целостности, при этом дайджесты таблиц или журналы можно хранить в Azure Confidential Ledger.

Дополнительные сведения о защите целостности источника данных с помощью конфиденциального реестра Azure можно узнать, а также посмотреть демонстрацию конфиденциального реестра Azure. Вы также можете ознакомиться с недавним блогом о защите оборудования Azure с помощью конфиденциального реестра Azure.

Что хранить

Ниже приведены несколько примеров вещей, которые можно хранить в экземпляре конфиденциального реестра Azure:

• записи, относящиеся к бизнес-транзакциям (например, денежным переводам или изменению конфиденциальных документов);
• обновления доверенных ресурсов (например, основных приложений или контрактов);
• административные изменения и изменения элементов управления (например, предоставление прав доступа);
• Оперативные ИТ и события безопасности (например, оповещения Microsoft Defender для облака).

Случаи использования

• Если у вас есть реляционные данные, для которых требуются сквозные гарантии целостности данных, храните их с помощью функции ledger в База данных SQL Azure и включите Azure Confidential Ledger в качестве доверенного хранилища дайджестов.
• У меня есть большие двоичные данные (BLOB), для которых требуется сквозной контроль целостности: храните данные в Хранилище BLOB-объектов Azure и настройте приложение Azure Marketplace на базе Azure Confidential Ledger для хранения подписей и проверки по ним.
• У меня есть системные записи, которые нуждаются в защите целостности с возможностью проверки: храните свои записи в Azure конфиденциальном реестре напрямую. Например, все записи разработки отправляются в один экземпляр, а журналы рабочей среды отправляются в другой экземпляр. Если вы хотите провести аудит, предоставляйте аудитору только выбранные транзакции.
• У меня есть конфиденциальные транзакционные данные, которые требуют защиты конфиденциальности и целостности: храните записи приложений для ваших критически важных конфиденциальных данных непосредственно в Azure Confidential Ledger.

Включение целостности данных для источников данных

Базы данных SQL и системы хранения являются основой для корпоративной архитектуры данных. Azure конфиденциальный реестр улучшает эти системы, обеспечивая дополнительный уровень защиты целостности. Для баз данных SQL, конфиденциальный реестр Azure может выступать в качестве внешнего реестра, в котором изменения и транзакции записываются и проверяются, что добавляет новый уровень безопасности и доверия.

Для Хранилище BLOB-объектов Azure конфиденциальный реестр повышает безопасность, предоставляя неизменяемый журнал операций хранения. Этот журнал ценен для соответствия нормативным требованиям и архивации, когда целостность данных с течением времени имеет решающее значение.

Ключевые особенности

Azure конфиденциальный реестр предоставляет интерфейс REST, что упрощает интеграцию с новыми или существующими приложениями. Пакеты SDK на популярных языках, таких как .NET, Java, Python и JavaScript, помогают с интеграцией.

Azure конфиденциальный реестр поддерживает идентификатор коллекции для простого управления данными. Группирование данных с помощью идентификаторов коллекций — отличный способ эффективного управления данными и запроса данных. Это позволяет легко идентифицировать и извлекать определенные наборы данных. Этот метод может значительно улучшить организацию данных и сделать такие операции, как поиск и обновление более упрощенным.

Каждая транзакция в реестре содержит связанную квитанцию, которая записывает структуру данных дерева Merkle, которая используется для проверки целостности транзакции. Узнайте больше о том, как проверить квитанции о транзакциях.

Основы конфиденциальных вычислений

Конфиденциальный реестр Azure работает исключительно в защищённых анклавах с аппаратной поддержкой. Эта сильно отслеживаемая и изолированная среда выполнения сохраняет потенциальные атаки в страхе. Служба работает на минимальной доверенной вычислительной базе (TCB), которая гарантирует, что никто — даже Microsoft — не стоит "над" журналом.

Как следует из названия, сервис использует платформу Azure Confidential Computing и Confidential Consortium Framework, чтобы обеспечить решение с высоким уровнем целостности, защищённое от несанкционированного вмешательства и позволяющее выявлять факты такого вмешательства. Один реестр охватывает три или более идентичных экземпляров. Каждый экземпляр выполняется в выделенном, полностью подтвержденном аппаратном анклаве. Целостность каждого реестра поддерживается с помощью блокчейна на основе консенсуса.

Эти основы конфиденциальных вычислений являются общими с другой рабочей нагрузкой реестра Confidential Computing Ledger — реестром прозрачности подписей Microsoft. Подробное представление базовых компонентов см. в разделе "Архитектура".

Хранение данных

Данные конфиденциального реестра Azure записываются в виде блоков, которые связываются в цепочку и хранятся в файловом хранилище Azure. Данные транзакций могут храниться в зашифрованном виде (например, тип частного реестра) или в виде обычного текста (например, типа общедоступного реестра) в зависимости от ваших потребностей.

Администраторы могут создавать и управлять Azure экземплярами конфиденциального реестра с помощью административных API (плоскости управления), например для удаления ресурса или перемещения по группам ресурсов. Azure конфиденциальный реестр предоставляет функциональные API (плоскость данных) для таких операций данных, как CREATE, UPDATE, PUT и GET.

Безопасность Реестра

Azure Confidential Ledger поддерживает аутентификацию с помощью Microsoft Entra ID и учетных данных на основе сертификатов, а для авторизации — настраиваемое управление доступом на основе ролей (RBAC). В отличие от других служб Azure, управление пользователями локализовано. Другими словами, пользователи хранятся и управляются в реестре с помощью функциональных API. Эта конструкция сокращает TCB и устраняет необходимость полагаться на внешние системы авторизации, такие как Azure RBAC.

Azure конфиденциальный реестр использует протокол TLS 1.3 для установления подключений клиентов и обмена данными. Соединение завершается внутри аппаратно защищённых анклавов безопасности (анклавов Intel SGX), что предотвращает атаки типа «человек посередине».

Приложения рекомендуется проверить подлинность узлов реестра путем проверки подлинности узлов реестра , чтобы установить доверие перед обменом данными. Этот процесс гарантирует, что узлы реестра являются подлинными и не вредоносными.

Дополнительные рекомендации по безопасности, применимые к обоим типам рабочих нагрузок Confidential Computing Ledger, см. в Secure Confidential Computing Ledger.

Устойчивость и непрерывность бизнес-процессов

Узлы Azure Confidential Ledger развертываются в разных зонах доступности Azure для обеспечения отказоустойчивости. Сеть может самовосстановляться во время сбоев на уровне зоны. Чтобы обеспечить непрерывность бизнес-процессов, файлы в экземпляре реестра автоматически реплицируются в вторичную учетную запись хранения периодически. При возникновении аварии эти файлы используются для восстановления. Непрерывный мониторинг используется для наблюдения и автоматического запуска процессов восстановления, когда работоспособность экземпляра реестра ниже указанного порогового значения.

Данные автоматически реплицируются в региональные пары Azure для аварийного восстановления. Дополнительные сведения о местонахождении данных см. в разделе "Расположение данных" для конфиденциального реестра Azure.

Ограничения

Ограничения

• После создания экземпляра конфиденциального реестра Azure нельзя изменить тип реестра (частный или общедоступный).
• Удаление конфиденциального реестра Azure приводит к безвозвратному удалению, поэтому после удаления восстановить данные невозможно.
• Имена Azure Confidential Ledger должны быть уникальными в глобальном масштабе. Реестры с тем же именем не допускаются, независимо от их типа.

Терминология

Связанный контент

• Архитектура
• Быстрый старт Azure Portal
• Краткое руководство по Python
• Используйте обозреватель реестра портала Azure для проверки транзакций
• Проверка данных реестра с помощью обозревателя реестра (вне сети)
• Защищённый реестр конфиденциальных вычислений
• О реестре прозрачности подписывания Microsoft