обзор конфиденциальных вычислений Центры событий Azure

Центры событий Azure Dedicated поддерживает конфиденциальные вычисления для защиты используемых данных событий. Конфиденциальные вычисления используют доверенные среды выполнения на основе оборудования (TEEs) для обеспечения расширенной защиты данных, предотвращая несанкционированный доступ к событиям во время обработки.

При включении конфиденциальных вычислений в выделенном пространстве имен Центров событий ваши данные получают преимущества аппаратной изоляции в дополнение к существующему шифрованию, как при хранении, так и при передаче. Эта возможность помогает организациям, обрабатывающим конфиденциальные или регулируемые данные, отвечать строгим требованиям к безопасности и соответствию требованиям.

Benefits

Конфиденциальные вычисления для Центры событий Azure предоставляют следующие преимущества:

• Никакие изменения кода не требуются: включите конфиденциальные вычисления на уровне пространства имен без изменения шаблонов приложений или обработки событий.
• Защита в глубину: объединяет существующие функции безопасности Центров событий, такие как ключи, управляемые клиентом, частные конечные точки и управляемые удостоверения.
• Защита потоковой передачи событий. Центры событий получают преимущества изоляции на уровне оборудования во время обработки событий.

Региональная доступность

Конфиденциальные вычисления для Центры событий Azure доступны в выборе регионов.

Ограничения

Следующие ограничения применяются к конфиденциальным вычислениям для Центры событий Azure:

• Конфиденциальные вычисления доступны только на выделенном уровне.
• Во время создания пространства имен необходимо включить конфиденциальные вычисления. Его нельзя включить в существующих пространствах имен.

Включение конфиденциальных вычислений с помощью портала Azure

1. Перейдите на портал Azure и откройте страницу создания пространства имен Центров событий.

2. Выберите «Выделенный» для ценовой категории.

3. Выберите поддерживаемый регион в качестве расположения.

4. Для конфиденциальных вычислений выберите "Включено".

   

5. Заполните оставшиеся обязательные поля для конфигурации пространства имен.

6. Выберите Просмотр + создание, а затем выберите Создать, чтобы развернуть пространство имен с включенной конфиденциальной обработкой.

Включение конфиденциальных вычислений с помощью шаблона

Вы можете включить конфиденциальные вычисления программным способом, включив platformCapabilities свойство в шаблон развертывания.

Шаг 1. Создание выделенного кластера с конфиденциальными вычислениями

@description('Name of the Event Hubs Dedicated cluster')
param clusterName string

@description('Location for the cluster. Must be a region that supports confidential computing.')
@allowed([
  'koreacentral'
  'uaenorth'
])
param location string = 'uaenorth'

@description('Capacity units for the Dedicated cluster')
@minValue(1)
param capacity int = 1

resource eventHubCluster 'Microsoft.EventHub/clusters@2025-05-01-preview' = {
  name: clusterName
  location: location
  sku: {
    name: 'Dedicated'
    capacity: capacity
  }
  properties: {
    supportsScaling: true
    platformCapabilities: {
      confidentialCompute: {
        mode: 'Enabled'
      }
    }
  }
}

output clusterArmId string = eventHubCluster.id

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "clusterName": {
            "type": "string",
            "metadata": {
                "description": "Name of the Event Hubs Dedicated cluster"
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "uaenorth",
            "allowedValues": [
                "koreacentral",
                "uaenorth"
            ],
            "metadata": {
                "description": "Location for the cluster. Must be a region that supports confidential computing."
            }
        },
        "capacity": {
            "type": "int",
            "defaultValue": 1,
            "minValue": 1,
            "metadata": {
                "description": "Capacity units for the Dedicated cluster"
            }
        }
    },
    "resources": [
        {
            "type": "Microsoft.EventHub/clusters",
            "apiVersion": "2025-05-01-preview",
            "name": "[parameters('clusterName')]",
            "location": "[parameters('location')]",
            "sku": {
                "name": "Dedicated",
                "capacity": "[parameters('capacity')]"
            },
            "properties": {
                "supportsScaling": true,
                "platformCapabilities": {
                    "confidentialCompute": {
                        "mode": "Enabled"
                    }
                }
            }
        }
    ],
    "outputs": {
        "clusterArmId": {
            "type": "string",
            "value": "[resourceId('Microsoft.EventHub/clusters', parameters('clusterName'))]"
        }
    }
}

Шаг 2. Создание пространства имен в выделенном кластере

После создания кластера создайте пространство имен Центров событий внутри него, указав идентификатор ресурса кластера.

@description('Name of the Event Hubs namespace')
param namespaceName string

@description('Location for the namespace. Must match the cluster location.')
param location string

@description('Resource ID of the Dedicated cluster')
param clusterArmId string

resource eventHubNamespace 'Microsoft.EventHub/namespaces@2025-05-01-preview' = {
  name: namespaceName
  location: location
  sku: {
    name: 'Standard'
    tier: 'Standard'
    capacity: 1
  }
  properties: {
    clusterArmId: clusterArmId
  }
}

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "namespaceName": {
            "type": "string",
            "metadata": {
                "description": "Name of the Event Hubs namespace"
            }
        },
        "location": {
            "type": "string",
            "metadata": {
                "description": "Location for the namespace. Must match the cluster location."
            }
        },
        "clusterArmId": {
            "type": "string",
            "metadata": {
                "description": "Resource ID of the Dedicated cluster"
            }
        }
    },
    "resources": [
        {
            "type": "Microsoft.EventHub/namespaces",
            "apiVersion": "2025-05-01-preview",
            "name": "[parameters('namespaceName')]",
            "location": "[parameters('location')]",
            "sku": {
                "name": "Standard",
                "tier": "Standard",
                "capacity": 1
            },
            "properties": {
                "clusterArmId": "[parameters('clusterArmId')]"
            }
        }
    ]
}

Объединение конфиденциальных вычислений с ключами, управляемыми клиентом

Для максимальной защиты данных объедините конфиденциальные вычисления с ключами, управляемыми клиентом , поддерживаемыми управляемым HSM в Azure Key Vault. Это сочетание гарантирует следующее:

• Ваши данные защищены конфиденциальными вычислениями.
• Ключи шифрования хранятся в проверенных аппаратных модулях безопасности.
• Вы сохраняете полный контроль над ключами шифрования.

Использование политики Azure для принудительного применения конфиденциальных вычислений

Создайте определение Политика Azure, чтобы обеспечить работу в режиме конфиденциальных вычислений для всех выделенных кластеров Event Hubs в вашей организации. Такой подход обеспечивает согласованную конфигурацию безопасности в среде Azure.

Следующее определение политики запрещает или проверяет создание выделенных кластеров, которые не имеют конфиденциальных вычислений:

{
    "mode": "All",
    "parameters": {
        "effect": {
            "type": "String",
            "metadata": {
                "displayName": "Effect",
                "description": "Deny or Audit"
            },
            "allowedValues": [
                "Deny",
                "Audit"
            ],
            "defaultValue": "Deny"
        }
    },
    "policyRule": {
        "if": {
            "allOf": [
                {
                    "field": "type",
                    "equals": "Microsoft.EventHub/clusters"
                },
                {
                    "not": {
                        "field": "Microsoft.EventHub/clusters/platformCapabilities.confidentialCompute.mode",
                        "equals": "Enabled"
                    }
                }
            ]
        },
        "then": {
            "effect": "[parameters('effect')]"
        }
    }
}

Чтобы использовать эту политику, создайте определение настраиваемой политики в политике Azure и назначьте ее соответствующей области, например группе управления, подписке или группе ресурсов.

Связанный контент

• Что такое конфиденциальные вычисления?
• Продукты конфиденциальных вычислений Azure
• Варианты использования конфиденциальных вычислений
• Настройка управляемых клиентом ключей для Центры событий Azure
• Центры событий Azure выделенный
• Управляемый HSM в Azure Key Vault