Azure Gizli Bilişim

Microsoft Cloud for Sovereignty müşterilerin verilerini ve kaynaklarını kendi özel düzenleme, güvenlik ve bağımsızlık gerekliliklerine uygun şekilde yapılandırmalarını ve korumalarını sağlar. Bu süreç, müşteri verilerine müşterinin kontrolü dışındaki tarafların, hatta bulut sağlayıcılarının, yöneticilerin veya kullanıcıların bile erişememesini sağlar. Azure Gizli Bilgi İşlem (ACC) ile Microsoft Cloud for Sovereignty'yi birleştirdiğinizde müşteri iş yüklerine erişim üzerinde kontrol sağlarlar.

Gizli bilgi işlem, gizli bilgi işlemin benimsenmesini tanımlamaya ve hızlandırmaya adanmış bir vakıf olan Gizli Bilgi İşlem Konsorsiyumu (CCC) tarafından tanımlanan bir endüstri terimidir. CCC gizli bilgi işlemi donanım tabanlı bir Güvenilir Yürütme Ortamında (TEE) hesaplamalar gerçekleştirerek kullanımdaki verilerin korunması olarak tanımlar.

TEE, yalnızca yetkili kodun yürütülmesini zorunlu kılan bir ortamdır. Bu ortamın dışındaki herhangi bir kod, TEE'deki hiçbir veriyi okuyamaz veya bunlara müdahale edemez. Gizli bilgi işlem tehdidi modeli, bir bulut sağlayıcı operatörünün ve kiracının etki alanındaki diğer aktörlerin yürütülürken kod ve verilere erişme yeteneğini ortadan kaldırmayı veya azaltmayı amaçlamaktadır.

Atıl durumdaki ve aktarım halindeki veri şifrelemeyle birlikte kullanıldığında, gizli bilgi işlem, şifrelemenin en büyük engelini, yani kullanım sırasında şifrelemeyi ortadan kaldırır. Güvenli bir genel bulut platformunda hassas veya yüksek düzeyde düzenlemeye tabi veri kümelerini ve uygulama iş yüklerini korur. Gizli bilgi işlem genel veri korumasının ötesine geçer. TEE'ler ayrıca tescilli iş mantığının, analiz işlevlerinin, makine öğrenimi algoritmalarının veya uygulamaların tamamının korunmasına yardımcı olur.

ACC, bilgi işlem bulutu altyapısının çeşitli yönleri genelinde güven ihtiyacını azaltır. Azure gizli bilgi işlem, hem ana bilgisayar işletim sistemi çekirdeği ve hipervizör gibi sistem süreçlerine hem de VM yöneticisini ve Yönetici ana bilgisayarını içeren insan operatörlerine olan güveni en aza indirir. Microsoft Veri Şifreleme gibi kullanımda olmayan verileri ve TLS veya IPsec gibi aktarım halindeki verileri koruyan mevcut çözümlerle birlikte, belleğin kendisi şifreli kaldığı için veriler artık kullanım sırasında korunuyor, yani veri yaşam döngüsü boyunca tam koruma sağlanıyor.

Microsoft Cloud for Sovereignty'in korumaları ve uyumluluk uygulamalarıyla ACC, Azure Genel Bulut platformunun ölçeklenebilirliği, esnekliği, kullanılabilirliği ve güçlü hizmetleri kapsamında bağımsız, hassas veya yüksek düzeyde düzenlemeye tabi veriler ve iş yükleri için gelişmiş koruma sağlar. Azure Gizli Bilgi İşlemin avantajları hakkında daha fazla bilgi için bkz. Azure gizli bilgi işlem ürünleri.

Azure Gizli Bilgi İşlem'de bağımsızlık desteklenir

Veri bağımsızlığı, müşterilerin VM'ler gibi müşteri kaynaklarını benzersiz bir şekilde kontrol etmesini ve diğerlerinin bu kaynaklara erişememesini sağlar. ACC, donanımdan uygulamaya kadar tüm güven kökünün gizliliğini sağlayarak müşterilerin veri bağımsızlığı elde etmelerine yardımcı olur. Azure DCasv5 ve DCadsv5 serisi gizli sanal makineler (CVM'ler) bellekteki verileri diğer VM'lerden, hipervizörden ve ana bilgisayar yönetim kodundan koruyan donanım yalıtımlı VM'lerdir. VM ana bilgisayarına yönetim erişimi olan Azure mühendisleri bile bellekteki müşteri verilerine erişemiyor. Bu seri aynı zamanda farklı anahtar yönetimi çözümleriyle VM provizyonundan önce işletim sistemi diskinin ön şifrelemesini de sunar.

Bağımsızlık aşağıdakiler için gizli bilgi işlem ortamları sağlanarak her düzeyde artırılır:

• Microsoft Azure Onaylama, birden fazla TEE'nin güvenilirliğini doğrulayan ve TEE'lerin içinde çalışan ikili dosyaların bütünlüğünü doğrulayan bir uzaktan doğrulama hizmetidir. Güvenin temel kökeninin bu şekilde doğrulanması, verilerin bağımsızlığını sağlamak için gereklidir.
• Güvenilir lansman önyükleme kitlerine, korsanlık amaçlı programlara ve çekirdek düzeyindeki kötü amaçlı yazılımlara karşı koruma sağlayan, güvenli önyükleme, sanal güvenilir platform modülü ve önyükleme bütünlüğü izleme gibi güçlendirilmiş güvenlik özellikleri sunar.
• Güvenilir Donanım Kimlik Yönetimi, Azure'da bulunan tüm TEE'ler için sertifikaların önbellek yönetimini yöneten ve kanıtlama çözümleri için minimum bir temel oluşturmak amacıyla Güvenilir Bilgi İşlem Tabanı (TCB) bilgileri sağlayan bir hizmettir.

Birçok müşteri, kapsayıcılar tabanlı uygulamalarını, depolama ve ağ bileşenlerini yönetmek için Azure Kubernetes Hizmeti'ni (AKS) kullanıyor. Bağımsızlık, gizlilik ve güvenlik gereksinimlerinin karşılanmasına yardımcı olmak için müşteriler AKS'de çalışan Azure App-enclave uyumlu kapsayıcıları kullanabilirler. AKS'deki gizli bilgi işlem düğümleri, her kapsayıcı uygulaması arasındaki düğümlerde izole edilmiş yerleşim ortamları oluşturmak için Intel SGX'i kullanır. Azure ayrıca AMD SEV-SNP VM bileşenleriyle AKS'de gizli VM düğüm havuzu desteğinin ön izlemesini yapıyor. AKS, Kubernetes'te AMD SEV-SNP düğüm havuzlarıyla gizli VM'yi etkinleştirmeyi pazarlayan ilk şirkettir ve Azure'un güçlendirilmiş güvenlik profiline derinlemesine savunma ekler.

Gizli sır yönetimi

Azure Key Vault (AKV) Yönetilen HSM FIPS 140-2 Düzey 3 doğrulanmış Donanım Güvenliği Modüllerini (HSM) kullanarak uygulama şifreleme anahtarlarını koruyan, tam olarak yönetilen, yüksek düzeyde kullanılabilir, tek kiracılı, standartlarla uyumlu bir bulut hizmetidir. AKV mHSM, Azure Key Vault Standard ve Premium ile aynı API'leri kullanır ve Müşteri Tarafından Yönetilen Anahtarlarla hizmet şifrelemesini etkinleştirmek için çoğu Azure hizmetiyle entegre olur. Donanım koruması, şifreleme anahtarlarına yalnızca müşterinin erişebilmesini sağlar. Azure mühendisleri bile bunlara erişemez.

Güvenli Anahtar Sürümü (SKR) Azure Key Vault (AKV) Yönetilen HSM ve Premium teklifinin daha fazla erişim kontrolü sağlayan bir işlevidir. Güvenli anahtar serbest bırakma, HSM korumalı bir anahtarın AKV'den güvenli bir yerleşim alanı, VM tabanlı TEE'ler vb. gibi onaylanmış bir Güvenilir Yürütme Ortamına (TEE) serbest bırakılmasına olanak tanır. SKR, veri şifre çözme/şifreleme anahtarlarınıza başka bir koruma katmanı ekler. Anahtar malzemeye erişim sağlamak için bilinen yapılandırmaya sahip bir uygulama + TEE çalışma zamanı ortamını hedefleyebilir. Dışa aktarılabilir anahtar oluşturma sırasında tanımlanan SKR ilkeleri, bu anahtarlara erişimi yönetir.

Gizli analiz hizmetleri

Azure'un kamu sektörü ve düzenlemeye tabi sektör müşterilerinin bağımsızlık, gizlilik ve güvenlik gereksinimlerine uyum sağlamalarına yardımcı olacak gelişmiş analiz özelliklerine acil ihtiyaçları vardır. Microsoft Cloud for Sovereignty bu müşterilerin aşağıdaki gibi hizmetleri kullanmasına yardımcı olur:

• Azure SQL'de güvenli alanlarla her zaman Şifreleme hizmeti sayesinde müşteriler, hassas verilerin kötü amaçlı yazılımlardan ve yüksek ayrıcalıklı yetkisiz kullanıcılardan korunmasına yardımcı olmak için SQL sorgularını doğrudan bir TEE içerisinde çalıştırabilir.
• Gizli Bilgi İşlem VM ile Azure Databricks, müşterilerin analizlerini, makine öğrenimi ve diğer iş yüklerini gizliliklerini koruma yolunda çalıştırmalarına yardımcı olabilir.
• Nesnelerin İnterneti'nin (IoT) hızlı büyümesi, IoT Edge cihazlarının müşterinin coğrafi kontrolü dışında olması ve kötü aktörlerin bunlara fiziksel olarak erişebilmesi nedeniyle yeni bağımsızlık risklerine yol açıyor ve bu da bu cihazları yüksek risk altına sokuyor. Gizli IoT Edge bir IoT cihazı tarafından yakalanan ve içinde saklanan verilere erişimi koruyarak, kurcalama veya güvenliği ihlal etme riskini azaltarak uçta güven ve bütünlük sağlar.
• Müşteriler hassas veri kayıtlarını yönetmek için Microsoft Azure Gizli Defter (ACL) kullanmaya teşvik edilir. ACL, yoğun şekilde izlenen ve izole edilmiş bir çalışma zamanı ortamında, yalnızca donanım destekli güvenli alanlar üzerinde çalışır; bu da hassas veri kayıtlarını korur ve bunları değiştirilemez hale getirir.

Microsoft Cloud for Sovereignty içinde Gizli Bilgi İşlemi Benimseyin

Microsoft Cloud for Sovereignty müşterileri, Microsoft'un gizli bilgi işlem özelliklerinin uyumlu ve bağımsız bir ortamda benimsenmesini kolaylaştırmak için Sovereign Giriş Bölgesi'ni kullanabilir.

Sovereign Giriş Bölgesine (SLZ) ACC'yi kullanmaya başlama konusunda rehberlik için bkz. GitHub'da SLZ.