Informationen zu vertraulichen virtuellen Azure-Computern
Azure Confidential Computing bietet vertrauliche virtuelle Computer für Mandanten mit hohen Anforderungen an Sicherheit und Vertraulichkeit. Diese VMs bieten einen starken, durch Hardware erzwungenen Schutz, um Ihre Sicherheitsanforderungen zu erfüllen. Sie können vertrauliche VMs für Migrationen verwenden, ohne Änderungen an Ihrem Code vornehmen zu müssen, wobei die Plattform dafür sorgt, dass der Status Ihrer VM weder gelesen noch geändert werden kann.
Wichtig
Der Grad des Schutzes unterscheidet sich je nach Konfiguration und Einstellungen. Beispielsweise kann Microsoft Verschlüsselungsschlüssel ohne zusätzliche Kosten besitzen oder verwalten, um die Benutzerfreundlichkeit zu erhöhen.
Vorteile
Zu den Vorteilen vertraulicher VMs zählen die folgenden:
- Robuste hardwarebasierte Isolation zwischen virtuellen Computern, dem Hypervisor und Hostverwaltungscode
- Anpassbare Nachweisrichtlinien, um die Konformität des Hosts vor der Bereitstellung sicherzustellen
- Cloudbasierte vertrauliche Betriebssystem-Datenträgerverschlüsselung vor dem ersten Start.
- VM-Verschlüsselungsschlüssel, die die Plattform oder optional der Kunde besitzt und verwaltet.
- Sichere Schlüsselfreigabe mit kryptografischer Bindung zwischen dem erfolgreichen Nachweis der Plattform und den Verschlüsselungsschlüsseln der VM
- Eine dedizierte virtuelle TPM-Instanz für den Nachweis und den Schutz von Schlüsseln und Geheimnissen in der VM
- Eine sichere Startfunktion vergleichbar mit dem vertrauenswürdigen Start für Azure-VMs
Vertrauliche Betriebssystem-Datenträgerverschlüsselung
Vertrauliche Azure-VMs bieten ein neues und erweitertes Datenträgerverschlüsselungsschema. Dieses Schema schützt alle kritischen Partitionen des Datenträgers. Außerdem werden Datenträgerverschlüsselungsschlüssel an das TPM des virtuellen Computers gebunden, und der Inhalt des geschützten Datenträgers ist nur für den virtuellen Computer zugänglich. Mit diesen Verschlüsselungsschlüsseln können Azure-Komponenten, darunter auch der Hypervisor und das Hostbetriebssystem, sicher umgangen werden. Ein dedizierter, separater Clouddienst verschlüsselt den Datenträger auch während der Erstellung des virtuellen Computers, um das Angriffspotenzial zu minimieren.
Wenn auf der Computeplattform wichtige Einstellungen für die Isolation Ihres virtuellen Computers fehlen, bestätigt Azure Attestation beim Start nicht die Integrität der Plattform. Stattdessen wird der Start des virtuellen Computers verhindert. Dieses Szenario tritt beispielsweise auf, wenn Sie SEV-SNP nicht aktiviert haben.
Die vertrauliche Betriebssystem-Datenträgerverschlüsselung ist optional, da dieser Prozess dazu führen kann, dass das Erstellen des virtuellen Computers mehr Zeit in Anspruch nimmt. Sie können zwischen folgenden Rollen auswählen:
- Einer vertraulichen VM mit vertraulicher Betriebssystem-Datenträgerverschlüsselung vor der VM-Bereitstellung, die plattformseitig verwaltete Schlüssel (PMK) oder einen kundenseitig verwalteten Schlüssel (CMK) verwendet.
- Einer vertraulichen VM ohne vertrauliche Betriebssystem-Datenträgerverschlüsselung vor der VM-Bereitstellung.
Für weitere Integrität und Schutz bieten vertrauliche VMs standardmäßig den sicheren Start, wenn die vertrauliche Betriebssystem-Datenträgerverschlüsselung ausgewählt ist.
Beim sicheren Start müssen vertrauenswürdige Herausgeber Betriebssystemstartkomponenten signieren (einschließlich Startladeprogramm, Kernel und Kerneltreiber). Alle kompatiblen vertraulichen VM-Images unterstützen den sicheren Start.
Vertrauliche Verschlüsselung des temporären Datenträgers
Sie können den Schutz durch vertrauliche Verschlüsselung von Datenträgern auch auf den temporären Datenträger erweitern. Dies wird durch eine VM-interne Technologie mit symmetrischer Schlüsselverschlüsselung ermöglicht, nachdem der Datenträger an den vertraulichen virtuellen Computer angefügt wurde.
Der temporäre Datenträger stellt einen schnellen, lokalen und kurzfristigen Speicher für Anwendungen und Prozesse zur Verfügung. Er ist lediglich zum Speichern von Daten wie Auslagerungsdateien, Protokolldateien, zwischengespeicherten Daten und andersartigen temporärer Daten vorgesehen. Temporäre Datenträger in vertraulichen virtuellen Computern enthalten die Auslagerungsdatei, die vertrauliche Daten enthalten kann. Ohne Verschlüsselung sind die Daten auf diesen Datenträgern für den Host zugänglich. Nach Aktivierung dieses Features sind die Daten auf den temporären Datenträgern für den Host nicht mehr verfügbar.
Dieses Feature kann über einen Opt-In-Prozess aktiviert werden. Weitere Informationen finden Sie in der Dokumentation.
Unterschiede bei den Verschlüsselungspreisen
Vertrauliche Azure-VMs verwenden sowohl den Betriebssystemdatenträger als auch einen kleinen verschlüsselten VMGS-Datenträger (Virtual Machine Guest State, VMGS) mit mehreren Megabytes. Der VMGS-Datenträger enthält den Sicherheitsstatus der Komponenten des virtuellen Computers. Einige Komponenten umfassen den vTPM- und UEFI-Bootloader. Für den kleinen VMGS-Datenträger fallen möglicherweise monatliche Speicherkosten an.
Ab Juli 2022 fallen für verschlüsselte Betriebssystemdatenträger höhere Kosten an. Weitere Informationen finden Sie im Preisleitfaden für verwaltete Datenträger.
Nachweis und TPM
Vertrauliche Azure-VMs werden erst nach erfolgreichem Nachweis der kritischen Komponenten und Sicherheitseinstellungen der Plattform gestartet. Der Nachweisbericht enthält Folgendes:
- Ein signierter Nachweisbericht
- Plattformstarteinstellungen
- Messungen der Plattformfirmware
- Betriebssystemmessungen
Sie können eine Nachweisanforderung innerhalb eines vertraulichen virtuellen Computers initialisieren, um zu überprüfen, ob Ihre vertraulichen virtuellen Computer eine Hardwareinstanz mit aktivierten AMD SEV-SNP- oder Intel TDX-Prozessoren ausführen. Weitere Informationen finden Sie unter Azure Confidential VM-Gastnachweis.
Vertrauliche Azure-VMs verfügen über ein virtuelles TPM (vTPM) für Azure-VMs. Das vTPM ist eine virtualisierte Version eines Hardware-TPMs und entspricht der TPM 2.0-Spezifikation. Sie können ein vTPM als dedizierten sicheren Tresor für Schlüssel und Messungen verwenden. Vertrauliche VMs verfügen über eine eigene dedizierte vTPM-Instanz, die in einer sicheren Umgebung außerhalb der Reichweite eines virtuellen Computers ausgeführt wird.
Einschränkungen
Für vertrauliche VMs gelten Einschränkungen. Häufig gestellte Fragen finden Sie unter Häufig gestellte Fragen zu vertraulichen VMs.
Unterstützte Größen
Vertrauliche VMs unterstützen die folgenden VM-Größen:
- Universell ohne lokalen Datenträger: DCasv5-Serie, DCesv5-Serie
- Universell mit lokalem Datenträger: DCadsv5-Serie, DCedsv5-Serie
- Arbeitsspeicheroptimiert ohne lokalen Datenträger: ECasv5-Serie, ECesv5-Serie
- Arbeitsspeicheroptimiert mit lokalem Datenträger: ECadsv5-Serie, ECedsv5-Serie
Betriebssystemunterstützung
Vertrauliche VMs unterstützen die folgenden Betriebssystemoptionen:
| Linux | Windows-Client | Windows Server |
|---|---|---|
| Ubuntu | Windows 11 | Windows Server Datacenter |
| 20.04 LTS (nur AMD SEV-SNP) | 22H2 Pro | 2019 Server Core |
| 22.04 LTS | 22H2 Pro ZH-CN | |
| 22H2 Pro N | 2022 Server Core | |
| RHEL | 22H2 Enterprise | 2022 Azure Edition |
| 9.3 (nur AMD SEV-SNP) | 22H2 Enterprise N | 2022 Azure Edition Core |
| 9.3 Preview (nur Intel TDX) | 22H2 Enterprise Multi-session | |
| SUSE (Technische Vorschau) | ||
| 15 SP5 (Intel TDX, AMD SEV-SNP) | ||
| 15 SP5 für SAP (Intel TDX, AMD SEV-SNP) |
Regions
Vertrauliche VMs werden auf spezieller Hardware ausgeführt, die nur in bestimmten VM-Regionen verfügbar ist.
Preise
Die Preise hängen von der Größe Ihrer vertraulichen VM ab. Weitere Informationen finden Sie unter Preise.
Featureunterstützung
Vertrauliche VMs unterstützen Folgendes nicht:
- Azure Batch
- Azure Backup
- Azure Site Recovery
- Azure Dedicated Host
- Microsoft Azure Virtual Machine Scale Sets mit aktivierter vertraulicher Betriebssystem-Datenträgerverschlüsselung
- Eingeschränkte Unterstützung für Azure Compute Gallery
- Freigegebene Datenträger
- Ultra-Datenträger
- Beschleunigter Netzwerkbetrieb
- Livemigration
- Screenshots unter Startdiagnose
Nächste Schritte
Weitere Informationen finden Sie in den häufig gestellten Fragen zu vertraulichen virtuellen Computern.