Empfehlungen für die Datenverschlüsselung

Artikel
02/05/2024

Gilt für die Empfehlung Well-Architected Framework-Sicherheitsprüfliste:

SE:07	Verschlüsseln Sie Daten mithilfe moderner Branchenstandardmethoden, um Vertraulichkeit und Integrität zu schützen. Ausrichten des Verschlüsselungsbereichs an Datenklassifizierungen; Priorisieren sie native Plattformverschlüsselungsmethoden.

Wenn Ihre Daten nicht geschützt sind, können sie böswillig geändert werden, was zu Einem Verlust der Integrität und Vertraulichkeit führt.

In diesem Leitfaden werden die Empfehlungen zum Verschlüsseln und Schützen Ihrer Daten beschrieben. Verschlüsselung ist der Prozess, bei dem Kryptografiealgorithmen verwendet werden, um die Daten unlesbar zu machen und die Daten mit einem Schlüssel zu sperren. Im verschlüsselten Zustand können Daten nicht entschlüsselt werden. Sie kann nur mithilfe eines Schlüssels entschlüsselt werden, der mit dem Verschlüsselungsschlüssel gekoppelt ist.

Definitionen

Begriffe	Definition
Zertifikate	Digitale Dateien, die die öffentlichen Schlüssel für die Ver- oder Entschlüsselung enthalten.
Cipher Suite	Eine Reihe von Algorithmen, die zum Verschlüsseln und Entschlüsseln von Informationen verwendet werden, um eine Netzwerkverbindung über Transport Layer Security (TLS) zu schützen.
Confidential Computing	Confidential Computing ist der Schutz der verwendeten Daten, indem Berechnungen in einer hardwarebasierten, bestätigten vertrauenswürdigen Ausführungsumgebung durchgeführt werden.
Entschlüsselung	Der Prozess, bei dem verschlüsselte Daten mit einem geheimen Code entsperrt werden.
Doppelte Verschlüsselung	Der Prozess der Verschlüsselung von Daten mithilfe von zwei oder mehr unabhängigen Verschlüsselungsebenen.
Verschlüsselung	Der Prozess, mit dem Daten unlesbar gemacht und mit einem geheimen Code gesperrt werden.
Hashing	Der Prozess der Transformation von Daten in Text oder Zahlen mit der Absicht, Informationen zu verbergen.
Schlüssel	Ein geheimer Code, der zum Sperren oder Entsperren verschlüsselter Daten verwendet wird.
Signatur	Ein verschlüsselter Stempel der Authentifizierung für Daten.
Signieren	Der Prozess der Überprüfung der Authentizität von Daten mithilfe einer Signatur.
X.509	Ein Standard, der das Format von Zertifikaten mit öffentlichem Schlüssel definiert.

Wichtige Entwurfsstrategien

Organisationsmandate oder gesetzliche Anforderungen können Verschlüsselungsmechanismen erzwingen. Beispielsweise kann es erforderlich sein, dass Daten nur in der ausgewählten Region verbleiben dürfen, und Kopien der Daten in dieser Region verwaltet werden.

Diese Anforderungen sind häufig das Mindestmaß. Streben Sie nach einem höheren Schutzniveau. Sie sind dafür verantwortlich, Vertraulichkeitslecks und Manipulationen vertraulicher Daten zu verhindern, unabhängig davon, ob es sich um externe Benutzerdaten oder Mitarbeiterdaten handelt.

Verschlüsselungsszenarien

Verschlüsselungsmechanismen müssen die Daten wahrscheinlich in drei Phasen schützen:

Ruhende Daten sind alle Informationen, die in Speicherobjekten gespeichert werden.

Ein Beispiel für das Schützen ruhender Daten ist die Verwendung von BitLocker zum Verschlüsseln von Daten, die im Speicher auf einem Datenträger gespeichert sind.
Übertragene Daten sind Informationen, die zwischen Komponenten, Speicherorten oder Programmen übertragen werden.

Ein Beispiel für das Schützen von Daten während der Übertragung ist die Verschlüsselung von Daten mit TLS, sodass Pakete, die über öffentliche und private Netzwerke verschoben werden, sicher sind.
Bei den verwendeten Daten handelt es sich um Daten, an denen aktiv im Arbeitsspeicher gearbeitet wird.

Ein Beispiel für das Schützen der verwendeten Daten ist die Verschlüsselung mit Confidential Computing, um Daten während der Verarbeitung zu schützen.

Die oben genannten Optionen schließen sich nicht gegenseitig aus. Sie werden häufig zusammen im Kontext der gesamten Lösung verwendet. Eine Phase kann als ausgleichende Steuerung fungieren. Beispielsweise müssen Sie Möglicherweise Daten isolieren, um Manipulationen beim Lesen von Daten aus dem Arbeitsspeicher zu verhindern.

Verschlüsselungsbereich

Klassifizieren Sie Daten anhand ihres Zwecks und ihrer Vertraulichkeitsstufe , um zu bestimmen, welche Daten verschlüsselt werden müssen. Legen Sie für Daten, die verschlüsselt werden sollen, die erforderliche Schutzebene fest. Benötigen Sie eine End-to-End-TLS-Verschlüsselung für alle übertragenen Daten? Welche Azure-Features können Für ruhende Daten Ihre Anforderungen erfüllen? Müssen Sie Daten an jedem Speicherpunkt doppelt verschlüsseln? Wie implementieren Sie Informationsschutz?

Es ist wichtig, ihre Verschlüsselungsentscheidungen auszugleichen, da es erhebliche Kompromisse gibt.

Kompromiss: Jeder Verschlüsselungshops kann zu Einer Leistungslatenz führen. Betriebskomplexitäten können im Zusammenhang mit der Problembehandlung und der Beobachtbarkeit auftreten. Die Wiederherstellung kann eine Herausforderung sein.

Diese Kompromisse können Sie festlegen. Erwarten Sie Kompromisse bei Daten, die als vertraulich eingestuft werden. Anforderungen können sogar die Kompromisse bestimmen, z. B. wenn ein bestimmter Datentyp verschlüsselt und innerhalb bestimmter Schwellenwerte gespeichert werden muss.

Es gibt Fälle, in denen die Verschlüsselung aufgrund von technischen Einschränkungen, Investitionen oder anderen Gründen nicht möglich ist. Stellen Sie sicher, dass diese Gründe klar, gültig und dokumentiert sind.

Starke Verschlüsselungsmechanismen sollten nicht Ihre einzige Form der Verteidigung sein. Implementieren Sie Prozesse zur Verhinderung von Datendiebstahl, geeignete Testmethoden und Anomalieerkennung.

Informationen zur Klassifizierung finden Sie unter Empfehlungen zur Datenklassifizierung.

Native Verschlüsselungsmechanismen

Die meisten Azure-Dienste bieten eine Basisebene der Verschlüsselung. Erkunden Sie die von der Plattform bereitgestellten Verschlüsselungsoptionen.

Es wird dringend empfohlen, Plattformfunktionen nicht zu deaktivieren, um Ihre eigenen Funktionen zu entwickeln. Plattformverschlüsselungsfeatures verwenden moderne Branchenstandards, werden von Experten entwickelt und sind umfassend getestet.

Wenn Sie in seltenen Fällen die von der Plattform bereitgestellte Verschlüsselung ersetzen müssen, bewerten Sie die Vor- und Nachteile und verwenden Sie kryptografische Algorithmen nach Branchenstandard.

Entwickler sollten Kryptografie-APIs verwenden, die in das Betriebssystem integriert sind, anstatt Kryptografiebibliotheken ohne Plattform. Befolgen Sie für .NET das .NET-Kryptografiemodell.

Verschlüsselungsschlüssel

Standardmäßig verwenden Azure-Dienste von Microsoft verwaltete Verschlüsselungsschlüssel, um Daten zu verschlüsseln und zu entschlüsseln. Azure ist für die Schlüsselverwaltung verantwortlich.

Sie können sich für kundenseitig verwaltete Schlüssel entscheiden. Azure verwendet weiterhin Ihre Schlüssel, aber Sie sind für Schlüsselvorgänge verantwortlich. Sie haben die Flexibilität, Schlüssel bei Bedarf zu ändern . Die Entschlüsselung ist ein überzeugender Grund für die Verwendung von kundenseitig verwalteten Schlüsseln.

Sie sollten eine starke Verschlüsselung mit einer starken Entschlüsselung koppeln. Aus Sicherheitssicht ist der Schutz eines Entschlüsselungsschlüssels wichtig, da rotation eine gängige Möglichkeit ist, den Strahlradius zu steuern, wenn ein Schlüssel kompromittiert wird. Überwachen sie den Zugriff, um anomale Zugriffe und Aktivitäten zu erkennen.

Speichern Sie Schlüssel getrennt von verschlüsselten Daten. Diese Entkopplung trägt dazu bei, sicherzustellen, dass sich die Kompromittierung einer Entität nicht auf die andere auswirkt. Wenn Sie kundenseitig verwaltete Schlüssel verwenden, speichern Sie diese in einem Schlüsselspeicher. Speichern Sie hochsensible Daten in einem verwalteten Hardwaresicherheitsmodul (HSM).

Beide Speicher werden mit identitätsbasiertem Zugriff geschützt. Mit diesem Feature können Sie den Zugriff auf die Plattform verweigern.

Standardverschlüsselungsalgorithmen

Verwenden Sie Kryptografiealgorithmen, die gut etabliert sind und branchenüblich sind, anstatt benutzerdefinierte Implementierungen zu erstellen.

Industriestandards für Algorithmen erfordern Verschlüsselungsschemas ein bestimmtes Maß an Entropie. Die Entropiequellen werden während der Verschlüsselung injiziert. Entropie macht den Algorithmus stark und erschwert es einem Angreifer, Informationen zu extrahieren. Bestimmen Sie die tolerierbaren Schwellenwerte der Entropie. Verschlüsselungsverfahren sind prozessorintensiv. Finden Sie das richtige Gleichgewicht, damit Sie die Computezyklen, die für die Verschlüsselung aufgewendet werden, im Verhältnis zu den Allgemeinen Leistungszielen der Computeanforderung maximieren.

Kompromiss: Wenn Sie einen Algorithmus auswählen, der sehr komplex ist oder mehr als eine vernünftige Menge an Entropie einschleust, beeinträchtigt dies die Leistung Ihres Systems.

Hashes und Prüfsummen

In der Regel ist Hashing eine Fehlererkennungsmethode. Sie können auch Hashing für die Sicherheit verwenden, da Änderungen an Daten erkannt werden, die durch Manipulationen verursacht werden können. Hashfunktionen basieren auf Kryptografie, verwenden aber keine Schlüssel. Hashfunktionen verwenden Algorithmen, um Prüfsummen zu erzeugen. Prüfsummen können Daten vergleichen, um ihre Integrität zu überprüfen.

Anwendungen sollten die SHA-2-Familie von Hashalgorithmen wie SHA-256, SHA-384 oder SHA-512 verwenden.

Ruhende Daten

Klassifizieren und schützen Sie Informationsspeicherobjekte gemäß den internen und externen Complianceanforderungen. Sehen Sie sich die folgenden Empfehlungen an:

Verschlüsseln Sie Daten mithilfe nativer Optionen , die für Speicherdienste, Datenspeicher und andere Ressourcen bereitgestellt werden, die zum Speichern von Daten verwendet werden. Verschlüsseln Sie diese Daten auch dann, wenn Sie Daten in diesen Speicherdiensten oder Ressourcen nur vorübergehend speichern. Verschlüsseln Sie außerdem Ihre Sicherungsdaten, um das gleiche Sicherheitsniveau wie die ursprüngliche Quelle zu gewährleisten.

Weitere Informationen finden Sie unter Schutz ruhender Daten.
Verwenden Sie die doppelte Verschlüsselung. Wenn Ihre Geschäftlichen Anforderungen eine höhere Sicherheit erfordern, können Sie eine doppelte Verschlüsselung durchführen. Verschlüsseln Sie Daten in zwei oder mehr Ebenen, indem Sie unabhängige kundenseitig verwaltete Schlüssel verwenden. Speichern Sie die Daten in einem verwalteten HSM. Zum Lesen der Daten benötigen Sie Zugriff auf beide Schlüssel. Wenn ein Schlüssel kompromittiert ist, schützt der andere Schlüssel weiterhin die Daten. Diese Technik zielt darauf ab, die Kosten für Angreifer zu erhöhen.

Sie können auch die von der Plattform bereitgestellte Verschlüsselung verwenden, um Daten doppelt zu verschlüsseln. Die von der Plattform bereitgestellte Verschlüsselung schützt die Speichermedien auf Infrastrukturebene, und Sie wenden eine weitere Verschlüsselungsebene auf Datenebene an. Beispielsweise verfügt ein Nachrichtenbrokerdienst über plattformseitig bereitgestellte Verschlüsselung über von Microsoft verwaltete Schlüssel, die die Nachrichtenpipe schützen. Mit dieser Methode können Sie die Nachrichten mit kundenseitig verwalteten Schlüsseln verschlüsseln.

Verwenden Sie mehrere Verschlüsselungsschlüssel. Verwenden Sie einen Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK), um Ihren Datenverschlüsselungsschlüssel (Data Encryption Key, DEK) zu schützen.
Verwenden Sie identitätsbasierte Zugriffssteuerungen, um den Zugriff auf Daten zu steuern. Fügen Sie Netzwerkfirewalls hinzu, um eine zusätzliche Sicherheitsebene bereitzustellen, die unerwarteten und unsicheren Zugriff blockiert.

Weitere Informationen finden Sie unter Empfehlungen für die Identitäts- und Zugriffsverwaltung.
Speichern Sie Schlüssel in einem verwalteten HSM , das über die Zugriffssteuerung mit den geringsten Rechten verfügt. Trennen Sie die Daten von den Schlüsseln von den Daten.
Speichern Sie eine begrenzte Datenmenge , damit Sie nur das Erforderliche verschlüsseln. Ihre Daten sollten nicht länger als Ihr Verschlüsselungszyklus leben. Wenn Daten nicht mehr benötigt werden, löschen Sie die verschlüsselten Daten, ohne Entschlüsselungszyklen aufwenden zu müssen.

Daten während der Übertragung

Verwenden Sie sichere Protokolle für die Client-Server-Kommunikation. Transportprotokolle verfügen über eine integrierte Sicherheitsebene. TLS ist der Branchenstandard für den Austausch von Daten zwischen Client- und Serverendpunkten.

Verwenden Sie keine niedrigeren Versionen als TLS 1.2. Migrieren Sie Lösungen zur Unterstützung von TLS 1.2, und verwenden Sie diese Version standardmäßig. Alle Azure-Dienste unterstützen TLS 1.2 auf öffentlichen HTTPS-Endpunkten.

Risiko: Ältere Clients, die TLS 1.2 nicht unterstützen, funktionieren möglicherweise nicht ordnungsgemäß, wenn die Abwärtskompatibilität nicht unterstützt wird.

Die gesamte Websitekommunikation sollte HTTPS verwenden, unabhängig von der Vertraulichkeit der übertragenen Daten. Verhandeln Sie während eines Client-Server-Handshakes die Verwendung der HTTP Strict Transport Security(HSTS)-Richtlinie, damit der HTTPS-Transport beibehalten wird und während der Kommunikation nicht auf HTTP abgelegt wird. Diese Richtlinie schützt vor Man-in-the-Middle-Angriffen.

Unterstützung für HSTS gilt für neuere Versionen. Sie können die Abwärtskompatibilität mit älteren Browsern unterbrechen.

Hinweis

Sie können auch Protokolle verschlüsseln, um sichere Verbindungen für Datenbanken herzustellen. Beispielsweise unterstützt Azure SQL Database das TDS-Protokoll (Tabular Data Stream), das einen TLS-Handshake integriert.

Eine Verschlüsselungssammlung ist eine Reihe von Algorithmen, die verwendet werden, um den Handshake zwischen dem Client und dem Server zu standardisieren. Die Verschlüsselungen stellen sicher, dass der Austausch verschlüsselt und authentifiziert wird. Die Wahl der Verschlüsselungen hängt von der TLS-Version ab, die der Server verwendet. Für einige Dienste, z. B. Azure Application Gateway, können Sie die Tls-Version und die Verschlüsselungssammlungen auswählen, die Sie unterstützen möchten. Implementieren Sie Verschlüsselungssammlungen, die den Advanced Encryption Standard (AES) als symmetrische Blockchiffre verwenden. AES-128, AES-192 und AES-256 sind akzeptabel.
Verwalten sie den Lebenszyklus von Zertifikaten. Zertifikate haben eine vordefinierte Lebensdauer. Bewahren Sie keine langlebigen Zertifikate auf, und lassen Sie sie nicht selbst ablaufen. Implementieren Sie einen Prozess, der Zertifikate mit einer akzeptablen Häufigkeit erneuert. Sie können den Prozess für Verlängerungen automatisieren, die in kurzen Abständen erfolgen.

Hinweis

Wenn Sie das Anheften von Zertifikaten verwenden, machen Sie sich mit den Einschränkungen der Flexibilität und Zertifikatverwaltung vertraut.

Ihr Workflow sollte nicht zulassen, dass ungültige Zertifikate in der Umgebung akzeptiert werden. Der Prozess zum Anheften von Zertifikaten sollte Zertifikate überprüfen und diese Überprüfung erzwingen. Sie sollten Zugriffsprotokolle überwachen, um sicherzustellen, dass der Signaturschlüssel mit den richtigen Berechtigungen verwendet wird.

Wenn ein Schlüssel kompromittiert wird, muss das Zertifikat sofort widerrufen werden. Eine Zertifizierungsstelle (Ca) stellt eine Zertifikatsperrliste (Certificate Revocation List, CRL) bereit, die die Zertifikate angibt, die vor ihrem Ablauf für ungültig erklärt wurden. Bei der Überprüfung sollten Zertifikatsperrlisten berücksichtigt werden.

Kompromiss: Der Zertifizierungsvalidierungsprozess kann umständlich sein und umfasst in der Regel eine Zertifizierungsstelle. Bestimmen Sie die Daten, die Sie mit Zertifikaten verschlüsseln müssen. Legen Sie für andere Kommunikationstypen fest, ob Sie lokalisierte ausgleichende Kontrollen implementieren können, um die Sicherheit zu erhöhen.

Eine Möglichkeit zum Lokalisieren von Steuerelementen ist gegenseitiges TLS (mTLS). Es richtet vertrauen in beide Richtungen zwischen dem Client und dem Server. Sowohl der Client als auch der Server verfügen über eigene Zertifikate, und jedes Zertifikat wird mit ihrem öffentlichen oder privaten Schlüsselpaar authentifiziert. Bei mTLS sind Sie nicht von der externen Zertifizierungsstelle abhängig. Der Kompromiss besteht in der zusätzlichen Komplexität der Verwaltung von zwei Zertifikaten.
Verschlüsseln Sie VPN-Verbindungen bei Bedarf doppelt. Führen Sie eine doppelte Verschlüsselung aus, um Ihrem VPN-Tunnel eine tiefgehende Verteidigung hinzuzufügen. Wenn Sie zwei VPN-Server verwenden, können Sie die IP-Adresse zwischen den Servern ausblenden und auch die IP-Adresse zwischen dem Server und dem Ziel ausblenden. Während dieses Prozesses werden die übertragenen Daten ebenfalls zweimal verschlüsselt.

Kompromiss: Im Vergleich zu einzelnen VPN-Setups sind doppelte VPN-Setups oft teurer, und Verbindungen sind oft langsamer.
Implementieren Sie Protokollierungs- und Überwachungsprozesse. Verfolgen Sie die Zugriffsanmeldungsressourcen, die Informationen zu Clients speichern, z. B. die Quell-IP- und Port-Adresse und das Protokoll. Verwenden Sie diese Informationen, um Anomalien zu erkennen.

Daten in Verwendung

Für Workloads mit hoher Sicherheit werden Die Entwurfsmuster Segmentierung, Isolation und geringste Berechtigungen empfohlen.

Im Kontext des In-Use-Schutzes erfordern Hardwaregrenzen möglicherweise die Verschlüsselung von Daten, während sie in der physischen CPU und im Arbeitsspeicher verwendet werden, um die Isolation von VMs, Hostverwaltungscode und anderen Komponenten sicherzustellen.

Die Verschlüsselung und Entschlüsselung von Daten darf nur innerhalb dieser Isolationsgrenzen erfolgen.

Strengere Sicherheits- oder behördliche Anforderungen erfordern möglicherweise auch hardwarebasierte, kryptografisch signierte Nachweise, dass Daten während der Verwendung verschlüsselt werden. Dies kann durch Nachweise abgerufen werden.

Die Verwendung moderner Sicherheits- und Datenschutzmaßnahmen ist eine häufige Anforderung für regulatorische Workloads. Confidential Computing ist eine solche Technologie, die die Anforderung unterstützt. Bestimmte Dienste in Azure bieten die Möglichkeit, Daten zu schützen, während sie berechnet werden. Weitere Informationen finden Sie unter Azure Facilitation: Azure Confidential Compute.

Betrachten Sie den End-End-Lebenszyklus von Daten, die Sie schützen , sich häufig über mehrere Systeme in ihrer Lebensdauer bewegen, achten Sie darauf, dass alle Komponenten einer Lösung die erforderlichen Schutzebenen bieten können, oder stellen Sie sicher, dass Ihre Datenverwaltungsstrategie eine angemessene Segmentierung oder Maskierung bietet.

Azure-Erleichterung

In den folgenden Abschnitten werden Azure-Dienste und -Features beschrieben, die Sie zum Verschlüsseln Ihrer Daten verwenden können.

Vom Kunden verwaltete Schlüssel

Speichern Sie kundenseitig verwaltete Schlüssel in Azure Key Vault oder in einem Key Vault verwalteten HSM.

Key Vault behandelt die Schlüssel wie jedes andere Geheimnis. Rollenbasierte Zugriffssteuerungen (Role-Based Access Controls, RBAC) von Azure greifen über ein Berechtigungsmodell auf die Schlüssel zu. Dieses identitätsbasierte Steuerelement muss mit Key Vault Zugriffsrichtlinien verwendet werden.

Weitere Informationen finden Sie unter Bereitstellen des Zugriffs auf Key Vault Schlüssel, Zertifikate und Geheimnisse mithilfe von RBAC.

Azure Key Vault Premium und Managed-HSM erweitert das Angebot durch die Einbeziehung von Vertraulichen Computing-Capabilites und Secure Key Release, die eine Richtlinie unterstützt, um sicherzustellen, dass ein Schlüssel nur für eine Workload freigegeben wird, die kryptografisch nachweisen kann, dass er in einer vertrauenswürdigen Ausführungsumgebung (TEE) ausgeführt wird.

Schutz ruhender Daten

Azure Storage verschlüsselt Ihre Daten automatisch mit Blockchiffren, wenn die Daten in einem Speicherkonto gespeichert werden. Für Azure Blob Storage und Azure Queue Storage bietet Storage auch clientseitige Verschlüsselung über Bibliotheken.

Weitere Informationen finden Sie unter Speicherverschlüsselung.
Azure Virtual Machines verfügt über Datenträgerdateien, die als virtuelle Speichervolumes dienen. Sie können die Dateien des virtuellen Datenträgers verschlüsseln, sodass auf den Inhalt nicht zugegriffen werden kann.

Verwaltete Datenträger können aus dem Portal exportiert werden. Die serverseitige Verschlüsselung und Verschlüsselung auf dem Host kann Daten erst schützen, nachdem sie exportiert wurden. Sie sollten jedoch Daten während des Exportvorgangs schützen. Sie können Azure Disk Encryption verwenden, um Ihre Daten während des Exportvorgangs zu schützen.

Azure bietet mehrere Verschlüsselungsoptionen für verwaltete Datenträger. Weitere Informationen finden Sie unter Übersicht über die Verschlüsselungsoptionen für verwaltete Datenträger.
SQL-Datenbank bietet eine transparente Datenverschlüsselungsfunktion, die zum Verschlüsseln einer Datenbankdatei auf Seitenebene verwendet wird.

Schutz vor Daten während der Übertragung

Mit Key Vault können Sie öffentliche und private SSL- oder TLS-Zertifikate (Secure Sockets Layer) bereitstellen, verwalten und bereitstellen. Sie können die Zertifikate mit Azure und mit Ihren internen verbundenen Ressourcen verwenden.

Schutz von Daten im Einsatz

Bestimmte Dienste in Azure bieten die Möglichkeit, Daten zu schützen, während sie in der physischen CPU und im Arbeitsspeicher eines Hosts mithilfe von Azure Confidential Computing berechnet werden.

Vertrauliche Virtual Machines einen gesamten virtuellen Computer bieten, der in einer TEE ausgeführt wird, der Arbeitsspeicher und die ausgeführten CPU-Inhalte des virtuellen Computers werden verschlüsselt und bieten einen einfachen "Lift & Shift"-Ansatz zum Verschieben unveränderter Anwendungen mit hohen Sicherheitsanforderungen nach Azure. Jede vertrauliche Azure-VM verfügt über ein eigenes dediziertes virtual Trust Platform Module (TPM). Die Verschlüsselung wird durchgeführt, während die Betriebssystemkomponenten sicher gestartet werden.
Vertrauliche AKS-Workerknoten, vertrauliche Container in AKS oder Vertrauliche Container auf Azure Container Instances (ACI) bieten die Möglichkeit, unveränderte Container in einer TEE auszuführen und zu verwalten, sodass Kunden von dem In-Use-Schutz profitieren können. Containerangebote basieren auf vertraulichen Virtual Machines und profitieren von demselben Schutz.
Anwendungs-Enclave-Lösungen sind speziell erstellte Anwendungen, die bestimmte CPU-Erweiterungen nutzen, die von SKUs für virtuelle Computer angeboten werden, die Intel Software Guard Extensions (SGX) unterstützen. Diese bieten eine sehr granulare Trusted Compute Base (TCB), erfordern jedoch, dass Anwendungen speziell codiert werden müssen, um die Features nutzen zu können.
Secure Key Release kann mit diesen Technologien kombiniert werden, um sicherzustellen, dass verschlüsselte Daten immer nur innerhalb einer TEE entschlüsselt werden, was beweist, dass sie das erforderliche Maß an Schutz durch einen prozess namens Attestation bietet.

Verwaltung von Geheimnissen

Sie können Key Vault verwenden, um den Zugriff auf Token, Kennwörter, Zertifikate, API-Schlüssel und andere Geheimnisse sicher zu speichern und zu steuern. Verwenden Sie Key Vault als Lösung für die Schlüssel- und Zertifikatverwaltung. Premium-SKU unterstützt HSMs.

Beispiel

Das folgende Beispiel zeigt Verschlüsselungslösungen, die Sie zum Verwalten von Schlüsseln, Zertifikaten und Geheimnissen verwenden können.

Communitylinks

Übersicht über Key Vault

Checkliste für die Sicherheit

Weitere Informationen finden Sie im vollständigen Satz von Empfehlungen.

Checkliste für die Sicherheit

Empfehlungen für die Datenverschlüsselung