Конфиденциальный реестр Microsoft Azure (предварительная версия)

Конфиденциальный реестр Microsoft Azure (ACL) (предварительная версия) — это новая и безопасная служба для управления записями конфиденциальных данных. Основанный на модели эксклюзивного блокчейна Конфиденциальный реестр предлагает уникальные преимущества целостности данных. К ним относятся неизменяемость, то есть данные в реестр можно только добавлять, и защита от несанкционированных изменений, что гарантирует отсутствие изменений в записях.

Конфиденциальный реестр выполняется исключительно в безопасных анклавах с аппаратной защитой, то есть тщательно отслеживаемой и изолированной среде выполнения, которая предотвращает потенциальные атаки. Более того, реестр никто не контролирует, даже Майкрософт. Для этого Конфиденциальный реестр проектировался так, чтобы выполнятся в минимальной доверенной вычислительной базе, что предотвращает доступ для разработчиков служб реестра, технических специалистов центров обработки данных и администраторов облака.

Конфиденциальный реестр подходит для вариантов использования, когда записи критических метаданных не должны изменяться, в том числе на бессрочной основе, в целях соответствия нормативным требованиям и архивирования. Вот несколько примеров того, что можно хранить в Реестре:

  • записи, относящиеся к бизнес-транзакциям (например, денежным переводам или изменению конфиденциальных документов);
  • обновления доверенных ресурсов (например, основных приложений или контрактов);
  • административные изменения и изменения элементов управления (например, предоставление прав доступа);
  • рабочие ИТ-события и события безопасности (например, оповещения Центра безопасности Azure).

Дополнительные сведения представлены в ролике о Конфиденциальном реестре с конференции Microsoft Ignite 2020.

Основные возможности

Доступ к Конфиденциальному реестру осуществляется через REST API, которые можно интегрировать в новые или существующие приложения. Конфиденциальным реестром могут управлять администраторы, использующими административные API (уровень управления). Его также можно вызывать непосредственно с помощью кода приложения через функциональные API (плоскость данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление. Функциональные API позволяют напрямую взаимодействовать с созданным экземпляром Реестра и выполнять такие операции, как размещение и получение данных.

Безопасность Реестра

В этом разделе описаны меры безопасности для Реестра. API Реестра используют проверку подлинности на основе сертификатов клиентов. В настоящее время Реестр поддерживает процедуру проверки подлинности на основе сертификатов с ролями владельца. В будущем мы добавим поддержку проверки подлинности на основе Azure Active Directory (AAD), а также доступ на основе ролей (например, владельца, читателя и участника).

Данные в Реестр отправляются через подключение TLS 1.2, которое завершается внутри безопасных анклавов с аппаратной защитой (анклавов Intel® SGX). Это защищает от перехвата подключения между клиентом и узлами сервера Конфиденциального реестра.

Хранилище Реестра

Конфиденциальные реестры создаются в виде блоков в контейнерах хранилища BLOB-объектов, относящихся к учетной записи хранения Azure. Данные транзакций в зависимости от потребностей можно хранить в зашифрованном виде или в виде открытого текста. После создания Реестра вы связываете учетную запись хранения, выполнив действия, описанные в статье Регистрация субъекта-службы Конфиденциального реестра.

Конфиденциальным реестром могут управлять администраторы с помощью административных API (уровень управления), и его можно вызывать напрямую с помощью кода приложения через функциональные API (плоскость данных). Административные API поддерживают базовые операции, такие как создание, обновление, получение и удаление.

Функциональные API позволяют напрямую взаимодействовать с созданным экземпляром Конфиденциального реестра и выполнять такие операции, как размещение и получение данных.

Ограничения предварительной версии

  • После создания Конфиденциального реестра нельзя изменить его тип.
  • В настоящее время Конфиденциальный реестр не поддерживает стандартное аварийное восстановление Azure. Однако Конфиденциальный реестр Azure предлагает встроенную избыточность в регионе Azure, так как выполняется на нескольких независимых узлах.
  • Удаление Конфиденциального реестра является «необратимым», поэтому его данные не подлежат восстановлению.
  • Имена Конфиденциальных реестров должны быть глобально уникальными. Реестры с одинаковым именем (независимо от типа) запрещены.

Терминология

Термин Определение
ACL Конфиденциальный реестр Azure
Реестр Неизменяемый реестр транзакций с возможностью добавления новых данных (также известный как блокчейн)
Commit Подтверждение того, что транзакция локально зафиксирована на узле. Локальная фиксация сама по себе не гарантирует того, что транзакция является частью Реестра.
Глобальная фиксация Подтверждение того, что транзакция была глобально зафиксирована и является частью Реестра.
Карточка квитанции Подтверждение того, что транзакция была обработана Реестром.

Дальнейшие действия