Información general sobre la computación confidencial de Azure Event Hubs

Azure Event Hubs Dedicated admite computación confidencial para proteger los datos de eventos en uso. La computación confidencial usa entornos de ejecución de confianza basados en hardware (TEE) para proporcionar protección de datos mejorada, lo que impide el acceso no autorizado a los eventos mientras se procesan.

Al habilitar la computación confidencial en un espacio de nombres dedicado de Event Hubs, los datos se benefician del aislamiento de nivel de hardware además del cifrado existente en reposo y en tránsito. Esta funcionalidad ayuda a las organizaciones que controlan datos confidenciales o regulados a cumplir estrictos requisitos de seguridad y cumplimiento.

Benefits

La computación confidencial para Azure Event Hubs proporciona las siguientes ventajas:

  • No se requieren cambios de código: habilite la computación confidencial en el nivel de espacio de nombres sin modificar las aplicaciones ni los patrones de procesamiento de eventos.
  • Defensa en profundidad: combina con características de seguridad de Event Hubs existentes, como claves administradas por el cliente, puntos de conexión privados e identidades administradas.
  • Protección del streaming de eventos: los hubs de eventos se benefician del aislamiento a nivel de hardware durante el procesamiento de eventos.

Disponibilidad regional

La computación confidencial para Azure Event Hubs está disponible en determinadas regiones.

Region
Centro de Corea del Sur
Norte de Emiratos Árabes Unidos

Limitaciones

Las siguientes limitaciones se aplican a la computación confidencial para Azure Event Hubs:

  • La computación confidencial solo está disponible en el nivel Dedicado.
  • Debe habilitar la computación confidencial durante la creación del espacio de nombres. No se puede habilitar en espacios de nombres existentes.

Habilitación de la computación confidencial mediante Azure Portal

  1. Vaya al portal Azure y abra la página de creación del espacio de nombres de Event Hubs.

  2. Seleccione Dedicado para el plan de tarifa.

  3. Seleccione una región admitida como ubicación.

  4. En Proceso confidencial, seleccione Habilitado.

    Captura de pantalla que muestra la página Crear espacio de nombres con el interruptor de cómputo confidencial habilitado.

  5. Rellene los campos obligatorios restantes para la configuración del espacio de nombres.

  6. Seleccione Revisar y crear y, a continuación, seleccione Crear para implementar el espacio de nombres con la computación confidencial habilitada.

Habilitación de la computación confidencial mediante una plantilla

Puede habilitar la computación confidencial de manera programática incluyendo la propiedad platformCapabilities en su plantilla de implementación.

Paso 1: Creación de un clúster dedicado con computación confidencial

El siguiente archivo Bicep crea un clúster dedicado de Event Hubs con la computación confidencial habilitada:

@description('Name of the Event Hubs Dedicated cluster')
param clusterName string

@description('Location for the cluster. Must be a region that supports confidential computing.')
@allowed([
  'koreacentral'
  'uaenorth'
])
param location string = 'uaenorth'

@description('Capacity units for the Dedicated cluster')
@minValue(1)
param capacity int = 1

resource eventHubCluster 'Microsoft.EventHub/clusters@2025-05-01-preview' = {
  name: clusterName
  location: location
  sku: {
    name: 'Dedicated'
    capacity: capacity
  }
  properties: {
    supportsScaling: true
    platformCapabilities: {
      confidentialCompute: {
        mode: 'Enabled'
      }
    }
  }
}

output clusterArmId string = eventHubCluster.id

Paso 2: Creación de un espacio de nombres en el clúster dedicado

Una vez creado el clúster, cree un espacio de nombres de Event Hubs dentro de él haciendo referencia al identificador de recurso del clúster.

@description('Name of the Event Hubs namespace')
param namespaceName string

@description('Location for the namespace. Must match the cluster location.')
param location string

@description('Resource ID of the Dedicated cluster')
param clusterArmId string

resource eventHubNamespace 'Microsoft.EventHub/namespaces@2025-05-01-preview' = {
  name: namespaceName
  location: location
  sku: {
    name: 'Standard'
    tier: 'Standard'
    capacity: 1
  }
  properties: {
    clusterArmId: clusterArmId
  }
}

Combinación de la computación confidencial con claves administradas por el cliente

Para obtener la máxima protección de datos, combine la computación confidencial con claves administradas por el cliente respaldadas por HSM administrados por Azure Key Vault. Esta combinación garantiza que:

  • Tus datos están protegidos mientras se utilizan, gracias a la computación confidencial.
  • Las claves de cifrado se almacenan en módulos de seguridad de hardware validados.
  • Mantiene el control total sobre las claves de cifrado.

Uso de Azure Policy para aplicar la computación confidencial

Cree una definición de Azure Policy para aplicar que todos los clústeres dedicados de Event Hubs de su organización tengan habilitada la computación confidencial. Este enfoque garantiza una configuración de seguridad coherente en todo el entorno de Azure.

La siguiente definición de directiva deniega o audita la creación de clústeres dedicados que no tienen habilitada la computación confidencial:

{
    "mode": "All",
    "parameters": {
        "effect": {
            "type": "String",
            "metadata": {
                "displayName": "Effect",
                "description": "Deny or Audit"
            },
            "allowedValues": [
                "Deny",
                "Audit"
            ],
            "defaultValue": "Deny"
        }
    },
    "policyRule": {
        "if": {
            "allOf": [
                {
                    "field": "type",
                    "equals": "Microsoft.EventHub/clusters"
                },
                {
                    "not": {
                        "field": "Microsoft.EventHub/clusters/platformCapabilities.confidentialCompute.mode",
                        "equals": "Enabled"
                    }
                }
            ]
        },
        "then": {
            "effect": "[parameters('effect')]"
        }
    }
}

Para usar esta directiva, cree una definición de directiva personalizada en Azure Policy y asígnela al ámbito adecuado, como un grupo de administración, una suscripción o un grupo de recursos.

Note

Al combinar la computación confidencial con claves administradas por el cliente, use una identidad administrada asignada por el usuario. Este requisito existe porque se debe conceder acceso a la identidad a HSM administrado antes de crear el espacio de nombres. Una identidad asignada por el sistema solo existe después de que se cree el espacio de nombres.

Contenido relacionado

  • Se actualizó por última vez el