Azure機密台帳は、Confidential Computing Ledger のワークロードです。 これは、独自のサブスクリプションで作成し、レコードを直接書き込む、カスタマー マネージドの追加専用台帳です。 Azure機密台帳は、不変性、改ざんが明らかなレコード、追加のみの操作など、固有のデータ整合性の利点を備えた監査可能なデータ ストアを提供します。 これは、共有Azure機密台帳プラットフォーム上に構築された暗号技術とブロックチェーン技術を組み合わせたものです。
これらの機能は、規制コンプライアンスやアーカイブ目的など、重要なメタデータ レコードの整合性を保護する必要がある場合に最適です。 Azure機密台帳に格納されたデータは、プライバシーが強化され、クラウド プロバイダーを含む組織内の内部関係者の脅威から保護されたままです。 また、特定のペルソナ (監査者など) と保護して選択的に共有する必要がある監査証跡またはレコードのリポジトリとしても役立ちます。
Azure Confidential Ledger は、ダイジェストやハッシュ値の特定時点における信頼できる情報源として機能し、既存のデータベースやアプリケーションを保護することができます。 各トランザクションは、検証シナリオで暗号証明を提供します。 たとえば、Azure SQL データは整合性をさらに保護できます。テーブル ダイジェストまたはログは、機密台帳Azure格納できます。
詳細については、 Azure 機密台帳を使用したデータ ソースの整合性の保護 について学習するか、 Azure 機密台帳のデモを参照してください。 また、 Azure の機密台帳を介して Azure ハードウェア のセキュリティを保護する方法に関する最近のブログを読むこともできます。
保存する内容
Azure機密台帳インスタンスに格納できるいくつかの例を次に示します。
- 業務上のトランザクション (送金、ドキュメント編集など) に関連する記録。
- 信頼性の高い資産 (中核アプリケーション、契約書など) の更新データ。
- 管理、制御に関する変更 (アクセス権の付与など)。
- 運用 IT イベントとセキュリティ イベント (Microsoft Defender for Cloud アラートなど)。
活用事例
- エンドツーエンドのデータ整合性の保証を必要とするリレーショナル データがあります。データをAzure SQL Database台帳機能に格納し、信頼済みダイジェスト ストアとしてAzure機密台帳を有効にします。
- エンドツーエンドの整合性を必要とする BLOB データがあります。Azure Blob Storageにデータを格納し、署名を格納して検証するためにAzure機密台帳によってサポートされるAzure Marketplace アプリケーションを構成します。
- 検証可能性のある整合性保護が必要なシステム レコードがあります。レコードを機密台帳Azure直接格納します。 たとえば、すべての開発レコードを 1 つのインスタンスに移動させ、運用ログを別のインスタンスに移動させます。 監査する場合は、監査担当者とトランザクションのみを選択的に共有します。
- 機密性と整合性の保護を必要とする機密トランザクション データがあります。重要な機密データのアプリケーション レコードを機密台帳Azure直接格納します。
データ ソースのデータ整合性を有効にする
SQL データベースとストレージ システムは、エンタープライズ データ アーキテクチャの基礎となります。 Azure機密性の高い台帳は、整合性保護の追加レイヤーを提供することで、これらのシステムを強化します。 SQL データベースの場合、Azure機密台帳は、変更とトランザクションが記録および検証される外部台帳として機能し、セキュリティと信頼の新しい次元を追加できます。
Blob Storageの場合、Azure機密台帳は、ストレージ操作の不変ログを提供することでセキュリティ機能を強化します。 このログは、時間の経過に伴うデータの整合性が重要な規制コンプライアンスとアーカイブの目的に価値があります。
主な機能
Azure機密台帳は REST インターフェイスを公開するため、新規または既存のアプリケーションとの統合が容易になります。 .NET、Java、Python、JavaScript などの一般的な言語の SDK は、統合に役立ちます。
Azure機密台帳では、収集 ID がサポートされ、データ管理が容易になります。 コレクション ID を使用してデータをグループ化することは、データを効率的に管理および照会するための優れた方法です。 これにより、特定のデータセットを簡単に識別して取得できます。 この方法により、データ編成が大幅に強化され、検索や更新などの操作がより効率化されます。
台帳の各トランザクションには、トランザクションの 整合性を検証するために使用される Merkle ツリー データ構造を記録する、関連付けられたレシートがあります。 トランザクションの領収書を確認する方法の詳細を参照してください。
コンフィデンシャル コンピューティングの基礎
Azure機密台帳は、ハードウェアでサポートされるセキュリティで保護されたエンクレーブでのみ実行されます。 この監視が厳しく分離されたランタイム環境が潜在的な攻撃を防ぎます。 このサービスは、最小限のトラステッド コンピューティング ベース (TCB) で実行され、台帳の "上" に誰も (Microsoftも) ないことを保証します。
名前が示すように、このサービスではAzure Confidential Computing プラットフォームとConfidential Consortium Frameworkを使用して、改ざんから保護され、改ざんを検出できる高い整合性を備えたソリューションを提供します。 1 つの台帳は、3 つ以上の同じインスタンスにまたがる。 各インスタンスは、ハードウェアで完全に構成証明された専用のエンクレーブで実行されます。 各台帳の整合性は、コンセンサスベースのブロックチェーンを通じて維持されます。
これらのコンフィデンシャル コンピューティング基盤は、他の Confidential Computing Ledger ワークロード (Microsoftの署名透過性台帳) と共有されます。 基になるコンポーネントの詳細については、「 アーキテクチャ」を参照してください。
データ ストレージ
Azure機密台帳データは、連結されたブロックで書き込まれ、Azureに基づくファイル ストレージに格納されます。 トランザクション データは、ニーズに応じて暗号化 (プライベート台帳の種類など) またはプレーン テキスト (パブリック台帳の種類など) で格納できます。
管理者は、管理 API (コントロール プレーン) を使用してAzure機密台帳インスタンスを作成および管理できます。たとえば、リソースを削除したり、リソース グループ間で移動したりできます。 Azure機密台帳は、CREATE、UPDATE、PUT、GET などのデータ操作に機能する API (データ プレーン) を提供します。
台帳のセキュリティ
Azure機密台帳では、認証用のMicrosoft Entra IDと証明書ベースの資格情報の両方がサポートされ、承認にはカスタム ロールベースのアクセス制御 (RBAC) が使用されます。 他の Azure サービスとは異なり、ユーザー管理はローカライズされています。 つまり、ユーザーは、機能 API を使用して台帳内に格納および管理されます。 この設計により、TCB が削減され、Azure RBAC などの外部承認システムに依存する必要がなくなります。
Azure機密台帳では、TLS 1.3 プロトコルを使用してクライアント接続を確立し、データを交換します。 接続は、ハードウェアに基づくセキュリティ エンクレーブ (Intel SGX エンクレーブ) 内で終了し、中間者攻撃を防ぎます。
アプリケーションでは、データを交換する前に、台帳ノードを認証して信頼を確立することで 、台帳ノード の信頼性を確認することをお勧めします。 このプロセスにより、台帳ノードが本物であり、悪意のあるものではありません。
両方の Confidential Computing Ledger ワークロードに適用される広範なセキュリティ ガイダンスについては、「 Secure Confidential Computing Ledger」を参照してください。
回復性とビジネス継続性
Azure機密台帳ノードは、回復性を提供するためにAzure可用性ゾーンにデプロイされます。 ネットワークは、ゾーン全体の停止中に自己修復できます。 ビジネス継続性を確保するために、台帳インスタンス内のファイルは自動的にセカンダリ ストレージ アカウントに定期的にレプリケートされます。 障害が発生した場合、これらのファイルは復旧に使用されます。 継続的監視は、台帳インスタンスの正常性が指定されたしきい値を下回ったときに、復旧プロセスを観察して自動的に開始するために使用されます。
ディザスター リカバリーのために、データは Azure リージョン ペアに自動的にレプリケートされます。 データの保存場所に関する考慮事項については、「 Azure Confidential Ledger のデータ所在地」を参照してください。
制限事項
| 資源 | 制限 |
|---|---|
| サブスクリプションあたりの台帳の数 | 2 つの標準 SKU 台帳 |
| 台帳あたりのコレクション ID の数 | 50,000 |
| エントリの作成 | 1 秒あたり 1800 要求、1 秒あたり 1800 トランザクション |
| 現在のエントリを取得する | 1 秒あたり 3600 要求 |
| エントリを取得する | 1 秒あたり 2500 要求 |
| 領収書を受け取る | 1 秒あたり 2400 要求 |
| エントリを一覧表示する | 1 秒あたり 3300 要求 |
注
より高い制限を要求したり、制限事項について話し合ったりするには、Azure機密台帳チームにお問い合わせください。
制約
- Azure機密台帳インスタンスを作成した後は、台帳の種類 (プライベートまたはパブリック) を変更することはできません。
- 機密台帳Azure削除すると"ハード削除" が行われるので、削除後にデータを回復することはできません。
- Azure Confidential Ledger の名前はグローバルで一意である必要があります。 同じ名前の台帳は、種類に関係なく許可されません。
用語
| 期間 | 定義 |
|---|---|
| コンフィデンシャルコンピューティング台帳 | 共有コンフィデンシャル コンピューティング プラットフォームで両方の台帳ワークロードをホストするアンブレラ サービス。 |
| Azure confidential ledger | Confidential Computing Ledger のワークロード: お客様自身のサブスクリプション内に作成する、顧客管理の追記専用台帳。 |
| Microsoftの署名透過性台帳 (MST) | Confidential Computing Ledger のワークロード: Microsoft によって管理される、ソフトウェア署名イベントの台帳。 |
| Ledger | トランザクションの不変の追加専用レコード (ブロックチェーンとも呼ばれます)。 |
| Commit | トランザクションが台帳に追加されたことの確認。 |
| Receipt | トランザクションが台帳で処理されたことの証明。 |
| CCF | Confidential Consortium Framework — Confidential Computing Ledger をバックアップするオープンソース フレームワーク。 |
| TCB | Trusted Computing Base — 台帳がその完全性に依拠する最小限のコンポーネント群。 |