Veelgestelde vragen over vertrouwelijke virtuele Azure-machines

Vertrouwelijke VM's zijn een IaaS-oplossing voor tenants met hoge beveiligings- en vertrouwelijkheidsvereisten. Vertrouwelijke VM's bieden:

• Versleuteling voor 'gegevens in gebruik', inclusief de processorstatus en het geheugen van de virtuele machine. De sleutels worden gegenereerd door de processor en verlaten deze nooit.
• Met Host Attestation kunt u de volledige status en naleving van de server controleren voordat de gegevensverwerking begint.
• Hardware Security Module (HSM) kan worden gekoppeld om de sleutels van vertrouwelijke VM-schijven te beveiligen, die uitsluitend eigendom zijn van de tenant.
• Nieuwe UEFI-opstartarchitectuur die het gastbesturingssysteem ondersteunt voor verbeterde beveiligingsinstellingen en -mogelijkheden.
• Een toegewezen TPM (Virtual Trusted Platform Module) certificeert de status van de VIRTUELE machine, biedt een robuust sleutelbeheer en ondersteunt gebruiksvoorbeelden zoals BitLocker.

Confidential VM's nemen zorgen van klanten weg over het off-premises verplaatsen van gevoelige workloads naar de cloud. Vertrouwelijke VM's bieden verhoogde beveiliging voor klantgegevens tegen de onderliggende infrastructuur en cloudoperators. In tegenstelling tot andere benaderingen en oplossingen hoeft u uw bestaande workloads niet aan te passen aan de technische behoeften van het platform.

SEV-SNP staat voor Secure Encrypted Virtualization-Secure Geneste paging. Dit is een TEE-technologie (Trusted Execution Environment) die wordt geleverd door AMD en meerdere beveiligingen biedt: bijvoorbeeld geheugenversleuteling, unieke CPU-sleutels, versleuteling voor de status van de processorregister, integriteitsbeveiliging, preventie van het terugdraaien van firmware, beveiliging van side-kanaal en beperkingen voor interrupt- en uitzonderingengedrag. Gezamenlijk zorgen AMD SEV-technologieën ervoor dat de guestbeveiliging wordt versterkt door de hypervisor en andere hostbeheercode de toegang tot VM-geheugen en -status te ontzeggen. Vertrouwelijke VM's maken gebruik van AMD SEV-SNP met Azure-technologieën zoals volledige schijfversleuteling en Azure Key Vault Managed HSM. U kunt gegevens die in gebruik zijn, in transit en at-rest versleutelen met sleutels die u bepaalt. Met ingebouwde Azure Attestation-mogelijkheden kunt u onafhankelijk de betrouwbaarheid van de beveiliging, status en onderliggende infrastructuur van uw vertrouwelijke VM's vaststellen.

Intel TDX staat voor Intel Trust Domain Extensions (Intel TDX). Het is een Trusted Execution Environment (TEE)-technologie geleverd door Intel en biedt meerdere beveiligingen: Intel TDX maakt gebruik van hardware-extensies voor het beheren en versleutelen van geheugen en beschermt zowel de vertrouwelijkheid als de integriteit van de CPU-status. Bovendien helpt Intel TDX om de gevirtualiseerde omgeving te beveiligen door de hypervisor, andere hostbeheercode en beheerders geen toegang te geven tot het VM-geheugen en de VM-status. Vertrouwelijke VM's combineren Intel TDX met Azure-technologieën zoals volledige schijfversleuteling en Azure Key Vault Managed HSM. U kunt gegevens die in gebruik zijn, in transit en at-rest versleutelen met sleutels die u bepaalt.

Azure-VM's bieden al toonaangevende beveiliging en bescherming tegen andere tenants en kwaadwillende indringers. Azure Confidential VM's verbeteren deze beveiligingen met behulp van hardwaregebaseerde TEEs, zoals AMD SEV-SNP en Intel TDX, om de vertrouwelijkheid en integriteit van uw gegevens cryptografisch te isoleren en te beschermen. Geen hostbeheerders of hostservices (inclusief de Azure-hypervisor) kunnen het geheugen of de CPU-status van uw vertrouwelijke VM rechtstreeks bekijken of wijzigen. Bovendien is de permanente status met volledige attestation-mogelijkheid, volledige besturingssysteemschijfversleuteling en met hardware beveiligde virtuele Trusted Platform-modules beveiligd, zodat uw persoonlijke sleutels en de inhoud van uw geheugen niet onversleuteld worden blootgesteld aan de hostingomgeving.

Momenteel kunnen besturingssysteemschijven voor vertrouwelijke VM's worden versleuteld en beveiligd. Voor extra beveiliging kunt u versleuteling op gastniveau (zoals BitLocker of dm-crypt) inschakelen voor alle gegevensstations.

Ja, maar alleen als de pagefile.sys zich op de versleutelde besturingssysteemschijf bevindt. Op vertrouwelijke VM's met een tijdelijke schijf kan het pagefile.sys-bestand worden verplaatst naar het versleutelde besturingssysteem. Tips voor het verplaatsen van pagefile.sys naar het c:\-station.

Nee, deze mogelijkheid bestaat niet voor vertrouwelijke VM's.

Hier volgen enkele manieren waarop u een vertrouwelijke VM kunt implementeren:

• Implementeren via de Azure-portal
• Implementeren vanuit de Azure-opdrachtregelinterface (Azure CLI)
• Implementeren met een ARM-sjabloon
• Uitrollen met VMSS en Confidential Disk Encryption

Azure Confidential VM's op AMD SEV-SNP ondergaan attestation als onderdeel van hun opstartfase. Dit proces is niet zichtbaar voor de gebruiker en vindt plaats in het cloudbesturingssysteem met de services Microsoft Azure Attestation en Azure Key Vault. Met vertrouwelijke VM's kunnen gebruikers ook onafhankelijke attestatie uitvoeren voor hun vertrouwelijke VM's. Deze attestatie vindt plaats met behulp van nieuwe hulpprogramma's met de naam Azure Confidential VM Guest Attestation. Met guest-attestation kunnen klanten bevestigen dat hun vertrouwelijke VM's worden uitgevoerd op AMD-processors waarvoor SEV-SNP is ingeschakeld.

Azure Confidential-VM's die Gebruikmaken van Intel TDX kunnen transparant worden geverifieerd als onderdeel van de opstartstroom om ervoor te zorgen dat het platform conform en up-to-date is. Het proces is niet zichtbaar voor de gebruiker en vindt plaats met behulp van Microsoft Azure Attestation en Azure Key Vault. Als u verder wilt gaan om controles na het opstarten uit te voeren, is in-guest platformattestatie beschikbaar. Hiermee kunt u controleren of uw VM wordt uitgevoerd op echte Intel TDX. Ga naar onze previewbranch voor toegang tot de functie. Daarnaast ondersteunen we Intel® Trust Authority voor ondernemingen die operatoronafhankelijke attestatie zoeken. Ondersteuning voor volledige in-guest attestation, vergelijkbaar met AMD SEV-SNP, is binnenkort beschikbaar. Hierdoor kunnen organisaties dieper gaan en verdere aspecten valideren, zelfs tot aan de laag van de gasttoepassing.

Voor uitvoering op een vertrouwelijke VM moeten besturingssysteeminstallatiekopieën voldoen aan bepaalde beveiligings- en compatibiliteitsvereisten. Hierdoor kunnen vertrouwelijke VM's veilig worden gemonteerd, geverifieerd en geïsoleerd van de onderliggende cloudinfrastructuur. In de toekomst plannen we richtlijnen voor het maken van een aangepaste Linux-build en het toepassen van een set opensource-patches om deze te kwalificeren als een vertrouwelijke VM-installatiekopie.

Ja. U kunt Azure Compute Gallery gebruiken om een vertrouwelijke VM-installatiekopie te wijzigen, bijvoorbeeld door toepassingen te installeren. Vervolgens kunt u vertrouwelijke VM's implementeren op basis van uw gewijzigde images.

Het optionele schema voor volledige schijfversleuteling is het veiligst van Azure en voldoet aan de Confidential Computing-principes. U kunt echter ook andere schijfversleutelingsschema's gebruiken, samen met of in plaats van volledige schijfversleuteling. Als u meerdere schijfversleutelingsschema's gebruikt, kan dubbele versleuteling de prestaties negatief beïnvloeden.

Elke vertrouwelijke Azure-VM heeft een eigen virtuele TPM, waar klanten hun geheimen/sleutels kunnen beveiligen. Het wordt aanbevolen voor klanten om de vTPM-status (via TPM.msc voor Windows-VM's) te controleren. Als de status niet gereed is voor gebruik, raden we u aan uw VM's opnieuw op te starten voordat u geheimen/sleutels aan de vTPM verzegelt.

nr. Nadat u een vertrouwelijke VIRTUELE machine hebt gemaakt, kunt u volledige schijfversleuteling niet deactiveren of opnieuw activeren. Maak in plaats daarvan een nieuwe vertrouwelijke VM.

Nee, de keuze van sleutelbeheer (platformbeheer of door de klant beheerd) is alleen beschikbaar tijdens het maken van de VIRTUELE machine en kan daarna niet meer worden gewijzigd.

Nee, als er een Confidential VM wordt gemaakt zonder volledige schijfversleuteling van de besturingssysteemschijf, kan een door de klant beheerde sleutel niet worden gebruikt. In dit geval wordt de VMGS-schijf, die altijd is versleuteld, versleuteld met behulp van een door platform beheerde sleutel (PMK).

Ontwikkelaars die op zoek zijn naar verdere functiescheiding voor TCB-services van de cloudserviceprovider, moeten het beveiligingstype "NonPersistedTPM" gebruiken.

• Deze ervaring is alleen beschikbaar als onderdeel van de openbare preview van Intel TDX. Organisaties die het gebruiken of er diensten mee leveren, hebben de controle over de TCB en de verantwoordelijkheden die ermee gepaard gaan.
• Met deze ervaring worden de systeemeigen Azure-services overgeslagen, zodat u uw eigen schijfversleuteling, sleutelbeheer en attestation-oplossing kunt gebruiken.
• Elke VM heeft nog steeds een vTPM, die moet worden gebruikt om hardware-attestatiegegevens op te halen, maar de vTPM-status wordt niet behouden door opnieuw opstarten, wat betekent dat deze oplossing uitstekend is voor tijdelijke workloads en organisaties die willen ontkoppelen van de cloudserviceprovider.

nr. Om veiligheidsredenen moet u vanaf het begin een vertrouwelijke VM als zodanig maken.

Ja, het converteren van een vertrouwelijke VM naar een andere vertrouwelijke VM is toegestaan op zowel DCasv5/ECasv5 als DCesv5/ECesv5 in de regio's die ze delen. Als u een Windows-image gebruikt, controleert u of u alle meest recente updates hebt. Als u een Ubuntu Linux-image gebruikt, moet u ervoor zorgen dat u de vertrouwelijke Ubuntu 22.04 LTS-image gebruikt met de minimale kernelversie 6.2.0-1011-azure.

Zorg ervoor dat u een beschikbare regio hebt geselecteerd voor vertrouwelijke VM's. Zorg er ook voor dat u in de groottekiezer alle filters wissen selecteert.

Nr. Vertrouwelijke VM's bieden geen ondersteuning voor Accelerated Networking. U kunt versneld netwerken niet inschakelen voor een implementatie van een Confidential VM of een implementatie van een Azure Kubernetes Service-cluster die wordt uitgevoerd op Confidential Computing.

Mogelijk krijgt u de foutmelding De bewerking kan niet worden voltooid omdat dit resulteert in het overschrijden van het goedgekeurde standaard-DCasv5/ECasv5 Family Cores-quotum. Deze ARM-sjabloonfout (Azure Resource Manager-sjabloon) betekent dat het implementatieproces is mislukt vanwege een gebrek aan Azure-rekenkernen. Abonnementen voor de gratis proefversie van Azure hebben geen groot genoeg kernquotum voor confidential VM's. Maak een ondersteuningsverzoek om uw quotum te verhogen.

ECasv5-serie en ECesv5-serie zijn voor geheugen geoptimaliseerde VM-grootten, die een hogere verhouding tussen geheugen en CPU bieden. Deze grootten zijn met name geschikt voor relationele databaseservers, middelgrote tot grote caches en analyse in het geheugen.

Nr. Op dit moment zijn deze VM's alleen beschikbaar in bepaalde regio's. Voor een huidige lijst met beschikbare regio's, zie VM-producten per regio.

Azure heeft geen operationele procedures voor het verlenen van vertrouwelijke VM-toegang aan werknemers, zelfs niet als een klant de toegang toekent. Als gevolg hiervan zijn verschillende herstel- en ondersteuningsscenario's niet beschikbaar voor vertrouwelijke VM's.

Nee, vertrouwelijke VM's ondersteunen momenteel geen geneste virtualisatie, zoals de mogelijkheid om een hypervisor in een VIRTUELE machine uit te voeren.

Facturering voor vertrouwelijke VM's is afhankelijk van uw gebruik en opslag en de grootte en regio van de VM. Vertrouwelijke VM's maken gebruik van een kleine, versleutelde VMGS-schijf van meerdere megabytes. VMGS omvat de beveiligingsstatus van de VM van onderdelen zoals de vTPM en de UEFI-opstartlaadprogramma’s. Deze schijf kan leiden tot maandelijkse opslagkosten. Als u ervoor kiest om de optionele versleuteling voor volledige schijven in te schakelen, worden er hogere kosten in rekening gebracht voor versleutelde besturingssysteemschijven. Zie de prijshandleiding voor beheerde schijven voor meer informatie over opslagkosten. Ten slotte kunt u voor sommige instellingen voor beveiliging en privacy ervoor kiezen om gekoppelde resources te maken, zoals een Managed HSM Pool. Azure factureert dergelijke resources afzonderlijk van de kosten voor vertrouwelijke virtuele machines.

Zelden kunnen sommige DCesv6/ECesv6-serie Ubuntu Linux-VM's een klein tijdsverschil ervaren van UTC. Er is hiervoor een oplossing voor de lange termijn beschikbaar. Ondertussen zijn dit de tijdelijke oplossingen:

Voer voor Ubuntu Linux-installatiekopieën de volgende stappen uit:

1. Voer deze opdracht uit om het chronyd-bestand bij te werken om het gebruik van de IC Time Sync-service uit te schakelen.

sed -i '/^refclock PHC \/dev\/ptp_hyperv poll 3 dpoll -2 offset 0/s/^/#/' /etc/chrony/chrony.conf

2. Schakel in plaats daarvan Network Time Protocol (NTP) in voor de Linux-VM.

sed -i '/^#pool.*ntp/s/^#//' /etc/chrony/chrony.conf

3. Herstart de chronyd-service om te synchroniseren met de huidige tijd.

systemctl restart chronyd.service

Nr. De Azure-platformmetrics Available Memory Percentage en Available Memory Bytes rapporteren nul voor vertrouwelijke VM-instanties. Dit gedrag is een verwachte platformbeperking, dus deze metrics kunnen niet worden gebruikt als Autoscale-signalen voor vertrouwelijke VM-nodetypes. Gebruik in plaats daarvan CPU-gebaseerde Autoscale-regels.