Informacje o poufnych maszynach wirtualnych platformy Azure

Poufne maszyny wirtualne Azure zapewniają silną ochronę dla wrażliwych obciążeń. Tworzą sprzętowo wymuszoną granicę między Twoim obciążeniem roboczym a stosem wirtualizacyjnym, dzięki czemu możesz migrować wiele aplikacji bez zmian w kodzie, jednocześnie chroniąc stan maszyny wirtualnej.

Microsoft Mechanics

Korzyści z poufnych maszyn wirtualnych

• Sprzętowa izolacja między maszynami wirtualnymi, hipernadzorcą i kodem zarządzania hostem.
• Konfigurowalne polityki atestacyjne, które weryfikują zgodność platformy przed uruchomieniem obciążenia roboczego.
• Chronione szyfrowanie dysku systemu operacyjnego przed pierwszym uruchomieniem.
• Opcjonalne klucze szyfrowania zarządzane przez platformę lub klienta.
• Bezpieczne uwolnienie klucza kryptograficznie powiązane z pomyślną atestacją.
• Dedykowany wirtualny moduł zaufanej platformy sprzętowej (TPM) do ochrony kluczy i tajemnic.
• Wsparcie dla bezpiecznego rozruchu, podobne do Trusted launch dla maszyn wirtualnych platformy Azure.

Poufne szyfrowanie dysków systemu operacyjnego

Poufne maszyny wirtualne platformy Azure oferują nowy i rozszerzony schemat szyfrowania dysków. Ten schemat chroni wszystkie krytyczne partycje dysku. Wiąże również klucze szyfrowania dysków z modułem TPM maszyny wirtualnej i udostępnia chronioną zawartość dysku tylko maszynie wirtualnej. Te klucze szyfrowania mogą bezpiecznie pomijać składniki platformy Azure, w tym funkcję hypervisor i system operacyjny hosta. Aby zminimalizować potencjał ataku, dedykowana i oddzielna usługa w chmurze szyfruje również dysk podczas początkowego tworzenia maszyny wirtualnej.

Jeśli brakuje wymaganych ustawień izolacji, Azure Attestation nie może potwierdzić stanu platformy podczas uruchamiania, a maszyna wirtualna nie może się uruchomić. Ten stan może wystąpić na przykład, jeśli SEV-SNP nie jest włączony.

Szyfrowanie poufnego dysku systemowego jest opcjonalne, ponieważ może wydłużyć czas początkowego tworzenia maszyny wirtualnej. Możesz wybrać:

• Poufna maszyna wirtualna z szyfrowaniem dysków Confidential OS z wykorzystaniem kluczy zarządzanych przez platformę (PMK) lub kluczy zarządzanych przez klienta (CMK).
• Poufna maszyna wirtualna bez szyfrowania dysku Poufnego systemu operacyjnego.

Dla większej integralności i ochrony poufne maszyny wirtualne domyślnie oferują Secure Boot, gdy wybierzesz szyfrowanie poufnego dysku systemu operacyjnego.

Korzystając z Secure Boot, zaufani wydawcy muszą podpisywać komponenty uruchamiania systemu operacyjnego (w tym bootloader, jądro i sterowniki jądra). Wszystkie zgodne poufne obrazy maszyn wirtualnych obsługują bezpieczny rozruch.

Poufne szyfrowanie dysku tymczasowego

Można również rozszerzyć ochronę szyfrowania dysków poufnych na dysk tymczasowy. Ochrona ta wykorzystuje technologię szyfrowania kluczem symetrycznym in-VM po podłączeniu dysku do CVM.

Dysk tymczasowy zapewnia szybki, lokalny i krótkoterminowy magazyn dla aplikacji i procesów. Przeznaczony jest do przechowywania wyłącznie danych takich jak pliki stronicowania, pliki logów, dane buforowane i inne typy danych tymczasowych. Dyski tymczasowe na CVM zawierają plik strony, znany również jako plik wymiany, który może zawierać poufne dane. Bez szyfrowania dane na tych dyskach mogą być dostępne dla hosta. Po włączeniu tej funkcji dane na dyskach tymczasowych nie są już widoczne dla hosta.

Włącz tę funkcję w ramach procesu opt-in. Aby dowiedzieć się więcej, zobacz dokumentację.

Różnice cen szyfrowania

Poufne maszyny wirtualne platformy Azure używają zarówno dysku systemu operacyjnego, jak i małego, kilkomegabajtowego zaszyfrowanego dysku stanu gościa maszyny wirtualnej (VMGS). Dysk usługi VMGS zawiera stan zabezpieczeń składników maszyny wirtualnej. Niektóre składniki obejmują moduł rozruchowy vTPM i UEFI. Mały dysk VMGS może wiązać się z miesięcznymi kosztami magazynowania.

Od 30 marca 2026 roku zaszyfrowane dyski systemowe mają wyższe koszty. Aby uzyskać więcej informacji, zobacz przewodnik cenowy dotyczący dysków zarządzanych.

Zaświadczenie i moduł TPM

Poufne maszyny wirtualne platformy Azure są uruchamiane dopiero po pomyślnym zaświadczaniu o krytycznych składnikach i ustawieniach zabezpieczeń platformy. Raport zaświadczania obejmuje:

• Podpisany raport zaświadczania
• Ustawienia rozruchu platformy
• Pomiary oprogramowania układowego platformy
• Pomiary systemu operacyjnego

Możesz zainicjować żądanie poświadczenia wewnątrz poufnej maszyny wirtualnej, aby zweryfikować, że Twoje poufne maszyny wirtualne uruchamiają instancję sprzętową z procesorami z włączoną technologią AMD SEV-SNP lub Intel TDX. Aby uzyskać więcej informacji, zobacz Atestacja poufnych maszyn wirtualnych dla gości na platformie Azure.

Poufne maszyny wirtualne platformy Azure oferują wirtualny moduł TPM (vTPM) dla maszyn wirtualnych platformy Azure. VTPM to zwirtualizowana wersja sprzętowego modułu TPM i jest zgodna ze specyfikacją modułu TPM 2.0. Maszynę wirtualną vTPM można używać jako dedykowanego, bezpiecznego magazynu dla kluczy i pomiarów. Poufne maszyny wirtualne mają własne dedykowane wystąpienie vTPM, które działa w bezpiecznym środowisku, poza zasięgiem jakiejkolwiek maszyny wirtualnej.

Limitations

Istnieją następujące ograniczenia dotyczące poufnych maszyn wirtualnych. Aby uzyskać często zadawane pytania, zobacz Często zadawane pytania dotyczące poufnych maszyn wirtualnych.

Obsługa rozmiaru

Poufne maszyny wirtualne obsługują następujące rozmiary maszyn wirtualnych:

• Ogólne przeznaczenie bez lokalnego dysku: seria DCasv5, seria DCasv6, seria DCesv6
• Ogólne przeznaczenie z lokalnym dyskiem: DCadsv5-seria, DCadsv6-seria, DCedsv6-seria
• Pamięć zoptymalizowana bez lokalnego dysku: seria ECasv5, seria ECasv6, seria ECesv6
• Pamięć zoptymalizowana z lokalnym dyskiem: seria ECadsv5, seria ECadsv6, seria ECedsv6
• GPU firmy NVIDIA H100 Tensor Core z serii NCCadsH100v5

Obsługa systemu operacyjnego

Obrazy systemu operacyjnego dla poufnych maszyn wirtualnych muszą spełniać określone wymagania dotyczące zabezpieczeń. Te kwalifikowane obrazy wspierają opcjonalne poufne szyfrowanie dysków systemu operacyjnego i zapewniają izolację od infrastruktury chmurowej. Spełnienie tych wymagań pomaga chronić poufne dane i zachować integralność systemu.

Poufne maszyny wirtualne obsługują następujące opcje systemu operacyjnego:

Regions

Poufne maszyny wirtualne działają na wyspecjalizowanym sprzęcie dostępnym w określonych regionach maszyn wirtualnych.

Pricing

Ceny zależą od poufnego rozmiaru maszyny wirtualnej. Aby uzyskać więcej informacji, zobacz Kalkulator cen.

Obsługa funkcji

• Wsparcie Azure Backup dla poufnych maszyn wirtualnych jest obecnie dostępne w publicznej wersji podglądowej Dokumentacja

Poufne maszyny wirtualne nie obsługują:

• Azure Site Recovery
• Ograniczona obsługa galerii zasobów obliczeniowych platformy Azure
• Accelerated Networking
• Migracja na żywo
• Zrzuty ekranu w obszarze diagnostyki rozruchu
• Pamięć dynamiczna
• Poufne szyfrowanie dysków obsługuje tylko dyski mniejsze niż 128 GB. Dla większych dysków wybierz dyski SSD Premium, szczególnie te o pojemności przekraczającej 32 GB.
• Automatyczna rotacja kluczy nie jest obsługiwana. Obsługiwana jest tylko rotacja kluczy offline .

Dalsze kroki

Więcej informacji znajdziesz w często zadawanych pytaniach dotyczących Confidential VM.