omówienie poufnych obliczeń Azure Event Hubs

Usługa Azure Event Hubs Dedicated obsługuje konfidentalne przetwarzanie w celu ochrony używanych danych zdarzenia. Poufne przetwarzanie danych wykorzystuje sprzętowe zaufane środowiska wykonawcze (TEE), aby zapewnić lepszą ochronę danych i uniemożliwić nieautoryzowany dostęp do przetwarzanych zdarzeń.

Po włączeniu poufnego przetwarzania w dedykowanej przestrzeni nazw Event Hubs, Twoje dane korzystają z izolacji na poziomie sprzętu, oprócz istniejącego szyfrowania danych w stanie spoczynku i w trakcie przesyłania. Ta funkcja pomaga organizacjom, które obsługują poufne lub regulowane dane spełniają ścisłe wymagania dotyczące zabezpieczeń i zgodności.

Benefits

Poufne przetwarzanie dla Azure Event Hubs zapewnia następujące korzyści:

  • Nie są wymagane żadne zmiany kodu: włącz poufne przetwarzanie na poziomie przestrzeni nazw bez modyfikowania aplikacji lub wzorców przetwarzania zdarzeń.
  • Ochrona w głębi systemu: łączy się z istniejącymi funkcjami zabezpieczeń usługi Event Hubs, takimi jak klucze zarządzane przez klienta, prywatne punkty końcowe i tożsamości zarządzane.
  • Ochrona strumieniowania zdarzeń: Centra zdarzeń zyskują dzięki izolacji na poziomie sprzętowym podczas przetwarzania zdarzeń.

Dostępność regionalna

Poufne przetwarzanie dla Azure Event Hubs jest dostępne w wybranych regionach.

Region
Korea Środkowa
Północne Zjednoczone Emiraty Arabskie

Ograniczenia

Następujące ograniczenia dotyczą poufnego przetwarzania dla Azure Event Hubs:

  • Poufne przetwarzanie jest dostępne tylko na poziomie Dedykowanym.
  • Podczas tworzenia przestrzeni nazw należy włączyć poufne przetwarzanie. Nie można go włączyć w istniejących przestrzeniach nazw.

Włączanie poufnego przetwarzania przy użyciu witryny Azure Portal

  1. Przejdź do portalu Azure i otwórz stronę tworzenia przestrzeni nazw usługi Event Hubs.

  2. Wybierz pozycję Dedykowana dla warstwy cenowej.

  3. Wybierz obsługiwany region jako lokalizację.

  4. W obszarze Poufne zasoby obliczeniowe wybierz pozycję Włączone.

    Zrzut ekranu przedstawiający stronę tworzenia przestrzeni nazw z włączonym przełącznikiem „Poufne zasoby obliczeniowe”.

  5. Wypełnij pozostałe wymagane pola konfiguracji przestrzeni nazw.

  6. Wybierz pozycję Przejrzyj i utwórz, a następnie wybierz pozycję Utwórz , aby wdrożyć przestrzeń nazw z włączonym poufnym przetwarzaniem.

Włączanie poufnego przetwarzania przy użyciu szablonu

Poufne przetwarzanie można włączyć programowo, uwzględniając platformCapabilities właściwość w szablonie wdrożenia.

Krok 1. Tworzenie dedykowanego klastra z poufnymi obliczeniami

Poniższy plik Bicep tworzy dedykowany klaster usługi Event Hubs z włączonym poufnym przetwarzaniem:

@description('Name of the Event Hubs Dedicated cluster')
param clusterName string

@description('Location for the cluster. Must be a region that supports confidential computing.')
@allowed([
  'koreacentral'
  'uaenorth'
])
param location string = 'uaenorth'

@description('Capacity units for the Dedicated cluster')
@minValue(1)
param capacity int = 1

resource eventHubCluster 'Microsoft.EventHub/clusters@2025-05-01-preview' = {
  name: clusterName
  location: location
  sku: {
    name: 'Dedicated'
    capacity: capacity
  }
  properties: {
    supportsScaling: true
    platformCapabilities: {
      confidentialCompute: {
        mode: 'Enabled'
      }
    }
  }
}

output clusterArmId string = eventHubCluster.id

Krok 2. Tworzenie przestrzeni nazw w dedykowanym klastrze

Po utworzeniu klastra utwórz wewnątrz niego Event Hubs namespace, odwołując się do identyfikatora zasobu klastra.

@description('Name of the Event Hubs namespace')
param namespaceName string

@description('Location for the namespace. Must match the cluster location.')
param location string

@description('Resource ID of the Dedicated cluster')
param clusterArmId string

resource eventHubNamespace 'Microsoft.EventHub/namespaces@2025-05-01-preview' = {
  name: namespaceName
  location: location
  sku: {
    name: 'Standard'
    tier: 'Standard'
    capacity: 1
  }
  properties: {
    clusterArmId: clusterArmId
  }
}

Łączenie poufnego przetwarzania z kluczami zarządzanymi przez klienta

Aby uzyskać maksymalną ochronę danych, połącz poufne przetwarzanie z kluczami zarządzanymi przez klienta wspieranymi przez zarządzany moduł HSM usługi Azure Key Vault. Ta kombinacja gwarantuje, że:

  • Dane są chronione w użyciu przez poufne przetwarzanie.
  • Klucze szyfrowania są przechowywane w zweryfikowanych sprzętowych modułach zabezpieczeń.
  • Zachowasz pełną kontrolę nad kluczami szyfrowania.

Używanie usługi Azure Policy do wymuszania poufnego przetwarzania

Utwórz definicję Azure Policy, aby wymusić, że wszystkie klastry dedykowane usługi Event Hubs w organizacji mają włączone poufne przetwarzanie. Takie podejście zapewnia spójną konfigurację zabezpieczeń w środowisku platformy Azure.

Poniższa definicja zasad zaprzecza lub przeprowadza inspekcję tworzenia dedykowanych klastrów, które nie mają włączonego poufnego przetwarzania:

{
    "mode": "All",
    "parameters": {
        "effect": {
            "type": "String",
            "metadata": {
                "displayName": "Effect",
                "description": "Deny or Audit"
            },
            "allowedValues": [
                "Deny",
                "Audit"
            ],
            "defaultValue": "Deny"
        }
    },
    "policyRule": {
        "if": {
            "allOf": [
                {
                    "field": "type",
                    "equals": "Microsoft.EventHub/clusters"
                },
                {
                    "not": {
                        "field": "Microsoft.EventHub/clusters/platformCapabilities.confidentialCompute.mode",
                        "equals": "Enabled"
                    }
                }
            ]
        },
        "then": {
            "effect": "[parameters('effect')]"
        }
    }
}

Aby użyć tych zasad, utwórz niestandardową definicję zasad w usłudze Azure Policy i przypisz ją do odpowiedniego zakresu, takiego jak grupa zarządzania, subskrypcja lub grupa zasobów.

Note

Podczas łączenia poufnego przetwarzania z kluczami zarządzanymi przez klienta należy użyć tożsamości zarządzanej przypisanej przez użytkownika. To wymaganie istnieje, ponieważ tożsamość musi mieć przyznany dostęp do zarządzanego modułu HSM przed utworzeniem przestrzeni nazw. Tożsamość przypisana przez system istnieje tylko po utworzeniu przestrzeni nazw.

Treści powiązane

  • Ostatnia aktualizacja o