Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Hubs de Eventos do Azure Dedicado suporta computação confidencial para proteger os seus dados de eventos em uso. A computação confidencial utiliza ambientes de execução confiáveis (TEEs) baseados em hardware para fornecer proteção de dados reforçada, prevenindo o acesso não autorizado aos seus eventos enquanto estão a ser processados.
Quando ativa a computação confidencial num namespace dedicado Event Hubs, os seus dados beneficiam de isolamento ao nível de hardware, além da encriptação existente em repouso e em trânsito. Esta capacidade ajuda as organizações que lidam com dados sensíveis ou regulados a cumprir rigorosos requisitos de segurança e conformidade.
Benefits
A computação confidencial para Hubs de Eventos do Azure oferece as seguintes vantagens:
- Não são necessárias alterações de código: Ative a computação confidencial ao nível do namespace sem modificar as suas aplicações ou padrões de processamento de eventos.
- Defesa em profundidade: Combina com funcionalidades de segurança existentes nos Event Hubs, como chaves geridas pelo cliente, endpoints privados e identidades geridas.
- Proteção para streaming de eventos: Os seus hubs de eventos beneficiam de isolamento ao nível de hardware durante o processamento do evento.
Disponibilidade regional
Computação confidencial para Hubs de Eventos do Azure está disponível em regiões selecionadas.
| Região |
|---|
| Coreia Central |
| Norte dos E.A.U. |
Limitações
As seguintes limitações aplicam-se à computação confidencial para Hubs de Eventos do Azure:
- A computação confidencial está disponível apenas no nível Dedicado.
- Deve ativar a computação confidencial durante a criação do namespace. Não podes ativar isso em namespaces existentes.
Ative a computação confidencial utilizando o portal Azure
Vai ao portal Azure e abre a página de criação de namespace dos Event Hubs.
Selecione Dedicado para a faixa de preços.
Selecione uma região suportada como localização.
Para Computação Confidencial, selecione Ativado.
Preenche os campos obrigatórios restantes para a configuração do namespace.
Selecione Rever + criar, e depois selecione Criar para implementar o namespace com computação confidencial ativada.
Permita a computação confidencial utilizando um modelo
Pode ativar a computação confidencial programaticamente, incluindo a platformCapabilities propriedade no seu modelo de implementação.
Passo 1: Criar um cluster dedicado com computação confidencial
O ficheiro Bicep seguinte cria um cluster dedicado dos Event Hubs com computação confidencial ativada:
@description('Name of the Event Hubs Dedicated cluster')
param clusterName string
@description('Location for the cluster. Must be a region that supports confidential computing.')
@allowed([
'koreacentral'
'uaenorth'
])
param location string = 'uaenorth'
@description('Capacity units for the Dedicated cluster')
@minValue(1)
param capacity int = 1
resource eventHubCluster 'Microsoft.EventHub/clusters@2025-05-01-preview' = {
name: clusterName
location: location
sku: {
name: 'Dedicated'
capacity: capacity
}
properties: {
supportsScaling: true
platformCapabilities: {
confidentialCompute: {
mode: 'Enabled'
}
}
}
}
output clusterArmId string = eventHubCluster.id
Passo 2: Criar um namespace no cluster dedicado
Depois de criado o cluster, crie um namespace Event Hubs dentro dele, referenciando o ID de recurso do cluster.
@description('Name of the Event Hubs namespace')
param namespaceName string
@description('Location for the namespace. Must match the cluster location.')
param location string
@description('Resource ID of the Dedicated cluster')
param clusterArmId string
resource eventHubNamespace 'Microsoft.EventHub/namespaces@2025-05-01-preview' = {
name: namespaceName
location: location
sku: {
name: 'Standard'
tier: 'Standard'
capacity: 1
}
properties: {
clusterArmId: clusterArmId
}
}
Combinar computação confidencial com chaves geridas pelo cliente
Para máxima proteção de dados, combine computação confidencial com chaves geridas pelo cliente apoiadas pelo Azure Key Vault Managed HSM. Esta combinação garante que:
- Os seus dados estão protegidos durante o uso por meio de computação confidencial.
- As suas chaves de encriptação são armazenadas em módulos de segurança de hardware validados.
- Manténs controlo total sobre as tuas chaves de encriptação.
Use Azure Policy para impor computação confidencial
Crie uma definição Azure Policy para garantir que todos os clusters dedicados dos Event Hubs na sua organização tenham a computação confidencial ativada. Esta abordagem assegura uma configuração consistente de segurança em todo o seu ambiente Azure.
A seguinte definição de política nega ou audita a criação de clusters dedicados que não tenham a computação confidencial ativada:
{
"mode": "All",
"parameters": {
"effect": {
"type": "String",
"metadata": {
"displayName": "Effect",
"description": "Deny or Audit"
},
"allowedValues": [
"Deny",
"Audit"
],
"defaultValue": "Deny"
}
},
"policyRule": {
"if": {
"allOf": [
{
"field": "type",
"equals": "Microsoft.EventHub/clusters"
},
{
"not": {
"field": "Microsoft.EventHub/clusters/platformCapabilities.confidentialCompute.mode",
"equals": "Enabled"
}
}
]
},
"then": {
"effect": "[parameters('effect')]"
}
}
}
Para usar esta política, crie uma definição de política personalizada no Azure Policy e atribua-a ao âmbito apropriado, como um grupo de gestão, subscrição ou grupo de recursos.
Note
Ao combinar computação confidencial com chaves geridas pelo cliente, utilize uma identidade gerida atribuída pelo utilizador. Este requisito existe porque a identidade deve ter acesso ao HSM Gerido antes de criar o namespace. Uma identidade atribuída pelo sistema só existe depois de o namespace ser criado.