为什么将 Azure 机密计算与 Azure Database for PostgreSQL 预览版配合使用？

Azure 机密计算（ACC） 使组织能够处理和协作处理敏感数据，例如个人数据或受保护的健康信息（PHI），并内置保护防止未经授权的访问。 通过受信任的执行环境（TEE）保护使用中的数据，ACC 允许跨组织边界进行安全的实时分析和协作机器学习。

具有严格的法规要求（例如财务、医疗保健和公共部门）的行业可以通过最少的代码更改将敏感工作负载从本地环境迁移到云，而无需使用 Azure 机密虚拟机（VM）牺牲性能。

建筑

**受信任的执行环境 （TEE）*- 是 CPU 中基于硬件的独立内存区域。 TEE 内处理的数据受到保护，操作系统、虚拟机监控程序或其他应用程序无法访问。

• 代码以纯文本形式在 TEE 中运行，但在 enclave 外部保持加密状态。
• 数据在静止、传输和使用时都进行了加密。

**AMD SEV-SNP（安全加密虚拟化 – 安全嵌套分页）*- 提供全内存加密和内存完整性验证，以防止内存重映射和重播等攻击。 它支持将现有应用程序直接迁移到 Azure 机密计算，而无需更改代码或影响性能。

远程证明

远程证明是在向 TEE 授予对敏感资源的访问权限之前验证 TEE 的安全并运行已验证代码的过程。

证明流：

1. TEE 提交包含已加载代码和环境配置的加密哈希的报告。
2. 验证服务（验证者）验证：
   • 证书的完整性。
   • 颁发者受信任。
   • TEE 不在阻止列表中。
3. 如果验证成功，验证程序会颁发证明令牌。
4. TEE 将令牌呈现给密钥管理器。
5. 机密管理器在释放任何机密之前根据策略验证令牌。

机密计算

Azure 保护静态数据和传输中的数据。 机密计算通过硬件支持的经证明的 TEE 为使用中的数据增加了保护。

机密计算联盟（CCC）将机密计算定义为：

机密计算提供：

• 硬件信任根 – 将 TEE 安全性定位在处理器的可信硬件中。
• 远程证明 - 在允许访问数据之前验证工作负荷完整性。
• 受信任的启动 – 确保 VM 以已验证的软件和配置开头。
• 内存隔离和加密 – 保护内存中数据免受未经授权的访问。
• 安全密钥管理 – 仅向经验证且经证明的环境发布密钥。

Azure Database for PostgreSQL 集成

Azure 机密计算在 Azure Database for PostgreSQL 中得到支持。 创建新服务器时，通过选择受支持的机密虚拟机 （VM） SKU 来启用 ACC。

可以使用任何受支持的方法（例如 Azure 门户、Azure CLI、ARM 模板、Bicep、Terraform、Azure PowerShell、REST API 等）通过 ACC 部署 Azure Database for PostgreSQL。

支持的 ACC 货品型号

根据计算和 I/O 要求从以下 SKU 中进行选择：

价格

有关最新的定价信息，请参阅 Azure Database for PostgreSQL 灵活服务器定价。

Azure 门户还会根据所选择的选项显示服务器配置的每月成本估算。

在“新建 Azure Database for PostgreSQL 灵活服务器”页中，可以在整个服务器创建体验期间查看该估算：

如果在现有实例的资源菜单中的“设置”部分下选择“计算 + 存储”，则还可以查看现有服务器的估算：

如果没有 Azure 订阅，可使用 Azure 定价计算器获取估计的价格。 在 Azure 定价计算器网站中，选择“数据库”类别，然后选择“Azure Database for PostgreSQL”以将该服务添加到估算中，然后自定义这些选项。

相关内容

• Azure 机密计算
• Azure 机密 VM 选项