Bu makalede, Azure gizli bilgi işlemin (ACC) kullanımdaki verileri şifrelemek için sunduğu bir çözüm sunulmaktadır.
Mimari
Bu mimarinin bir Visio dosyasını indirin.
Diyagramda mimarinin ana hatları gösterilir. Sistem genelinde:
- Ağ iletişimi aktarım sırasında TLS şifrelenir.
- Azure İzleyici bileşen performansını izler ve çözümün kapsayıcılarını Azure Container Registry (ACR) yönetir.
İş akışı
Çözüm aşağıdaki adımları içerir:
- Yerel bir hastanenin katibi bir web portalı açar. Web uygulamasının tamamı Azure Blob Depolama statik bir web sitesidir.
- Katip, verileri hastanenin popüler bir tıbbi platform satıcısı tarafından oluşturulan Python Flask tabanlı web API'sine bağlanan web portalına girer. SCONE gizli bilgi işlem yazılımındaki gizli düğüm, hasta verilerini korur. SCONE, kapsayıcıyı bir kapanımda çalıştırmaya yardımcı olan Software Guard Uzantıları 'nın (SGX) etkinleştirildiği bir AKS kümesinde çalışır. Web API'sinde hassas verilerin ve uygulama kodunun şifrelenmiş ve Güvenilir Yürütme Ortamında yalıtılmış olduğuna dair kanıt sağlanır. Bu, hiçbir insan, işlem ve hiçbir günlük düz metin verilerine veya uygulama koduna erişemeye sahip olmadığı anlamına gelir.
- Hastanenin web uygulaması istemcisi, bir kanıtlama hizmetinin (Azure Doğrulama) bu kanıtı doğrulamasını ister ve diğer uygulamaların doğrulaması için imzalı bir kanıtlama belirteci alır.
- Web API'si ek bileşenler gerektiriyorsa (Redis önbelleği gibi), veri ve uygulama kodunun şu ana kadar güvenli bir kapanımda kaldığını doğrulamak için kanıtlama belirtecini geçirebilir (doğrulama için 6. adıma bakın).
- Web API'si, üçüncü taraf tanılama sağlayıcısı tarafından barındırılan ml modeli gibi uzak hizmetleri bile kullanabilir. Bunu yaparken, gerekli kuşatmaların güvenli olduğu kanıt için kanıtlama belirteçlerini geçirmeye devam eder. Web API'si, tanılama sağlayıcısının altyapısı için kanıtlama belirteçlerini almayı ve doğrulamayı da dener.
- Uzak altyapı, tıbbi platformun web api'sinden kanıtlama belirtecini kabul eder ve Azure Doğrulama hizmetinde bulunan genel bir sertifikayla doğrular. Belirteç doğrulanırsa, kapanım güvenli olduğundan ve verilerin veya uygulama kodunun kapanım dışında açılmadığından emin olabilirsiniz.
- Verilerin kullanıma sunulmadığından emin olan tanılama sağlayıcısı, verileri bir Açık Nöral Ağ Değişimi (ONNX) çalışma zamanı sunucusunda kendi kapanıma gönderir. Yapay zeka modeli tıbbi görüntüleri yorumlar ve tanılama sonuçlarını tıbbi platformun gizli Web API'sine geri döndürür. Buradan, yazılım hasta kayıtlarıyla etkileşim kurabilir ve/veya diğer hastane personeliyle iletişim kurabilir.
Bileşenler
Azure Blob Depolama html, CSS, JavaScript ve görüntü dosyaları gibi statik içerikleri doğrudan bir depolama kapsayıcısından sunar.
Azure Doğrulama, bir platformun güvenilirliğini uzaktan doğrulayan birleşik bir çözümdür. Azure Doğrulama ayrıca platformda çalışan ikili dosyaların bütünlüğünü de uzaktan doğrular. Gizli uygulamayla güven oluşturmak için Azure Doğrulama kullanın.
Azure Kubernetes Service, Kubernetes kümesi dağıtma işlemini basitleştirir.
Gizli bilgi işlem düğümleri , kullanıcı düzeyinde kodun enklavlar olarak bilinen özel bellek bölgelerini ayırmasına izin vererek donanım tabanlı güvenilir yürütme ortamında (TEE) AKS üzerinde hassas iş yükleri çalıştırabilen belirli bir sanal makine serisinde barındırılır. Gizli bilgi işlem düğümleri gizli kapsayıcıları veya kapanım kullanan kapsayıcıları destekleyebilir.
SCONE platformu , Scontain tarafından sunulan bir Azure İş Ortağı bağımsız yazılım satıcısı (ISV) çözümüdür.
Redis açık kaynaklı, bellek içi bir veri yapısı deposudur.
Güvenli Kapsayıcı Ortamı (SCONE), Kubernetes kümesi içinde çalışan kapsayıcılarda gizli uygulamaların yürütülmesini destekler.
Gizli Çıkarım ONNX Çalışma Zamanı Sunucusu Kapanım (ONNX RT - Kapanım), ML barındırma partisinin hem çıkarım isteğine hem de buna karşılık gelen yanıta erişmesini kısıtlayan bir konaktır.
Alternatifler
Kapsayıcılı uygulamanızla kullanılacak gizli kapsayıcıları dağıtmak için SCONE yerine Fortanix kullanabilirsiniz. Fortanix, en geniş uygulama kümesini çalıştırmak ve yönetmek için ihtiyacınız olan esnekliği sağlar: mevcut uygulamalar, yeni kapanıma özel uygulamalar ve önceden paketlenmiş uygulamalar.
Graphene hafif ve açık kaynaklı bir konuk işletim sistemidir. Graphene, tek bir Linux uygulamasını yalıtılmış bir ortamda çalıştırabilir ve tam bir işletim sistemi çalıştırmanın avantajlarına sahiptir. Mevcut Docker kapsayıcı uygulamalarını Graphene Korumalı Kapsayıcılara (GSC) dönüştürmek için iyi bir araç desteğine sahiptir.
Senaryo ayrıntıları
Kuruluşlar işbirliği yaparken bilgileri paylaşır. Ancak çoğu taraf, diğer taraflara verilerin tüm bölümlerine erişim vermek istemez. Bekleyen ve aktarımdaki verileri korumaya yönelik mekanizmalar vardır. Ancak kullanımdaki verileri şifrelemek farklı zorluklara yol açar.
Gizli bilgi işlem ve kapsayıcıları kullanarak çözüm, sağlayıcı tarafından barındırılan bir uygulamanın bir hastane ve üçüncü taraf tanılama sağlayıcısıyla güvenli bir şekilde işbirliği yapmasına yönelik bir yol sağlar. Azure Kubernetes Service (AKS) gizli bilgi işlem düğümlerini barındırıyor. Azure Doğrulama, tanılama sağlayıcısına güven oluşturur. Mimari, bu Azure bileşenlerini kullanarak, paylaşılan veriler bulutta işlenirken hastane hastalarının hassas verilerini yalıtıyor. Daha sonra hastane verilerine tanılama sağlayıcısı tarafından erişilemez. Bu mimari aracılığıyla, sağlayıcı tarafından barındırılan uygulama gelişmiş analizden de yararlanabilir. Tanılama sağlayıcısı bu analizleri makine öğrenmesi (ML) uygulamalarının gizli bilgi işlem hizmetleri olarak kullanıma sunar.
Olası kullanım örnekleri
Birçok sektör, bu amaçlar için gizli bilgi işlem kullanarak verilerini korur:
- Finansal verilerin güvenliğini sağlama
- Hasta bilgilerini koruma
- Hassas bilgiler üzerinde ML işlemlerini çalıştırma
- Birçok kaynaktan şifrelenmiş veri kümelerinde algoritmalar gerçekleştirme
- Kapsayıcı verilerini ve kod bütünlüğünü koruma
Dikkat edilmesi gerekenler
Bu önemli noktalar, bir iş yükünün kalitesini artırmak için kullanılabilecek bir dizi yol gösteren ilke olan Azure Well-Architected Framework'ün yapı taşlarını uygular. Daha fazla bilgi için bkz. Microsoft Azure Well-Architected Framework.
Azure gizli bilgi işlem sanal makineleri (VM'ler), genel amaçlı ihtiyaçlar için 2. nesil D aile boyutlarında kullanılabilir. Bu boyutlar topluca D Serisi v2 veya DCsv2 serisi olarak bilinir. Bu senaryoda 2. Nesil işletim sistemi (OS) görüntülerine sahip Intel SGX özellikli DCs_v2 serisi sanal makineler kullanılır. Ancak belirli boyutları yalnızca belirli bölgelerde dağıtabilirsiniz. Daha fazla bilgi için bkz . Hızlı Başlangıç: Market'te Azure Gizli Bilgi İşlem VM'sini dağıtma ve Bölgelere göre kullanılabilen ürünler.
Maliyet iyileştirmesi
Maliyet iyileştirmesi, gereksiz giderleri azaltmanın ve operasyonel verimliliği artırmanın yollarını gözden geçmektir. Daha fazla bilgi için bkz. Maliyet iyileştirme sütununa genel bakış.
Bu senaryoyu çalıştırmanın maliyetini keşfetmek için tüm Azure hizmetlerini önceden yapılandıran Azure fiyatlandırma hesaplayıcısını kullanın.
Contoso Tıbbi SaaS Platformu için diyagramda gösterildiği gibi örnek bir maliyet profili sağlanır. Aşağıdaki bileşenleri içerir:
- Sistem düğümü havuzu ve SGX düğüm havuzu: disk yok, hepsi kısa ömürlü
- AKS Load Balancer
- Azure Sanal Ağ: nominal
- Azure Container Registry
- Tek sayfalı uygulama (SPA) için depolama hesabı
Profil aşağıdaki bileşenleri içermez:
Azure Doğrulama Hizmeti: ücretsiz
Azure İzleyici Günlükleri: kullanım tabanlı
SCONE ISV lisansı
Aşağıdakiler de dahil olmak üzere hassas verilerle çalışan çözümler için gereken uyumluluk hizmetleri:
- Bulut için Microsoft Defender ve Kubernetes için Microsoft Defender
- Azure DDoS Koruması: Ağ Koruması
- Azure Güvenlik Duvarı
- Azure Application Gateway ve Azure Web Uygulaması Güvenlik Duvarı
- Azure Key Vault
Bu senaryoyu dağıtın
Bu senaryonun dağıtılması aşağıdaki üst düzey adımları içerir:
Gizli çıkarım sunucusunu mevcut SGX özellikli AKS Kümesine dağıtın. Bu adım hakkında bilgi için GitHub'daki gizli ONNX çıkarım sunucusu projesine bakın.
Azure Doğrulama ilkelerini yapılandırın.
SGX özellikli AKS kümesi düğüm havuzunu dağıtın.
SconeApps adlı özel olarak seçilmiş gizli uygulamalara erişim elde edin. SconeApps, SCONE Standard Edition aracılığıyla şu anda yalnızca ticari müşteriler tarafından kullanılabilen özel bir GitHub deposunda kullanılabilir. SCONE web sitesine gidin ve bu hizmet düzeyini almak için doğrudan şirketle iletişime geçin.
AKS kümenizde SCONE hizmetlerini yükleyin ve çalıştırın.
AKS kümenizde Flask tabanlı uygulamayı yükleyin ve test edin.
Web istemcisini dağıtın ve erişin.
Bu adımlar, kapanım kapsayıcılarına odaklanır. Güvenli bir altyapı bu uygulamanın ötesine uzanır ve HIPAA için gereken ek korumalar gibi uyumluluk gereksinimlerini içerir.
Katkıda Bulunanlar
Bu makale Microsoft tarafından korunur. Başlangıçta aşağıdaki katkıda bulunanlar tarafından yazılmıştır.
Asıl yazar:
- Amar Gowda | Ana Ürün Yöneticisi
Sonraki adımlar
Azure gizli bilgi işlem hakkında daha fazla bilgi edinin
GitHub'da gizli ONNX çıkarım sunucusu projesine bakın.
Anonimleştirilmiş blok zinciri verileriyle MobileCoin kullanım örneği
Gizli çıkarım sunucusunu çağıran delineation işleviyle kullanılmak üzere örnek beyin segmentasyonu görüntüsü.
