データセットの急激な増加に伴い、消費者のデータ プライバシーやコンプライアンスの観点から、データの公開方法が厳しく問われるようになりました。このような状況において、組織が企業や消費者のデータを取り巻くプライバシーやセキュリティのニーズを満たすために、コンフィデンシャル コンピューティングは重要なツールとなります。

コンフィデンシャル コンピューティング技術は、メモリ内のデータを暗号化し、それをクラウド環境が検証された後にのみ処理することで、クラウド オペレーター、悪意のある管理者、ハイパーバイザーなどの特権的ソフトウェアからのデータ アクセスを防ぎます。また、データのライフサイクル全体を保護することができます。既存のソリューションであるデータの保管時および転送時の保護に加え、使用中のデータも保護することができます。

コンフィデンシャル コンピューティングのおかげで、世界中の組織はこれまで不可能だった機会を手に入れることができます。たとえば、他者のデータ分析や機械学習のメリットを利用することができ、これまで共有することを望まなかった、またはそれができなかった相手からのデータセットを組み合わせ、参加者間でデータを非公開に保つことができます。実際、RBC は、お客様がより最適化された割引を受けられるよう、プライバシーを保持した分析プラットフォームを作成しました。このプラットフォームでは、RBC のクレジットおよびデビット カードによる取引と、消費者がどのような具体的な商品を購入したかという小売業者のデータを機密に組み合わせることで、消費者の購買傾向に関する分析情報を生み出しています。

業界のリーダーシップと標準化

Microsoft は、コンフィデンシャル コンピューティングの分野で長年にわたりソート リーダーであり続けています。Azure は、クラウド プロバイダーとして初めて、クラウドに「コンフィデンシャル コンピューティング」を導入しました。これにより Kubernetes でコンフィデンシャル コンピューティング仮想マシンと機密コンテナーが提供され、お客様は最も機密性の高いワークロードを高信頼実行環境 (TEE) 内で実行することができます。また Microsoft は、Confidential Computing Consortium (CCC) の設立メンバーでもあります。これは、ハードウェア メーカー、クラウド プロバイダー、ソリューション ベンダーが集まり、テック業界全体のデータ保護を改善し、標準化する方法を共同で検討するグループです。

コンフィデンシャル コンピューティングの基礎

Microsoft の機密保持の基準は、CCC によって設定された基準に沿って拡張され、コンフィデンシャル コンピューティングのための包括的な基盤を提供しています。Microsoft は、データを Microsoft のオペレーター、お客様独自のオペレーター、またはその両方から分離するための技術的なコントロールをお客様に提供するよう努めています。Azure は、お客様のテナント間でハイパーバイザーを分離するだけでなく、Microsoft のオペレーターによるアクセスからお客様のデータを保護するためのコンフィデンシャル コンピューティング オファリングを提供しています。また Microsoft は、お客様のオペレーターからのアクセスをさらに防止するために、安全なエンクレーブを備えたコンフィデンシャル コンピューティングも提供しています。

コンフィデンシャル コンピューティングの基盤は次のとおりです。

• ハードウェアの信頼の基点により、データが保護され、シリコンに固定されていることが保証されます。信頼の基点はハードウェア メーカーにあり、Microsoft のオペレーターであってもハードウェアの構成を変更することはできません。
• リモート構成証明により、お客様は環境の整合性を直接確認することができます。お客様は、データへのアクセスを許可する前に、ワークロードが実行されるハードウェアとソフトウェアの両方が承認されたバージョンであること、セキュリティが確保されていることを確認することができます。
• トラステッド起動は、仮想マシンが認可されたソフトウェアで起動することを保証するしくみで、お客様が検証できるようにリモート構成証明が使用されています。セキュア ブートや vTPM を搭載したコンフィデンシャル VM を含むすべての VM で利用可能で、ルートキット、ブートキット、悪意のあるファームウェアに対する防御機能が追加されます。
• メモリ隔離と暗号化により、処理中のデータが確実に保護されます。Azure は、お客様のさまざまなニーズに対応するために、VM、コンテナー、アプリケーションごとにメモリを隔離する機能や、データセンターに物理的にアクセスしても、認可されていないデータ閲覧を防止するハードウェアベースの暗号化を提供します。
• 安全なキー管理により、キーはライフサイクル全体において暗号化された状態が維持され、許可されたコードにのみリリースされます。

以上のコンポーネントを組み合わせることで、Microsoft が考えるコンフィデンシャル コンピューティングの基盤が形成されます。現在 Azure は、ハードウェアとソフトウェアの両方で、他のクラウド ベンダーよりも多くのコンフィデンシャル コンピューティングのオプションを提供しています。

革新的な新しいハードウェア

Microsoft の新しい Intel ベースの DCsv3 コンフィデンシャル VM には Intel SGX が搭載されており、ハードウェアで保護されたアプリケーション エンクレーブが実装されます。開発者は SGX エンクレーブを利用することで、機密データにアクセスするコードを最小限に抑えることができます。さらに、Total Memory Encryption-Multi-Key (TME-MK) を有効にすることで、各 VM を固有のハードウェア キーで保護できるようになります。

また、新しい AMD ベースの DCasv5/ECasv5 を搭載したコンフィデンシャル VM では、Secure Encrypted Virtualization-Secure Nested Paging (SEV-SNP) が採用され、他の仮想マシンやハイパーバイザー、ホスト管理コードからデータを保護するハードウェア分離型の仮想マシンが提供されています。お客様は、コードを変更することなく既存の仮想マシンをリフトアンドシフトすることができます。またオプションとして、自身が管理する、または Microsoft が管理するキーを使用して強化されたディスク暗号化を利用することができます。

コンテナー化されたワークロードをサポートするため、Microsoft は、Azure Kubernetes Service (AKS) のワーカー ノード オプションとして、すべてのコンフィデンシャル VM を利用できるように取り組んでいます。お客様は、Intel SGX または AMD SEV-SNP テクノロジでご自分のコンテナーを保護できるようになりました。

Azure のメモリ暗号化および隔離オプションにより、他のどのクラウドよりも強力かつ包括的にお客様のデータを保護できます。

さまざまな業界のお客様成功事例

多くの組織が、Azure のコンフィデンシャル コンピューティングがもたらすデータのプライバシーとセキュリティに関する優れたメリットを既に活用しています。

Secure AI Labs は、Microsoft の AMD ベース仮想マシンのプライベート プレビューを使用して、ヘルスケア研究者がより簡単に医療従事者とコラボレーションして研究を進めることができるプラットフォームを構築しています。Secure AI Labs Inc.のエンジニアリング担当副社長である Luis Huapaya 氏は、次のように述べています。「Azure コンフィデンシャル コンピューティングにより、Secure AI Labs は、セキュリティを犠牲にすることなく、Azure で実行することのメリットをすべて実現することができます。Azure コンフィデンシャル コンピューティングで仮想ペイロードを実行することは、オンプレミスのプライベート サーバーで実行するよりも安全であると言えるかもしれません。またリモート構成証明も提供されており、極めて重要なセキュリティ機能です。これにより、仮想ペイロードでその ID を暗号で証明し、それがエンクレーブ内で実行されていることを検証する機能が提供されます。AMD SEV-SNP を搭載した Azure コンフィデンシャル コンピューティングは、我々の仕事を非常に楽にしてくれます。」

コンプライアンスのニーズや非常に機密性の高いデータが理由で、規制の多い業界が早期導入者となってきましたが、製造業や小売業、エネルギーなど、さまざまな産業でも関心が高まっています。

高いセキュリティとプライバシーで知られる世界的なメッセージング アプリ Signal Messenger は、Intel SGX を搭載した Azure コンフィデンシャル コンピューティングを活用して連絡先などの顧客データを保護してます。 Signal のエンジニアリング担当副社長である Jim O’Leary 氏は、次のように述べています。「毎日、何百万人もの人々のセキュリティとプライバシーに対する期待に応えるために、当社は Azure コンフィデンシャル コンピューティングを活用して、当社のサービスにスケーラブルで安全な環境を提供しています。Signal はユーザーを第一に考えており、Azure はコンフィデンシャル コンピューティングでデータ保護の最前線にいる私たちを支援してくれます。」

Microsoft は、多くの組織が Azure コンフィデンシャル コンピューティングのデータ保護により、自信を持ってより多くのワークロードを Azure に移行し、プライバシーに関するお客様のニーズを満たせるよう取り組んでまいります。

Azure コンフィデンシャル クラウド

Azure は、クラウドからエッジまで、世界にまたがるコンピューターです。あらゆる業界のあらゆる規模のお客様が、マルチクラウド、オンプレミス、エッジにまたがるアプリケーションの革新、構築、そして安全な運用を望んでいます。インターネットの Web 閲覧中にデータを保護できるよう HTTPS が普及したように、ここ Azure では、コンフィデンシャル コンピューティングがすべてのコンピューティング インフラストラクチャに必要な要素になると考えています。 

Microsoft のビジョンは、Azure クラウドを Azure コンフィデンシャル クラウドへと変換し、透明性の高いコンピューティングから、クラウドとエッジ全体でのコンフィデンシャル コンピューティングへと移行することです。Microsoft は、お客様がすべてのワークロードで最高レベルのプライバシーとセキュリティを実現できるようにしたいと考えています。

Microsoft は、今後 5 年間で 200 億ドルを投じてセキュリティ ソリューションを進化させるとともに、ハードウェア ベンダーとの提携や Microsoft 社内のイノベーションを進め、最高レベルのデータ セキュリティとプライバシーをお客様に提供していきたいと考えています。 世界をリードするコンフィデンシャル クラウドを目指して、Microsoft は Azure インフラストラクチャ全体で水平方向に、また Azure 上で動作するすべての Microsoft サービスで垂直方向に、コンフィデンシャル コンピューティングのイノベーションを推進していきます。

Azure のコンフィデンシャル コンピューティングの詳細情報をご覧ください。

最新のコンフィデンシャル オファリングについての詳細情報

• Intel SGX セキュア エンクレーブを搭載したコンフィデンシャル仮想マシン (プレビュー)。
• AMD SEV-SNP を搭載したコンフィデンシャル VM (プレビュー)。
• セキュア ブートと vTPM を備えたトラステッド起動をすべての Azure Gen 2 仮想マシンに適用し、信頼できるコードのみが VM 上で実行されることを検証。

コンフィデンシャル サービス、ツール、フレームワークを使い始める

• Azure portal で Azure Confidential Ledger のプレビューを開始。
• セキュア エンクレーブを使用する Always Encrypted。
• Azure Key Vault Managed HSM。
• Microsoft Azure Attestation。
• Confidential Consortium Framework (CCF): ブロックチェーンベースのプライベートな台帳のためのオープン ソースフレーム ワーク。
• Open Enclave: C/C++ のコード行でデータを制御するオープンソース SDK。
• ONNX Runtime: コンフィデンシャル ML のためのオープンソース フレームワーク。
• .Net アプリをアプリケーション エンクレーブに移植するための Mystikos。
• Enclave Device Blueprint: IoT エッジでのコンフィデンシャル コンピューティング。
• AKS 上の機密コンテナー。
• AKS とコンフィデンシャル コンピューティング ノード。

---

Azure。目的を持って創造する。