Azure データベースのための Azure 機密コンピューティング (PostgreSQL 向け)

Azure Confidential Computing (ACC) は、個人データや保護対象の健康情報 (PHI) などの機密データを安全に処理・共有するための機能を組織に提供します。 ACC は、Trusted Execution Environment (TEE) を通じて使用中のデータを保護することで、不正アクセスに対する組み込みの保護機能を提供します。 この保護により、組織の境界を越えてセキュリティで保護されたリアルタイム分析とコラボレーション機械学習が可能になります。

アーキテクチャの概要

Azure Database for PostgreSQL は、CPU に内蔵されたハードウェアベースの分離メモリ領域である Trusted Execution Environment (TEE) を活用し、Azure Confidential Computing に対応しています。 オペレーティング システム、ハイパーバイザー、およびその他のアプリケーションは、TEE 内で処理されたデータにアクセスできません。

• コードは TEE 内では平文で実行されますが、エンクレーブの外では暗号化された状態が維持されます。
• データは保存時、転送時、使用時に暗号化されます。
• オペレーティング システム、ハイパーバイザー、およびその他のアプリケーションは、保護されたデータにアクセスできません。

Processors

Azure Database for PostgreSQL で Azure Confidential Computing を有効にするには、新しいサーバーの作成時にサポートされている機密仮想マシン (VM) SKU を選択します。 AMD SEV-SNP プロセッサのみがサポートされています。

仮想マシン SKU

Azure Database for PostgreSQL の Azure Confidential Computing (ACC) をサポートする SKU は次のとおりです。

デプロイメント

AZURE portal、Azure CLI、ARM テンプレート、Bicep、Terraform、Azure PowerShell、REST API など、さまざまな方法を使用して、ACC を使用して Azure Database for PostgreSQL をデプロイできます。

この例では、Azure portal を使用します。

以下の手順に従って、Azure Database for PostgreSQL サーバーをデプロイしてください。

1. リージョンとして [アラブ首長国連邦北部] を選択してください。

   

2. [コンピューティングとストレージ] の下にある [サーバーの構成] を選択してください。

   

3. [コンピューティングとストレージ] タブで、[コンピューティング レベル] と [コンピューティング プロセッサ] を選択してください。

   

4. [コンピューティング サイズ] を選択し、[機密コンピューティング SKU] とニーズに応じたサイズを選択してください。

   

5. サーバーをデプロイします。

Compare

Azure Confidential Compute 仮想マシンと Azure Confidential Computing を比較してみましょう。

制限事項と考慮事項

運用環境にデプロイする前に、制限事項を慎重に評価してください。

• コンフィデンシャル コンピューティングは、アラブ首長国連邦北部リージョンと西ヨーロッパ リージョンでのみ利用できます。
• AMD SEV-SNP プロセッサのみがサポートされています。 Intel TDX プロセッサは現在、Azure Database for PostgreSQL と互換性がありません。
• 非コンフィデンシャル コンピューティング バージョンから機密バージョンへのポイントインタイム リストア (PITR) は許可されません。

関連コンテンツ

• Azure Confidential Computing
• Azure 機密 VM オプション