Sdílet prostřednictvím

Přístupy k architektuře pro zásady správného řízení a dodržování předpisů ve víceklientských řešeních

  • Článek

Jak vaše využívání Azure dospívá, je důležité zvážit správu vašich cloudových prostředků. Zásady správného řízení zahrnují ukládání a správu dat tenantů a způsob uspořádání prostředků Azure. Možná budete také muset dodržovat zákonné, právní nebo smluvně pověřené standardy. Tento článek obsahuje informace o tom, jak zvážit zásady správného řízení a dodržování předpisů v víceklientských řešeních. Navrhuje také některé klíčové funkce platformy Azure, které tyto obavy podporují.

Klíčové aspekty a požadavky

Izolace prostředků

Ujistěte se, že prostředky Azure nakonfigurujete tak, aby splňovaly požadavky na izolaci tenantů. Pokyny k izolování prostředků Azure naleznete v části Organizace prostředků Azure v řešeních s více tenanty.

Řízení dat

Při ukládání dat jménem vašich tenantů můžete mít požadavky nebo povinnosti, které potřebujete splnit. Z pohledu tenanta často očekávají vlastnictví a kontrolu nad jejich daty. Zvažte, jak izolovat, ukládat, přistupovat k datům tenantů a agregovat je. Objevte očekávání a požadavky tenantů, které by mohly ovlivnit fungování vašeho řešení.

Izolace

Projděte si přístupy k architektuře pro ukládání a data ve víceklientských řešeních, abyste pochopili, jak izolovat data tenantů. Zvažte, jestli mají tenanti požadavky na použití vlastních šifrovacích klíčů dat.

Bez ohledu na to, jaké přístupy k izolaci implementujete, připravte se na tenanty, aby požádali o audit jejich dat. Je vhodné zdokumentovat všechna úložiště dat, ve kterých se můžou uchovávat data tenantů. Mezi běžné zdroje dat patří:

  • Databáze a účty úložiště nasazené jako součást vašeho řešení
  • Systémy identit, které se často sdílejí mezi tenanty.
  • Záznamy.
  • Datové sklady.

Svrchovanost

Zjistěte, jestli existují nějaká omezení fyzického umístění dat tenantů, která se mají ukládat nebo zpracovávat. Vaši tenanti můžou vyžadovat, abyste svá data ukládali do konkrétních geografických umístění. Můžou také vyžadovat, abyste neukládali data na určitých místech. I když jsou tyto požadavky běžně založené na právních předpisech, mohou být také založeny na kulturních hodnotách a normách.

Další informace o rezidenci dat a suverenitě najdete v dokumentu white paper Povolení rezidence dat a ochrany dat v oblastech Microsoft Azure.

Přístup tenantů k uloženým datům

Tenanti někdy požadují přímý přístup k datům, která ukládáte jejich jménem. Mohou například chtít ingestovat svá data do vlastního datového jezera.

Naplánujte, jak budete na tyto žádosti reagovat. Zvažte, jestli se některá z dat tenantů uchovává ve sdílených úložištích dat. Pokud ano, naplánujte, jak se vyhnout tenantům, kteří přistupují k datům jiných tenantů.

Pokud to nebylo zamýšleno, například použitím vzoru Valet Key, vyhněte se poskytování přímého přístupu k databázím nebo účtům úložiště. Zvažte vytvoření rozhraní API nebo automatizovaného procesu exportu dat pro účely integrace.

Další informace o integraci se systémy tenantů a externích systémech najdete v tématu Přístupy architektury pro integraci klientů a přístup k datům.

Váš přístup k datům tenantů

Zvažte, jestli požadavky vašich tenantů omezují pracovníky, kteří můžou pracovat se svými daty nebo prostředky. Předpokládejme například, že vytvoříte řešení SaaS, které používá mnoho různých zákazníků. Vládní agentura může vyžadovat, aby přístup k infrastruktuře a datům pro své řešení měli přístup jenom občané své země/oblasti. Tento požadavek můžete splnit pomocí samostatných skupin prostředků Azure, předplatných nebo skupin pro správu pro citlivé úlohy zákazníků. Přiřazení rolí na základě role (RBAC) v Azure můžete použít pro konkrétní skupiny uživatelů, kteří s těmito prostředky pracují.

Agregace dat z více tenantů

Zvažte, jestli potřebujete kombinovat nebo agregovat data z více tenantů. Analyzujete například agregovaná data nebo vytrénujete modely strojového učení, které je možné použít u jiných tenantů? Ujistěte se, že vaši tenanti rozumí způsobům, kterými používáte jejich data. Zahrňte jakékoli použití agregovaných nebo anonymizovaných dat.

Požadavky na dodržování předpisů

Je důležité pochopit, jestli potřebujete splnit nějaké standardy dodržování předpisů. Požadavky na dodržování předpisů mohou být zavedeny v několika situacích, mezi které patří:

  • Vy nebo kterýkoli z vašich tenantů pracujete v určitých odvětvích. Pokud například některý z vašich tenantů pracuje ve zdravotnictví, budete možná muset dodržovat standard HIPAA.
  • Vy nebo kterýkoli z vašich tenantů se nacházíte v geografických nebo geopolitických oblastech, které vyžadují dodržování místních zákonů. Pokud se například některý z vašich tenantů nachází v Evropě, možná budete muset dodržovat obecné nařízení o ochraně osobních údajů (GDPR).
  • Zakoupíte si kybernetické pojištění, které zmírní riziko narušení bezpečnosti. Poskytovatelé kybernetického zajištění můžou vyžadovat, abyste dodržovali své standardy a použili konkrétní kontroly, aby vaše zásady byly platné.

Důležitý

Dodržování předpisů je sdílená odpovědnost mezi Microsoftem, vámi a vašimi tenanty.

Microsoft zajišťuje, aby naše služby splňovaly určitou sadu standardů dodržování předpisů, a poskytuje nástroje, jako je Microsoft Defender for Cloud, které pomáhají ověřit, jestli jsou vaše prostředky nakonfigurované podle těchto standardů.

V konečném důsledku je ale vaší zodpovědností plně porozumět požadavkům na dodržování předpisů, které se vztahují na vaše řešení, a jak nakonfigurovat prostředky Azure podle těchto standardů. Další podrobnosti najdete v nabídkách dodržování předpisů Azure.

Tento článek neobsahuje konkrétní pokyny k tomu, jak se stát kompatibilním s konkrétními standardy. Místo toho poskytuje několik obecných pokynů k tomu, jak zvážit dodržování předpisů a zásady správného řízení ve víceklientských řešeních.

Pokud potřebujete, aby různí tenanti dodržovali různé standardy dodržování předpisů, naplánujte dodržování nejnovějších standardů v celém prostředí. Je jednodušší dodržovat jednu striktní normu konzistentně, než dodržovat různé standardy pro různé tenanty.

Přístupy a vzory, které je potřeba zvážit

Značky prostředků

Pomocí značek prostředků sledujte identifikátor nájemce pro prostředky specifické pro nájemce nebo identifikátor razítka při škálování pomocí vzoru Deployment Stamps . Pomocí provozních značek můžete rychle identifikovat prostředky, které jsou přidružené ke konkrétním nájemcům nebo známkám.

Řízení přístupu

Pomocí Azure RBAC omezte přístup k prostředkům Azure, které představují víceklientové řešení. Postupujte podle osvědčených postupů RBAC , jako je použití přiřazení rolí u skupin místo uživatelů. Nastavte rozsah přiřazení rolí tak, aby poskytovaly minimální potřebná oprávnění. Vyhněte se dlouhodobému přístupu k prostředkům pomocí přístupu just-in-time a funkcí, jako je Microsoft Entra ID Privileged Access Management.

Graf zdrojů Azure

Azure Resource Graph umožňuje pracovat s metadaty prostředků Azure. Pomocí Resource Graphu se můžete dotazovat na velký počet prostředků Azure, i když jsou rozložené mezi více předplatných. Resource Graph se může dotazovat na prostředky určitého typu nebo identifikovat prostředky, které byly nakonfigurované určitými způsoby. Dá se také použít ke sledování historie konfigurace prostředku.

Resource Graph může být užitečný ke správě velkých aktiv Azure. Předpokládejme například, že nasadíte prostředky Azure specifické pro tenanta napříč několika předplatnými Azure. Když použijete značky na prostředky, můžete pomocí rozhraní Resource Graph API najít prostředky, které používají konkrétní tenanti nebo razítka nasazení.

Microsoft Purview

Zvažte použití Microsoft Purview ke sledování a klasifikaci uložených dat. Když tenanti požadují přístup ke svým datům, můžete snadno určit zdroje dat, které byste měli zahrnout.

Ověření dodržování standardů

Používejte nástroje, jako je Azure Policy, portál dodržování právních předpisů v programu Microsoft Defender for Clouda azure Advisor. Tyto nástroje vám pomůžou nakonfigurovat prostředky Azure tak, aby splňovaly požadavky na dodržování předpisů a dodržovaly doporučené osvědčené postupy.

Generování dokumentace k dodržování předpisů

Vaši tenanti můžou vyžadovat, abyste si ukázali dodržování konkrétních standardů. Pomocí portálu Service Trust Portal vygenerujte dokumentaci k dodržování předpisů, kterou můžete poskytnout svým tenantům nebo auditorům třetích stran.

Některá víceklientová řešení zahrnují Microsoft 365 a používají služby, jako je Microsoft OneDrive, Microsoft SharePoint a Microsoft Exchange Online. Portál pro dodržování předpisů Microsoft Purview vám pomůže pochopit, jak tyto služby vyhovují zákonným standardům.

Model razítka nasazení

Pokud potřebujete splnit požadavky specifické pro tenanta, zvažte použití vzoru razítka nasazení.

Můžete například nasadit razítka vašeho řešení do několika oblastí Azure. Potom můžete novým tenantům přiřadit razítka na základě oblastí, ve kterých potřebují mít svá data.

Podobně může nový tenant zavést přísné požadavky na dodržování předpisů, které nemůžete splnit v rámci stávajících komponent řešení. Můžete zvážit nasazení vyhrazeného razítka pro daného tenanta a jeho konfiguraci podle jejich požadavků.

Antipatterny, kterým je třeba se vyhnout

  • Nechápat požadavky na dodržování vašich nájemníků. Je důležité, abyste nepředpokládá požadavky na dodržování předpisů, které můžou tenanti uplatňovat. Pokud plánujete rozšířit své řešení na nové trhy, mějte na paměti regulační prostředí, ve kterém budou vaši tenanti pravděpodobně fungovat.
  • Ignorování osvědčených postupů Pokud nemáte žádnou okamžitou potřebu dodržovat standardy dodržování předpisů, měli byste při nasazování prostředků Azure postupovat podle osvědčených postupů. Můžete například izolovat prostředky, použít zásady pro ověření konfigurace prostředků a použít přiřazení rolí pro skupiny místo uživatelů. Když budete postupovat podle osvědčených postupů, zjednodušíte dodržování standardů dodržování předpisů, když to nakonec budete potřebovat.
  • Za předpokladu, že neexistují žádné požadavky na dodržování předpisů. Při prvním spuštění víceklientských řešení možná nebudete vědět o požadavcích na dodržování předpisů nebo nebudete muset postupovat podle žádných požadavků. Při růstu budete pravděpodobně muset poskytnout důkaz, že dodržujete různé standardy. Pomocí Microsoft Defender for Cloud můžete monitorovat stav dodržování předpisů podle obecného základu, jako je CIS Microsoft Foundations Benchmark, a to dokonce i předtím, než na to budete mít explicitní požadavek.
  • Neplánování správy. Při nasazování prostředků Azure zvažte, jak je plánujete spravovat. Pokud potřebujete provádět hromadné aktualizace prostředků, ujistěte se, že máte přehled o nástrojích pro automatizaci, jako jsou Azure CLI, Azure PowerShell, Azure Resource Graph a rozhraní API Azure Resource Manageru.
  • Nepoužívají se skupiny pro správu. Naplánujte hierarchii předplatných a skupin pro správu, včetně řízení přístupu a prostředků Azure Policy v každém oboru. Pokud jsou vaše zdroje využívány v produkčním prostředí, může být obtížné a rušivé představovat nebo měnit tyto prvky.
  • Opomenout naplánovat strategii řízení přístupu. Azure RBAC poskytuje vysoký stupeň kontroly a flexibility při správě přístupu k vašim prostředkům. Ujistěte se, že používáte skupiny Microsoft Entra, abyste se vyhnuli přiřazování oprávnění jednotlivým uživatelům. Přiřaďte role v oborech, které poskytují odpovídající rovnováhu mezi zabezpečením a flexibilitou. Používejte předdefinované definice rolí všude, kde je to možné, a přiřaďte role, které poskytují minimální požadovaná oprávnění.
  • Nepoužívá se Služba Azure Policy. K řízení prostředí Azure je důležité použít Azure Policy. Po naplánování a nasazení zásad se ujistěte, že monitorujete dodržování zásad, a pečlivě zkontrolujte všechna porušení nebo výjimky.

Přispěvatelé

Tento článek spravuje Microsoft. Původně byla napsána následujícími přispěvateli.

Hlavní autor:

Další přispěvatelé:

Pokud chcete zobrazit neveřejné profily LinkedIn, přihlaste se na LinkedIn.

Další kroky

Projděte si přístupy ke správě nákladů a přidělování.