Aspekty zabezpečení ve službě Azure Cosmos DB
Zabezpečení dat je sdílená odpovědnost mezi vámi, zákazníkem a vaším poskytovatelem databáze. V závislosti na zvoleném poskytovateli databáze se množství odpovědnosti, kterou nesete, může lišit. Pokud zvolíte místní řešení, musíte poskytnout všechno od ochrany koncových bodů až po fyzické zabezpečení hardwaru, což není snadný úkol. Pokud zvolíte poskytovatele cloudové databáze paaS (platforma jako služba), například Azure Cosmos DB, vaše oblast zájmu se výrazně zmenší.
Další informace najdete v tématu sdílená odpovědnost v cloudu.
Kontrolní seznam
Pro porovnání databázových systémů doporučujeme následující kontrolní seznam požadavků:
- Nastavení zabezpečení sítě a brány firewall
- Ověřování uživatelů a jemně odstupňované uživatelské ovládací prvky
- Schopnost globálně replikovat data pro regionální selhání
- Možnost převzetí služeb při selhání z jednoho datacentra do druhého
- Replikace místních dat v datacentru
- Automatické zálohování dat
- Obnovení odstraněných dat ze záloh
- Schopnost chránit a izolovat citlivá data
- Monitorování útoků
- Integrované odpovědi na útoky
- Schopnost geograficky ohraničení dat dodržovat omezení zásad správného řízení dat
- Fyzická ochrana serverů v chráněných datacentrech
- Certifikace
I když to může vypadat jako běžné, nedávné rozsáhlé porušení zabezpečení databáze nám připomíná jednoduchou, ale kritickou důležitost následujících požadavků:
- Opravené servery, které jsou aktuální
- Šifrování HTTPS ve výchozím nastavení/TLS
- Účty pro správu se silnými hesly
Jak Azure Cosmos DB zabezpečuje databázi?
Azure Cosmos DB ve výchozím nastavení zabezpečuje vaši databázi s mnoha integrovanými funkcemi pro službu a Azure ve velkém.
| Požadavek na zabezpečení | Přístup k zabezpečení služby Azure Cosmos DB |
|---|---|
| Zabezpečení sítě | Použití brány firewall protokolu IP je první vrstva ochrany pro zabezpečení databáze. Azure Cosmos DB podporuje řízení přístupu na základě IP adres na základě zásad pro podporu příchozí brány firewall. Řízení přístupu na základě PROTOKOLU IP se podobá pravidlům brány firewall používaným tradičními databázovými systémy. Rozšíří se ale tak, aby účet databáze Azure Cosmos DB byl přístupný jenom ze schválené sady počítačů nebo cloudových služeb. Další informace najdete v tématu Podpora brány firewall služby Azure Cosmos DB. Ve službě Azure Cosmos DB můžete povolit konkrétní IP adresu (168.61.48.0), rozsah IP adres (168.61.48.0/8) a kombinace IP adres a rozsahů. Azure Cosmos DB blokuje všechny požadavky pocházející z počítačů mimo tento povolený seznam. Žádosti ze schválených počítačů a cloudových služeb pak musí dokončit proces ověřování, aby byl udělen řízení přístupu k prostředkům. Značky služeb virtuální sítě můžete použít k zajištění izolace sítě a ochraně prostředků služby Azure Cosmos DB před obecným internetem. Značky služeb můžete používat místo konkrétních IP adres při vytváření pravidel zabezpečení. Zadáním názvu značky služby (například AzureCosmosDB) do příslušného zdrojového nebo cílového pole pravidla můžete povolit nebo odepřít provoz pro příslušnou službu. |
| Autorizace | Azure Cosmos DB k autorizaci používá kód ověřování zpráv založený na hodnotě hash (HMAC). Každý požadavek je hashován pomocí tajného klíče účtu a následné zakódované hodnoty hash base-64 se odešle s každým voláním služby Azure Cosmos DB. K ověření požadavku azure Cosmos DB použije ke generování hodnoty hash správný tajný klíč a vlastnosti a pak porovná hodnotu s hodnotou v požadavku. Pokud se obě hodnoty shodují, operace se úspěšně autorizovala a požadavek se zpracuje. Pokud se neshodují, dojde k selhání autorizace a žádost se odmítne. Můžete použít primární klíč, který umožňuje jemně odstupňovaný přístup k prostředku, jako je dokument. Další informace najdete v tématu Zabezpečení přístupu k prostředkům azure Cosmos DB. |
| Uživatelé a oprávnění | Pomocí primárního klíče pro účet můžete vytvořit prostředky uživatelů a prostředky oprávnění pro každou databázi. Token prostředku je přidružený k oprávněním v databázi a určuje, jestli má uživatel přístup (jen pro čtení, jen pro čtení nebo žádný přístup) k prostředku aplikace v databázi. Prostředky aplikací zahrnují kontejnery, dokumenty, přílohy, uložené procedury, triggery a uživatelem definované funkce (UDF). Token prostředku se pak použije během ověřování k poskytnutí nebo odepření přístupu k prostředku. Další informace najdete v tématu Zabezpečení přístupu k prostředkům azure Cosmos DB. |
| Integrace služby Active Directory (řízení přístupu na základě role v Azure) | Můžete také poskytnout nebo omezit přístup k účtu, databázi, kontejneru a nabídkám služby Azure Cosmos DB pomocí řízení přístupu (IAM) na webu Azure Portal. IAM poskytuje řízení přístupu na základě role a integruje se se službou Active Directory. Můžete použít předdefinované role nebo vlastní role pro jednotlivce a skupiny. |
| Globální replikace | Azure Cosmos DB nabízí globální distribuci na klíč, která umožňuje replikovat data do libovolného celosvětového datacentra Azure na klíč. Globální replikace umožňuje škálovat globálně a poskytovat přístup k datům po celém světě s nízkou latencí. V kontextu zabezpečení zajišťuje globální replikace ochranu dat před regionálními selháními. Další informace najdete v tématu Globální distribuce dat. |
| Místní převzetí služeb při selhání | Pokud replikujete data ve více než jednom datacentru, Azure Cosmos DB automaticky převrací vaše operace, pokud regionální datové centrum přejde do režimu offline. Seznam oblastí převzetí služeb při selhání s prioritou můžete vytvořit pomocí oblastí, ve kterých se vaše data replikují. Další informace najdete v tématu Regionální převzetí služeb při selhání ve službě Azure Cosmos DB. |
| Místní replikace | I v rámci jednoho datacentra azure Cosmos DB automaticky replikuje data pro zajištění vysoké dostupnosti a poskytuje výběr úrovní konzistence. Tato replikace zaručuje 99,99% smlouvu o úrovni služeb (SLA) pro všechny účty jedné oblasti a všechny účty s více oblastmi s uvolněnou konzistencí a 99,999% dostupnost čtení u všech účtů databáze s více oblastmi. |
| Automatizované online zálohy | Databáze Azure Cosmos DB se pravidelně zálohují a ukládají v geograficky redundantním úložišti. Další informace najdete v tématu Automatické online zálohování a obnovení ve službě Azure Cosmos DB. |
| Obnovení odstraněných dat | Automatizované online zálohy můžete použít k náhodnému obnovení dat až přibližně 30 dnů od události. Další informace najdete v tématu Automatické online zálohování a obnovení ve službě Azure Cosmos DB. |
| Ochrana a izolace citlivých dat | Všechna data v oblastech uvedených v části Co je nového? je teď zašifrovaný v klidovém stavu. Osobní údaje a další důvěrné údaje je možné izolovat s konkrétními kontejnery a zápisem pro čtení nebo přístup jen pro čtení může být omezený na konkrétní uživatele. |
| Monitorování útoků | Pomocí protokolování auditu a protokolů aktivit můžete monitorovat svůj účet za normální a neobvyklou aktivitu. Můžete zobrazit, jaké operace byly provedeny s vašimi prostředky. Tato data zahrnují, kdo operaci zahájil, kdy k operaci došlo, stav operace a mnoho dalšího. |
| Reakce na útoky | Jakmile kontaktujete podpora Azure a nahlásíte potenciální útok, zahájí se proces reakce na incidenty s pěti kroky. Cílem je obnovit normální zabezpečení a provoz služeb. Proces obnoví služby co nejrychleji po zjištění problému a spustí se šetření. Další informace najdete v tématu Reakce na zabezpečení Microsoft Azure v cloudu. |
| Geografické ohraničení | Azure Cosmos DB zajišťuje zásady správného řízení dat pro suverénní oblasti (například Německo, Čína a státní správa USA). |
| Chráněná zařízení | Data ve službě Azure Cosmos DB se ukládají na jednotky SSD v datacentrech chráněných Azure. Další informace najdete v globálních datacentrech Microsoftu. |
| Šifrování HTTPS a TLS | Všechna připojení ke službě Azure Cosmos DB podporují HTTPS. Azure Cosmos DB podporuje úrovně TLS (Transport Layer Security) až 1.2 (včetně). Na straně serveru je možné vynutit minimální úroveň protokolu TLS. Postup najdete v samoobslužné příručce samoobslužného vynucení minimální verze protokolu TLS ve službě Azure Cosmos DB. |
| Šifrování neaktivních uložených dat | Všechna data uložená ve službě Azure Cosmos DB se šifrují v klidovém stavu. Další informace najdete v šifrování neaktivních uložených dat ve službě Azure Cosmos DB. |
| Opravené servery | Jako spravovaná databáze azure Cosmos DB automaticky opravuje a spravuje server vaším jménem a eliminuje potřebu ručních úloh údržby. |
| Účty pro správu se silnými hesly | Ve službě Azure Cosmos DB není možné mít účet pro správu bez hesla. Zabezpečení prostřednictvím ověřování založeného na tajných klíčích TLS a HMAC se ve výchozím nastavení zapečuje. |
| Certifikace zabezpečení a ochrany dat | Nejnovější seznam certifikací najdete v tématu Dodržování předpisů Azure a nejnovější dokument dodržování předpisů Azure se všemi certifikacemi Azure, včetně azure Cosmos DB. |