Freigeben über

Architekturansätze für Governance und Compliance in Multitenant-Lösungen

  • Artikel

Mit zunehmend versierter Nutzung von Azure ist es wichtig, die Governance Ihrer Cloudressourcen zu berücksichtigen. Governance umfasst, wie die Daten von Mandanten gespeichert und verwaltet werden und wie Sie Ihre Azure-Ressourcen organisieren. Möglicherweise müssen Sie auch behördlichen, rechtlichen oder vertraglich vorgeschriebenen Standards folgen. Dieser Artikel enthält Informationen dazu, wie Sie Governance und Compliance in einer mehrinstanzenübergreifenden Lösung berücksichtigen. Es schlägt auch einige der wichtigsten Azure-Plattformfeatures vor, die diese Bedenken unterstützen.

Wichtige Überlegungen und Anforderungen

Ressourcenisolation

Stellen Sie sicher, dass Sie Ihre Azure-Ressourcen so konfigurieren, dass sie die Isolationsanforderungen Ihrer Mandanten erfüllen. Anleitungen zum Isolieren Ihrer Azure-Ressourcen finden Sie in Azure-Ressourcenorganisation in multitenant-Lösungen.

Datenmanagement

Wenn Sie Daten im Namen Ihrer Mandanten speichern, haben Sie möglicherweise Anforderungen oder Verpflichtungen, die Sie erfüllen müssen. Aus der Perspektive eines Mieters erwarten diese oft den Besitz und die Kontrolle über ihre Daten. Überlegen Sie, wie Sie die Daten von Mandanten isolieren, speichern, darauf zugreifen und aggregieren können. Entdecken Sie die Erwartungen und Anforderungen von Mandanten, die sich auf die Funktionsweise Ihrer Lösung auswirken könnten.

Isolation

Sehen Sie sich Architekturansätze für Speicherung und Daten in mehrinstanzenfähigen Lösungen an, um zu verstehen, wie Sie Daten von Mandanten isolieren können. Überlegen Sie, ob Mandanten über Anforderungen für die Verwendung ihrer eigenen Datenverschlüsselungsschlüssel verfügen.

Unabhängig davon, welche Isolationsansätze Sie implementieren, sind Sie darauf vorbereitet, dass Mandanten eine Überwachung ihrer Daten anfordern. Es empfiehlt sich, alle Datenspeicher zu dokumentieren, in denen die Daten der Mandanten gespeichert werden können. Zu den gängigen Datenquellen gehören:

  • Datenbanken und Speicherkonten, die als Teil Ihrer Lösung bereitgestellt werden.
  • Identitätssysteme, die häufig von Mandanten gemeinsam genutzt werden.
  • Protokolle.
  • Data Warehouses.

Souveränität

Ermitteln Sie, ob es Einschränkungen für den physischen Standort der Daten Ihrer Mandanten gibt, die gespeichert oder verarbeitet werden. Ihre Mandanten erfordern möglicherweise, dass Sie ihre Daten an bestimmten geografischen Standorten speichern. Sie können auch verlangen, dass Sie ihre Daten an bestimmten Orten nicht speichern. Obwohl diese Anforderungen häufig auf Rechtsvorschriften basieren, können sie auch auf kulturellen Werten und Normen basieren.

Weitere Informationen zu Datenresidenz und Datenhoheit finden Sie im Whitepaper Aktivieren von Datenresidenz und Datenschutz in Microsoft Azure-Regionen.

Mieterzugriff auf die Daten, die Sie speichern

Mandanten fordern manchmal direkten Zugriff auf die Daten an, die Sie in ihrem Auftrag speichern. Beispielsweise kann es sein, dass sie ihre Daten in ihrem eigenen Data Lake erfassen möchten.

Planen Sie, wie Sie auf diese Anforderungen reagieren. Überlegen Sie, ob Daten der Mandanten in gemeinsam genutzten Datenspeichern gespeichert sind. Wenn dies der Fall ist, planen Sie, wie Sie vermeiden, dass Mieter auf die Daten anderer Mieter zugreifen.

Vermeiden Sie, direkten Zugriff auf Datenbanken oder Speicherkonten bereitzustellen, es sei denn, Sie haben diese Anforderung im Entwurf berücksichtigt, z. B. mithilfe des Valetschlüsselmusters. Erwägen Sie das Erstellen einer API oder eines automatisierten Datenexportprozesses für Integrationszwecke.

Weitere Informationen zur Integration in Mandantensysteme und externe Systeme finden Sie unter Architekturansätze für Mandantenintegration und Datenzugriff.

Ihr Zugriff auf Daten von Mandanten

Überlegen Sie, ob die Anforderungen Ihrer Mandanten die Mitarbeiter einschränken, die mit ihren Daten oder Ressourcen arbeiten können. Angenommen, Sie erstellen eine SaaS-Lösung, die von vielen verschiedenen Kunden verwendet wird. Eine Regierungsbehörde kann verlangen, dass nur Bürger ihres Landes/ihrer Region auf die Infrastruktur und die Daten für ihre Lösung zugreifen dürfen. Sie können diese Anforderung erfüllen, indem Sie separate Azure-Ressourcengruppen, -Abonnements oder -Verwaltungsgruppen für vertrauliche Kundenworkloads verwenden. Sie können RBAC-Rollenzuweisungen (Role-Based Access Control, rollenbasierte Zugriffssteuerung) in Azure mit eng begrenzter Gültigkeit auf bestimmte Benutzergruppen anwenden, die mit diesen Ressourcen arbeiten sollen.

Aggregation von Daten von mehreren Mandanten

Überlegen Sie, ob Sie Daten von mehreren Mandanten kombinieren oder aggregieren müssen. Analysieren Sie beispielsweise die aggregierten Daten, oder trainieren Sie Machine Learning-Modelle, die auf andere Mandanten angewendet werden könnten? Stellen Sie sicher, dass Ihre Mieter die Weise kennen, wie Sie ihre Daten verwenden. Schließen Sie eine beliebige Verwendung aggregierter oder anonymisierter Daten ein.

Complianceanforderungen

Es ist wichtig, dass Sie wissen, ob Sie irgendwelche Compliance-Standards erfüllen müssen. Complianceanforderungen können in mehreren Situationen eingeführt werden, darunter:

  • Sie oder einer Ihrer Mieter arbeiten in bestimmten Branchen. Wenn beispielsweise einer Ihrer Mandanten in der Gesundheitsbranche arbeitet, müssen Sie möglicherweise den HIPAA-Standard einhalten.
  • Sie oder eines Ihrer Mandanten befinden sich in geografischen oder geopolitischen Regionen, die die Einhaltung lokaler Gesetze erfordern. Wenn sich beispielsweise einer Ihrer Mandanten in Europa befindet, müssen Sie möglicherweise die Datenschutz-Grundverordnung (DSGVO) einhalten.
  • Sie kaufen eine Cyber-Versicherungspolice, um das Risiko von Datenverletzungen zu mindern. Cyberinsurance-Anbieter erfordern möglicherweise, dass Sie ihre Standards einhalten und bestimmte Kontrollen anwenden, damit Ihre Richtlinie gültig ist.

Wichtig

Compliance ist eine gemeinsame Verantwortung zwischen Microsoft, Ihnen und Ihren Mandanten.

Microsoft stellt sicher, dass unsere Dienste einer bestimmten Reihe von Compliancestandards entsprechen, und stellt Tools wie Microsoft Defender für Cloud- bereit, mit denen Sie sicherstellen können, dass Ihre Ressourcen entsprechend diesen Standards konfiguriert sind.

Letztendlich liegt es jedoch in Ihrer Verantwortung, die Complianceanforderungen, die für Ihre Lösung gelten, vollständig zu verstehen und wie Sie Ihre Azure-Ressourcen entsprechend diesen Standards konfigurieren. Weitere Details finden Sie unter Azure Compliance-Lösungen.

Dieser Artikel enthält keine spezifischen Anleitungen zur Einhaltung bestimmter Standards. Stattdessen enthält es einige allgemeine Anleitungen zum Berücksichtigen von Compliance und Governance in einer multitenanten Lösung.

Wenn verschiedene Mandanten unterschiedliche Compliancestandards einhalten müssen, planen Sie die Einhaltung des strengsten Standards in Ihrer gesamten Umgebung ein. Es ist einfacher, einen strengen Standard konsistent zu befolgen, als unterschiedliche Standards für verschiedene Mandanten zu befolgen.

Zu berücksichtigende Ansätze und Muster

Ressourcentags

Verwenden Sie Ressourcentags zum Nachverfolgen des Mandantenbezeichners für mandantenspezifische Ressourcen oder des Stempelbezeichners beim Skalieren mithilfe des Bereitstellungsstempelmusters. Mithilfe von Ressourcentags können Sie Ressourcen schnell identifizieren, die bestimmten Mandanten oder Skalierungseinheiten zugeordnet sind.

Zugriffskontrolle

Verwenden Sie Azure RBAC, um den Zugriff auf die Azure-Ressourcen zu beschränken, aus denen die mehrinstanzenfähige Lösung besteht. Befolgen Sie die bewährten RBAC-Methoden, z. B. das Anwenden von Rollenzuweisungen auf Gruppen anstelle von Benutzern. Legen Sie den Gültigkeitsbereich Ihrer Rollenzuweisungen so fest, dass sie die nur die notwendigen Mindestberechtigungen bereitstellen. Vermeiden Sie den langfristigen Zugriff auf Ressourcen, indem Sie Just-In-Time-Zugriff und Features wie Microsoft Entra ID Privileged Access Management verwenden.

Azure Resource Graph

mit Azure Resource Graph können Sie mit Azure-Ressourcenmetadaten arbeiten. Mithilfe von Resource Graph können Sie eine Große Anzahl von Azure-Ressourcen abfragen, auch wenn sie über mehrere Abonnements verteilt sind. Ressourcendiagramm kann die Ressourcen eines bestimmten Typs abfragen oder Ressourcen identifizieren, die auf bestimmte Weise konfiguriert wurden. Sie kann auch verwendet werden, um den Verlauf der Konfiguration einer Ressource nachzuverfolgen.

Resource Graph kann hilfreich sein, um große Azure-Umgebungen zu verwalten. Angenommen, Sie stellen mandantenspezifische Azure-Ressourcen in mehreren Azure-Abonnements bereit. Durch die Anwendung von Tags auf Ihre Ressourcen können Sie die Resource Graph-API verwenden, um Ressourcen aufzufinden, die von bestimmten Mandanten oder Bereitstellungsstempeln verwendet werden.

Microsoft Purview

Erwägen Sie die Verwendung von Microsoft Purview zum Nachverfolgen und Klassifizieren der von Ihnen gespeicherten Daten. Wenn Mandanten den Zugriff auf ihre Daten anfordern, können Sie ganz einfach die Datenquellen ermitteln, die Sie einbeziehen sollten.

Überprüfung der Einhaltung von Standards

Verwenden Sie Tools wie Azure Policy, Microsoft Defender für Clouds Compliance-Portalund Azure Advisor. Diese Tools helfen Ihnen, Ihre Azure-Ressourcen so zu konfigurieren, dass sie Complianceanforderungen erfüllen und die empfohlenen bewährten Methoden befolgen.

Compliance-Dokumentation erstellen

Ihre Mandanten erfordern möglicherweise, dass Sie Ihre Einhaltung bestimmter Standards nachweisen. Verwenden Sie das Service Trust Portal, um Compliancedokumentation zu generieren, die Sie Ihren Mandanten oder Drittanbieterprüfern bereitstellen können.

Einige multiinstanzenfähige Lösungen enthalten Microsoft 365 und verwenden Dienste wie Microsoft OneDrive, Microsoft SharePoint und Microsoft Exchange Online. Das Microsoft Purview Compliance-Portal hilft Ihnen zu verstehen, wie diese Dienste gesetzlichen Standards entsprechen.

Muster mit Bereitstellungsstempeln

Erwägen Sie, das Bereitstellungsstempelmuster zu befolgen, wenn Sie mandantenspezifische Anforderungen erfüllen müssen.

Sie können beispielsweise Stempel Ihrer Lösung in mehreren Azure-Regionen bereitstellen. Anschließend können Sie Stempeln neue Mandanten zuweisen, basierend auf den Regionen, in denen sich ihre Daten befinden müssen.

Ebenso kann ein neuer Mandant strenge Complianceanforderungen einführen, die Sie nicht innerhalb Ihrer vorhandenen Lösungskomponenten erfüllen können. Sie können erwägen, einen dedizierten Stempel für diesen Mandanten bereitzustellen und diesen dann entsprechend seinen Anforderungen zu konfigurieren.

Zu vermeide Antimuster

  • Das Nichtverstehen der Compliance-Anforderungen Ihrer Mieter. Es ist wichtig, keine Annahmen über die Anforderungen an die Compliance zu treffen, die Ihre Mandanten möglicherweise auferlegen könnten. Wenn Sie beabsichtigen, Ihre Lösung auf neue Märkte zu erweitern, achten Sie auf die regulatorische Umgebung, in der Ihre Mieter wahrscheinlich arbeiten.
  • Bewährte Methoden ignorieren. Wenn Sie keine sofortige Notwendigkeit haben, Compliancestandards einzuhalten, sollten Sie beim Bereitstellen Ihrer Azure-Ressourcen weiterhin bewährte Methoden befolgen. Isolieren Sie beispielsweise Ihre Ressourcen, wenden Sie Richtlinien an, um die Ressourcenkonfiguration zu überprüfen, und wenden Sie Rollenzuweisungen anstelle von Benutzern auf Gruppen an. Wenn Sie bewährte Methoden befolgen, vereinfachen Sie die Einhaltung von Compliancestandards, wenn Sie dies letztendlich tun müssen.
  • Vorausgesetzt, es gibt keine Complianceanforderungen. Wenn Sie eine Mehrinstanzenlösung zum ersten Mal starten, sind Sie sich möglicherweise nicht über die Compliance-Anforderungen im Klaren, oder Sie müssen keine befolgen. Während Sie wachsen, müssen Sie wahrscheinlich Nachweise erbringen, dass Sie verschiedene Standards einhalten. Verwenden Sie Microsoft Defender für Cloud, um Ihren Compliance-Status anhand eines allgemeinen Referenzwerts zu überwachen, wie z. B. dem CIS Microsoft Foundations Benchmark, auch wenn noch keine explizite Anforderung dafür besteht.
  • Fehlende Planung der Verwaltung. Berücksichtigen Sie beim Bereitstellen Ihrer Azure-Ressourcen, wie Sie diese verwalten möchten. Wenn Sie Massenaktualisierungen an Ressourcen vornehmen müssen, stellen Sie sicher, dass Sie über ein Verständnis der Automatisierungstools verfügen, z. B. azure CLI, Azure PowerShell, Azure Resource Graph und die Azure Resource Manager-APIs.
  • Keine Verwaltungsgruppen verwenden. Planen Sie die Hierarchie Ihrer Abonnements und Verwaltungsgruppen, einschließlich der Zugriffssteuerung und Azure Policy-Ressourcen in jedem Gültigkeitsbereich. Es kann schwierig und störend sein, diese Elemente einzuführen oder zu ändern, wenn Ihre Ressourcen in einer Produktionsumgebung verwendet werden.
  • Fehlende Planung Ihrer Zugriffssteuerungsstrategie. Azure RBAC bietet ein hohes Maß an Kontrolle und Flexibilität bei der Verwaltung des Zugriffs auf Ihre Ressourcen. Stellen Sie sicher, dass Sie Microsoft Entra-Gruppen verwenden, um die Zuweisung von Berechtigungen für einzelne Benutzer zu vermeiden. Weisen Sie Rollen in Bereichen zu, die ein angemessenes Gleichgewicht zwischen Sicherheit und Flexibilität bieten. Verwenden Sie integrierte Rollendefinitionen, sofern möglich, und weisen Sie Rollen zu, die die erforderlichen Mindestberechtigungen bereitstellen.
  • Keine Verwendung von Azure Policy. Es ist wichtig, Azure-Richtlinie zu verwenden, um Ihre Azure-Umgebung zu steuern. Stellen Sie nach der Planung und Bereitstellung von Richtlinien sicher, dass Sie die Richtlinienkonformität überwachen und alle Verstöße oder Ausnahmen sorgfältig überprüfen.

Beitragende

Dieser Artikel wird von Microsoft verwaltet. Sie wurde ursprünglich von den folgenden Mitwirkenden verfasst.

Hauptautor:

Andere Mitwirkende:

Um nicht öffentliche LinkedIn-Profile anzuzeigen, melden Sie sich bei LinkedIn an.

Nächste Schritte

Hier erfahren Sie mehr über Ansätze zur Kostenverwaltung und Zuordnung.