Partager via

Approches architecturales pour la gouvernance et la conformité dans les solutions multilocataires

  • Article

À mesure de l’utilisation d’Azure, il est important de prendre en compte la gouvernance de vos ressources cloud. La gouvernance comprend le mode de stockage et de gestion des données des locataires, ainsi que la façon dont vous organisez vos ressources Azure. Vous pouvez également être tenu de respecter des normes réglementaires, légales ou contractuelles. Cet article fournit des informations sur la façon de tenir compte de la gouvernance et de la conformité dans une solution mutualisée. Il suggère également quelques-unes des principales fonctionnalités de la plateforme Azure qui répondent à ces préoccupations.

Principaux éléments et exigences à prendre en compte

Isolation des ressources

Veillez à configurer vos ressources Azure pour répondre aux exigences d’isolation de vos locataires. Pour obtenir des conseils sur l’isolation de vos ressources Azure, consultez Organisation des ressources Azure dans les solutions mutualisées.

Gestion des données

Lorsque vous stockez des données pour le compte de vos locataires, vous pouvez avoir des exigences ou des obligations que vous devez respecter. Du point de vue des locataires, ils attendent souvent la propriété et le contrôle de leurs données. Réfléchissez à la façon dont vous isolez, stockez, accédez et regroupez les données des locataires. Découvrez les attentes et les exigences des locataires qui pourraient affecter le fonctionnement de votre solution.

Isolation

Passez en revue les Approches architecturales en matière de stockage et de données dans les solutions multi-locataires pour comprendre comment isoler les données des locataires. Déterminez si les locataires ont besoin d’utiliser leurs propres clés de chiffrement de données.

Quelle que soit l’approche d’isolation que vous implémentez, préparez les locataires à demander un audit de leurs données. Il est recommandé de documenter tous les magasins de données dans lesquels les données des locataires peuvent être conservées. Les sources de données courantes sont les suivantes :

  • Les bases de données et les comptes de stockage déployés dans le cadre de votre solution.
  • Les systèmes d’identité, qui sont souvent partagés entre les locataires.
  • Journaux.
  • Entrepôts de données.

Souveraineté

Déterminez s’il existe des restrictions sur l’emplacement physique des données des locataires à stocker ou à traiter. Vos locataires peuvent nécessiter le stockage de leurs données dans des emplacements géographiques spécifiques. Ils peuvent également nécessiter que vous ne stockiez pas leurs données dans certains emplacements. Bien que ces exigences soient généralement basées sur la législation, elles peuvent également être basées sur des valeurs culturelles et des normes.

Pour plus d’informations sur la résidence et la souveraineté des données, consultez le livre blanc Activation de la résidence des données et de la protection des données dans les régions Microsoft Azure.

Accès des locataires aux données que vous stockez

Les locataires demandent parfois un accès direct aux données que vous stockez en leur nom. Par exemple, ils peuvent souhaiter recevoir leurs données dans leur propre Data Lake.

Planifiez la manière dont vous allez répondre à ces demandes. Déterminez si les données des locataires sont conservées dans des magasins de données partagés. Si c’est le cas, planifiez la manière dont vous allez éviter que les locataires accèdent aux données des autres locataires.

Évitez de fournir un accès direct aux bases de données ou aux comptes de stockage, sauf si vous avez prévu cette exigence, par exemple à l’aide du modèle de clé de valet. Envisagez de créer une API ou un processus d’exportation automatisée des données à des fins d’intégration.

Pour plus d’informations sur l’intégration aux systèmes des locataires et aux systèmes externes, consultez l’article Approches architecturales pour l’intégration des locataires et l’accès aux données.

Votre accès aux données des locataires

Déterminez si la configuration requise de vos locataires limite le personnel qui peut travailler avec ses données ou ses ressources. Par exemple, supposons que vous génériez une solution SaaS qui est utilisée par de nombreux clients différents. Une agence gouvernementale peut exiger que seuls les citoyens de son pays/sa région soient autorisés à accéder à l’infrastructure et aux données de leur solution. Vous pouvez satisfaire à cette exigence en utilisant des groupes de ressources Azure, des abonnements ou des groupes d’administration distincts pour les charges de travail clientes sensibles. Vous pouvez appliquer des attributions de rôles de contrôle d’accès en fonction du rôle (RBAC) Azure étroitement délimitées à des groupes d’utilisateurs spécifiques pour qui travaillent avec ces ressources.

Agrégation de données de plusieurs locataires

Déterminez si vous devez combiner ou agréger des données à partir de plusieurs locataires. Par exemple, voulez-vous analyser les données agrégées, ou former des modèles Machine Learning qui pourraient être appliqués à d’autres locataires ? Assurez-vous que vos locataires comprennent la manière dont vous utilisez leurs données. Incluez toute utilisation de données agrégées ou anonymes.

Exigences en matière de conformité

Il est important de savoir si vous devez respecter les normes de conformité. Les exigences de conformité peuvent être introduites dans plusieurs situations, notamment si :

  • Vous, ou l’un de vos locataires, travaillez dans certains secteurs. Par exemple, si l’un de vos locataires travaille dans le secteur de la santé, vous devrez peut-être vous conformer à la norme HIPAA.
  • Vous, ou l’un de vos locataires, êtes situé dans des régions géographiques ou géopolitiques qui requièrent la conformité aux lois locales. Par exemple, si l’un de vos locataires se trouve en Europe, vous devrez peut-être vous conformer au Règlement général sur la protection des données (RGPD).
  • Vous achetez une stratégie de cyberassurance afin d’atténuer le risque de violations. Les fournisseurs de cyberassurance peuvent vous exiger de suivre leurs normes et d’appliquer des contrôles spécifiques pour que votre stratégie soit valide.

Important

La conformité est une responsabilité partagée entre Microsoft, vous et vos locataires.

Microsoft s’assure que ses services répondent à un ensemble spécifique de normes de conformité et fournit des outils tels que Microsoft Defender pour le cloud, qui permettent de vérifier que vos ressources sont configurées en fonction de ces normes.

Toutefois, il vous incombe au final de comprendre parfaitement les exigences de conformité qui s’appliquent à votre solution, et comment configurer vos ressources Azure en fonction. Pour plus d’informations, consultez les offres de conformité Azure.

Cet article ne fournit pas d’instructions spécifiques sur la manière de vous conformer à des normes particulières. Il fournit plutôt des indications générales sur la façon de tenir compte de la conformité et de la gouvernance dans une solution mutualisée.

Si différents locataires doivent respecter différentes normes de conformité, envisagez de vous conformer à la norme la plus rigoureuse dans tout votre environnement. Il est plus facile de suivre constamment une seule norme stricte que de respecter différentes normes pour différents locataires.

Approches et modèles à prendre en compte

Balises de ressource

Utilisez des étiquettes de ressource pour effectuer le suivi de l’identificateur de locataire pour les ressources spécifiques du locataire, ou pour l’identificateur de marqueur lorsque vous mettez à l’échelle à l’aide du modèle d’empreintes de déploiement. Au moyen des balises de ressources, vous pouvez rapidement identifier les ressources associées à des locataires ou à des empreintes spécifiques.

Contrôle d’accès

Utilisez Azure RBAC pour restreindre l’accès aux ressources Azure qui constituent la solution mutualisée. Suivez les meilleures pratiques RBAC, comme l’application d’attributions de rôles à des groupes plutôt que des utilisateurs. Limitez vos attributions de rôles afin qu’elles fournissent les autorisations minimales nécessaires. Évitez l’accès permanent aux ressources en utilisant l’accès juste-à-temps et des fonctionnalités telles que Microsoft Entra ID Privileged Access Management.

Azure Resource Graph

Azure Resource Graph vous permet d’utiliser les métadonnées des ressources Azure. En utilisant Resource Graph, vous pouvez interroger un grand nombre de ressources Azure, même si elles sont réparties sur plusieurs abonnements. Resource Graph peut interroger les ressources d’un type spécifique ou identifier les ressources qui ont été configurées de manière spécifique. Il peut également être utilisé pour suivre l’historique de la configuration d’une ressource.

Resource Graph peut être utile pour gérer de grands patrimoines Azure. Par exemple, supposons que vous déployez des ressources Azure spécifiques au locataire sur plusieurs abonnements Azure. En appliquant des étiquettes à vos ressources, vous pouvez utiliser l’API Resource Graph pour rechercher les ressources utilisées par des locataires spécifiques ou des empreintes de déploiement.

Microsoft Purview

Envisagez d’utiliser Microsoft Purview pour suivre et classer les données que vous stockez. Lorsque les locataires demandent l’accès à leurs données, vous pouvez facilement déterminer les sources de données à inclure.

Vérifier la conformité aux normes

Utilisez des outils comme Azure Policy, le portail de conformité réglementaire de Microsoft Defender pour le cloud et Azure Advisor. Ces outils vous aident à configurer vos ressources Azure pour répondre aux exigences de conformité et suivre les meilleures pratiques recommandées.

Générer la documentation sur la conformité

Vos locataires peuvent exiger que vous démontriez votre conformité à des normes spécifiques. Utilisez le portail Service Trust pour générer la documentation de conformité que vous pouvez fournir à vos locataires ou à des auditeurs tiers.

Certaines solutions mutualisées incorporent Microsoft 365 et utilisent des services comme Microsoft OneDrive, Microsoft SharePoint et Microsoft Exchange Online. Le portail de conformité Microsoft Purview vous aide à comprendre comment ces services se conforment aux normes réglementaires.

Modèle d’empreintes de déploiement

Envisagez de suivre le modèle d’empreintes de déploiement lorsque vous devez vous conformer aux exigences spécifiques du locataire.

Par exemple, vous pouvez déployer des empreintes de votre solution dans plusieurs régions Azure. Ensuite, vous pouvez assigner de nouveaux locataires à des empreintes, en fonction des régions où ils ont besoin de placer leurs données.

De même, un nouveau locataire peut introduire des exigences strictes de conformité que vous ne pouvez pas rencontrer avec vos composants de solution existants. Vous pouvez envisager de déployer une empreinte dédiée pour ce locataire, puis de la configurer en fonction de ses besoins.

Antimodèles à éviter

  • Ne pas comprendre les exigences de conformité de vos locataires. Il est important de ne pas faire d’hypothèses sur les exigences de conformité que vos locataires peuvent imposer. Si vous envisagez de développer votre solution sur de nouveaux marchés, gardez à l’esprit l’environnement réglementaire dans lequel vos locataires sont susceptibles de fonctionner.
  • Ignorer les bonnes pratiques. Si vous n’avez pas besoin immédiat de respecter les normes de conformité, vous devez toujours suivre les bonnes pratiques lorsque vous déployez vos ressources Azure. Par exemple, isolez vos ressources, appliquez des stratégies pour vérifier la configuration des ressources et appliquez des attributions de rôles à des groupes plutôt qu’à des utilisateurs. En suivant les bonnes pratiques, il est plus simple de suivre les normes de conformité lorsque vous en avez besoin.
  • Supposer qu’il n’existe aucune exigence de conformité. Lorsque vous lancez pour la première fois une solution mutualisée, vous n’êtes peut-être pas conscient des exigences de conformité, ou vous n’avez peut-être pas besoin d’en suivre une. À mesure que vous évoluez, vous aurez probablement besoin de prouver que vous respectez diverses normes. Utilisez Microsoft Defender pour le cloud pour surveiller votre posture de conformité par rapport à une base de référence générale, telle que le CIS Microsoft Foundations Benchmark, avant même que vous n’ayez une exigence explicite de le faire.
  • Ne pas planifier pas la gestion. Lorsque vous déployez vos ressources Azure, réfléchissez à la façon dont vous envisagez de les gérer. Si vous devez effectuer des mises à jour en bloc des ressources, assurez-vous que vous comprenez les outils d’automatisation, comme Azure CLI, Azure PowerShell, Azure Resource Graph et les API Azure Resource Manager.
  • Ne pas utiliser de groupes d’administration. Planifiez votre hiérarchie de groupes d’administration et d’abonnement, notamment le contrôle d’accès et les ressources Azure Policy dans chaque étendue. Il peut être difficile et gênant d’introduire ou de modifier ces éléments lorsque vos ressources sont utilisées dans un environnement de production.
  • Échec de la planification de votre stratégie de contrôle d’accès. Azure RBAC offre un niveau élevé de contrôle et de flexibilité dans la façon dont vous gérez l’accès à vos ressources. Veillez à utiliser des groupes Microsoft Entra pour éviter d’affecter des autorisations à des utilisateurs individuels. Attribuez des rôles à des étendues qui fournissent un équilibre approprié entre sécurité et flexibilité. Utilisez les définitions de rôle intégrées dans la mesure du possible et attribuez des rôles qui fournissent les autorisations minimales requises.
  • Ne pas utiliser Azure Policy. Il est important d’utiliser Azure Policy pour gérer votre environnement Azure. Après avoir planifié et déployé des stratégies, assurez-vous de surveiller la conformité de la stratégie et d’examiner attentivement les violations ou exceptions.

Contributeurs

Cet article est géré par Microsoft. Il a été écrit à l’origine par les contributeurs suivants.

Auteur principal :

Autres contributeurs :

Pour afficher les profils LinkedIn non publics, connectez-vous à LinkedIn.

Étapes suivantes

Examinez les approches de gestion et d’allocation des coûts.