Partager via

Approches architecturales pour la gouvernance et la conformité dans les solutions mutualisées

  • Article

À mesure que votre utilisation d’Azure mûrit, il est important de prendre en compte la gouvernance de vos ressources cloud. La gouvernance inclut la façon dont les données des locataires sont stockées et gérées, ainsi que la façon dont vous organisez vos ressources Azure. Vous devrez peut-être également respecter les normes réglementaires, légales ou contractuellement obligatoires. Cet article fournit des informations sur la façon de prendre en compte la gouvernance et la conformité dans une solution mutualisée. Il suggère également certaines des principales fonctionnalités de la plateforme Azure qui prennent en charge ces préoccupations.

Considérations et exigences clés

Isolation des ressources

Veillez à configurer vos ressources Azure pour répondre aux exigences d’isolation de vos locataires. Pour des conseils sur l'isolation de vos ressources Azure, consultez , l'organisation des ressources Azure dans des solutions multi-locataires.

Gestion des données

Lorsque vous stockez des données pour le compte de vos locataires, vous pouvez avoir des exigences ou des obligations que vous devez respecter. Du point de vue d’un locataire, ils attendent souvent la propriété et le contrôle de leurs données. Réfléchissez à la façon dont vous isolez, stockez, accédez et agrégez les données des locataires. Découvrez les attentes et les exigences des locataires qui pourraient affecter le fonctionnement de votre solution.

Isolement

Passez en revue les approches architecturales pour le stockage et les données dans des solutions mutualisées pour comprendre comment isoler les données des locataires. Déterminez si les locataires ont des exigences pour utiliser leurs propres clés de chiffrement de données.

Quelle que soit l’approche d’isolation que vous implémentez, préparez les locataires à demander un audit de leurs données. Il est recommandé de documenter tous les magasins de données dans lesquels les données des locataires peuvent être conservées. Les sources de données courantes sont les suivantes :

  • Bases de données et comptes de stockage déployés dans le cadre de votre solution.
  • Systèmes d’identité, qui sont souvent partagés entre les locataires.
  • Journaux.
  • Entrepôts de données.

Souveraineté

Déterminez s’il existe des restrictions sur l’emplacement physique des données de vos locataires qui doivent être stockées ou traitées. Vos locataires peuvent nécessiter que vous stockiez leurs données dans des emplacements géographiques spécifiques. Ils peuvent également nécessiter que vous ne stockiez pas leurs données dans certains emplacements. Bien que ces exigences soient généralement basées sur la législation, elles peuvent également être basées sur des valeurs culturelles et des normes.

Pour plus d’informations sur la résidence et la souveraineté des données, consultez le livre blanc Activation de la résidence des données et de la protection des données dans les régions Microsoft Azure.

Accès des locataires aux données que vous stockez

Les locataires demandent parfois un accès direct aux données que vous stockez en leur nom. Par exemple, ils peuvent souhaiter ingérer leurs données dans leur propre lac de données.

Planifiez la façon dont vous allez répondre à ces demandes. Déterminez si les données des locataires sont conservées dans des magasins de données partagés. Si c’est le cas, planifiez la façon dont vous éviterez les locataires d’accéder aux données d’autres locataires.

Évitez de fournir un accès direct aux bases de données ou aux comptes de stockage, sauf si vous avez conçu cette exigence, par exemple en utilisant le modèle de clé valet . Envisagez de créer un processus d’exportation de données automatisé ou d’API à des fins d’intégration.

Pour plus d’informations sur l’intégration avec les systèmes des locataires et les systèmes externes, consultez approches architecturales pour l’intégration des locataires et l’accès aux données.

Votre accès aux données des locataires

Déterminez si les exigences de vos locataires limitent le personnel qui peut travailler avec leurs données ou ressources. Par exemple, supposons que vous générez une solution SaaS utilisée par de nombreux clients différents. Une agence gouvernementale peut exiger que seuls les citoyens de leur pays/région soient autorisés à accéder à l’infrastructure et aux données de leur solution. Vous pouvez répondre à cette exigence en utilisant des groupes de ressources, des abonnements ou des groupes d’administration Azure distincts pour les charges de travail client sensibles. Vous pouvez appliquer des attributions de rôles RBAC (Role-Based Access Controls) Azure étroitement étendues pour que des groupes spécifiques d’utilisateurs fonctionnent avec ces ressources.

Agrégation des données de plusieurs locataires

Déterminez si vous devez combiner ou agréger des données provenant de plusieurs locataires. Par exemple, analysez-vous les données agrégées ou entraînez-vous des modèles Machine Learning qui peuvent être appliqués à d’autres locataires ? Assurez-vous que vos locataires comprennent les façons dont vous utilisez leurs données. Incluez n’importe quelle utilisation des données agrégées ou anonymisées.

Exigences de conformité

Il est important que vous compreniez si vous devez respecter les normes de conformité. Les exigences de conformité peuvent être introduites dans plusieurs situations, notamment :

  • Vous, ou l’un de vos locataires, travaillez dans certaines industries. Par exemple, si l’un de vos locataires travaille dans le secteur de la santé, vous devrez peut-être vous conformer à la norme HIPAA.
  • Vous, ou l’un de vos locataires, se trouve dans des régions géographiques ou géopolitiques qui nécessitent la conformité aux lois locales. Par exemple, si l’un de vos locataires se trouve en Europe, vous devrez peut-être vous conformer à Règlement général sur la protection des données (RGPD).
  • Vous achetez une stratégie de cyberinsurance pour atténuer le risque de violations. Les fournisseurs de cyberinsurance peuvent exiger que vous respectiez leurs normes et appliquez des contrôles spécifiques pour que votre stratégie soit valide.

Important

La conformité est une responsabilité partagée entre Microsoft, vous et vos locataires.

Microsoft garantit que nos services répondent à un ensemble spécifique de normes de conformité et fournissent des outils tels que Microsoft Defender pour Cloud qui permettent de vérifier que vos ressources sont configurées en fonction de ces normes.

Toutefois, en fin de compte, il vous incombe de bien comprendre les exigences de conformité qui s’appliquent à votre solution et de configurer vos ressources Azure en fonction de ces normes. Pour plus d’informations, consultez offres de conformité Azure.

Cet article ne fournit pas de conseils spécifiques sur la façon de se conformer à des normes particulières. Au lieu de cela, il fournit des conseils généraux sur la façon d’envisager la conformité et la gouvernance dans une solution multilocataire.

Si différents locataires ont besoin de respecter différentes normes de conformité, prévoyez de respecter la norme la plus stricte dans l’ensemble de votre environnement. Il est plus facile de suivre une norme stricte de manière cohérente que de respecter différentes normes pour différents locataires.

Approches et modèles à prendre en compte

Balises de ressource

Utilisez des étiquettes de ressource pour effectuer le suivi de l’identificateur de locataire pour les ressources spécifiques du locataire, ou pour l’identificateur de marqueur lorsque vous mettez à l’échelle à l’aide du modèle d’empreintes de déploiement. En utilisant des étiquettes de ressources, vous pouvez identifier rapidement les ressources associées à des locataires spécifiques ou à des balises spécifiques.

Contrôle d’accès

Utilisez Azure RBAC pour restreindre l'accès aux ressources Azure qui constituent la solution multi-locataires. Suivez le RBAC bonnes pratiques, telles que l’application d’attributions de rôles à des groupes au lieu d’utilisateurs. Étendez vos attributions de rôles afin qu’elles fournissent les autorisations minimales nécessaires. Évitez l’accès permanent aux ressources en utilisant l’accès juste-à-temps et des fonctionnalités telles que Microsoft Entra ID Privileged Access Management.

Azure Resource Graph

Azure Resource Graph vous permet d’utiliser des métadonnées de ressources Azure. En utilisant Resource Graph, vous pouvez interroger un grand nombre de ressources Azure, même si elles sont réparties sur plusieurs abonnements. Resource Graph peut interroger les ressources d’un type spécifique ou identifier les ressources qui ont été configurées de manière spécifique. Il peut également être utilisé pour suivre l’historique de la configuration d’une ressource.

Resource Graph peut être utile pour gérer les grands patrimoines Azure. Par exemple, supposons que vous déployiez des ressources Azure spécifiques au locataire sur plusieurs abonnements Azure. En appliquant des étiquettes à vos ressources, vous pouvez utiliser l’API Resource Graph pour rechercher les ressources utilisées par des locataires spécifiques ou des empreintes de déploiement.

Microsoft Purview

Envisagez d’utiliser microsoft Purview pour suivre et classer les données que vous stockez. Lorsque les locataires demandent l’accès à leurs données, vous pouvez facilement déterminer les sources de données que vous devez inclure.

Vérifier la conformité aux normes

Utilisez des outils tels que Azure Policy, portail de conformité réglementaire de Microsoft Defender pour cloudet Azure Advisor. Ces outils vous aident à configurer vos ressources Azure pour répondre aux exigences de conformité et suivre les meilleures pratiques recommandées.

Générer la documentation sur la conformité

Vos locataires peuvent exiger que vous montriez votre conformité avec des normes spécifiques. Utilisez le portail d’approbation de service pour générer la documentation de conformité que vous pouvez fournir à vos locataires ou à des auditeurs tiers.

Certaines solutions mutualisées incorporent Microsoft 365 et utilisent des services tels que Microsoft OneDrive, Microsoft SharePoint et Microsoft Exchange Online. Le portail de conformité Microsoft Purview vous aide à comprendre comment ces services sont conformes aux normes réglementaires.

Modèle d’empreintes de déploiement

Envisagez de suivre le modèle d’empreintes de déploiement lorsque vous devez vous conformer aux exigences spécifiques du locataire.

Par exemple, vous pouvez déployer des tampons de votre solution dans plusieurs régions Azure. Ensuite, vous pouvez assigner de nouveaux locataires à des empreintes, en fonction des régions où ils ont besoin de placer leurs données.

De même, un nouveau locataire peut introduire des exigences de conformité strictes que vous ne pouvez pas respecter dans vos composants de solution existants. Vous pouvez envisager de déployer un tampon dédié pour ce locataire, puis de le configurer en fonction de leurs besoins.

Antimodèles à éviter

  • Vous ne comprenez pas les exigences de conformité de vos locataires. Il est important de ne pas faire d’hypothèses sur les exigences de conformité que vos locataires peuvent imposer. Si vous envisagez de développer votre solution dans de nouveaux marchés, gardez à l’esprit l’environnement réglementaire dans lequel vos locataires sont susceptibles de fonctionner.
  • Ignorer les bonnes pratiques. Si vous n’avez pas besoin immédiatement de respecter les normes de conformité, vous devez toujours suivre les bonnes pratiques lorsque vous déployez vos ressources Azure. Par exemple, isolez vos ressources, appliquez des stratégies pour vérifier la configuration des ressources et appliquez des attributions de rôles à des groupes au lieu d’utilisateurs. En suivant les bonnes pratiques, vous simplifiez le suivi des normes de conformité lorsque vous en aurez finalement besoin.
  • En supposant qu’il n’existe aucune exigence de conformité. Lorsque vous lancez pour la première fois une solution multilocataire, vous pourriez ne pas être conscient des exigences de conformité ou ne pas avoir besoin d'en suivre aucune. À mesure que vous augmentez, vous devrez probablement fournir des preuves que vous respectez différentes normes. Utilisez Microsoft Defender pour Cloud pour surveiller votre posture de conformité par rapport à une base de référence générale, telle que le CIS Microsoft Foundations Benchmark, même avant d’avoir une exigence explicite.
  • Pas de planification de la gestion. Lorsque vous déployez vos ressources Azure, envisagez de les gérer. Si vous devez effectuer des mises à jour en bloc des ressources, vérifiez que vous avez une compréhension des outils d’automatisation, tels que l’interface de ligne de commande Azure, Azure PowerShell, Azure Resource Graph et les API Azure Resource Manager.
  • N’utilisez pas de groupes d’administration. Planifiez votre hiérarchie d’abonnement et de groupe d’administration, y compris le contrôle d’accès et les ressources Azure Policy à chaque étendue. Il peut être difficile et perturbant d’introduire ou de modifier ces éléments lorsque vos ressources sont utilisées dans un environnement de production.
  • Échec de la planification de votre stratégie de contrôle d’accès. Azure RBAC offre un degré élevé de contrôle et de flexibilité dans la façon dont vous gérez l’accès à vos ressources. Veillez à utiliser des groupes Microsoft Entra pour éviter d’attribuer des autorisations à des utilisateurs individuels. Attribuez des rôles à des étendues qui fournissent un équilibre approprié entre sécurité et flexibilité. Utilisez les définitions de rôles intégrées dans la mesure du possible et attribuez des rôles qui fournissent les autorisations minimales requises.
  • N’utilisez pas Azure Policy. Il est important d’utiliser Azure Policy pour régir votre environnement Azure. Après avoir prévu et déployé des stratégies, veillez à surveiller la conformité de la stratégie et à examiner soigneusement les violations ou exceptions.

Contributeurs

Cet article est géré par Microsoft. Il a été écrit à l’origine par les contributeurs suivants.

Auteur principal :

Autres contributeurs :

Pour afficher les profils LinkedIn non publics, connectez-vous à LinkedIn.

Étapes suivantes

Passez en revue les approches pour la gestion des coûts et l’allocation.