Présentation de l’accès de l’opérateur cloud
Lors de l’exécution de charges de travail dans le cloud public, une préoccupation courante concernant la souveraineté numérique est la mesure dans laquelle l’opérateur cloud a accès aux systèmes exécutant votre charge de travail. Cet article fournit une vue d’ensemble technique de l’accès de l’opérateur cloud pour vous aider à prendre des décisions basées sur les risques qui pilotent l’architecture de charge de travail. Pour plus d’informations sur l’accès aux données client pour les demandes d’application de la loi, consultez le rapport sur les demandes d’application de la loi.
Accès opérateur
L’exploitation de l’infrastructure et de la plateforme cloud est un effort de collaboration entre différentes équipes de service, telles que les techniciens de centre de données, les ingénieurs logiciels et les experts en cybersécurité. À un niveau élevé, il existe deux types d’opérations :
- Opérations physiques : gestion des centres de données et de l’infrastructure physique dans les régions cloud.
- Opérations logiques : gestion des composants logiques (logiciels) qui fournissent des services cloud.
La nature différente de ces opérations signifie qu’elles nécessitent différents types de spécialistes. La séparation des préoccupations garantit que ces équipes distinctes effectuent ces types d’opérations.
Opérations physiques
Microsoft conçoit, crée et exploite des centres de données de manière à contrôler strictement l’accès physique aux zones où vos données sont stockées. Microsoft adopte une approche en couches de la sécurité physique, afin de réduire le risque que des utilisateurs non autorisés accèdent physiquement aux données et aux autres ressources du centre de données. Les centres de données gérés physiquement par Microsoft disposent de couches de protection étendues : approbation de l’accès au périmètre de l’installation, au périmètre du bâtiment, à l’intérieur du bâtiment et à l’étage du centre de données. Pour plus d’informations , consultez Vue d’ensemble de la sécurité des centres de données.
Les techniciens du centre de données maintiennent l’infrastructure physique en cours d’exécution, ce qui inclut l’installation, la réparation et le remplacement de l’équipement réseau et serveur, ainsi que la maintenance des systèmes d’alimentation et de refroidissement. Si les techniciens ont besoin d’un accès logique aux systèmes Microsoft services en ligne, leur accès est limité aux opérations qu’ils doivent effectuer.
Les techniciens du centre de données peuvent gérer des appareils de stockage physiques. Toutes les données sur les appareils de stockage sont chiffrées, souvent avec plusieurs couches de chiffrement, avec des clés auxquelles les techniciens du centre de données n’ont pas accès. Pour plus d’informations, voir La vue d’ensemble du chiffrement et de la gestion des clés. Les périphériques de stockage sont supprimés en toute sécurité, comme indiqué dans Destruction des appareils porteurs de données.
L’équipement serveur est conçu avec une racine de confiance matérielle qui valide l’intégrité des composants tels que l’hôte, le contrôleur BMC (Baseboard Management Controller) et tous les périphériques. Pour plus d’informations, consultez Intégrité et sécurité de la plateforme Azure.
Les techniciens du centre de données peuvent avoir besoin d’effectuer des opérations sur l’équipement réseau. À quelques exceptions près, le trafic réseau étant chiffré en transit, l’accès accidentel ou malveillant au trafic réseau n’expose aucune donnée.
Opérations logiques
La plupart des opérations logiques, également appelées opérations de plateforme, sont automatisées et ne nécessitent pas d’accès de l’opérateur. Toutefois, les ingénieurs peuvent parfois avoir besoin d’effectuer une maintenance préventive, de résoudre un problème identifié par la surveillance des systèmes ou de résoudre un problème en fonction d’un ticket de support client. Dans la plupart des cas de support client, les ingénieurs n’ont pas besoin d’accéder à la plateforme pour résoudre le problème.
Identité et accès
Les services en ligne Microsoft sont conçues pour permettre aux ingénieurs de Microsoft d’exploiter les services sans accéder au contenu client. Par défaut, les ingénieurs Microsoft ont un accès permanent zéro (ZSA) au contenu client et aucun accès privilégié à l’environnement de production. Microsoft services en ligne utiliser un modèle Juste-à-temps (JIT), Just-Enough-Access (JEA) pour fournir aux ingénieurs de l’équipe de service un accès privilégié temporaire aux environnements de production lorsque cet accès est nécessaire pour prendre en charge Microsoft services en ligne. Le modèle d’accès JIT remplace l’accès administratif traditionnel et persistant avec un processus permettant aux ingénieurs de demander une élévation temporaire des rôles privilégiés lorsque nécessaire. Pour plus d’informations, consultez vue d’ensemble de la gestion des identités et des accès.
Dans les cas où les ingénieurs Microsoft ont besoin d’un accès en raison d’un ticket de support, vous pouvez accorder l’accès via Customer Lockbox, s’il est disponible pour le service et que vous l’avez activé. Pour plus d’informations sur Customer Lockbox et les services pris en charge, consultez Customer Lockbox pour Azure et Microsoft Purview Customer Lockbox.
Si l’accès est approuvé, cet accès est limité aux opérations que l’ingénieur doit effectuer et est limité dans le temps. Toutes les demandes et approbations sont journalisées et surveillées pour détecter les anomalies. En outre, le personnel des opérations Azure doit utiliser des stations de travail d’administration sécurisées (SAP). Avec les SAP, le personnel administratif utilise un compte d’administration attribué individuellement, distinct d’un compte d’utilisateur standard. Pour plus d’informations, consultez Composants et limites du système d’information Azure.
Clés de chiffrement
Par défaut, Microsoft services en ligne chiffrer les données au repos et en transit avec des clés gérées par Microsoft. Lors de l’utilisation de clés gérées par Microsoft, Microsoft services en ligne générer et stocker automatiquement les clés racines utilisées pour le chiffrement de service de manière sécurisée. Vous pouvez utiliser Service Encryption avec des clés gérées par le client pour contrôler vos clés de chiffrement. Les employés de Microsoft ne peuvent pas accéder directement aux clés gérées par le client, car elles sont stockées dans Azure Key Vault ou azure Key Vault HSM managé. Les services Microsoft utilisent le chiffrement d’enveloppe. En outre, la clé de chiffrement de clé est stockée dans le service Azure Key Vault et ne peut pas être exportée. Pour plus d’informations, voir La vue d’ensemble du chiffrement et de la gestion des clés.
Si votre organization doit contrôler l’infrastructure de gestion des clés, vous pouvez envisager d’utiliser Azure Key Vault Managed HSM, qui fournit la souveraineté, la disponibilité, les performances et la scalabilité des clés.
Accès aux composants de service et aux données
La mesure dans laquelle un ingénieur disposant des autorisations et approbations appropriées a accès aux composants de service et aux données dépend du service, de l’architecture de charge de travail et de la configuration.
Prévention et détection
Des services individuels peuvent fournir des options de configuration qui vous aident à empêcher certains types d’accès d’opérateur. La configuration peut affecter les fonctionnalités ou la capacité de Microsoft à fournir un support. Vous devez donc tenir compte de ces facteurs lorsque vous décidez du niveau de risque acceptable. Microsoft Cloud for Sovereignty pouvez vous aider avec des stratégies qui appliquent la configuration des services pour répondre à des exigences spécifiques.
Microsoft Cloud for Sovereignty journaux de transparence fournissent une visibilité sur les occasions où les ingénieurs Microsoft ont accédé aux ressources client à l’aide du service d’accès juste-à-temps. Cela vous permet de détecter un tel accès d’opérateur juste-à-temps et de comprendre l’étendue des données qui auraient pu être visibles par un opérateur. Les services peuvent également vous aider à détecter plus en détail l’accès des opérateurs grâce à des fonctionnalités d’audit, de journalisation et de surveillance. Vous pouvez alimenter les données de journalisation et de surveillance dans un système SIEM (Security Information and Event Management) tel que Microsoft Sentinel pour une analyse de sécurité approfondie.