Udostępnij za pośrednictwem

Podejścia architektury do zapewniania ładu i zgodności w rozwiązaniach wielodostępnych

  • Artykuł

W miarę dojrzewania korzystania z platformy Azure ważne jest, aby wziąć pod uwagę nadzór nad zasobami w chmurze. Ład obejmuje sposób przechowywania i zarządzania danymi dzierżawców oraz sposobu organizowania zasobów platformy Azure. Może być również konieczne przestrzeganie norm regulacyjnych, prawnych lub umownych. Ten artykuł zawiera informacje na temat, jak rozważać ład i zgodność w rozwiązaniu wielodostępnym. Sugeruje również niektóre kluczowe funkcje platformy Azure, które obsługują te obawy.

Kluczowe zagadnienia i wymagania

Izolacja zasobów

Upewnij się, że zasoby platformy Azure są skonfigurowane tak, aby spełniały wymagania dotyczące izolacji najemców. Aby uzyskać wskazówki dotyczące izolowania zasobów platformy Azure, zobacz organizacji zasobów platformy Azure w rozwiązaniach wielodostępnych.

Zarządzanie danymi

Podczas przechowywania danych w imieniu swoich najemców, mogą istnieć wymagania lub zobowiązania, które musisz spełnić. Z perspektywy dzierżawy często oczekują własności i kontroli nad danymi. Zastanów się, jak izolować, przechowywać, uzyskiwać dostęp i agregować dane dzierżaw. Odkryj oczekiwania i wymagania najemców, które mogą mieć wpływ na sposób działania Twojego rozwiązania.

Izolacja

Zapoznaj się z podejściami architektonicznymi dotyczącymi magazynowania i danych w rozwiązaniach wielodostępnych, aby zrozumieć, jak odizolować dane najemców. Zastanów się, czy dzierżawcy mają wymagania dotyczące używania własnych kluczy szyfrowania danych.

Niezależnie od wdrożeń metod izolacji należy przygotować dzierżawców do żądania inspekcji danych. Dobrym rozwiązaniem jest udokumentowanie wszystkich magazynów danych, w których mogą być przechowywane dane najemców. Typowe źródła danych obejmują następujące elementy:

  • Bazy danych i konta magazynu wdrożone w ramach rozwiązania.
  • Systemy tożsamości, które są często współdzielone między najemcami.
  • Dzienniki.
  • Magazyny danych.

Suwerenność

Dowiedz się, czy istnieją jakiekolwiek ograniczenia dotyczące lokalizacji fizycznej dla danych dzierżaw, które mają być przechowywane lub przetwarzane. Twoi najemcy mogą wymagać przechowywania ich danych w określonych lokalizacjach geograficznych. Mogą również wymagać, aby nie przechowywać ich danych w określonych lokalizacjach. Chociaż te wymagania są często oparte na przepisach, mogą być również oparte na wartościach kulturowych i normach.

Aby uzyskać więcej informacji na temat rezydencji i suwerenności danych, zobacz dokumentację techniczną Zapewnienie rezydencji danych i ochrony danych w regionach Microsoft Azure.

Dostęp najemców do danych, które przechowujesz

Dzierżawcy czasami żądają bezpośredniego dostępu do danych przechowywanych w ich imieniu. Na przykład mogą chcieć wprowadzić swoje dane do własnego jeziora danych.

Zaplanuj sposób odpowiadania na te żądania. Zastanów się, czy dane najemców są przechowywane w współdzielonych magazynach danych. Jeśli tak jest, zaplanuj, jak uniknąć, aby dzierżawcy uzyskiwali dostęp do danych innych dzierżawców.

Unikaj bezpośredniego dostępu do baz danych lub kont magazynu, chyba że zostało to uwzględnione w projekcie, na przykład przy użyciu wzorca Valet Key. Rozważ utworzenie interfejsu API lub zautomatyzowanego procesu eksportowania danych na potrzeby integracji.

Aby uzyskać więcej informacji na temat integracji z systemami najemców i systemami zewnętrznymi, zobacz Architektoniczne podejścia do integracji z najemcami i dostępu do danych.

Dostęp do danych dzierżaw

Zastanów się, czy wymagania dzierżawców ograniczają pracowników, którzy mogą pracować z ich danymi lub zasobami. Załóżmy na przykład, że tworzysz rozwiązanie SaaS, które jest używane przez wielu różnych klientów. Agencja rządowa może wymagać, aby tylko obywatele ich kraju/regionu mogli uzyskiwać dostęp do infrastruktury i danych dla swojego rozwiązania. To wymaganie może być spełnione przy użyciu oddzielnych grup zasobów platformy Azure, subskrypcji lub grup zarządzania dla wrażliwych obciążeń klientów. Do pracy z tymi zasobami można zastosować ściśle ograniczone przypisania ról kontroli dostępu na podstawie ról (RBAC, role-based access control) platformy Azure dla określonych grup użytkowników.

Agregacja danych z wielu dzierżaw

Zastanów się, czy musisz łączyć lub agregować dane z wielu dzierżaw. Czy na przykład analizujesz zagregowane dane, czy szkolisz modele uczenia maszynowego, które mogą być stosowane do innych użytkowników? Upewnij się, że dzierżawcy rozumieją sposoby używania ich danych. Uwzględnij dowolne użycie zagregowanych lub anonimowych danych.

Wymagania dotyczące zgodności

Ważne jest, aby zrozumieć, czy musisz spełnić jakiekolwiek standardy zgodności. Wymagania dotyczące zgodności mogą zostać wprowadzone w kilku sytuacjach, w tym:

  • Ty lub ktokolwiek z twoich najemców pracuje w określonych branżach. Jeśli na przykład którykolwiek z najemców pracuje w branży ochrony zdrowia, może być konieczne przestrzeganie standardu HIPAA.
  • Użytkownik lub którykolwiek z Twoich lokatorów znajdują się w regionach geograficznych lub geopolitycznych, w których obowiązuje zgodność z lokalnymi przepisami. Jeśli na przykład którykolwiek z Twoich najemców znajduje się w Europie, konieczne może być przestrzeganie Ogólnego Rozporządzenia o Ochronie Danych (RODO).
  • Kupujesz polisę cyberubezpieczeniową, aby ograniczyć ryzyko naruszeń. Dostawcy cyberubezpieczeń mogą wymagać przestrzegania ich standardów i zastosowania określonych mechanizmów kontroli, aby Twoja polisa była ważna.

Ważny

Zgodność to wspólna odpowiedzialność między firmą Microsoft, Tobą a Twoimi użytkownikami.

Firma Microsoft zapewnia, że nasze usługi spełniają określony zestaw standardów zgodności i udostępniają narzędzia takie jak Microsoft Defender for Cloud, które pomagają zweryfikować, czy zasoby są skonfigurowane zgodnie z tymi standardami.

Ostatecznie jednak twoim zadaniem jest pełne zrozumienie wymagań dotyczących zgodności, które mają zastosowanie do rozwiązania oraz sposób konfigurowania zasobów platformy Azure zgodnie z tymi standardami. Aby uzyskać więcej szczegółów, zobacz oferty zgodności platformy Azure.

Ten artykuł nie zawiera konkretnych wskazówek dotyczących zgodności z żadnymi określonymi standardami. Zamiast tego zawiera on pewne ogólne wskazówki dotyczące tego, jak rozważać zgodność i zarządzanie w rozwiązaniu wielodostępnym.

Jeśli różni najemcy wymagają od ciebie przestrzegania różnych standardów zgodności, zaplanuj przestrzeganie najbardziej rygorystycznego standardu w całym swoim środowisku. Łatwiej jest przestrzegać jednego ścisłego standardu konsekwentnie, niż stosować różne standardy dla różnych najemców.

Podejścia i wzorce do rozważenia

Tagi zasobów

Użyj tagów zasobów do śledzenia identyfikatora najemcy dla zasobów specyficznych dla najemcy lub identyfikatora znacznika, kiedy skalujesz przy użyciu wzorca znacznika wdrażania . Za pomocą tagów zasobów można szybko identyfikować zasoby skojarzone z określonymi najemcami lub znacznikami.

Kontrola dostępu

Użyj RBAC platformy Azure, aby ograniczyć dostęp do zasobów platformy Azure, które stanowią rozwiązanie wielodostępne. Postępuj zgodnie z najlepszymi rozwiązaniami dotyczącymi kontroli dostępu opartej na rolach , takimi jak stosowanie przypisań ról do grup zamiast użytkowników. Określ zakres przypisań ról, aby zapewnić minimalne uprawnienia niezbędne. Unikaj długotrwałego dostępu do zasobów przy użyciu dostępu just in time i funkcji, takich jak microsoft Entra ID Privileged Access Management.

Azure Resource Graph

usługa Azure Resource Graph umożliwia pracę z metadanymi zasobów platformy Azure. Za pomocą usługi Resource Graph można wykonywać zapytania dotyczące dużej liczby zasobów platformy Azure, nawet jeśli są one rozłożone na wiele subskrypcji. Usługa Resource Graph może wykonywać zapytania dotyczące zasobów określonego typu lub identyfikować zasoby, które zostały skonfigurowane w określony sposób. Może również służyć do śledzenia historii konfiguracji zasobu.

Usługa Resource Graph może być przydatna do zarządzania dużymi zasobami platformy Azure. Załóżmy na przykład, że wdrażasz zasoby platformy Azure specyficzne dla dzierżawy w wielu subskrypcjach platformy Azure. stosowanie tagów do zasobów, można użyć interfejsu API programu Resource Graph do znajdowania zasobów, które są używane przez określone dzierżawy lub sygnatury wdrożenia.

Microsoft Purview

Rozważ użycie Microsoft Purview w celu śledzenia i klasyfikowania przechowywanych danych. Gdy dzierżawcy żądają dostępu do swoich danych, można łatwo określić źródła danych, które należy uwzględnić.

Weryfikowanie zgodności ze standardami

Użyj narzędzi, takich jak Azure Policy, portal zgodności z przepisami usługi Microsoft Defender for Cloudoraz Azure Advisor. Te narzędzia ułatwiają skonfigurowanie zasobów platformy Azure w celu spełnienia wymagań dotyczących zgodności i przestrzegania zalecanych najlepszych rozwiązań.

Generowanie dokumentacji zgodności

Najemcy mogą wymagać, aby Pan/Pani udowodnił/ła zgodność z określonymi standardami. Użyj Service Trust Portal (), aby wygenerować dokumentację zgodności, którą można udostępnić dzierżawcom lub zewnętrznym audytorom.

Niektóre rozwiązania wielodostępne obejmują platformę Microsoft 365 i korzystają z usług, takich jak Microsoft OneDrive, Microsoft SharePoint i Microsoft Exchange Online. Portal zgodności Microsoft Purview pomaga zrozumieć, jak te usługi są zgodne ze standardami prawnymi.

Wzorzec znaczników wdrożeniowych

Rozważ zastosowanie wzorca wdrażania sygnatur , gdy trzeba spełnić wymagania specyficzne dla najmu.

Możesz na przykład wdrożyć kopie swojego rozwiązania w wielu regionach Azure. Następnie można przypisać nowych najemców do etykiet na podstawie regionów, w których muszą znajdować się ich dane.

Podobnie, nowy najemca może wprowadzić ścisłe wymagania dotyczące zgodności, z którymi nie można sobie poradzić w ramach istniejących elementów rozwiązania. Możesz rozważyć wdrożenie dedykowanej pieczątki dla tego najemcy, a następnie skonfigurować ją zgodnie z jego wymaganiami.

Antywzorce, aby uniknąć

  • Nie rozumiesz wymagań dotyczących zgodności najemców. Ważne jest, aby nie zakładać wymagań dotyczących zgodności, które mogą nakładać dzierżawcy. Jeśli planujesz rozwijać swoje rozwiązanie na nowych rynkach, należy pamiętać o środowisku regulacyjnym, w którym mogą działać twoi dzierżawcy.
  • Ignorowanie dobrych praktyk. Jeśli nie masz natychmiastowej potrzeby przestrzegania standardów zgodności, podczas wdrażania zasobów platformy Azure nadal należy postępować zgodnie z dobrymi rozwiązaniami. Na przykład wyizoluj zasoby, zastosuj zasady w celu zweryfikowania konfiguracji zasobów i zastosuj przypisania ról do grup zamiast użytkowników. Postępując zgodnie z dobrymi rozwiązaniami, łatwiej jest przestrzegać standardów zgodności, gdy w końcu trzeba to zrobić.
  • Zakładając, że nie ma wymagań dotyczących zgodności. Po pierwszym uruchomieniu rozwiązania wielodostępnego możesz nie być świadomy wymagań dotyczących zgodności lub możesz nie mieć potrzeby ich przestrzegania. W miarę rozwoju prawdopodobnie trzeba będzie podać dowody zgodności z różnymi standardami. Użyj Microsoft Defender for Cloud, aby monitorować zgodność z ogólną podstawą, taką jak CIS Microsoft Foundations Benchmark, nawet zanim pojawi się wyraźny wymóg, aby to zrobić.
  • Brak planowania zarządzania. Podczas wdrażania zasobów platformy Azure należy wziąć pod uwagę sposób ich zarządzania. Jeśli musisz wprowadzić zbiorcze aktualizacje zasobów, upewnij się, że znasz narzędzia automatyzacji, takie jak interfejs wiersza polecenia platformy Azure, program Azure PowerShell, usługa Azure Resource Graph i interfejsy API usługi Azure Resource Manager.
  • Nieużywaj grup zarządzania. Zaplanuj hierarchię subskrypcji i grup zarządzania, w tym kontrolę dostępu i zasoby usługi Azure Policy w każdym zakresie. Wprowadzenie lub zmiana tych elementów w środowisku produkcyjnym może być trudne i zakłócające.
  • Zaniedbanie zaplanowania strategii kontroli dostępu. Azure RBAC zapewnia wysoki stopień kontroli i elastyczności w zarządzaniu dostępem do zasobów. Upewnij się, że używasz grup firmy Microsoft Entra, aby uniknąć przypisywania uprawnień do poszczególnych użytkowników. Przypisz role w zakresach, które zapewniają odpowiednią równowagę między zabezpieczeniami i elastycznością. Używaj wbudowanych definicji ról wszędzie tam, gdzie to możliwe, i przypisz role, które zapewniają wymagane minimalne uprawnienia.
  • Nie korzystasz z usługi Azure Policy. Ważne jest, aby zarządzać środowiskiem platformy Azure za pomocą usługi Azure Policy. Po zaplanowaniu i wdrożeniu zasad należy monitorować zgodność zasad i uważnie przeglądać wszelkie naruszenia lub wyjątki.

Współpracownicy

Ten artykuł jest obsługiwany przez firmę Microsoft. Pierwotnie został napisany przez następujących współautorów.

Główny autor:

Inni współautorzy:

  • Bohdan Cherchyk | Starszy inżynier ds. klientów, FastTrack dla Azure
  • Laura Nicolas | Starszy inżynier ds. obsługi klienta, FastTrack dla platformy Azure
  • Arsen Vladimirskiy | Główny inżynier ds. klientów, FastTrack dla Azure

Aby wyświetlić niepubalne profile serwisu LinkedIn, zaloguj się do serwisu LinkedIn.

Następne kroki

Przejrzyj podejścia do zarządzania kosztami i alokacji.