Abordagens arquitetônicas para governança e conformidade em soluções multilocatários

À medida que o uso do Azure amadurece, é importante considerar a governança de seus recursos de nuvem. A governança inclui como os dados dos locatários são armazenados e gerenciados e como você organiza seus recursos do Azure. Talvez você também precise seguir normas regulamentares, legais ou contratualmente obrigatórias. Este artigo fornece informações sobre como considerar a governança e a conformidade em uma solução multilocatário. Ele também sugere alguns dos principais recursos da plataforma do Azure que dão suporte a essas preocupações.

Principais considerações e requisitos

Isolamento de recursos

Certifique-se de configurar seus recursos do Azure para atender aos requisitos de isolamento de seus locatários. Confira Organização de recursos do Azure em soluções multilocatário para obter as diretrizes de isolamento dos recursos do Azure.

Gerenciamento de dados

Ao armazenar dados em nome de seus locatários, você pode ter requisitos ou obrigações que precisa atender. Do ponto de vista de um locatário, eles geralmente esperam a propriedade e o controle de seus dados. Considere como isolar, armazenar, acessar e agregar dados de locatários. Descubra as expectativas e os requisitos dos locatários que podem afetar o funcionamento da solução.

Isolamento

Examine as Abordagens de arquitetura para armazenamento e dados em soluções multilocatário para entender como isolar os dados dos locatários. Considere se os locatários têm requisitos para usar suas próprias chaves de criptografia de dados.

Seja qual for a abordagem de isolamento que você implementar, prepare-se para que os locatários solicitem uma auditoria de seus dados. É uma boa prática documentar todos os armazenamentos de dados nos quais os dados dos locatários podem ser mantidos. As fontes de dados comuns incluem o seguinte:

• Bancos de dados e contas de armazenamento implantados como parte de sua solução.
• Sistemas de identidade, que geralmente são compartilhados entre locatários.
• Logs.
• Armazéns de dados.

Soberania

Entenda se há restrições no local físico para os dados de seus locatários que devem ser armazenados ou processados. Seus locatários podem exigir que você armazene seus dados em locais geográficos específicos. Eles também podem exigir que você não armazene seus dados em determinados locais. Embora esses requisitos sejam comumente baseados na legislação, eles também podem ser baseados em valores culturais e normas.

Para obter mais informações sobre residência e soberania de dados, consulte o white paper Habilitando a Residência de Dados e a Proteção de Dados nas Regiões do Microsoft Azure.

Acesso dos locatários aos dados que você armazena

Os locatários às vezes solicitam acesso direto aos dados que você armazena em seu nome. Por exemplo, eles podem querer ingerir seus dados em um lago de dados próprio.

Planeje como você responderá a essas solicitações. Considere se algum dos dados dos locatários é mantido em armazenamentos de dados compartilhados. Se estiver, planeje como você evitará que os locatários acessem os dados de outros locatários.

Evite fornecer acesso direto a bancos de dados ou contas de armazenamento, a menos que você tenha projetado para esse requisito, por exemplo, usando o padrão de chave limitada. Considere criar uma API ou um processo automatizado de exportação de dados para fins de integração.

Para obter mais informações sobre a integração com sistemas de locatários e sistemas externos, consulte Abordagens de arquitetura para integração de locatários e acesso a dados.

Seu acesso aos dados dos locatários

Considere se os requisitos de seus locatários restringem a equipe que pode trabalhar com seus dados ou recursos. Por exemplo, suponha que você crie uma solução SaaS usada por muitos clientes diferentes. Uma agência governamental pode exigir que apenas os cidadãos de seu país/região tenham permissão para acessar a infraestrutura e os dados de sua solução. Você pode atender a esse requisito usando grupos de recursos, assinaturas ou grupos de gerenciamento do Azure separados para cargas de trabalho confidenciais do cliente. Você pode aplicar atribuições de função RBAC (controles de acesso baseados em função) do Azure com escopo rígido para grupos específicos de usuários trabalharem com esses recursos.

Agregação de dados de vários locatários

Considere se você precisa combinar ou agregar dados de vários locatários. Por exemplo, você analisa os dados agregados ou treina modelos de machine learning que podem ser aplicados a outros locatários? Certifique-se de que seus locatários entendam as maneiras pelas quais você usa seus dados. Inclua qualquer uso de dados agregados ou anônimos.

Requisitos de conformidade

É importante que você entenda se precisa atender a quaisquer padrões de conformidade. Os requisitos de conformidade podem ser introduzidos em várias situações, incluindo:

• Você, ou qualquer um de seus locatários, trabalha em determinados setores. Por exemplo, se algum de seus locatários trabalhar no setor de saúde, talvez seja necessário cumprir o padrão HIPAA.
• Você ou qualquer um de seus locatários está localizado em regiões geográficas ou geopolíticas que exigem conformidade com as leis locais. Por exemplo, se qualquer um de seus locatários estiver localizado na Europa, talvez seja necessário cumprir Regulamento Geral de Proteção de Dados (RGPD).
• Você compra uma política de segurança cibernética para atenuar o risco de violações. Os provedores de segurança cibernética podem exigir que você siga seus padrões e aplique controles específicos para que sua política seja válida.

Importante

A conformidade é uma responsabilidade compartilhada entre a Microsoft, você e seus locatários.

A Microsoft garante que nossos serviços atendam a um conjunto específico de padrões de conformidade e forneça ferramentas como Microsoft Defender para Cloud que ajudam a verificar se seus recursos estão configurados de acordo com esses padrões.

No entanto, em última análise, é sua responsabilidade entender completamente os requisitos de conformidade que se aplicam à sua solução e como configurar seus recursos do Azure de acordo com esses padrões. Confira as ofertas de conformidade do Azure para obter mais detalhes.

Este artigo não fornece diretrizes específicas sobre como se tornar compatível com quaisquer padrões específicos. Em vez disso, ele fornece algumas diretrizes gerais sobre como considerar a conformidade e a governança em uma solução multilocatário.

Se diferentes locatários precisarem que você siga diferentes padrões de conformidade, planeje cumprir o padrão mais rigoroso em todo o seu ambiente. É mais fácil seguir um padrão estrito consistentemente do que seguir padrões diferentes para locatários diferentes.

Abordagens e padrões a serem considerados

Etiquetas de recurso

Use marcas de recurso para acompanhar o identificador de locatário para recursos específicos do locatário ou o identificador de selo quando você dimensionar usando o padrão Selos de Implantação. Usando tags de recurso, você pode identificar rapidamente os recursos associados a locatários ou selos específicos.

Controle de acesso

Use o RBAC do Azure para restringir o acesso aos recursos do Azure que constituem a solução multilocatário. Siga as práticas recomendadas do RBAC , como aplicar atribuições de função a grupos em vez de usuários. Delimite suas funções para que elas forneçam as permissões mínimas necessárias. Evite o acesso de longa data aos recursos usando acesso just-in-time e recursos como o Microsoft Entra ID Privileged Access Management.

Gráfico de Recursos do Azure

do Azure Resource Graph permite que você trabalhe com metadados de recursos do Azure. Usando o Resource Graph, você pode consultar um grande número de recursos do Azure, mesmo que eles estejam distribuídos em várias assinaturas. O Resource Graph pode consultar os recursos de um tipo específico ou identificar recursos que foram configurados de maneiras específicas. Ele também pode ser usado para acompanhar o histórico da configuração de um recurso.

O Resource Graph pode ser útil para gerenciar grandes propriedades do Azure. Por exemplo, suponha que você implante recursos do Azure específicos do locatário em várias assinaturas do Azure. Aplicando marcas aos seus recursos, você pode usar a API do Resource Graph para localizar recursos que são usados por locatários ou selos de implantação específicos.

Microsoft Purview

Considere usar o Microsoft Purview para rastrear e classificar os dados armazenados. Quando os locatários solicitam acesso aos dados, você pode determinar facilmente as fontes de dados que devem ser incluídas.

Verificar a conformidade com os padrões

Use ferramentas como Azure Policy, o portal de conformidade regulatória do Microsoft Defender para Nuvem e o Assistente do Azure. Essas ferramentas ajudam você a configurar seus recursos do Azure para atender aos requisitos de conformidade e seguir as práticas recomendadas.

Gerar documentação de conformidade

Seus locatários podem exigir que você demonstre sua conformidade com padrões específicos. Use o Portal de Confiança do Serviço para gerar documentação de conformidade que você pode fornecer aos seus locatários ou a terceiros auditores.

Algumas soluções multilocatários incorporam o Microsoft 365 e usam serviços como Microsoft OneDrive, Microsoft SharePoint e Microsoft Exchange Online. O portal de conformidade do Microsoft Purview ajuda você a entender como esses serviços estão em conformidade com os padrões regulatórios.

Padrão de Carimbos de Implantação

Considere seguir o padrão Selos de Implantação quando precisar cumprir requisitos específicos do locatário.

Por exemplo, você pode implantar selos de sua solução em várias regiões do Azure. Depois, pode atribuir novos locatários a selos, com base nas regiões em que eles precisam ter seus dados localizados.

Da mesma forma, um novo locatário pode introduzir requisitos de conformidade estritos que você não pode atender em seus componentes de solução existentes. Você pode considerar a implantação de um selo dedicado para esse locatário e configurá-lo de acordo com seus requisitos.

Antipadrões a serem evitados

• Não entendendo os requisitos de conformidade dos locatários. É importante não fazer suposições sobre os requisitos de conformidade que seus locatários podem impor. Se você planeja expandir sua solução para novos mercados, esteja atento ao ambiente regulatório no qual seus locatários provavelmente operarão.
• Ignorando boas práticas. Se você não tiver nenhuma necessidade imediata de seguir os padrões de conformidade, ainda deverá seguir boas práticas ao implantar seus recursos do Azure. Por exemplo, isole seus recursos, aplique políticas para verificar a configuração de recursos e aplique atribuições de função a grupos em vez de usuários. Seguindo boas práticas, você torna mais simples seguir os padrões de conformidade quando eventualmente precisar fazer isso.
• Supondo que não haja requisitos de conformidade. Ao iniciar uma solução multitenant pela primeira vez, talvez você não esteja ciente dos requisitos de conformidade ou talvez não precise seguir nenhuma exigência. À medida que crescer, você provavelmente precisará fornecer evidências de que está em conformidade com vários padrões. Use o Microsoft Defender para Nuvem para monitorar sua postura de conformidade em relação a uma linha de base geral, como o CIS Microsoft Foundations Benchmark, mesmo antes de ter um requisito explícito para fazer isso.
• Não planejar o gerenciamento. Ao implantar seus recursos do Azure, considere como planeja gerenciá-los. Se você precisar fazer atualizações em massa para recursos, verifique se tem uma compreensão das ferramentas de automação, como a CLI do Azure, o Azure PowerShell, o Azure Resource Graph e as APIs do Azure Resource Manager.
• Não usando grupos de gerenciamento. Planeje sua assinatura e hierarquia de grupo de gerenciamento, incluindo controle de acesso e recursos do Azure Policy em cada escopo. Pode ser difícil e disruptivo introduzir ou alterar esses elementos quando seus recursos são usados em um ambiente de produção.
• Deixar de planejar sua estratégia de controle de acesso. O RBAC do Azure fornece um alto grau de controle e flexibilidade na forma como você gerencia o acesso aos seus recursos. Certifique-se de usar grupos do Microsoft Entra para evitar atribuir permissões a usuários individuais. Atribua funções em escopos que fornecem um equilíbrio apropriado entre segurança e flexibilidade. Use definições de função internas sempre que possível e atribua funções que fornecem as permissões mínimas necessárias.
• Não usando o Azure Policy. É importante usar o Azure Policy para controlar seu ambiente do Azure. Depois de planejar e implantar políticas, certifique-se de monitorar a conformidade da política e examinar cuidadosamente quaisquer violações ou exceções.

Contribuidores

Este artigo é mantido pela Microsoft. Foi originalmente escrito pelos colaboradores a seguir.

Autor principal:

• John Downs | Engenheiro de Software Principal

Outros colaboradores:

• Bohdan Cherchyk | Engenheiro sênior de clientes, FastTrack para Azure
• Laura Nicolas | Engenheiro sênior de clientes, FastTrack para Azure
• Arsen Vladimirskiy | Engenheiro de Cliente Principal, FastTrack para Azure

Para ver perfis não públicos do LinkedIn, entre no LinkedIn.

Próximas etapas

Examine as abordagens para gerenciamento e alocação de custos.