Antes de considerar uma implantação, é importante que sua organização coloque guarda-corpos. Usando políticas do Azure, você pode implementar governança para consistência de recursos, conformidade regulamentar, segurança, custo e gerenciamento.
Fundo
Um princípio básico da análise em escala de nuvem é facilitar a criação, leitura, atualização e exclusão de recursos, conforme necessário. No entanto, embora dar acesso irrestrito aos recursos aos desenvolvedores possa torná-los ágeis, também pode levar a consequências de custos não intencionais. A solução para este problema é a governação do acesso aos recursos. Essa governança é o processo contínuo de gerenciamento, monitoramento e auditoria do uso dos recursos do Azure para atender às metas e requisitos da sua organização.
As zonas de aterrissagem em escala empresarial Start with Cloud Adoption Framework já usam esse conceito. A análise em escala de nuvem adiciona políticas personalizadas do Azure para se basear nesses padrões. As normas são então aplicadas às nossas zonas de aterragem de gestão de dados e zonas de aterragem de dados.
Diagrama que mostra como funciona a governança do Azure.
A Política do Azure é importante ao garantir a segurança e a conformidade em análises em escala de nuvem. Ajuda a fazer cumprir as normas e a avaliar a conformidade em escala. As políticas podem ser usadas para avaliar recursos no Azure e compará-los com as propriedades desejadas. Várias políticas, ou regras de negócio, podem ser agrupadas numa iniciativa. Políticas ou iniciativas individuais podem ser atribuídas a escopos diferentes no Azure. Esses escopos podem ser grupos de gerenciamento, assinaturas, grupos de recursos ou recursos individuais. A atribuição aplica-se a todos os recursos dentro do escopo, e os subescopos podem ser excluídos com exceções, se necessário.
Considerações de design
As políticas do Azure em análise em escala de nuvem foram desenvolvidas com as seguintes considerações de design em mente:
Use as políticas do Azure para implementar governança e impor regras para consistência de recursos, conformidade regulamentar, segurança, custo e gerenciamento.
Use as políticas pré-criadas disponíveis para economizar tempo.
Atribua políticas ao nível mais alto possível na árvore do grupo de gerenciamento para simplificar o gerenciamento de políticas.
Limite as atribuições da Política do Azure feitas no escopo do grupo de gerenciamento raiz para evitar o gerenciamento por meio de exclusões em escopos herdados.
Use apenas exceções de política se necessário, e elas exigem aprovação.
Políticas do Azure para análise em escala de nuvem
A implementação de políticas personalizadas permite que você faça mais com a Política do Azure. A análise em escala de nuvem vem com um conjunto de políticas pré-criadas para ajudá-lo a implementar quaisquer proteções necessárias em seu ambiente.
A Política do Azure deve ser o instrumento principal da equipa da Plataforma Azure (Dados) para garantir a conformidade dos recursos na zona de aterragem de gestão de dados, zonas de aterragem de dados e outras zonas de aterragem dentro do tenant da organização. Esse recurso de plataforma deve ser usado para introduzir guarda-corpos e impor a adesão à configuração geral de serviço aprovada dentro do escopo do respetivo grupo de gerenciamento. As equipes da plataforma podem usar a Política do Azure para, por exemplo, impor pontos de extremidade privados para quaisquer contas de armazenamento que estejam sendo hospedadas no ambiente da plataforma de dados ou impor a criptografia TLS 1.2 em trânsito para quaisquer conexões que estejam sendo feitas com as contas de armazenamento. Quando implementada corretamente, esta política proíbe qualquer equipa de aplicações de dados de hospedar serviços num estado não compatível dentro do respetivo âmbito do inquilino.
As equipes de TI responsáveis devem usar esse recurso da plataforma para resolver suas preocupações de segurança e conformidade e se abrir para uma abordagem de autosserviço dentro das zonas de aterrissagem (de dados).
A análise em escala de nuvem contém políticas personalizadas relacionadas ao gerenciamento de recursos e custos, autenticação, criptografia, isolamento de rede, registro, resiliência e muito mais.
As políticas devem ser vistas apenas como orientação e podem ser aplicadas dependendo dos requisitos de negócios. As políticas devem ser sempre aplicadas ao mais alto nível possível e, na maioria dos casos, trata-se de um grupo de gestão.
Negar pontos de extremidade privados a recursos fora do locatário e da assinatura do Microsoft Entra.
Deploy-DNSZoneGroup-{Service}-PrivateEndpoint
Isolamento de Rede
Implanta as configurações de um Grupo de Zonas DNS Privadas por um parâmetro para o ponto de extremidade privado do serviço. Usado para impor a configuração a uma única zona DNS privada.
DiagnosticSettings-{Service}-LogAnalytics
Registo
Envie configurações de diagnóstico do Azure Cosmos DB para o espaço de trabalho de análise de log.
Armazenamento
Nome da política
Domínio de intervenção
Description
Anexar-Armazenamento-Criptografia
Encriptação
Imponha a criptografia para contas de armazenamento.
Deny-Storage-AllowBlobPublicAccess
Isolamento de Rede
Não impõe acesso público a todos os blobs ou contêineres na conta de armazenamento.
Deny-Storage-ContainerDeleteRetentionPolicy
Resiliência
Aplique políticas de retenção de exclusão de contêiner maiores que sete dias para a conta de armazenamento.
Deny-Storage-CorsRules
Isolamento de Rede
Negar regras cors para a conta de armazenamento.
Deny-Storage-InfrastructureEncryption
Encriptação
Imponha criptografia (dupla) de infraestrutura para contas de armazenamento.
Deny-Storage-MinimumTlsVersion
Encriptação
Impõe TLS mínimo versão 1.2 para conta de armazenamento.
Deny-Storage-NetworkAclsBypass
Isolamento de Rede
Impõe o desvio de rede para nenhum para a conta de armazenamento.
Deny-Storage-NetworkAclsIpRules
Isolamento de Rede
Impõe regras de IP de rede para a conta de armazenamento.
Deny-Storage-NetworkAclsVirtualNetworkRules
Isolamento de Rede
Nega regras de rede virtual para conta de armazenamento.
Deny-Storage-Sku
Gestão de Recursos
Impõe SKUs de conta de armazenamento.
Deny-Storage-SupportsHttpsTrafficOnly
Encriptação
Impõe tráfego https para a conta de armazenamento.
Deploy-Storage-BlobServices
Gestão de Recursos
Implante as configurações padrão dos serviços de blob para a conta de armazenamento.
Negar-Armazenamento-RoutingPreference
Isolamento de Rede
Negar-Armazenamento-Tipo
Gestão de Recursos
Deny-Storage-NetworkAclsDefaultAction
Isolamento de Rede
Key Vault
Nome da política
Domínio de intervenção
Description
Audit-KeyVault-PrivateEndpointId
Isolamento de Rede
Audite pontos de extremidade públicos criados em outras assinaturas para o cofre de chaves.
Deny-KeyVault-NetworkAclsBypass
Isolamento de Rede
Impõe ignorar regras de nível de rede para o cofre de chaves.
Deny-KeyVault-NetworkAclsDefaultAction
Isolamento de Rede
Impõe a ação padrão de nível de acl de rede para o cofre de chaves.
Deny-KeyVault-NetworkAclsIpRules
Isolamento de Rede
Impõe regras de ip de rede para o cofre de chaves.
Deny-KeyVault-NetworkAclsVirtualNetworkRules
Isolamento de Rede
Nega regras de rede virtual para o cofre de chaves.
Deny-KeyVault-PurgeProtection
Resiliência
Impõe proteção contra limpeza para cofre de chaves.
Negar-KeyVault-SoftDelete
Resiliência
Impõe a exclusão suave com um número mínimo de dias de retenção para o cofre de chaves.
Deny-KeyVault-TenantId
Gestão de Recursos
Imponha o ID do locatário para o cofre de chaves.
Azure Data Factory
Nome da política
Domínio de intervenção
Description
Append-DataFactory-IdentityType
Autenticação
Impõe o uso da identidade atribuída ao sistema para o data factory.
Deny-DataFactory-ApiVersion
Gestão de Recursos
Nega a versão antiga da API para a fábrica de dados V1.
Diagrama que mostra como funciona a governança do Azure.