Översikt över databassäkerhet i Azure Cosmos DB för MongoDB vCore
GÄLLER FÖR: 
MongoDB vCore
I den här artikeln beskrivs metodtips för databassäkerhet och viktiga funktioner som erbjuds av Azure Cosmos DB for MongoDB vCore för att hjälpa dig att förhindra, identifiera och svara på databasöverträdelser.
Nyheter i Azure Cosmos DB för MongoDB vCore-säkerhet
Kryptering i vila är nu tillgängligt för dokument och säkerhetskopior som lagras i Azure Cosmos DB för MongoDB vCore i de flesta Azure-regioner. Vilande kryptering tillämpas automatiskt för både nya och befintliga kunder i dessa regioner. Du behöver inte konfigurera något. Du får samma långa svarstid, dataflöde, tillgänglighet och funktioner som tidigare med fördelen att veta att dina data är säkra och säkra med kryptering i vila. Data som lagras i ditt Azure Cosmos DB for MongoDB vCore-kluster krypteras automatiskt och sömlöst med nycklar som hanteras av Microsoft med hjälp av tjänsthanterade nycklar.
Hur gör jag för att skydda min databas
Datasäkerhet är ett delat ansvar mellan dig, kunden och databasleverantören. Beroende på vilken databasprovider du väljer kan ansvaret variera. Om du väljer en lokal lösning måste du tillhandahålla allt från slutpunktsskydd till fysisk säkerhet för maskinvaran – vilket inte är någon enkel uppgift. Om du väljer en PaaS-molndatabasprovider, till exempel Azure Cosmos DB, minskar ditt problemområde avsevärt. Följande bild, lånad från Microsofts white paper om delat ansvar för molnbaserad databehandling , visar hur ditt ansvar minskar med en PaaS-leverantör som Azure Cosmos DB.
Föregående diagram visar molnsäkerhetskomponenter på hög nivå, men vilka objekt behöver du oroa dig för specifikt för din databaslösning? Och hur kan man jämföra lösningar med varandra?
Vi rekommenderar följande checklista med krav för att jämföra databassystem:
- Inställningar för nätverkssäkerhet och brandvägg
- Användarautentisering och detaljerade användarkontroller
- Möjlighet att replikera data globalt för regionala fel
- Möjlighet att redundansväsna från ett datacenter till ett annat
- Lokal datareplikering i ett datacenter
- Automatiska säkerhetskopieringar av data
- Återställning av borttagna data från säkerhetskopior
- Skydda och isolera känsliga data
- Övervakning av attacker
- Svara på attacker
- Möjlighet att geo-stängseldata att följa datastyrningsbegränsningar
- Fysiskt skydd av servrar i skyddade datacenter
- Certifieringar
Och även om det kan verka uppenbart påminner de senaste storskaliga databasöverträdelserna oss om den enkla men kritiska betydelsen av följande krav:
- Uppdaterade servrar som hålls uppdaterade
- HTTPS som standard/TLS-kryptering
- Administrativa konton med starka lösenord
Hur skyddar Azure Cosmos DB min databas
Azure Cosmos DB for MongoDB vCore uppfyller sömlöst var och en av dessa säkerhetskrav.
Nu ska vi gå igenom var och en i detalj.
| Säkerhetskrav | Azure Cosmos DB:s säkerhetsmetod |
|---|---|
| Nätverkssäkerhet | Med privat åtkomst som implementeras via den mogna Private Link-tekniken kan du ge åtkomst till kluster för resurser i virtuella Azure-nätverk. Med offentlig åtkomst kan du öppna klustret till en definierad uppsättning offentliga IP-adresser. Privat och offentlig åtkomst kan kombineras och aktiveras eller inaktiveras när som helst. Standardkonfiguration: Azure Cosmos DB för MongoDB vCore-kluster skapas som standard låsta. För att ge åtkomst till klustret bör nätverksinställningarna uppdateras för att aktivera privat och/eller offentlig åtkomst till klustret när klustret skapas eller efter det. Privat åtkomst: Med privat åtkomst aktiverat kan en privat slutpunkt skapas för åtkomst till ett privat kluster inifrån det virtuella Azure-nätverket. Privat slutpunkt skapas i ett angivet VNet-undernät. När det är klart är alla funktioner för virtuella Azure-nätverk tillgängliga för klustret, inklusive peering för lokala och globala virtuella nätverk, åtkomst till privata lokala miljöer, filtrering och routning av nätverkstrafik med mera. Offentlig åtkomst: Att använda en IP-brandvägg är det första skyddsskiktet för att skydda databasen. Azure Cosmos DB for MongoDB vCore stöder principdrivna IP-baserade åtkomstkontroller för inkommande brandväggsstöd. IP-baserade åtkomstkontroller liknar de brandväggsregler som används av traditionella databassystem. De expanderas dock så att ett Azure Cosmos DB för MongoDB vCore-kluster endast är tillgängligt från en godkänd uppsättning datorer eller molntjänster. Alla begäranden som kommer från datorer utanför den här tillåtna listan blockeras av Azure Cosmos DB för MongoDB vCore. Begäranden från godkända datorer och molntjänster måste sedan slutföra autentiseringsprocessen för att få åtkomstkontroll till resurserna. |
| Lokal replikering | Även inom en enda region replikerar Azure Cosmos DB for MongoDB vCore data på lagringsnivå med 3 synkrona repliker av varje fysisk shard transparent hela tiden. HA-aktiverade kluster har ytterligare ett replikeringslager mellan varje primärt och vänteläge fysiskt shard-par. Replikering med hög tillgänglighet är synkron och ger noll dataförlust vid redundans, vilket garanterar ett serviceavtal för månatlig tillgänglighet på 99,99 % för en enskild region. |
| Global replikering | Azure Cosmos DB for MongoDB vCore erbjuder replikering mellan regioner som gör att du kan replikera dina data till en annan Azure-region. Med global replikering kan du skala globalt och ge åtkomst med låg svarstid till dina data runt om i världen. När det gäller säkerhet säkerställer global replikering dataskydd mot ovanliga regionala avbrott. Med replikkluster mellan regioner finns alltid en kopia av dina data i en annan region. Repliken i en annan region i kombination med hög tillgänglighet ger ett serviceavtal med 99,995 % månatlig tillgänglighet för installation av flera regioner. |
| Databasisolering | Azure Cosmos DB for MongoDB vCore-databaser finns på egna dedikerade resurser. Det innebär att varje kluster får en egen dedikerad nod som kallas fysisk shard eller några i en konfiguration med flera partitioner. Varje fysisk shard har sin egen beräkning och fjärrlagring kopplad till sig. Det går inte att dela infrastrukturen mellan kluster som ger databasen ett extra lager fysisk och logisk isolering. |
| Automatiserade klustersäkerhetskopieringar | Säkerhetskopiering för Azure Cosmos DB för MongoDB vCore-kluster aktiveras vid skapande av kluster, är helt automatiserad och kan inte inaktiveras. Återställning tillhandahålls till valfri tidsstämpel inom kvarhållningsperioden för säkerhetskopior på 35 dagar. |
| Återställa borttagna data | De automatiserade onlinesäkerhetskopieringarna kan användas för att återställa data från ett kluster som du av misstag har tagit bort upp till ~7 dagar efter händelsen. |
| HTTPS/SSL/TLS-kryptering | All nätverkskommunikation med Azure Cosmos DB for MongoDB vCore-kluster krypteras. Endast anslutningar via en MongoDB-klient accepteras och kryptering tillämpas alltid. När data skrivs till Azure Cosmos DB för MongoDB vCore krypteras dina data under överföring. Datakryptering stöder TLS-nivåer upp till 1,3 (ingår). |
| Kryptering i vila | Azure Cosmos DB for MongoDB vCore-data, inklusive alla säkerhetskopior, krypteras på disk, inklusive de tillfälliga filerna. Tjänsten använder AES 256-bitars chiffer som ingår i Azure Storage-kryptering och nycklarna är systemhanterade. Lagringskryptering är alltid aktiverat och kan inte inaktiveras. |
| Övervaka attacker | Genom att använda granskningsloggning och aktivitetsloggar kan du övervaka databasen för normal och onormal aktivitet. Du kan visa vilka åtgärder som har utförts på dina resurser. Dessa data omfattar vem som initierade åtgärden, när åtgärden inträffade, åtgärdens status och mycket mer. |
| Svara på attacker | När du har kontaktat Azure Support för att rapportera en potentiell attack startas en femstegsprocess för incidenthantering. Målet med femstegsprocessen är att återställa normal tjänstsäkerhet och drift. Femstegsprocessen återställer tjänsterna så snabbt som möjligt när ett problem har identifierats och en undersökning har startats. Läs mer i Delat ansvar i molnet. |
| Skyddade anläggningar | Data i Azure Cosmos DB for MongoDB vCore lagras i Azures skyddade datacenter. Läs mer i Microsofts globala datacenter |
| Korrigerade servrar | Azure Cosmos DB for MongoDB vCore eliminerar behovet av att hantera programuppdateringar och korrigeringskluster som görs åt dig automatiskt. |
| Administrativa konton med starka lösenord | Det är svårt att tro att vi ens behöver nämna detta krav, men till skillnad från vissa av våra konkurrenter är det omöjligt att ha ett administrativt konto utan lösenord i Azure Cosmos DB för MongoDB vCore. Lösenordet ska vara minst 8 tecken långt, inklusive engelska versaler och gemener, siffror och icke-alfanumeriska tecken. Säkerhet via hemlig TLS-autentisering bakas in som standard. |
| Sekundära konton | För mer detaljerad åtkomst kan sekundära användarkonton skapas i kluster med skrivskyddad eller skrivskyddad behörighet i klustrets databaser. |
| Säkerhets- och dataskyddscertifieringar | Den senaste listan över certifieringar finns i Azure-efterlevnad och det senaste Azure-efterlevnadsdokumentet med alla Azure-certifieringar, inklusive Azure Cosmos DB. |
Följande skärmbild visar hur du kan använda granskningsloggning och aktivitetsloggar för att övervaka ditt konto: 
Alternativ för nätverkssäkerhet
I det här avsnittet beskrivs olika alternativ för nätverkssäkerhet som du kan konfigurera för klustret. Du kan kombinera alternativ för offentlig och privat åtkomst i klustret. Du kan ändra inställningar för nätverkskonfiguration när som helst.
Ingen behörighet
Ingen åtkomst är standardalternativet för ett nyligen skapat kluster om inga brandväggsregler eller privata slutpunkter skapades under klusteretablering för offentlig eller privat åtkomst. I det här fallet kan inga datorer, oavsett om de finns i eller utanför Azure, ansluta till databasnoderna.
Offentlig IP-åtkomst med brandvägg
I alternativet offentlig åtkomst tilldelas klustret en offentlig IP-adress och åtkomsten till klustret skyddas av en brandvägg. Om offentlig IP-adress inte anges i någon av brandväggsreglerna i klustret avvisas begäranden från den IP-adressen av brandväggen och når inte databasen.
Privat åtkomst
I alternativet privat åtkomst skapas en privat slutpunkt för klustret. Den här privata slutpunkten är associerad med ett virtuellt Azure-nätverk (VNet) och ett undernät i det virtuella nätverket. Med den privata slutpunkten kan värdar i det associerade virtuella nätverket och peerkopplade virtuella nätverk komma åt Azure Cosmos DB för MongoDB vCore-kluster.
Översikt över brandväggar
Azure Cosmos DB for MongoDB vCore använder en brandvägg på klusternivå för att förhindra all åtkomst till klustret tills du anger vilka datorer (IP-adresser) som har behörighet. Brandväggen ger åtkomst till klustret baserat på den ursprungliga IP-adressen för varje begäran. För att konfigurera brandväggen skapar du brandväggsregler som anger intervall med godkända IP-adresser.
Brandväggsregler gör det möjligt för klienter att komma åt klustret och alla databaser i det. Brandväggsregler på klusternivå kan konfigureras med hjälp av Azure Portal eller programmatiskt med hjälp av Azure-verktyg som Azure CLI.
Som standard blockerar brandväggen all åtkomst till klustret. Om du vill börja använda klustret från en annan dator måste du ange en eller flera brandväggsregler på klusternivå för att ge åtkomst till klustret. Använd brandväggsreglerna för att ange vilka IP-adressintervall från Internet som ska tillåtas. Brandväggsregler påverkar inte åtkomsten till själva Azure Portal webbplats. Anslutningsförsök från Internet och Azure måste först passera genom brandväggen innan de kan nå dina databaser.