Säkerhetsöverväganden i Azure Cosmos DB
Datasäkerhet är ett delat ansvar mellan dig, kunden och databasleverantören. Beroende på vilken databasprovider du väljer kan ansvaret variera. Om du väljer en lokal lösning måste du tillhandahålla allt från slutpunktsskydd till fysisk säkerhet för maskinvaran, vilket inte är någon enkel uppgift. Om du väljer en paaS-molndatabasprovider (plattform som en tjänst), till exempel Azure Cosmos DB, minskar ditt problemområde avsevärt.
Mer information finns i delat ansvar i molnet.
Checklista
Vi rekommenderar följande checklista med krav för att jämföra databassystem:
- Inställningar för nätverkssäkerhet och brandvägg
- Användarautentisering och detaljerade användarkontroller
- Möjlighet att replikera data globalt för regionala fel
- Möjlighet att redundansväsna från ett datacenter till ett annat
- Lokal datareplikering i ett datacenter
- Automatiska säkerhetskopieringar av data
- Återställning av borttagna data från säkerhetskopior
- Möjlighet att skydda och isolera känsliga data
- Övervakning av attacker
- Inbyggda svar på attacker
- Möjlighet att geo-stängseldata att följa datastyrningsbegränsningar
- Fysiskt skydd av servrar i skyddade datacenter
- Certifieringar
Även om det kan verka uppenbart påminner de senaste storskaliga databasöverträdelserna oss om den enkla men kritiska betydelsen av följande krav:
- Uppdaterade servrar som hålls uppdaterade
- HTTPS som standard/TLS-kryptering
- Administrativa konton med starka lösenord
Hur skyddar Azure Cosmos DB min databas?
Azure Cosmos DB skyddar databasen som standard med många inbyggda funktioner i tjänsten och Azure i stort.
| Säkerhetskrav | Azure Cosmos DB:s säkerhetsmetod |
|---|---|
| Nätverkssäkerhet | Att använda en IP-brandvägg är det första skyddsskiktet för att skydda databasen. Azure Cosmos DB stöder principdrivna IP-baserade åtkomstkontroller för inkommande brandväggsstöd. IP-baserade åtkomstkontroller liknar de brandväggsregler som används av traditionella databassystem. De expanderas dock så att ett Azure Cosmos DB-databaskonto endast är tillgängligt från en godkänd uppsättning datorer eller molntjänster. Mer information finns i Azure Cosmos DB-brandväggsstöd. Med Azure Cosmos DB kan du aktivera en specifik IP-adress (168.61.48.0), ett IP-intervall (168.61.48.0/8) och kombinationer av IP-adresser och intervall. Azure Cosmos DB blockerar alla begäranden som kommer från datorer utanför listan över tillåtna. Begäranden från godkända datorer och molntjänster måste sedan slutföra autentiseringsprocessen för att få åtkomstkontroll till resurserna. Du kan använda tjänsttaggar för virtuella nätverk för att uppnå nätverksisolering och skydda dina Azure Cosmos DB-resurser från det allmänna Internet. Använd tjänsttaggar i stället för specifika IP-adresser när du skapar säkerhetsregler. Genom att ange namnet på tjänsttaggen (till exempel AzureCosmosDB) i lämpligt käll- eller målfält för en regel kan du tillåta eller neka trafik för motsvarande tjänst. |
| Auktorisering | Azure Cosmos DB använder hashbaserad kod för meddelandeautentisering (HMAC) för auktorisering. Varje begäran hashas med hjälp av den hemliga kontonyckeln och den efterföljande base-64-kodade hashen skickas med varje anrop till Azure Cosmos DB. För att verifiera begäran använder Azure Cosmos DB rätt hemlighetsnyckel och egenskaper för att generera en hash och jämför sedan värdet med värdet i begäran. Om de två värdena matchar godkänns åtgärden och begäran bearbetas. Om de inte matchar uppstår ett auktoriseringsfel och begäran avvisas. Du kan använda en primärnyckel, vilket ger detaljerad åtkomst till en resurs, till exempel ett dokument. Mer information finns i Säker åtkomst till Azure Cosmos DB-resurser. |
| Användare och behörigheter | Genom att använda primärnyckeln för kontot kan du skapa användarresurser och behörighetsresurser per databas. En resurstoken är associerad med en behörighet i en databas och avgör om användaren har åtkomst (skrivskyddad, skrivskyddad eller ingen åtkomst) till en programresurs i databasen. Programresurser omfattar containrar, dokument, bifogade filer, lagrade procedurer, utlösare och användardefinierade funktioner (UDF:er). Resurstoken används sedan under autentiseringen för att tillhandahålla eller neka åtkomst till resursen. Mer information finns i Säker åtkomst till Azure Cosmos DB-resurser. |
| Active Directory-integrering (rollbaserad åtkomstkontroll i Azure) | Du kan också ange eller begränsa åtkomsten till Azure Cosmos DB-kontot, databasen, containern och erbjudandena (dataflödet) med hjälp av åtkomstkontroll (IAM) i Azure Portal. IAM tillhandahåller rollbaserad åtkomstkontroll och integreras med Active Directory. Du kan använda inbyggda roller eller anpassade roller för individer och grupper. |
| Global replikering | Azure Cosmos DB erbjuder nyckelfärdig global distribution, vilket gör att du kan replikera dina data till något av Azures globala datacenter på ett nyckelfärdigt sätt. Med global replikering kan du skala globalt och ge åtkomst med låg svarstid till dina data runt om i världen. I säkerhetssammanhang säkerställer global replikering dataskydd mot regionala fel. Mer information finns i Distribuera data globalt. |
| Regionala redundanstestningar | Om du replikerar dina data i mer än ett datacenter rullar Azure Cosmos DB automatiskt över dina åtgärder om ett regionalt datacenter kopplas från. Du kan skapa en prioriterad lista över redundansregioner med hjälp av de regioner där dina data replikeras. Mer information finns i Regionala redundansväxlingar i Azure Cosmos DB. |
| Lokal replikering | Även i ett enda datacenter replikerar Azure Cosmos DB automatiskt data för hög tillgänglighet, vilket ger dig möjlighet att välja konsekvensnivåer. Den här replikeringen garanterar ett serviceavtal på 99,99 % tillgänglighet (SLA) för alla konton i en enskild region och alla konton i flera regioner med avslappnad konsekvens och lästillgänglighet på 99,999 % på alla databaskonton i flera regioner. |
| Automatiserade säkerhetskopieringar online | Azure Cosmos DB-databaser säkerhetskopieras regelbundet och lagras i ett geo-redundant arkiv. Mer information finns i Automatisk onlinesäkerhetskopiering och återställning med Azure Cosmos DB. |
| Återställa borttagna data | Du kan använda de automatiserade onlinesäkerhetskopieringarna för att återställa data som tagits bort av misstag upp till ~30 dagar efter händelsen. Mer information finns i Automatisk onlinesäkerhetskopiering och återställning med Azure Cosmos DB. |
| Skydda och isolera känsliga data | Alla data i de regioner som anges i Vad är nytt? krypteras nu i vila. Personuppgifter och andra konfidentiella data kan isoleras till specifika containrar och skrivskyddad eller skrivskyddad åtkomst kan begränsas till specifika användare. |
| Övervaka attacker | Genom att använda granskningsloggning och aktivitetsloggar kan du övervaka ditt konto för normal och onormal aktivitet. Du kan visa vilka åtgärder som har utförts på dina resurser. Dessa data omfattar vem som initierade åtgärden, när åtgärden inträffade, åtgärdens status och mycket mer. |
| Svara på attacker | När du har kontaktat Azure Support för att rapportera en potentiell attack påbörjas en femstegsprocess för incidenthantering. Målet är att återställa normal tjänstsäkerhet och -åtgärder. Processen återställer tjänster så snabbt som möjligt när ett problem har identifierats och en undersökning har startats. Mer information finns i Microsoft Azures säkerhetssvar i molnet. |
| Geo-fäktning | Azure Cosmos DB säkerställer datastyrning för nationella regioner (till exempel Tyskland, Kina och AMERIKANSKA myndigheter). |
| Skyddade anläggningar | Data i Azure Cosmos DB lagras på solid state-enheter i Azures skyddade datacenter. Mer information finns i Microsofts globala datacenter. |
| HTTPS- och TLS-kryptering | Alla anslutningar till Azure Cosmos DB stöder HTTPS. Azure Cosmos DB stöder TLS-nivåer (Transport Layer Security) upp till 1,2 (ingår). Det går att framtvinga en lägsta TLS-nivå på serversidan. Det gör du genom att läsa självbetjäningsguiden Självbetjäning för lägsta TLS-version i Azure Cosmos DB. |
| Kryptering i vila | Alla data som lagras i Azure Cosmos DB krypteras i vila. Läs mer i Azure Cosmos DB-kryptering i vila. |
| Korrigerade servrar | Som en hanterad databas korrigerar och hanterar Azure Cosmos DB automatiskt servern åt dig, vilket eliminerar behovet av manuella underhållsaktiviteter. |
| Administrativa konton med starka lösenord | Det går inte att ha ett administrativt konto utan lösenord i Azure Cosmos DB. Säkerhet via TLS- och HMAC-hemlighetsbaserad autentisering bakas in som standard. |
| Säkerhets- och dataskyddscertifieringar | Den senaste listan över certifieringar finns i Azure-efterlevnad och det senaste Azure-efterlevnadsdokumentet med alla Azure-certifieringar, inklusive Azure Cosmos DB. |