Visual Studio App Center 安全性和符合性
重要
Visual Studio App Center 计划于 2025 年 3 月 31 日停用。 虽然可以继续使用 Visual Studio App Center，直到它完全停用，但你可以考虑迁移到几个建议的替代方法。
App Center 非常重视安全性。 作为第一方 Microsoft Azure 服务，我们负责遵循 Microsoft 的所有内部要求，以安全可靠的方式运行。
我们希望你了解我们遵循的一些原则，以确保 App Center 的安全。 虽然它并不是一个详尽的安全概念列表，但它是由客户对类似信息的大量请求所塑造的。
重要
本文档旨在分享有关我们安全立场的信息。 本文档中没有任何暗示或不应认为 App Center 永远不会有安全问题。 本文档中的任何内容都不会取代 Microsoft 联机服务条款中的任何信息。 如果发现 App Center 存在潜在的安全问题，请立即联系 Microsoft 安全响应中心 。
数据驻留和主权
App Center 几乎完全在美国运行。 应用、用户、组织、生成、分发、分析和诊断的所有数据和处理都发生在美国中。 没有可用于在任何其他国家/地区托管此客户数据的选项。
App Center 在美国之外运行的唯一部分是 App Center 测试。 App Center 测试设备位于丹麦。 使用 App Center Test 生成的数据保存在丹麦和美国。
内容分发网络 (CDN) 用于从 App Center 提供某些内容和应用版本。 CDN 接入点位于世界各地，但所有源数据都在美国。
注意
由于国家/地区特定的政策和法律，我们无法保证 App Center 适用于所有国家/地区。 对于中国区域中的一些用户，分析和诊断 SDK 数据可能会遇到严重的延迟，或者无法在美国中将其传入我们的服务器。
数据安全
传输过程中的加密
App Center 中的所有网络流量（无论是通过 Internet 还是 Azure 数据中心内） 都使用 TLS 1.2+ 通过 HTTPS 进行保护。
静态加密
App Center 持有的所有数据均 已静态加密。 我们使用用于生成 App Center 的 Microsoft Azure 数据存储产品提供的加密功能。 其中包括 Azure 存储、Azure SQL和 Azure Cosmos DB。
加密密钥
我们使用系统提供的密钥进行静态加密。 App Center 不支持客户管理的密钥进行加密。
多租户
App Center 是一个多租户系统。 所有客户数据都保存在一组数据存储中。 无法选择将客户的数据保存在单独的或隔离的数据存储集中。
代码安全
App Center 的代码库由内部 Microsoft 工具扫描，以查找过时依赖项和已知安全漏洞等问题。 发现的任何问题都显示在安全仪表板中，并由工程团队解决。
为了确保服务中的活动是合法的，以及检测违规或企图的违规行为，我们使用 Azure 的基础结构来记录和监视服务的关键方面。 此外，安全记录所有部署和管理员活动，操作员对生产存储的访问也一样。
如果发现了可能的入侵或高优先级安全漏洞，我们会制定明确的安全事件响应计划。 此计划概述了责任方、保护客户数据所需的步骤，以及如何与 Microsoft 安全响应中心 (MSRC) 、Microsoft Azure 和 App Center 领导团队成员的安全专家联系。 如果我们认为其数据已泄露或损坏，我们还会通知任何组织所有者。
通常，App Center 遵循 Microsoft 安全开发生命周期。
访问生产系统
Microsoft 员工不时需要访问存储在 App Center 中的客户数据。 有权访问客户数据的所有员工都必须通过背景检查，以验证以前的雇佣和刑事定罪。 此外，仅当存在实时站点事件或其他已批准的维护活动时，我们才允许访问生产系统。 需要访问生产 App Center 系统的所有人员都必须使用 安全访问工作站，使用实时 (JIT) 提升。 所有 JIT 提升请求都必须得到另一个团队成员的批准，并记录和审核。
App Center 中的数据分类是为了区分客户数据 (上传到 App Center) 的内容、注册或管理组织) 时使用的组织数据 (信息，以及 Microsoft 数据 (服务) 操作所需的信息或收集的信息。 根据分类，我们控制使用方案、访问限制和保留要求。
所有登录名都使用 Azure Active Directory 多重身份验证 (MFA/2FA) 。
业务连续性和灾难恢复 (BCDR)
App Center 遵循 Microsoft 和 Azure 内部要求来操作可复原系统。 我们参与规划委员会，定期与适当的内部 Microsoft 团队一起审查业务连续性和灾难恢复计划，并根据需要更新这些计划。
我们会定期测试灾难恢复计划。
外部审核和测试
App Center 没有进行外部审核 (，例如 SOC 2 或 ISO 27001) 或外部渗透测试，因为很少有客户需要它。
话又说，我们受制于多个内部 Microsoft、Azure 和云 & AI 部门合规性系统和要求。 这些要求与外部审核程序中的内容明显重叠。 遵守 Microsoft 的内部 Azure 要求意味着我们的安全性和业务连续性立场与已完成外部审核的系统几乎完全相同。
GDPR
App Center 完全支持 GDPR。 我们提供了 大量文档 来解释如何处理数据以及如何提交数据主体请求。
安全报告
App Center 与 Microsoft 安全响应中心 (MSRC) 配合使用，以解决所有外部报告的安全问题。 如果发现 App Center 存在潜在的安全问题，请立即联系 MSRC。