共用方式為

多租用戶解決方案中治理和合規性的架構方法

  • 發行項

隨著 Azure 的使用成熟，請務必考慮雲端資源的治理。 治理包括如何儲存和管理租用戶的數據，以及如何組織 Azure 資源。 您可能也需要遵循法規、法律或合約規定的標準。 本文提供如何在多租使用者解決方案中考慮治理和合規性的資訊。 它也建議一些主要的 Azure 平臺功能來支持這些問題。

重要考慮和需求

資源隔離

請確定您已設定 Azure 資源，以符合租用戶的隔離需求。 如需隔離 Azure 資源的指引，請參閱多租用戶解決方案中的 Azure 資源組織。

數據管理

當您代表租戶儲存數據時，您可能需要滿足某些要求或義務。 從租戶的觀點來看，他們通常期望擁有並控制其數據。 請考慮如何隔離、儲存、存取和匯總租用戶的數據。 找出可能會影響解決方案運作方式的租使用者期望和需求。

隔離

檢閱多租使用者解決方案中儲存和數據 架構方法， 瞭解如何隔離租用戶的數據。 請考慮租使用者是否需要使用自己的數據加密金鑰。

無論您實作哪種隔離方法，請為租使用者要求稽核其數據做好準備。 最好記載所有可能保存租戶數據的數據存放區。 常見的數據來源包括下列類別：

  • 部署為解決方案一部分的資料庫和儲存帳戶。
  • 身分識別系統，通常會在租用戶之間共用。
  • 日誌。
  • 數據倉儲。

主權

瞭解要儲存或處理租用戶數據的實體位置是否有任何限制。 您的租使用者可能會要求您將其數據儲存在特定地理位置。 他們也可能要求您 不要 將其數據儲存在特定位置。 雖然這些要求通常基於立法，但它們也可以基於文化價值觀和規範。

如需關於資料駐留和主權的詳細資訊，請參閱白皮書 《在 Microsoft Azure 區域中啟用資料駐留和資料保護》。

租使用者存取您儲存的數據

租用戶有時會要求直接存取您代表其儲存的數據。 例如，他們可能會想要將資料匯入到他們自己的資料湖中。

規劃您將如何回應這些要求。 請考慮租使用者的任何數據是否保留在共用數據存放區中。 如果是，請規劃如何避免租使用者存取其他租用戶的數據。

除非您專門為此需求設計了相應解決方案，如使用 代客密鑰模式，否則請避免直接存取資料庫或儲存帳戶。 請考慮針對整合目的建立 API 或自動化數據匯出程式。

如需與租使用者系統與外部系統整合的詳細資訊，請參閱 租使用者整合和數據存取架構方法。

您對租戶數據的使用權

請考慮租使用者的需求是否限制可處理其數據或資源的人員。 例如，假設您建置許多不同客戶所使用的 SaaS 解決方案。 政府機構可能要求只有國家/地區的公民能夠存取其解決方案的基礎結構和數據。 針對敏感性客戶工作負載，您可以使用個別的 Azure 資源群組、訂用帳戶或管理群組來符合此需求。 您可以套用嚴格範圍的 Azure 角色型存取控制 （RBAC） 角色指派，讓特定使用者群組使用這些資源。

來自多個租用戶的數據匯總

請考慮您是否需要合併或匯總來自多個租用戶的數據。 例如，您是否要分析匯總的數據，或將可套用至其他租用戶的機器學習模型定型？ 請確定您的租用戶瞭解您使用其數據的方式。 包含任何匯總或匿名數據的用法。

合規性需求

請務必瞭解是否需要符合任何合規性標準。 在某些情況下可能會引入合規性需求，包括：

  • 您或任何租使用者都在特定產業內工作。 例如，如果您的任何租用戶在醫療保健產業中工作，您可能需要遵守 HIPAA 標準。
  • 您或任何租用戶都位於需要符合當地法律的地理或地緣政治區域中。 例如，如果您的任何租用戶位於歐洲，您可能需要遵守 一般數據保護規定 （GDPR）。
  • 您購買網路保險，以降低資料外洩的風險。 網路保險提供者可能會要求您遵循其標準，並套用特定控制措施，讓您的原則有效。

重要

合規性是Microsoft、您和租用戶之間的共同責任。

Microsoft可確保我們的服務符合一組特定的合規性標準，並提供工具，例如 Microsoft Defender for Cloud，以協助確認您的資源已根據這些標準進行設定。

不過，最終您有責任完全瞭解適用於您解決方案的合規性需求，以及如何根據這些標準設定您的 Azure 資源。 如需詳細資訊，請參閱 Azure 合規性供應專案。

本文不提供如何符合任何特定標準的特定指引。 相反地，它會提供一些關於如何在多租使用者解決方案中考慮合規性和治理的一般指引。

如果不同的租戶需要您遵循不同的合規性標準，請計劃在整個環境中遵循最嚴格的標準。 遵循一個嚴格的標準比為不同租戶遵循不同標準更容易。

要考慮的方法和模式

資源標籤

使用 資源標籤 來追蹤租戶特定資源的租戶識別碼，或者當您使用 部署戳記模式進行擴展時追蹤戳記識別碼。 藉由使用資源標籤，您可以快速識別與特定租戶或標記相關聯的資源。

存取控制

使用 Azure RBAC 來限制對構成多租用戶解決方案的 Azure 資源存取。 遵循 RBAC 最佳做法，例如將角色指派套用至群組，而不是使用者。 界定您的角色指派範圍，使其提供所需的最低許可權。 使用 just-in-time 存取和功能，例如 Microsoft Entra ID Privileged Access Management，避免長期存取資源。

Azure 資源圖表

Azure Resource Graph 可讓您使用 Azure 資源元數據。 藉由使用 Resource Graph，即使這些資源分散到多個訂用帳戶，您仍可跨大量 Azure 資源進行查詢。 Resource Graph 可以查詢特定類型的資源，或識別以特定方式設定的資源。 它也可以用來追蹤資源的設定歷程記錄。

Resource Graph 有助於管理大型 Azure 資產。 例如，假設您跨多個 Azure 訂用帳戶部署租使用者特定的 Azure 資源。 藉由 將標籤套用至您的資源，您可以使用資源圖表 API 來尋找由特定租戶或部署標記所使用的資源。

Microsoft Purview

請考慮使用 Microsoft Purview 來追蹤和分類您儲存的數據。 當租使用者要求存取其數據時，您可以輕鬆地判斷您應該包含的數據源。

確認符合標準

使用 Azure 原則、Microsoft Defender for Cloud 法規合規性入口網站，以及 Azure Advisor等工具。 這些工具可協助您設定 Azure 資源以符合合規性需求，並遵循建議的最佳做法。

生成合規性文件

您的租戶可能會要求您證明自己符合特定標準。 使用 服務信任入口網站 來產生合規性文件，您可以提供給租戶或第三方稽核員。

某些多租使用者解決方案包含 Microsoft 365，並使用 Microsoft OneDrive、Microsoft SharePoint 和 Microsoft Exchange Online 等服務。 Microsoft Purview 合規性入口網站 可協助您了解這些服務如何符合法規標準。

部署標識模式

當您需要符合租戶特定需求時，請考慮遵循 部署戳記模式。

例如，您可以將解決方案的戳記部署到多個 Azure 區域。 然後，您可以根據他們數據所在的區域，將新租戶分配給適當的標籤。

同樣地，新的租戶可能會引入現有解決方案元件無法完成的嚴格合規性需求。 您可以考慮為該租使用者部署專用戳記，然後根據其需求進行設定。

要避免的反模式

  • 不了解租戶的合規性需求。 請務必不要假設您的租戶可能提出的合規要求。 如果您打算將解決方案拓展到新的市場，請留意租使用者可能在其中運作的法規環境。
  • 忽略良好作法。 如果您不需要立即遵守合規性標準，則部署 Azure 資源時仍應遵循良好作法。 例如，隔離您的資源、套用原則來驗證資源設定，以及將角色指派套用至群組而非使用者。 通過遵循良好做法，當您最終需要遵循合規性標準時，這將使過程變得更簡單。
  • 假設沒有合規性需求。 當您第一次啟動多租戶解決方案時，您可能不知道合規要求，或可能不需要遵循任何規定。 隨著您成長，您可能需要提供符合各種標準的證據。 使用 Microsoft Defender for Cloud ，在未有明確需求前，監控您的合規性姿勢，針對一般基準，如 CIS Microsoft 基礎基準。
  • 未規劃管理。 當您部署 Azure 資源時，請考慮規劃如何管理這些資源。 如果您需要對資源進行大量更新，請確定您已了解自動化工具，例如 Azure CLI、Azure PowerShell、Azure Resource Graph 和 Azure Resource Manager API。
  • 不使用管理群組。 規劃您的訂用帳戶和管理群組層級，包括每個範圍的存取控制和 Azure Policy 資源。 當您的資源用於生產環境中時，引入或更改這些元素可能會很困難且造成干擾。
  • 未能規劃存取控制策略。 Azure RBAC 可讓您管理資源的存取權，提供高度控制和彈性。 請確定您使用 Microsoft Entra 群組，以避免將許可權指派給個別使用者。 在安全性與彈性之間提供適當平衡的範圍指派角色。 盡可能使用內建角色定義，並指派提供所需最低許可權的角色。
  • 不使用 Azure 原則。 請務必使用 Azure 原則來管理您的 Azure 環境。 規劃及部署原則之後，請確定您監視原則合規性，並仔細檢閱任何違規或例外狀況。

貢獻者

本文由 Microsoft 維護。 它最初是由下列參與者所撰寫。

主要作者

其他參與者：

若要查看非公開的LinkedIn個人檔案，請登入LinkedIn。

後續步驟

檢閱 的成本管理和配置方法。