توصيات لبناء استراتيجية تجزئة

  • مقالة

ينطبق على توصية قائمة التحقق من أمان Well-Architected Framework:

SE:04 إنشاء تجزئة ومحيطات مقصودة في تصميم البنية الخاصة بك وبصمة حمل العمل على النظام الأساسي. يجب أن تتضمن استراتيجية التجزئة الشبكات والأدوار والمسؤوليات وهويات حمل العمل وتنظيم الموارد.

المقطع هو قسم منطقي من الحل الخاص بك يحتاج إلى تأمينه كوحدة واحدة. تحدد استراتيجية التجزئة كيفية فصل وحدة واحدة عن الوحدات الأخرى بمجموعة خاصة بها من المتطلبات والتدابير الأمنية.

يصف هذا الدليل توصيات بناء استراتيجية تجزئة موحدة. باستخدام حدود المحيط والعزل في أحمال العمل، يمكنك تصميم نهج أمان يناسبك.

التعريفات 

المصطلح التعريف
الاحتواء تقنية لاحتواء نصف قطر الانفجار إذا تمكن المهاجم من الوصول إلى مقطع.
الوصول الأقل امتيازا مبدأ ثقة معدومة يهدف إلى تقليل مجموعة من الأذونات لإكمال وظيفة وظيفة.
المحيط حدود الثقة حول مقطع.
تنظيم الموارد استراتيجية لتجميع الموارد ذات الصلة حسب التدفقات داخل مقطع.
الدور مجموعة من الأذونات اللازمة لإكمال وظيفة وظيفة.
مقطع وحدة منطقية معزولة عن الكيانات الأخرى ومحمية بمجموعة من التدابير الأمنية.

استراتيجيات التصميم الرئيسية

يستخدم مفهوم التجزئة بشكل شائع للشبكات. ومع ذلك، يمكن استخدام نفس المبدأ الأساسي في جميع أنحاء الحل، بما في ذلك تقسيم الموارد لأغراض الإدارة والتحكم في الوصول.

يساعدك التجزئة على تصميم نهج أمان يطبق الدفاع بعمق استنادا إلى مبادئ نموذج ثقة معدومة. تأكد من أن المهاجم الذي يخترق مقطع شبكة اتصال واحد لا يمكنه الوصول إلى آخر عن طريق تقسيم أحمال العمل باستخدام عناصر تحكم هوية مختلفة. في نظام آمن، تمنع سمات الهوية والشبكة الوصول غير المصرح به وتخفي الأصول من التعرض. فيما يلي بعض الأمثلة على المقاطع:

  • الاشتراكات التي تعزل أحمال العمل للمؤسسة
  • مجموعات الموارد التي تعزل أصول حمل العمل
  • بيئات التوزيع التي تعزل التوزيع حسب المراحل
  • الفرق والأدوار التي تعزل وظائف الوظائف المتعلقة بتطوير وإدارة حمل العمل
  • طبقات التطبيق التي تعزل بواسطة أداة حمل العمل
  • الخدمات المصغرة التي تعزل خدمة عن خدمة أخرى

ضع في اعتبارك هذه العناصر الرئيسية للتجزئة للتأكد من أنك تبني استراتيجية دفاع شاملة في العمق:

  • الحد أو المحيط هو حافة الإدخال لمقطع حيث تقوم بتطبيق عناصر التحكم في الأمان. يجب أن تمنع عناصر تحكم المحيط الوصول إلى المقطع ما لم يسمح به صراحة. الهدف هو منع المهاجم من اختراق المحيط والتحكم في النظام. على سبيل المثال، قد تقبل طبقة التطبيق رمز وصول المستخدم النهائي عندما يعالج طلبا. ولكن قد تتطلب طبقة البيانات رمز وصول مختلفا له إذن معين، والذي يمكن فقط لطبقة التطبيق طلبه.

  • الاحتواء هو حافة الخروج من مقطع يمنع الحركة الجانبية في النظام. الهدف من الاحتواء هو تقليل تأثير الخرق. على سبيل المثال، قد يتم استخدام شبكة Azure الظاهرية لتكوين مجموعات التوجيه وأمان الشبكة للسماح فقط بأنماط نسبة استخدام الشبكة التي تتوقعها، وتجنب نسبة استخدام الشبكة إلى مقاطع الشبكة العشوائية.

  • العزل هو ممارسة تجميع الكيانات ذات الضمانات المماثلة معا لحمايتها بحدود. الهدف هو سهولة الإدارة واحتواء هجوم داخل بيئة. على سبيل المثال، يمكنك تجميع الموارد التي تتعلق بحمل عمل معين في اشتراك Azure واحد، ثم تطبيق التحكم في الوصول بحيث يمكن لفرق حمل العمل المحددة فقط الوصول إلى الاشتراك.

من المهم ملاحظة التمييز بين المحيط والعزل. المحيط يشير إلى نقاط الموقع التي يجب التحقق منها. العزل هو عن التجميع. تحتوي بنشاط على هجوم باستخدام هذه المفاهيم معا.

العزل لا يعني إنشاء صوامع في المؤسسة. توفر استراتيجية التجزئة الموحدة المواءمة بين الفرق الفنية وتحدد خطوطا واضحة للمسؤولية. يقلل Clarity من مخاطر حدوث خطأ بشري وفشل في التشغيل التلقائي يمكن أن يؤدي إلى ثغرات أمنية أو وقت تعطل تشغيلي أو كليهما. لنفترض أنه تم الكشف عن خرق أمني في مكون من نظام مؤسسة معقد. من المهم أن يفهم الجميع المسؤول عن هذا المورد بحيث يتم تضمين الشخص المناسب في فريق الفرز. يمكن للمنظمة وأصحاب المصلحة تحديد كيفية الاستجابة لالأنواع المختلفة من الحوادث بسرعة من خلال إنشاء استراتيجية تجزئة جيدة وتوثيقها.

المفاضلة: يقدم التجزئة التعقيد لأن هناك نفقات عامة في الإدارة. هناك أيضا مفاضلة في التكلفة. على سبيل المثال، يتم توفير المزيد من الموارد عند تقسيم بيئات التوزيع التي تعمل جنبا إلى جنب.

المخاطر: التقسيم الجزئي الذي يتجاوز الحد المعقول يفقد فائدة العزلة. عند إنشاء عدد كبير جدا من المقاطع، يصبح من الصعب تحديد نقاط الاتصال أو السماح بمسارات اتصال صالحة داخل المقطع.

الهوية كمحيط

تصل الهويات المختلفة مثل الأشخاص أو مكونات البرامج أو الأجهزة إلى شرائح حمل العمل. الهوية هي محيط يجب أن يكون خط الدفاع الأساسي لمصادقة الوصول وتخويله عبر حدود العزل، بغض النظر عن مكان إنشاء طلب الوصول. استخدم الهوية كمحيط من أجل:

  • تعيين الوصول حسب الدور. الهويات تحتاج فقط إلى الوصول إلى الشرائح المطلوبة للقيام بعملها. تقليل الوصول المجهول من خلال فهم أدوار ومسؤوليات الهوية الطالبة بحيث تعرف الكيان الذي يطلب الوصول إلى مقطع والغرض منه.

    قد يكون للهوية نطاقات وصول مختلفة في مقاطع مختلفة. ضع في اعتبارك إعداد بيئة نموذجي، مع مقاطع منفصلة لكل مرحلة. الهويات المرتبطة بدور المطور لديها حق الوصول للقراءة والكتابة إلى بيئة التطوير. مع انتقال التوزيع إلى التقسيم المرحلي، يتم كبح هذه الأذونات. بحلول الوقت الذي يتم فيه ترقية حمل العمل إلى الإنتاج، يتم تقليل نطاق المطورين للوصول للقراءة فقط.

  • ضع في اعتبارك هويات التطبيق والإدارة بشكل منفصل. في معظم الحلول، يكون لدى المستخدمين مستوى وصول مختلف عن المطورين أو المشغلين. في بعض التطبيقات، قد تستخدم أنظمة هوية أو أدلة مختلفة لكل نوع من أنواع الهوية. ضع في اعتبارك استخدام نطاقات الوصول وإنشاء أدوار منفصلة لكل هوية.

  • تعيين الوصول الأقل امتيازا. إذا تم السماح للهوية بالوصول، فحدد مستوى الوصول. ابدأ بأقل امتياز لكل مقطع وقم بتوسيع هذا النطاق فقط عند الحاجة.

    من خلال تطبيق أقل امتياز، يمكنك الحد من التأثيرات السلبية إذا تم اختراق الهوية من أي وقت مضى. إذا كان الوصول محدودا بالوقت، يتم تقليل سطح الهجوم بشكل أكبر. ينطبق الوصول المحدود زمنيا بشكل خاص على الحسابات الهامة، مثل المسؤولين أو مكونات البرامج التي لها هوية مخترقة.

المفاضلة: يمكن أن يتأثر أداء حمل العمل بمحيط الهوية. يتطلب التحقق من كل طلب بشكل صريح دورات حساب إضافية و IO إضافي للشبكة.

يؤدي التحكم في الوصول المستند إلى الدور (RBAC) أيضا إلى حمل الإدارة. يمكن أن يصبح تتبع الهويات ونطاقات الوصول الخاصة بها معقدا في تعيينات الأدوار. الحل البديل هو تعيين أدوار لمجموعات الأمان بدلا من الهويات الفردية.

المخاطر: يمكن أن تكون إعدادات الهوية معقدة. يمكن أن تؤثر التكوينات الخاطئة على موثوقية حمل العمل. على سبيل المثال، افترض أن هناك تعيين دور تم تكوينه بشكل خاطئ تم رفض الوصول إلى قاعدة بيانات. تبدأ الطلبات بالفشل، مما يؤدي في النهاية إلى مشكلات الموثوقية التي لا يمكن اكتشافها حتى وقت التشغيل.

للحصول على معلومات حول عناصر التحكم في الهوية، راجع إدارة الهوية والوصول.

على النقيض من عناصر التحكم في الوصول إلى الشبكة، تتحقق الهوية من صحة التحكم في الوصول في وقت الوصول. يوصى بشدة بإجراء مراجعة وصول منتظمة والمطالبة بسير عمل الموافقة للحصول على امتيازات لحسابات التأثير الهامة. على سبيل المثال، راجع أنماط تجزئة الهوية.

الشبكات كمحيط

محيط الهوية غير محدد للشبكة بينما تزيد محيطات الشبكة الهوية ولكنها لا تحل محلها أبدا. يتم إنشاء محيط الشبكة للتحكم في نصف قطر الانفجار، ومنع الوصول غير المتوقع والمحظر وغير الآمن، وتعتيم موارد حمل العمل.

في حين أن التركيز الأساسي لمحيط الهوية هو أقل امتياز، يجب أن تفترض أنه سيكون هناك خرق عند تصميم محيط الشبكة.

إنشاء محيطات معرفة بالبرامج في بصمة الشبكة باستخدام خدمات وميزات Azure. عند وضع حمل عمل (أو أجزاء من حمل عمل معين) في مقاطع منفصلة، يمكنك التحكم في نسبة استخدام الشبكة من تلك المقاطع أو إليها لتأمين مسارات الاتصال. إذا تم اختراق مقطع، يتم احتواؤه ومنعه من الانتشار الجانبي عبر بقية شبكتك.

فكر كمهاجم لتحقيق موطئ قدم ضمن حمل العمل وإنشاء عناصر تحكم لتقليل المزيد من التوسع. يجب أن تكتشف عناصر التحكم المهاجمين وتحتويهم وتمنعهم من الوصول إلى حمل العمل بأكمله. فيما يلي بعض الأمثلة على عناصر التحكم في الشبكة كمحيط:

  • حدد محيط الحافة الخاص بك بين الشبكات العامة والشبكة حيث يتم وضع حمل العمل الخاص بك. تقييد خط الرؤية من الشبكات العامة إلى شبكتك قدر الإمكان.
  • تنفيذ المناطق المنزوعة السلاح (DMZs) أمام التطبيق مع عناصر التحكم المناسبة عبر جدران الحماية.
  • إنشاء تجزئة صغيرة داخل شبكتك الخاصة عن طريق تجميع أجزاء من حمل العمل في مقاطع منفصلة. إنشاء مسارات اتصال آمنة بينهما.
  • إنشاء حدود استنادا إلى الهدف. على سبيل المثال، تقسيم الشبكات الوظيفية لحمل العمل من الشبكات التشغيلية.

للحصول على الأنماط الشائعة المتعلقة بتجزئة الشبكات، راجع أنماط تجزئة الشبكات.

المفاضلة: غالبا ما تكون عناصر التحكم في أمان الشبكة مكلفة لأنها مضمنة مع وحدات SKU المتميزة. غالبا ما يؤدي تكوين القواعد على جدران الحماية إلى تعقيد هائل يتطلب استثناءات واسعة.

يغير الاتصال الخاص التصميم المعماري، وغالبا ما يضيف المزيد من المكونات مثل مربعات الانتقال للوصول الخاص إلى عقد الحوسبة.

نظرا لأن محيط الشبكة يستند إلى نقاط التحكم أو القفزات على الشبكة، يمكن أن تكون كل قفزة نقطة فشل محتملة. يمكن أن يكون لهذه النقاط تأثير على موثوقية النظام.

المخاطر: تستند عناصر التحكم في الشبكة إلى القواعد وهناك فرصة كبيرة للتكوين الخاطئ، وهو مصدر قلق للموثوقية.

للحصول على معلومات حول عناصر التحكم في الشبكة، راجع الشبكات والاتصال.

الأدوار والمسؤوليات

يتم تحقيق التجزئة التي تمنع الارتباك والمخاطر الأمنية من خلال تحديد خطوط المسؤولية بوضوح داخل فريق حمل العمل.

توثيق الأدوار والوظائف ومشاركتها لإنشاء الاتساق وتسهيل الاتصال. تعيين المجموعات أو الأدوار الفردية المسؤولة عن الوظائف الرئيسية. ضع في اعتبارك الأدوار المضمنة في Azure قبل إنشاء أدوار مخصصة للكائنات.

ضع في اعتبارك التناسق مع استيعاب العديد من النماذج التنظيمية عند تعيين أذونات لمقطع. يمكن أن تتراوح هذه النماذج من مجموعة تكنولوجيا معلومات مركزية واحدة إلى فرق تكنولوجيا المعلومات المستقلة وفرق DevOps في الغالب.

المخاطر: يمكن أن تتغير عضوية المجموعات بمرور الوقت عندما ينضم الموظفون إلى الفرق أو يغادرونها أو يغيرون الأدوار. يمكن أن تؤدي إدارة الأدوار عبر الشرائح إلى حمل إداري.

تنظيم الموارد

يسمح لك التجزئة بعزل موارد حمل العمل عن أجزاء أخرى من المؤسسة أو حتى داخل الفريق. تعد بنيات Azure، مثل مجموعات الإدارة والاشتراكات والبيئات ومجموعات الموارد، طرقا لتنظيم مواردك التي تعزز التجزئة. فيما يلي بعض الأمثلة على العزل على مستوى الموارد:

  • يتضمن الثبات متعدد اللغات مزيجا من تقنيات تخزين البيانات بدلا من نظام قاعدة بيانات واحد لدعم التجزئة. استخدم الثبات متعدد اللغات للفصل حسب نماذج البيانات المختلفة، أو فصل الوظائف مثل تخزين البيانات والتحليلات، أو للفصل حسب أنماط الوصول.
  • تخصيص خدمة واحدة لكل خادم عند تنظيم الحساب الخاص بك. يقلل هذا المستوى من العزل من التعقيد ويمكن أن يساعد في احتواء هجوم.
  • يوفر Azure عزلا مضمنا لبعض الخدمات، على سبيل المثال فصل الحساب عن التخزين. للحصول على أمثلة أخرى، راجع العزل في سحابة Azure العامة.

المفاضلة: قد يؤدي عزل الموارد إلى زيادة في التكلفة الإجمالية للملكية (TCO). بالنسبة لمخازن البيانات، قد يكون هناك تعقيد وتنسيق إضافيان أثناء التعافي من الكوارث.

تسهيل Azure

تتوفر بعض خدمات Azure للاستخدام في تنفيذ استراتيجية التجزئة، كما هو موضح في الأقسام التالية.

الهوية

يدعم Azure RBAC التجزئة عن طريق عزل الوصول حسب وظيفة الوظيفة. يسمح بإجراءات معينة فقط لأدوار ونطاقات معينة. على سبيل المثال، يمكن تعيين أذونات القارئ لوظائف الوظيفة التي تحتاج فقط إلى مراقبة النظام مقابل أذونات المساهم التي تسمح للهوية بإدارة الموارد.

لمزيد من المعلومات، راجع أفضل الممارسات ل RBAC.

الشبكات

رسم تخطيطي يوضح خيارات الشبكات للتجزئة.

الشبكات الظاهرية: توفر الشبكات الظاهرية احتواء على مستوى الشبكة للموارد دون إضافة نسبة استخدام الشبكة بين شبكتين ظاهريتين. يتم إنشاء الشبكات الظاهرية في مساحات عناوين خاصة داخل اشتراك

مجموعات أمان الشبكة (NSG): آلية للتحكم في الوصول للتحكم في نسبة استخدام الشبكة بين الموارد في الشبكات الظاهرية والشبكات الخارجية، مثل الإنترنت. تنفيذ المسارات المعرفة من قبل المستخدم (UDR) للتحكم في الوثبة التالية لنسبة استخدام الشبكة. يمكن أن تأخذ مجموعات أمان الشبكة استراتيجية التجزئة الخاصة بك إلى مستوى دقيق عن طريق إنشاء محيط لشبكة فرعية أو جهاز ظاهري (VM) أو مجموعة من الأجهزة الظاهرية. للحصول على معلومات حول العمليات المحتملة مع الشبكات الفرعية في Azure، راجع الشبكات الفرعية.

مجموعات أمان التطبيقات (ASGs): تسمح لك مجموعات أمان التطبيقات بتجميع مجموعة من الأجهزة الظاهرية ضمن علامة تطبيق وتحديد قواعد نسبة استخدام الشبكة التي يتم تطبيقها بعد ذلك على كل جهاز من الأجهزة الظاهرية الأساسية.

Azure Firewall: خدمة سحابية أصلية، والتي يمكن نشرها في شبكتك الظاهرية أو في عمليات توزيع مركز Azure Virtual WAN . استخدم Azure Firewall لتصفية نسبة استخدام الشبكة المتدفقة بين موارد السحابة والإنترنت والموارد المحلية. استخدم Azure Firewall أو Azure Firewall Manager لإنشاء قواعد أو نهج تسمح بنسبة استخدام الشبكة أو ترفضها باستخدام عناصر تحكم الطبقة 3 إلى الطبقة 7. تصفية حركة مرور الإنترنت باستخدام Azure Firewall والجهات الخارجية عن طريق توجيه نسبة استخدام الشبكة من خلال موفري الأمان التابعين لجهة خارجية للتصفية المتقدمة وحماية المستخدم. يدعم Azure توزيع الأجهزة الظاهرية للشبكة، ما يساعد على التجزئة من جدران الحماية التابعة لجهة خارجية.

مثال

فيما يلي بعض الأنماط الشائعة لتقسيم حمل العمل في Azure. اختر نمطا بناء على احتياجاتك.

يعتمد هذا المثال على بيئة تكنولوجيا المعلومات (IT) التي تم إنشاؤها في أساس الأمان (SE:01). يوضح الرسم التخطيطي أدناه التجزئة على مستوى مجموعة الإدارة التي تقوم بها المؤسسة.

رسم تخطيطي يوضح مثالا لاستراتيجية تجزئة المؤسسة لأحمال العمل المختلفة.

أنماط تجزئة الهوية

النمط 1: التجميع المستند إلى المسمى الوظيفي

تتمثل إحدى طرق تنظيم مجموعات الأمان في المسمى الوظيفي مثل مهندس البرامج أو مسؤول قاعدة البيانات أو مهندس موثوقية الموقع أو مهندس ضمان الجودة أو محلل الأمان. يتضمن هذا النهج إنشاء مجموعات أمان لفريق حمل العمل الخاص بك استنادا إلى أدوارهم، دون النظر في العمل الذي يجب إنجازه. امنح مجموعات الأمان أذونات التحكم في الوصول استنادا إلى الدور، الدائمة أو في الوقت المناسب (JIT)، وفقا لمسؤولياتها في حمل العمل. تعيين مبادئ بشرية وخدمية لمجموعات الأمان استنادا إلى وصولها حسب الحاجة.

العضوية مرئية للغاية على مستوى تعيين الدور، ما يجعل من السهل معرفة ما يمكن للدور الوصول إليه. عادة ما يكون كل شخص عضوا في مجموعة أمان واحدة فقط، ما يجعل الإعداد وإيقاف الإعداد أمرا سهلا. ومع ذلك، ما لم تتداخل عناوين الوظائف بشكل مثالي مع المسؤوليات، فإن التجميع المستند إلى العنوان ليس مثاليا لتنفيذ أقل الامتيازات. قد ينتهي بك الأمر إلى الجمع بين التنفيذ والتجمع المستند إلى الدالة.

النمط 2: التجميع المستند إلى الدالة

التجميع المستند إلى الوظائف هو أسلوب تنظيم مجموعة أمان يعكس العمل المنفصل الذي يجب إنجازه، وليس مع مراعاة بنية فريقك. مع هذا النمط، يمكنك منح مجموعات الأمان أذونات التحكم في الوصول استنادا إلى الدور، الدائمة أو JIT حسب الحاجة، وفقا لدالتها المطلوبة في حمل العمل.

تعيين مبادئ بشرية وخدمية لمجموعات الأمان استنادا إلى وصولها حسب الحاجة. حيثما أمكن، استخدم المجموعات المتجانسة الموجودة كأعضاء في المجموعات المستندة إلى الدالة، مثل تلك المجموعات من النمط 1. تتضمن أمثلة المجموعات المستندة إلى الدالات ما يلي:

  • عوامل تشغيل قاعدة بيانات الإنتاج
  • عوامل تشغيل قاعدة بيانات ما قبل الإنتاج
  • عوامل تشغيل تدوير شهادة الإنتاج
  • عوامل تشغيل تدوير شهادة ما قبل الإنتاج
  • إنتاج موقع مباشر/فرز
  • ما قبل الإنتاج كل الوصول

يحافظ هذا النهج على الوصول الأقل امتيازا الأكثر صرامة ويوفر مجموعات الأمان حيث يكون النطاق واضحا، ما يجعل من السهل تدقيق العضويات المتعلقة بالواجبات الوظيفية التي يتم تنفيذها. غالبا ما يوجد دور Azure مضمن لمطابقة وظيفة الوظيفة هذه.

ومع ذلك، يتم تجريد العضوية طبقة واحدة على الأقل، ما يجبرك على الانتقال إلى موفر الهوية لفهم من هو في المجموعة عند النظر من منظور المورد. بالإضافة إلى ذلك، يحتاج شخص واحد إلى الاحتفاظ بعدة عضويات للتغطية الكاملة. يمكن أن تكون مصفوفة مجموعات الأمان المتداخلة معقدة.

يوصى بالنمط 2 لجعل أنماط الوصول هي التركيز، وليس المخطط الهيكلي. تتغير المخططات التنظيمية وأدوار الأعضاء في بعض الأحيان. يتيح لك التقاط هوية حمل العمل وإدارة الوصول من منظور وظيفي تجريد مؤسسة فريقك من الإدارة الآمنة لحمل العمل.

أنماط تجزئة الشبكات

النمط 1: التجزئة داخل حمل العمل (الحدود الناعمة)

رسم تخطيطي يعرض شبكة ظاهرية واحدة.

في هذا النمط، يتم وضع حمل العمل في شبكة ظاهرية واحدة باستخدام الشبكات الفرعية لوضع علامة على الحدود. يتم تحقيق التجزئة باستخدام شبكتين فرعيتين، واحدة لقاعدة البيانات والأخرى لأحمال عمل الويب. يجب تكوين مجموعات أمان الشبكة التي تسمح للشبكة الفرعية 1 بالاتصال فقط بالشبكة الفرعية 2 والشبكة الفرعية 2 للاتصال بالإنترنت فقط. يوفر هذا النمط التحكم في مستوى الطبقة 3.

النمط 2: التجزئة داخل حمل العمل

رسم تخطيطي يوضح شبكات ظاهرية متعددة.

هذا النمط هو مثال على التجزئة على مستوى النظام الأساسي. يتم نشر حمل العمل c omponents عبر شبكات متعددة دون التناظر بينها. يتم توجيه جميع الاتصالات من خلال وسيط يعمل كنقطة وصول عامة. يمتلك فريق حمل العمل جميع الشبكات.

يوفر النمط 2 الاحتواء ولكنه يحتوي على تعقيد إضافي لإدارة الشبكة الظاهرية والتحجيم. يتم الاتصال بين الشبكتين عبر الإنترنت العام، والذي يمكن أن يكون خطرا. هناك أيضا زمن انتقال مع الاتصالات العامة. ومع ذلك، يمكن تناظر الشبكتين، مما يؤدي إلى كسر التجزئة عن طريق توصيلهما لإنشاء مقطع أكبر. يجب إجراء التناظر عندما لا تكون هناك حاجة إلى نقاط نهاية عامة أخرى.

الاعتبارات النمط 1 النمط 2
الاتصال والتوجيه: كيفية اتصال كل مقطع يوفر توجيه النظام اتصالا افتراضيا لمكونات حمل العمل. لا يمكن لأي مكون خارجي الاتصال بعبء العمل. داخل الشبكة الظاهرية، مثل النمط 1.
بين الشبكات، تنتقل نسبة استخدام الشبكة عبر الإنترنت العام. لا يوجد اتصال مباشر بين الشبكات.
تصفية نسبة استخدام الشبكة على مستوى الشبكة يسمح بنسبة استخدام الشبكة بين المقاطع بشكل افتراضي. استخدم NSGs أو ASGs لتصفية نسبة استخدام الشبكة. داخل الشبكة الظاهرية، مثل النمط 1.
بين الشبكات، يمكنك تصفية كل من نسبة استخدام الشبكة للدخول والخروج من خلال جدار حماية.
نقاط النهاية العامة المفتوحة غير المقصودة لا تحصل بطاقات واجهة الشبكة (NICs) على عناوين IP عامة. لا تتعرض الشبكات الظاهرية لإدارة واجهة برمجة تطبيقات الإنترنت. مثل النمط 1. نقطة النهاية العامة المفتوحة المقصودة على شبكة ظاهرية واحدة، والتي يمكن تكوينها بشكل خاطئ لقبول المزيد من نسبة استخدام الشبكة.

تنظيم الموارد

تنظيم موارد Azure استنادا إلى مسؤولية الملكية

رسم تخطيطي لملكية Azure التي تحتوي على أحمال عمل متعددة.

ضع في اعتبارك ملكية Azure التي تحتوي على أحمال عمل متعددة ومكونات خدمة مشتركة مثل الشبكات الظاهرية للمركز وجدران الحماية وخدمات الهوية وخدمات الأمان مثل Microsoft Sentinel. يجب تجميع المكونات في جميع أنحاء الحوزة استنادا إلى مجالاتها الوظيفية وأحمال العمل والملكية. على سبيل المثال، يجب تجميع موارد الشبكات المشتركة معا في اشتراك واحد وإدارتها بواسطة فريق شبكة. يجب أن تكون المكونات المخصصة لأحمال العمل الفردية في قطاعها الخاص وقد يتم تقسيمها بشكل أكبر استنادا إلى مستويات التطبيق أو المبادئ التنظيمية الأخرى.

امنح حق الوصول لإدارة الموارد داخل المقاطع الفردية عن طريق إنشاء تعيينات دور التحكم في الوصول استنادا إلى الدور. على سبيل المثال، قد يتم منح فريق شبكة السحابة حق الوصول الإداري إلى الاشتراك الذي يحتوي على موارده، ولكن ليس لاشتراكات حمل العمل الفردية.

تتيح استراتيجية التجزئة الجيدة إمكانية تحديد مالكي كل مقطع بسهولة. ضع في اعتبارك استخدام علامات موارد Azure لإضافة تعليقات توضيحية على مجموعات الموارد أو الاشتراكات مع فريق المالك.

تكوين التحكم في الوصول ومراجعته

امنح الوصول المناسب بناء على الحاجة من خلال تحديد مقاطع لمواردك بوضوح.

ضع في اعتبارك مبدأ الامتياز الأقل عند تحديد نهج التحكم في الوصول. من المهم التمييز بين عمليات وحدة التحكم (إدارة المورد نفسه) وعمليات مستوى البيانات (الوصول إلى البيانات المخزنة بواسطة المورد). على سبيل المثال، افترض أن لديك حمل عمل يحتوي على قاعدة بيانات تحتوي على معلومات حساسة حول الموظفين. قد تمنح الإدارة حق الوصول إلى بعض المستخدمين الذين يحتاجون إلى تكوين إعدادات مثل النسخ الاحتياطية لقاعدة البيانات أو المستخدمين الذين يراقبون أداء خادم قاعدة البيانات. ومع ذلك، لا ينبغي أن يكون هؤلاء المستخدمون قادرين على الاستعلام عن البيانات الحساسة المخزنة في قاعدة البيانات. حدد الأذونات التي تمنح الحد الأدنى من النطاق المطلوب للمستخدمين لأداء واجباتهم. راجع تعيينات الأدوار لكل مقطع بانتظام وأزل الوصول الذي لم يعد مطلوبا.

ملاحظة

تمنح بعض الأدوار المتميزة للغاية، مثل دور المالك في التحكم في الوصول استنادا إلى الدور، المستخدمين القدرة على منح المستخدمين الآخرين حق الوصول إلى مورد. حدد عدد المستخدمين أو المجموعات التي تم تعيين دور المالك لها، وراجع سجلات التدقيق بانتظام للتأكد من أنها تنفذ عمليات صالحة فقط.

قائمة التحقق من الأمان

راجع المجموعة الكاملة من التوصيات.

قائمة التحقق من الأمان