Sdílet prostřednictvím

Přístupy k architektuře pro zásady správného řízení a dodržování předpisů ve víceklientských řešeních

  • Článek

S tím, jak azure využíváte, je důležité zvážit zásady správného řízení vašich cloudových prostředků. Zásady správného řízení zahrnují ukládání a správu dat tenantů a způsob uspořádání prostředků Azure. Možná budete také muset dodržovat zákonné, právní nebo smluvně pověřené standardy. Tento článek obsahuje informace o tom, jak zvážit zásady správného řízení a dodržování předpisů v víceklientských řešeních. Navrhuje také některé klíčové funkce platformy Azure, které tyto obavy podporují.

Klíčové aspekty a požadavky

Izolace prostředků

Ujistěte se, že prostředky Azure nakonfigurujete tak, aby splňovaly požadavky na izolaci tenantů. Pokyny k izolování prostředků Azure najdete v organizaci prostředků Azure ve víceklientských řešeních .

Správa dat

Při ukládání dat jménem vašich tenantů můžete mít požadavky nebo povinnosti, které potřebujete splnit. Z pohledu tenanta často očekávají vlastnictví a kontrolu nad jejich daty. Zvažte, jak izolovat, ukládat, přistupovat k datům tenantů a agregovat je. Objevte očekávání a požadavky tenantů, které by mohly ovlivnit fungování vašeho řešení.

Izolace

Projděte si přístupy k architektuře pro ukládání a data ve víceklientských řešeních a zjistěte, jak izolovat data tenantů. Zvažte, jestli mají tenanti požadavky na použití vlastních šifrovacích klíčů dat.

Bez ohledu na to, jaké přístupy k izolaci implementujete, připravte se na tenanty, aby požádali o audit jejich dat. Je vhodné zdokumentovat všechna úložiště dat, ve kterých se můžou uchovávat data tenantů. Mezi běžné zdroje dat patří:

  • Databáze a účty úložiště nasazené jako součást vašeho řešení
  • Systémy identit, které se často sdílejí mezi tenanty.
  • Protokoly.
  • Datové sklady.

Suverenity

Zjistěte, jestli existují nějaká omezení fyzického umístění dat tenantů, která se mají ukládat nebo zpracovávat. Vaši tenanti můžou vyžadovat, abyste svá data ukládali do konkrétních geografických umístění. Můžou také vyžadovat, abyste jejich data neukládali do určitých umístění. I když jsou tyto požadavky běžně založené na právních předpisech, mohou být také založeny na kulturních hodnotách a normách.

Další informace o rezidenci a suverenitě dat najdete v dokumentu white paper o povolení rezidence dat a ochrany dat v oblastech Microsoft Azure.

Přístup tenantů k uloženým datům

Tenanti někdy požadují přímý přístup k datům, která ukládáte jejich jménem. Mohou například chtít ingestovat svá data do vlastního datového jezera.

Naplánujte, jak budete na tyto žádosti reagovat. Zvažte, jestli se některá z dat tenantů uchovává ve sdílených úložištích dat. Pokud ano, naplánujte, jak se vyhnout tenantům, kteří přistupují k datům jiných tenantů.

Nepoužívejte přímý přístup k databázím nebo účtům úložiště, pokud jste pro tento požadavek nepoužíli, například pomocí vzoru Valet Key. Zvažte vytvoření rozhraní API nebo automatizovaného procesu exportu dat pro účely integrace.

Další informace o integraci se systémy tenantů a externích systémech najdete v tématu Přístupy architektury pro integraci tenantů a přístup k datům.

Váš přístup k datům tenantů

Zvažte, jestli požadavky vašich tenantů omezují pracovníky, kteří můžou pracovat se svými daty nebo prostředky. Předpokládejme například, že vytvoříte řešení SaaS, které používá mnoho různých zákazníků. Vládní agentura může vyžadovat, aby přístup k infrastruktuře a datům pro své řešení měli přístup jenom občané své země/oblasti. Tento požadavek můžete splnit pomocí samostatných skupin prostředků Azure, předplatných nebo skupin pro správu pro citlivé úlohy zákazníků. Přiřazení rolí na základě role (RBAC) v Azure můžete použít pro konkrétní skupiny uživatelů, kteří s těmito prostředky pracují.

Agregace dat z více tenantů

Zvažte, jestli potřebujete kombinovat nebo agregovat data z více tenantů. Analyzujete například agregovaná data nebo vytrénujete modely strojového učení, které je možné použít u jiných tenantů? Ujistěte se, že vaši tenanti rozumí způsobům, kterými používáte jejich data. Zahrňte jakékoli použití agregovaných nebo anonymizovaných dat.

Požadavky na dodržení shody

Je důležité pochopit, jestli potřebujete splnit nějaké standardy dodržování předpisů. Požadavky na dodržování předpisů mohou být zavedeny v několika situacích, mezi které patří:

  • Vy nebo kterýkoli z vašich tenantů pracujete v určitých odvětvích. Pokud například některý z vašich tenantů pracuje ve zdravotnictví, budete možná muset dodržovat standard HIPAA.
  • Vy nebo kterýkoli z vašich tenantů se nacházíte v geografických nebo geopolitických oblastech, které vyžadují dodržování místních zákonů. Pokud se například některý z vašich tenantů nachází v Evropě, možná budete muset dodržovat obecné nařízení o ochraně osobních údajů (GDPR).
  • Zakoupíte zásady kybernetického zajištění, které zmírní riziko porušení zabezpečení. Poskytovatelé kybernetického zajištění můžou vyžadovat, abyste dodržovali své standardy a použili konkrétní kontroly, aby vaše zásady byly platné.

Důležité

Dodržování předpisů je sdílená odpovědnost mezi Microsoftem, vámi a vašimi tenanty.

Microsoft zajišťuje, aby naše služby splňovaly konkrétní sadu standardů dodržování předpisů a poskytovaly nástroje, jako je Microsoft Defender for Cloud , které pomáhají ověřit, jestli jsou vaše prostředky nakonfigurované podle těchto standardů.

V konečném důsledku je ale vaší zodpovědností plně porozumět požadavkům na dodržování předpisů, které se vztahují na vaše řešení, a jak nakonfigurovat prostředky Azure podle těchto standardů. Další podrobnosti najdete v nabídkách dodržování předpisů Azure.

Tento článek neobsahuje konkrétní pokyny k tomu, jak se stát kompatibilním s konkrétními standardy. Místo toho poskytuje několik obecných pokynů k tomu, jak zvážit dodržování předpisů a zásady správného řízení ve víceklientských řešeních.

Pokud potřebujete, aby různí tenanti dodržovali různé standardy dodržování předpisů, naplánujte dodržování nejnovějších standardů v celém prostředí. Je jednodušší dodržovat jednu striktní normu, než dodržovat různé standardy pro různé tenanty.

Přístupy a vzory, které je potřeba zvážit

Značky prostředků

Pomocí značek prostředků můžete sledovat identifikátor tenanta pro prostředky specifické pro tenanta nebo identifikátor razítka při škálování pomocí vzoru Razítka nasazení. Pomocí značek prostředků můžete rychle identifikovat prostředky, které jsou přidružené ke konkrétním tenantům nebo kolkům.

Řízení přístupu

Pomocí Azure RBAC omezte přístup k prostředkům Azure, které představují víceklientové řešení. Postupujte podle osvědčených postupů RBAC, jako je použití přiřazení rolí u skupin místo uživatelů. Nastavte rozsah přiřazení rolí tak, aby poskytovaly minimální potřebná oprávnění. Vyhněte se dlouhotrvajícímu přístupu k prostředkům pomocí přístupu za běhu a funkcí, jako je Microsoft Entra ID Privileged Access Management.

Azure Resource Graph

Azure Resource Graph umožňuje pracovat s metadaty prostředků Azure. Pomocí Resource Graphu se můžete dotazovat na velký počet prostředků Azure, i když jsou rozložené mezi více předplatných. Resource Graph se může dotazovat na prostředky určitého typu nebo identifikovat prostředky, které byly nakonfigurované určitými způsoby. Dá se také použít ke sledování historie konfigurace prostředku.

Resource Graph může být užitečný ke správě velkých aktiv Azure. Předpokládejme například, že nasadíte prostředky Azure specifické pro tenanta napříč několika předplatnými Azure. Použitím značek u prostředků můžete pomocí rozhraní Resource Graph API najít prostředky, které používají konkrétní tenanti nebo razítka nasazení.

Azure Purview

Zvažte použití Azure Purview ke sledování a klasifikaci uložených dat. Když tenanti požadují přístup ke svým datům, můžete snadno určit zdroje dat, které byste měli zahrnout.

Ověření dodržování standardů

Používejte nástroje, jako jsou Azure Policy, Microsoft Defender pro portál dodržování právních předpisů cloudu a Azure Advisor. Tyto nástroje vám pomůžou nakonfigurovat prostředky Azure tak, aby splňovaly požadavky na dodržování předpisů a dodržovaly doporučené osvědčené postupy.

Generování dokumentace k dodržování předpisů

Vaši tenanti můžou vyžadovat, abyste si ukázali dodržování konkrétních standardů. Pomocí portálu Service Trust Portal můžete vygenerovat dokumentaci k dodržování předpisů, kterou můžete poskytnout svým tenantům nebo auditorům třetích stran.

Některá víceklientová řešení zahrnují Microsoft 365 a používají služby, jako je Microsoft OneDrive, Microsoft SharePoint a Microsoft Exchange Online. Portál dodržování předpisů Microsoft Purview vám pomůže pochopit, jak tyto služby vyhovují zákonným standardům.

Model razítka nasazení

Pokud potřebujete splnit požadavky specifické pro tenanta, zvažte použití vzoru razítka nasazení.

Můžete například nasadit razítka vašeho řešení do několika oblastí Azure. Potom můžete novým tenantům přiřadit razítka na základě oblastí, ve kterých potřebují mít svá data.

Podobně může nový tenant zavést přísné požadavky na dodržování předpisů, které nemůžete splnit v rámci stávajících komponent řešení. Můžete zvážit nasazení vyhrazeného razítka pro daného tenanta a jeho konfiguraci podle jejich požadavků.

Antipatterny, aby se zabránilo

  • Nerozumí požadavkům na dodržování předpisů vašich tenantů. Je důležité, abyste nepředpokládá požadavky na dodržování předpisů, které můžou tenanti uplatňovat. Pokud plánujete rozšířit své řešení na nové trhy, mějte na paměti regulační prostředí, ve kterém budou vaši tenanti pravděpodobně fungovat.
  • Ignorování osvědčených postupů Pokud nemáte žádnou okamžitou potřebu dodržovat standardy dodržování předpisů, měli byste při nasazování prostředků Azure postupovat podle osvědčených postupů. Můžete například izolovat prostředky, použít zásady pro ověření konfigurace prostředků a použít přiřazení rolí pro skupiny místo uživatelů. Když budete postupovat podle osvědčených postupů, zjednodušíte dodržování standardů dodržování předpisů, když to nakonec budete potřebovat.
  • Za předpokladu, že neexistují žádné požadavky na dodržování předpisů. Při prvním spuštění víceklientských řešení možná nebudete vědět o požadavcích na dodržování předpisů nebo nebudete muset postupovat podle žádných požadavků. Při růstu budete pravděpodobně muset poskytnout důkaz, že dodržujete různé standardy. Pomocí Programu Microsoft Defender for Cloud můžete monitorovat stav dodržování předpisů, a to i před tím, než budete mít explicitní požadavek.
  • Neplánuje se správa. Při nasazování prostředků Azure zvažte, jak je plánujete spravovat. Pokud potřebujete provádět hromadné aktualizace prostředků, ujistěte se, že máte přehled o nástrojích pro automatizaci, jako jsou Azure CLI, Azure PowerShell, Azure Resource Graph a rozhraní API Azure Resource Manageru.
  • Nepoužívá se skupiny pro správu. Naplánujte hierarchii předplatných a skupin pro správu, včetně řízení přístupu a prostředků Azure Policy v každém oboru. Při použití prostředků v produkčním prostředí může být obtížné a rušivé zavést nebo změnit tyto prvky.
  • Nedaří se naplánovat strategii řízení přístupu. Azure RBAC poskytuje vysoký stupeň kontroly a flexibility při správě přístupu k vašim prostředkům. Ujistěte se, že používáte skupiny Microsoft Entra, abyste se vyhnuli přiřazování oprávnění jednotlivým uživatelům. Přiřaďte role v oborech, které poskytují odpovídající rovnováhu mezi zabezpečením a flexibilitou. Používejte předdefinované definice rolí všude, kde je to možné, a přiřaďte role, které poskytují minimální požadovaná oprávnění.
  • Nepoužívá se Služba Azure Policy. K řízení prostředí Azure je důležité použít Azure Policy. Po naplánování a nasazení zásad se ujistěte, že monitorujete dodržování zásad, a pečlivě zkontrolujte všechna porušení nebo výjimky.

Přispěvatelé

Tento článek spravuje Microsoft. Původně byla napsána následujícími přispěvateli.

Hlavní autor:

  • John Downs | Hlavní zákaznický inženýr, FastTrack pro Azure

Další přispěvatelé:

Pokud chcete zobrazit neveřejné profily LinkedIn, přihlaste se na LinkedIn.

Další kroky

Projděte si přístupy ke správě nákladů a přidělování.