Zabezpečení flexibilního serveru Azure Database for PostgreSQL

Azure Database for PostgreSQL je plně spravovaná databázová služba, která poskytuje integrovanou vysokou dostupnost, automatizované zálohování a možnosti škálování. Zabezpečení nasazení databáze PostgreSQL pomáhá chránit citlivá data a splňovat požadavky na dodržování předpisů.

Tento článek vás provede zabezpečením nasazení flexibilního serveru Azure Database for PostgreSQL.

Doporučení zabezpečení v tomto článku implementují principy nulové důvěryhodnosti: "Ověřit explicitně", "Použít přístup s nejnižšími oprávněními" a "Předpokládat porušení zabezpečení". Pro podrobné pokyny k principu nulová důvěra (Zero Trust) navštivte Centrum pro pokyny k nulová důvěra (Zero Trust).

Zabezpečení sítě

Kontrolní mechanismy zabezpečení sítě pomáhají omezit veřejné vystavení a integrovat flexibilní server Azure Database for PostgreSQL do segmentované architektury virtuální sítě.

Správa identit a přístupu

Řízení identit a přístupu pomáhá centralizovat ověřování, omezit vystavení přihlašovacích údajů a vynucovat nejnižší oprávnění napříč správou Azure a přístupem k databázi PostgreSQL.

  • Používejte ověřování Microsoft Entra: Upřednostněte ověřování Microsoft Entra flexibilního serveru PostgreSQL, abyste mohli centralizovat řízení identit a omezit závislost na heslech místní databáze. Další informace najdete v článku Ověřování Microsoft Entra pro službu Azure Database for PostgreSQL.

  • Správa identit Microsoft Entra: Přiřaďte a zkontrolujte správce, uživatele a skupiny Microsoft Entra pro PostgreSQL – flexibilní server, aby přístup k databázi odpovídal principu nejnižších oprávnění. Další informace najdete v tématu Správa rolí Microsoft Entra v Azure Database for PostgreSQL.

  • Používejte spravované identity pro přístup k aplikacím: Ověřování Azure hostovaných aplikací na flexibilním serveru PostgreSQL se spravovanými identitami místo ukládání přihlašovacích údajů v kódu aplikace nebo konfiguraci. Další informace najdete v tématu Spravované identity v Azure Database for PostgreSQL.

  • Vynucení podmíněného přístupu pro správce PostgreSQL: Použijte zásady podmíněného přístupu, jako jsou vícefaktorové ověřování a požadavky na zařízení vyhovující předpisům, u identit, které spravují flexibilní servery PostgreSQL a související prostředky Azure. Pro více informací viz Common Conditional Access policy: Vyžaduje MFA pro správu Azure.

  • K místnímu ověřování použijte SCRAM: Pokud se vyžadují místní uživatelé PostgreSQL, použijte k omezení rizika ohrožení hesla ověřování SCRAM a silné postupy pro hesla. Další informace najdete v tématu Ověřování SCRAM v Azure Database for PostgreSQL.

  • Správa místních databázových rolí: Pomocí rolí a oprávnění PostgreSQL omezte přístup na úrovni databáze k objektům a operacím, které každý uživatel potřebuje. Další informace najdete v tématu Správa uživatelů v Azure Database for PostgreSQL.

  • Implementace Azure řízení přístupu na základě role (RBAC): Přiřaďte Azure role RBAC jenom identitám, které potřebují vytvářet, konfigurovat, monitorovat nebo odstraňovat prostředky flexibilního serveru PostgreSQL. Další informace najdete v tématu Azure řízení přístupu na základě role.

Ochrana dat

Azure Database for PostgreSQL šifruje primární servery, repliky, data pro obnovení k určitému bodu v čase a zálohy uložené v klidovém stavu pomocí klíčů spravovaných službou. Pokud vaše úloha vyžaduje silnější zásady správného řízení šifrování nebo ochranu použití dat, použijte následující konfigurovatelné ovládací prvky zákazníka.

  • Ověřte připojení TLS: Nakonfigurujte klienty PostgreSQL tak, aby ověřovaly řetězec certifikátů serveru a název hostitele pomocí sslmode=verify-full, nebo sslmode=verify-ca, pokud verify-full není možné. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • Zachovejte důvěryhodné kořenové certifikáty: Mějte kořenové certifikační autority Azure v úložištích důvěryhodných certifikátů klientů a vyhněte se důvěřování mezilehlým certifikátům nebo jednotlivým certifikátům serveru, aby rotace certifikátů nenarušily připojení. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • V případě podpory vyžadovat protokol TLS 1.3: Nastavte ssl_min_protocol_version parametr TLSv1.3 serveru pro klienty, kteří podporují nejnovější verzi zabezpečeného protokolu, a nenastavujte ssl_max_protocol_version. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • Použití klíčů spravovaných zákazníkem pro zásady správného řízení šifrování: Konfigurace klíčů spravovaných zákazníkem v Azure Key Vault nebo Azure managed HSM, pokud potřebujete kontrolu životního cyklu klíčů nebo oddělení povinností. Používejte klíče spravované zákazníkem napříč tenanty jenom pro scénáře verze Preview, které splňují zdokumentované požadavky. Další informace najdete v tématu Šifrování neaktivních uložených dat v Azure Database for PostgreSQL a Konfigurace šifrování dat v Azure Database for PostgreSQL.

  • Konfigurace automatické obměně klíčů: Pokud používáte klíče spravované zákazníkem, povolte autorotaci klíčů v Azure Key Vault nebo Azure managed HSM a nakonfigurujte flexibilní server PostgreSQL tak, aby používal automatické aktualizace verzí klíčů. Další informace najdete v tématu Konfigurace šifrování klíčů spravovaných zákazníkem.

  • Používejte důvěrné výpočetní operace pro vysoce citlivé úlohy: Nasaďte flexibilní server PostgreSQL na podporované skladové položky důvěrných výpočetních prostředků v podporovaných oblastech, pokud potřebujete hardwarovou ochranu pro užitá data. Další informace najdete v článku Důvěrné výpočetní prostředí Azure v Azure Database for PostgreSQL.

  • Použijte anonymizaci dat pro citlivá data PostgreSQL: Použijte anon rozšíření, pokud potřebujete nástroje pro anonymizaci dat na úrovni databáze a nakonfigurujte požadované sdílené knihovny před načtením před použitím. Další informace najdete v článku Seznam rozšíření a modulů podle názvů ve službě Azure Database for PostgreSQL – flexibilní server.

Protokolování a monitorování

Protokolování a monitorování ovládacích prvků pomáhá zjišťovat podezřelé aktivity, prošetřovat incidenty a udržovat důkazy auditu PostgreSQL dostupné pro provozní pracovní postupy a pracovní postupy dodržování předpisů.

Dodržování předpisů a zásady správného řízení

Kontrolní mechanismy dodržování předpisů a zásad správného řízení pomáhají používat konzistentní konfiguraci, mapovat nasazení PostgreSQL na zákonné požadavky a udržovat vlastnictví zabezpečení viditelné ve velkém měřítku.

  • Vynutit konfiguraci zabezpečení PostgreSQL pomocí Azure Policy: Přiřaďte integrované zásady pro flexibilní server PostgreSQL, jako jsou privátní koncové body, omezení veřejného přístupu, protokolování diagnostiky, TLS, klíče spravované zákazníkem a geograficky redundantní zálohování. Další informace najdete v článku Předdefinované zásady služby Azure Policy pro Azure Database for PostgreSQL.

  • Projděte si nabídky dodržování předpisů pro PostgreSQL: Před zpracováním regulovaných dat přiřaďte Azure Database for PostgreSQL – flexibilní server k relevantním certifikacím a atestacím dodržování předpisů. Další informace najdete v tématu Dodržování předpisů v Azure Database for PostgreSQL.

  • Použijte zámky prostředků pro produkční servery: Používejte zámky pro správu u produkčních flexibilních serverů PostgreSQL a závislých prostředků, abyste omezili neúmyslné odstranění nebo rušivé změny konfigurace. Další informace najdete v tématu Ochrana prostředků Azure zámkem.

  • Označte prostředky PostgreSQL pro účely zásad správného řízení: Použijte značky, jako jsou pracovní zátěž, prostředí, klasifikace dat, vlastník a oblast dodržování předpisů, u flexibilních serverů PostgreSQL a souvisejících prostředků, aby je zásady, inventarizace a postupy správy nákladů mohly identifikovat jako chráněné databáze. Další informace najdete v tématu Jak používat značky k uspořádání prostředků Azure.

Zálohování a obnovování

Ovládací prvky zálohování a obnovení pomáhají obnovit data PostgreSQL po náhodném odstranění, poškození nebo regionálním přerušení při plnění cílů obnovení úloh.

Další kroky

  • Last updated on