Zabezpečení flexibilního serveru Azure Database for PostgreSQL

Azure Database for PostgreSQL je plně spravovaná databázová služba, která poskytuje integrovanou vysokou dostupnost, automatizované zálohování a možnosti škálování. Zabezpečení nasazení databáze PostgreSQL pomáhá chránit citlivá data a splňovat požadavky na dodržování předpisů.

Tento článek vás provede zabezpečením nasazení flexibilního serveru Azure Database for PostgreSQL.

Doporučení zabezpečení v tomto článku implementují principy nulové důvěryhodnosti: "Ověřit explicitně", "Použít přístup s nejnižšími oprávněními" a "Předpokládat porušení zabezpečení". Pro podrobné pokyny k principu nulová důvěra (Zero Trust) navštivte Centrum pro pokyny k nulová důvěra (Zero Trust).

Zabezpečení sítě

Kontrolní mechanismy zabezpečení sítě pomáhají omezit veřejné vystavení a integrovat flexibilní server Azure Database for PostgreSQL do segmentované architektury virtuální sítě.

Správa identit a přístupu

Řízení identit a přístupu pomáhá centralizovat ověřování, omezit vystavení přihlašovacích údajů a vynucovat nejnižší oprávnění napříč správou Azure a přístupem k databázi PostgreSQL.

  • Používejte ověřování Microsoft Entra: Upřednostněte ověřování Microsoft Entra flexibilního serveru PostgreSQL, abyste mohli centralizovat řízení identit a omezit závislost na heslech místní databáze. Další informace najdete v článku Ověřování Microsoft Entra pro službu Azure Database for PostgreSQL.

  • Správa identit Microsoft Entra: Přiřaďte a zkontrolujte správce, uživatele a skupiny Microsoft Entra pro PostgreSQL – flexibilní server, aby přístup k databázi odpovídal principu nejnižších oprávnění. Další informace najdete v tématu Správa rolí Microsoft Entra v Azure Database for PostgreSQL.

  • Používejte spravované identity pro přístup k aplikacím: Ověřování Azure hostovaných aplikací na flexibilním serveru PostgreSQL se spravovanými identitami místo ukládání přihlašovacích údajů v kódu aplikace nebo konfiguraci. Další informace najdete v tématu Spravované identity v Azure Database for PostgreSQL.

  • Vynucení podmíněného přístupu pro správce PostgreSQL: Použijte zásady podmíněného přístupu, jako jsou vícefaktorové ověřování a požadavky na zařízení vyhovující předpisům, u identit, které spravují flexibilní servery PostgreSQL a související prostředky Azure. Pro více informací viz Common Conditional Access policy: Vyžaduje MFA pro správu Azure.

  • K místnímu ověřování použijte SCRAM: Pokud se vyžadují místní uživatelé PostgreSQL, použijte k omezení rizika ohrožení hesla ověřování SCRAM a silné postupy pro hesla. Další informace najdete v tématu Ověřování SCRAM v Azure Database for PostgreSQL.

  • Správa místních databázových rolí: Pomocí rolí a oprávnění PostgreSQL omezte přístup na úrovni databáze k objektům a operacím, které každý uživatel potřebuje. Další informace najdete v tématu Správa uživatelů v Azure Database for PostgreSQL.

  • Implementace Azure řízení přístupu na základě role (RBAC): Přiřaďte Azure role RBAC jenom identitám, které potřebují vytvářet, konfigurovat, monitorovat nebo odstraňovat prostředky flexibilního serveru PostgreSQL. Další informace najdete v tématu Azure řízení přístupu na základě role.

Ochrana dat

Azure Database for PostgreSQL šifruje primární servery, repliky, data pro obnovení k určitému bodu v čase a zálohy uložené v klidovém stavu pomocí klíčů spravovaných službou. Pokud vaše úloha vyžaduje silnější zásady správného řízení šifrování nebo ochranu použití dat, použijte následující konfigurovatelné ovládací prvky zákazníka.

  • Ověřte připojení TLS: Nakonfigurujte klienty PostgreSQL tak, aby ověřovaly řetězec certifikátů serveru a název hostitele pomocí sslmode=verify-full, nebo sslmode=verify-ca, pokud verify-full není možné. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • Zachovejte důvěryhodné kořenové certifikáty: Mějte kořenové certifikační autority Azure v úložištích důvěryhodných certifikátů klientů a vyhněte se důvěřování mezilehlým certifikátům nebo jednotlivým certifikátům serveru, aby rotace certifikátů nenarušily připojení. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • V případě podpory vyžadovat protokol TLS 1.3: Nastavte ssl_min_protocol_version parametr TLSv1.3 serveru pro klienty, kteří podporují nejnovější verzi zabezpečeného protokolu, a nenastavujte ssl_max_protocol_version. Další informace naleznete v tématu Transport Layer Security v Azure Database for PostgreSQL.

  • Použití klíčů spravovaných zákazníkem pro zásady správného řízení šifrování: Konfigurace klíčů spravovaných zákazníkem v Azure Key Vault nebo Azure managed HSM, pokud potřebujete kontrolu životního cyklu klíčů nebo oddělení povinností. V případě scénářů mezi tenanty hostujte šifrovací klíč v instanci Azure Key Vault nebo Azure Managed HSM v jiném tenantovi Microsoft Entra než je tenant flexibilního serveru a server používá tento klíč k šifrování dat v klidu – to je užitečné, když vlastnictví klíče musí zůstat oddělené od operací služeb. Další informace najdete v tématu Šifrování neaktivních uložených dat v Azure Database for PostgreSQL a Konfigurace šifrování dat v Azure Database for PostgreSQL.

  • Konfigurace automatické obměně klíčů: Pokud používáte klíče spravované zákazníkem, povolte autorotaci klíčů v Azure Key Vault nebo Azure managed HSM a nakonfigurujte flexibilní server PostgreSQL tak, aby používal automatické aktualizace verzí klíčů. Další informace najdete v tématu Konfigurace šifrování klíčů spravovaných zákazníkem.

  • Používejte důvěrné výpočetní operace pro vysoce citlivé úlohy: Nasaďte flexibilní server PostgreSQL na podporované skladové položky důvěrných výpočetních prostředků v podporovaných oblastech, pokud potřebujete hardwarovou ochranu pro užitá data. Další informace najdete v článku Důvěrné výpočetní prostředí Azure v Azure Database for PostgreSQL.

  • Použijte anonymizaci dat pro citlivá data PostgreSQL: Použijte anon rozšíření, pokud potřebujete nástroje pro anonymizaci dat na úrovni databáze a nakonfigurujte požadované sdílené knihovny před načtením před použitím. Další informace najdete v článku Seznam rozšíření a modulů podle názvů ve službě Azure Database for PostgreSQL – flexibilní server.

Protokolování a monitorování

Protokolování a monitorování ovládacích prvků pomáhá zjišťovat podezřelé aktivity, prošetřovat incidenty a udržovat důkazy auditu PostgreSQL dostupné pro provozní pracovní postupy a pracovní postupy dodržování předpisů.

Dodržování předpisů a zásady správného řízení

Kontrolní mechanismy dodržování předpisů a zásad správného řízení pomáhají používat konzistentní konfiguraci, mapovat nasazení PostgreSQL na zákonné požadavky a udržovat vlastnictví zabezpečení viditelné ve velkém měřítku.

  • Vynutit konfiguraci zabezpečení PostgreSQL pomocí Azure Policy: Přiřaďte integrované zásady pro flexibilní server PostgreSQL, jako jsou privátní koncové body, omezení veřejného přístupu, protokolování diagnostiky, TLS, klíče spravované zákazníkem a geograficky redundantní zálohování. Další informace najdete v článku Předdefinované zásady služby Azure Policy pro Azure Database for PostgreSQL.

  • Projděte si nabídky dodržování předpisů pro PostgreSQL: Před zpracováním regulovaných dat přiřaďte Azure Database for PostgreSQL – flexibilní server k relevantním certifikacím a atestacím dodržování předpisů. Další informace najdete v tématu Dodržování předpisů v Azure Database for PostgreSQL.

  • Použijte zámky prostředků pro produkční servery: Používejte zámky pro správu u produkčních flexibilních serverů PostgreSQL a závislých prostředků, abyste omezili neúmyslné odstranění nebo rušivé změny konfigurace. Další informace najdete v tématu Ochrana prostředků Azure zámkem.

  • Označte prostředky PostgreSQL pro účely zásad správného řízení: Použijte značky, jako jsou pracovní zátěž, prostředí, klasifikace dat, vlastník a oblast dodržování předpisů, u flexibilních serverů PostgreSQL a souvisejících prostředků, aby je zásady, inventarizace a postupy správy nákladů mohly identifikovat jako chráněné databáze. Další informace najdete v tématu Jak používat značky k uspořádání prostředků Azure.

Zálohování a obnovování

Ovládací prvky zálohování a obnovení pomáhají obnovit data PostgreSQL po náhodném odstranění, poškození nebo regionálním přerušení při plnění cílů obnovení úloh.

Další kroky

  • Poslední aktualizace v