Izolace a Access Control Microsoftu 365 v Azure Active Directory

  • Článek

Služba Azure Active Directory (Azure AD) byla navržena tak, aby hostovala více tenantů vysoce zabezpečeným způsobem díky izolaci logických dat. Přístup k Azure AD je chráněn autorizační vrstvou. Azure AD izoluje zákazníky, kteří používají kontejnery tenantů jako hranice zabezpečení, a chrání tak obsah zákazníka tak, aby k obsahu nemohli přistupovat nebo ho zneužovat spoluklienti. Autorizační vrstva Azure AD provádí tři kontroly:

  • Je objekt zabezpečení povolený pro přístup k Azure AD tenantovi?
  • Je objekt zabezpečení povolený pro přístup k datům v tomto tenantovi?
  • Je role objektu zabezpečení v tomto tenantovi autorizovaná pro požadovaný typ přístupu k datům?

Žádná aplikace, uživatel, server nebo služba nemá přístup k Azure AD bez správného ověřování a tokenu nebo certifikátu. Žádosti se zamítnou, pokud nejsou doprovázeny správnými přihlašovacími údaji.

Ve skutečnosti Azure AD hostuje každého tenanta ve vlastním chráněném kontejneru se zásadami a oprávněními pro kontejner a v rámci kontejneru, které výhradně vlastní a spravuje tenant.

Kontejner Azure.

Koncept kontejnerů tenantů je hluboce zakořeněný v adresářové službě ve všech vrstvách, od portálů až po trvalé úložiště. I když je na stejném fyzickém disku uloženo více metadat tenanta Azure AD, neexistuje mezi kontejnery žádný jiný vztah než to, co je definováno adresářovou službou, což je zase diktováno správcem tenanta. Žádná přímá připojení k úložišti Azure AD z žádné žádající aplikace nebo služby nesmí existovat, aniž by nejprve prošla autorizační vrstvou.

V následujícím příkladu mají contoso a Fabrikam samostatné vyhrazené kontejnery, a i když tyto kontejnery můžou sdílet část stejné základní infrastruktury, jako jsou servery a úložiště, zůstávají oddělené a izolované od sebe a chráněné vrstvami autorizace a řízení přístupu.

Vyhrazené kontejnery Azure.

Kromě toho neexistují žádné komponenty aplikace, které by se mohly spouštět v rámci Azure AD, a není možné, aby jeden tenant vynutil narušení integrity jiného tenanta, přístup k šifrovacím klíčům jiného tenanta nebo načetl nezpracovaná data ze serveru.

ve výchozím nastavení Azure AD zakáže všechny operace vydané identitami v jiných tenantech. Každý tenant je logicky izolovaný v rámci Azure AD prostřednictvím řízení přístupu na základě deklarací identity. Čtení a zápisy dat adresáře jsou vymezeny na kontejnery tenantů a jsou chráněny interní abstrakční vrstvou a vrstvou řízení přístupu na základě role (RBAC), které společně vynucují tenanta jako hranici zabezpečení. Tyto vrstvy zpracovávají každou žádost o přístup k datům adresáře a každá žádost o přístup v Microsoftu 365 se řídí výše uvedenou logikou.

Azure AD má Severní Amerika, vládu USA, Evropskou unii, Německo a oddíly world wide. Tenant existuje v jednom oddílu a oddíly můžou obsahovat více tenantů. Informace o oddílech se abstrahují od uživatelů. Daný oddíl (včetně všech tenantů v něm) se replikuje do několika datových center. Oddíl pro tenanta se vybírá na základě vlastností tenanta (např. kód země). Tajné kódy a další citlivé informace v každém oddílu se šifrují pomocí vyhrazeného klíče. Klíče se vygenerují automaticky při vytvoření nového oddílu.

Azure AD systémové funkce jsou pro každou uživatelskou relaci jedinečnou instancí. Kromě toho Azure AD používá technologie šifrování k zajištění izolace sdílených systémových prostředků na úrovni sítě, aby se zabránilo neoprávněnému a nezamýšleným přenosům informací.