Bevar din Cosmos DB i Microsoft Fabric-databasen

  • Gælder for: ✅ Cosmos DB in Microsoft Fabric

Cosmos DB i Microsoft Fabric er en AI-optimeret NoSQL-database, der automatisk konfigureres til typiske udviklingsbehov og tilbyder en forenklet administrationsoplevelse. Fabric leverer indbygget sikkerhed, adgangskontrol og overvågning for Cosmos DB i Fabric. Selvom Fabric tilbyder indbyggede sikkerhedsfunktioner til at beskytte dine data, bør du følge disse bedste praksisser for yderligere at forbedre sikkerheden af din database, dens data og dine adgangskonfigurationer.

Denne artikel indeholder en vejledning i, hvordan du bedst sikrer din Cosmos DB i Fabric-udrulning.

Sikkerhedsanbefalingerne i denne artikel implementerer Zero Trust-principperne: "Verificér eksplicit", "Brug adgang med mindst privilegium" og "Antag brud". For omfattende Zero Trust-vejledning, se Zero Trust Guidance Center.

Netværkssikkerhed

Cosmos DB in Fabric er afhængig af Microsoft Fabric's netværkskontroller på platformniveau. Isoler adgangen på lejer- og arbejdsområdeniveauet, fordi mulighederne for netværksisolering på item-niveau i dag er begrænsede.

  • Ruderer lejertrafik gennem private forbindelser: Aktiver Fabric-lejerniveau private forbindelser, så trafikken til de arbejdsområder, der huser dine Cosmos DB-databaser, bevæger sig over Microsoft private backbone i stedet for det offentlige internet. For mere information, se Private links for sikker adgang til Fabric.

  • Planlæg for netværksbegrænsninger på item-niveau: Private Link understøttes ikke på Cosmos DB-databaseniveau, så design netværksisolering omkring Fabric-lejeren og arbejdsområdets grænse i stedet for den enkelte database. For mere information, se Begrænsninger i Cosmos DB i Microsoft Fabric.

Identitets- og adgangsstyring

  • Brug administrerede identiteter til at få adgang til din database fra andre Azure-tjenester: Administrerede identiteter eliminerer behovet for at administrere legitimationsoplysninger ved at angive en automatisk administreret identitet i Microsoft Entra ID. Brug administrerede identiteter til at få sikker adgang til Cosmos DB fra andre Azure-tjenester uden at integrere legitimationsoplysninger i din kode. Selvom Cosmos DB in Fabric understøtter flere identitetstyper (service principals), er managed identities det foretrukne valg, da de ikke kræver, at din løsning håndterer legitimationsoplysninger direkte. Du kan få flere oplysninger under Godkend fra Azure-værtstjenester.

  • Brug Entra-autentificering til at forespørge, oprette og tilgå elementer i en container, mens du udvikler løsninger: Få adgang til elementer i Cosmos DB-containere ved at bruge din menneskelige identitet og Microsoft Entra-autentificering. Gennemtving adgang med de mindste rettigheder til forespørgsler, oprettelse og andre handlinger. Du kan få flere oplysninger under Opret sikker forbindelse fra dit udviklingsmiljø.

  • Adskil de Azure-identiteter, der bruges til data- og kontrolplanadgang: Brug forskellige Azure-identiteter til at styre fly- og dataplanhandlinger for at reducere risikoen for rettighedseskalering og sikre bedre adgangskontrol. Denne adskillelse forbedrer sikkerheden ved at begrænse omfanget af hver identitet. For mere information, se konfigurér autorisation.

  • Konfigurer adgang til mindst tilladte Fabric-arbejdsområder: Fabric håndhæver brugerrettigheder baseret på det aktuelle niveau af arbejdsområdeadgang. Hvis du fjerner en bruger fra Fabric-arbejdsområdet, mister de også automatisk adgangen til den tilknyttede Cosmos DB-database og underliggende data. Du kan få flere oplysninger under Fabric-tilladelsesmodel.

  • Forstå notebooks execution identity: Når du arbejder med notebooks i Fabric workspaces, skal du være opmærksom på, at identiteten, en notebook kører under, afhænger af, hvordan den udløses. En interaktiv kørsel bruger sikkerhedskonteksten for den aktuelle bruger, en pipeline-aktivitet kører under pipelinens sidst ændrede bruger, og en planlagt kørsel bruger identiteten på den bruger, der oprettede eller sidst opdaterede tidsplanen. Da adgangstilladelser og revisionsspor afspejler denne identitet, bør du planlægge din strategi for oprettelse af notesbog, deling og planlægning derefter. For mere information, se Sikkerhedskontekst for at køre notesbog.

  • Planlæg for begrænsninger i arbejdsområdeidentitet: I øjeblikket understøtter run-as Fabric ikke funktionalitet med Workspace Identity. Operationer udføres med den udløsende brugers identitet i stedet for en delt arbejdsområdeidentitet. Tag denne begrænsning i betragtning, når du designer multi-bruger-scenarier, og bekræft, at de relevante brugere udløser artefakter, der deles i arbejdsområdet. For mere information, se Begrænsninger i Cosmos DB i Microsoft Fabric.

Beskyttelse af data

Cosmos DB in Fabric krypterer automatisk alle data i hvile og undervejs med nøgler administreret af Microsoft, så du behøver ikke konfigurere nogen krypteringsindstillinger. Kundeadministrerede nøgler er ikke tilgængelige i øjeblikket. Du kan konfigurere databeskyttelse for OneLake-kopien af dine data.

  • Sikre den automatiske OneLake-kopi af dine data: Fabric spejler automatisk alle Cosmos DB i Fabric-databaser ind i OneLake i det åbne Delta Lake-format, uden behov for opsætning. Beskyt den analytiske kopi med de samme workspace-adgangskontroller og least privilege-roller, som du anvender på databasen. For mere information, se Mirror OneLake i Cosmos DB i Microsoft Fabric.

  • Planlæg omkring kundeadministrerede nøglebegrænsninger: Kundeadministreret nøglekryptering (CMK) er ikke tilgængelig for Cosmos DB i Fabric. Hvis dine compliance-krav kræver CMK, skal du tage højde for denne begrænsning, før du gemmer regulerede data. For mere information, se Begrænsninger i Cosmos DB i Microsoft Fabric.

Logføring og overvågning

Spor adgangen til dine Cosmos DB-databaser og hold øje med unormalt forbrug, der kan indikere et sikkerhedsproblem.

  • Revider bruger- og administratoraktivitet med Fabric-revisionsloggen: Gennemgå Fabric-revisionsloggen for at se, hvem der har tilgået eller ændret dine Cosmos DB-databaser og hvornår, hvilket understøtter hændelsesundersøgelse og adgangsgennemgange. Du kan finde flere oplysninger under Spor brugeraktiviteter i Microsoft Fabric.

  • Overvåg databasemetrikker for anomalier: Brug Metrics Summary til at gennemgå anmodninger, lagring og gennemstrømningsforbrug, og undersøg uventede spidser, der kan indikere misbrug. For mere information, se Monitor Cosmos DB i Microsoft Fabric.

Compliance og governance

Brug Microsoft Fabric's platformstyringsfunktioner til at klassificere, godkende og spore dine Cosmos DB-data.

  • Påfør følsomhedsetiketter for at klassificere og beskytte data: Brug Microsoft Purview Information Protection følsomhedsetiketter til at klassificere dine Cosmos DB-elementer, så beskyttelsen følger dataene på tværs af Fabric og OneLake. For mere information, se Informationsbeskyttelse i Microsoft Fabric.

  • Godkend betroede databaser: Promover eller certificeer Cosmos DB-databaser gennem indholdsgodkendelse, så brugere kan skelne autoritative data fra ugodkendte elementer. For mere information, se Endorsement in Microsoft Fabric.

  • Spor datastrømme med lineage: Brug lineage til at forstå, hvordan data bevæger sig mellem dine Cosmos DB-databaser og downstream Fabric-elementer, hvilket hjælper med impact-analyse og overholdelseskontrol. For mere information, se Lineage in Microsoft Fabric.

Sikkerhedskopiering og genoprettelse

Cosmos DB i Fabric tilbyder i øjeblikket ikke en kundekonfigurerbar backup eller en punkt-i-tid-gendannelse af transaktionsdatabasen. For at planlægge genopretning skal du stole på Fabric's platformrobusthed og kildekontrol af dine varedefinitioner.

  • Stol på Fabric-platformens robusthed: Forstå tilgængeligheds- og gendannelsesgarantierne, som Microsoft Fabric giver for din kapacitet, så du kan sætte realistiske forventninger til gendannelse. Du kan få flere oplysninger under Pålidelighed i Microsoft Fabric.

Relateret indhold

  • Last updated on