Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Cosmos DB in Microsoft Fabric ist eine KI-optimierte NoSQL-Datenbank, die automatisch für typische Entwicklungsbedürfnisse konfiguriert wird und ein vereinfachtes Management-Erlebnis bietet. Fabric bietet integrierte Sicherheit, Zugriffssteuerung und Überwachung für Cosmos DB in Fabric. Obwohl Fabric integrierte Sicherheitsfunktionen zum Schutz Ihrer Daten bietet, befolgen Sie diese Best Practices, um die Sicherheit Ihrer Datenbank, ihrer Daten und Ihrer Zugriffskonfigurationen weiter zu verbessern.
Dieser Artikel bietet Anleitungen, um Cosmos DB in der Fabric-Bereitstellung optimal abzusichern.
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Netzwerksicherheit
Cosmos DB in Fabric basiert auf den plattformweiten Netzwerksteuerungen von Microsoft Fabric. Isolieren Sie den Zugriff auf der Mieter- und Arbeitsbereichsebene, da die Netzwerkisolationsoptionen auf Artikelebene heute begrenzt sind.
Leiten Sie den Mieterverkehr über private Verbindungen: Aktivieren Sie Fabric-Tenant-Level-Private Links, sodass der Datenverkehr zu den Arbeitsbereichen, die Ihre Cosmos-Datenbanken hosten, über das private Backbone von Microsoft statt über das öffentliche Internet reist. Weitere Informationen finden Sie unter Private Links für sicheren Zugang zu Fabric.
Planen Sie auf Netzwerkbeschränkungen auf Item-Ebene: Private Link wird derzeit auf Cosmos-DB-Datenbankebene nicht unterstützt, daher sollten Sie die Netzwerkisolation um die Fabric-Tenant- und Workspace-Grenze herum entwerfen, statt um die einzelne Datenbank. Weitere Informationen finden Sie unter Einschränkungen in Cosmos DB in Microsoft Fabric.
Identitäts- und Zugriffsverwaltung
Verwenden Sie verwaltete Identitäten, um von anderen Azure-Diensten auf Ihre Datenbank zuzugreifen: Verwaltete Identitäten beseitigen die Notwendigkeit, Zugangsdaten zu verwalten, indem sie eine automatisch verwaltete Identität in Microsoft Entra ID bereitstellen. Verwenden Sie verwaltete Identitäten, um sicher von anderen Azure-Diensten aus auf Cosmos DB zuzugreifen, ohne Anmeldeinformationen in Ihren Code einzubetten. Während Cosmos DB in Fabric mehrere Identitätstypen (Service Principals) unterstützt, sind verwaltete Identitäten die bevorzugte Wahl, da sie nicht verlangen, dass Ihre Lösung die Zugangsdaten direkt handhabt. Weitere Informationen finden Sie unter Authentifizierung von Azure-Hostdiensten.
Verwenden Sie die Entra-Authentifizierung, um Elemente innerhalb eines Containers abzufragen, zu erstellen und darauf zuzugreifen, während Sie Lösungen entwickeln: Greifen Sie auf Elemente innerhalb von Cosmos-Datenbank-Containern mit Ihrer menschlichen Identität und der Microsoft Entra-Authentifizierung zu. Erzwingen sie den geringsten Berechtigungszugriff für Abfragen, Erstellen und andere Vorgänge. Weitere Informationen finden Sie unter "Eine sichere Verbindung aus Ihrer Entwicklungsumgebung herstellen".
Trennen Sie die Azure-Identitäten, die für den Zugriff auf Daten und die Steuerungsebene verwendet werden: Verwenden Sie unterschiedliche Azure-Identitäten für Steuerungsebenen- und Datenebenenvorgänge, um das Risiko einer Berechtigungseskalation zu verringern und eine bessere Zugriffssteuerung sicherzustellen. Durch diese Trennung wird die Sicherheit verbessert, indem der Umfang der einzelnen Identitäten eingeschränkt wird. Weitere Informationen finden Sie unter Konfigurieren der Autorisierung.
Konfigurieren Sie den Fabric-Arbeitsbereichszugriff mit den geringstmöglichen Berechtigungen: Fabric setzt Benutzerberechtigungen entsprechend der aktuellen Ebene des Arbeitsbereichszugriffs durch. Wenn Sie einen Benutzer aus dem Fabric-Arbeitsbereich entfernen, verliert er automatisch auch den Zugriff auf die zugehörige Cosmos-Datenbank und die zugrunde liegenden Daten. Weitere Informationen finden Sie unter Fabric-Berechtigungsmodell.
Die Ausführungsidentität von Notebooks verstehen: Wenn Sie mit Notebooks in Fabric-Arbeitsbereichen arbeiten, beachten Sie, dass die Identität, mit der ein Notebook ausgeführt wird, davon abhängt, wie es ausgelöst wird. Ein interaktiver Run verwendet den Sicherheitskontext des aktuellen Benutzers, eine Pipeline-Aktivität läuft unter dem zuletzt modifizierten Benutzer der Pipeline, und ein geplanter Run verwendet die Identität des Benutzers, der den Zeitplan erstellt oder zuletzt aktualisiert hat. Da sich Datenzugriffsberechtigungen und Prüfprotokolle in dieser Identität widerspiegeln, planen Sie Ihre Strategie für das Erstellen, Freigeben und Planen von Notebooks entsprechend. Weitere Informationen finden Sie unter Sicherheitskontext des Notebooks.
Berücksichtigen Sie die Einschränkungen der Workspace-Identität: Derzeit unterstützt Fabric die Funktionalität
run-asnicht mit Workspace-Identität. Die Operationen werden mit der auslösenden Benutzeridentität ausgeführt und nicht mit einer gemeinsamen Arbeitsbereichsidentität. Berücksichtigen Sie diese Einschränkung beim Entwerfen von Mehrbenutzerszenarien und bestätigen, dass die entsprechenden Benutzer Artefakte auslösen, die im Arbeitsbereich geteilt werden. Weitere Informationen finden Sie unter Einschränkungen in Cosmos DB in Microsoft Fabric.
Datenschutz
Cosmos DB in Fabric verschlüsselt automatisch alle Daten im Ruhezustand und im Transit mit von Microsoft verwalteten Schlüsseln, sodass Sie keine Verschlüsselungseinstellungen konfigurieren müssen. Kundenverwaltete Schlüssel sind derzeit nicht verfügbar. Sie können den Datenschutz für die OneLake-Kopie Ihrer Daten konfigurieren.
Sichern Sie die automatische OneLake-Kopie Ihrer Daten: Fabric spiegelt automatisch jede Datenbank vom Typ „Cosmos DB in Fabric“ in OneLake im offenen Format Delta Lake, ohne dass eine Einrichtung erforderlich ist. Schützen Sie diese analytische Kopie mit denselben Workspace-Zugriffskontrollen und Rollen mit den geringsten Privilegien wie für die Datenbank. Weitere Informationen finden Sie unter Mirror OneLake in Cosmos DB in Microsoft Fabric.
Berücksichtigen Sie bei Ihrer Planung die Einschränkungen kundenverwalteter Schlüssel: Die Verschlüsselung mit kundenverwalteten Schlüsseln (CMK) ist derzeit für die Cosmos DB in Fabric nicht verfügbar. Wenn Ihre Compliance-Anforderungen CMK vorschreiben, berücksichtigen Sie diese Beschränkung, bevor Sie regulierte Daten speichern. Weitere Informationen finden Sie unter Einschränkungen in Cosmos DB in Microsoft Fabric.
Protokollierung und Überwachung
Verfolgen Sie den Zugriff auf Ihre Cosmos-Datenbanken und achten Sie auf ungewöhnliche Nutzung, die auf ein Sicherheitsproblem hinweisen könnte.
Überprüfen Sie Benutzer- und Administratoraktivitäten mit dem Fabric-Auditlog: Überprüfen Sie das Fabric-Audit-Log, um zu sehen, wer wann auf Ihre Cosmos-Datenbanken zugegriffen oder diese geändert hat, was Vorfalluntersuchungen und Zugriffsprüfungen unterstützt. Weitere Informationen finden Sie unter "Nachverfolgen von Benutzeraktivitäten in Microsoft Fabric".
Überwachen Sie Datenbankmetriken auf Anomalien: Verwenden Sie die Metrics Summary, um Anfrage-, Speicher- und Durchsatznutzung zu überprüfen und unerwartete Spitzen zu untersuchen, die auf Missbrauch hinweisen können. Weitere Informationen finden Sie unter Monitor Cosmos DB in Microsoft Fabric.
Compliance und Governance
Nutzen Sie die Plattform-Governance-Funktionen von Microsoft Fabric, um Ihre Cosmos-Datenbankdaten zu klassifizieren, zu unterstützen und nachzuverfolgen.
Verwenden Sie Sensitivitätsetiketten, um Daten zu klassifizieren und zu schützen: Verwenden Sie Microsoft Purview Information Protection Sensitivitätsetiketten, um Ihre Cosmos-Datenbank-Elemente zu klassifizieren, sodass der Schutz mit den Daten über Fabric und OneLake hinweg übertragen wird. Weitere Informationen finden Sie unter Informationsschutz in Microsoft Fabric.
Vertrauenswürdige Datenbanken unterstützen: Fördern oder zertifizieren Sie Cosmos-Datenbanken durch Inhaltsempfehlungen, damit Nutzer autoritative Daten von ungeprüften Elementen unterscheiden können. Weitere Informationen finden Sie unter Endorsement in Microsoft Fabric.
Datenflüsse mit Lineage nachverfolgen: Nutzen Sie Lineage, um zu verstehen, wie sich Daten zwischen Ihren Cosmos DB-Datenbanken und nachgelagerten Fabric-Elementen bewegen, was die Auswirkungsanalyse und die Überprüfung der Compliance unterstützt. Weitere Informationen finden Sie unter Lineage in Microsoft Fabric.
Sicherung und Wiederherstellung
Cosmos DB in Fabric bietet derzeit weder ein kundenkonfigurierbares Backup noch eine Point-in-Time-Wiederherstellung für die transaktionale Datenbank. Um die Wiederherstellung zu planen, verlassen Sie sich auf die Plattform-Widerstandsfähigkeit von Fabric und steuern Ihre Artikeldefinitionen per Quellcode.
- Verlassen Sie sich auf die Robustheit der Fabric-Plattform: Verstehen Sie die Verfügbarkeits- und Wiederherstellungsgarantien, die Microsoft Fabric für Ihre Kapazität bietet, damit Sie realistische Wiederherstellungserwartungen festlegen können. Weitere Informationen finden Sie unter Zuverlässigkeit in Microsoft Fabric.