Megosztás:

Az Azure Database for PostgreSQL-kiszolgáló védelme

Az Azure Database for PostgreSQL egy teljes körűen felügyelt adatbázis-szolgáltatás, amely beépített magas rendelkezésre állást, automatikus biztonsági mentéseket és skálázási képességeket biztosít. A PostgreSQL-adatbázisok üzembe helyezésének biztonságossá tétele elengedhetetlen a bizalmas adatok védelme és az iparági szabványoknak való megfelelés fenntartása érdekében.

Ez a cikk bemutatja, hogyan védheti meg az Azure Database for PostgreSQL Server üzembe helyezését.

Fontos

A Microsoft TLS-tanúsítványváltást indított az Azure Database for PostgreSQL-hez a köztes hitelesítésszolgáltatói tanúsítványok és az eredményül kapott tanúsítványlánc frissítéséhez. A legfelső szintű hitelesítésszolgáltatók változatlanok maradnak.

Ha az ügyfélkonfiguráció a TLS-hez ajánlott konfigurációkat használja, nem kell semmilyen műveletet elvégeznie.

Tanúsítvány rotálásának ütemezése

  • 2025. november 11-én megkezdték A TLS-tanúsítványok rotálását az USA nyugati középső régiójában, Kelet-Ázsiában és az Egyesült Királyság déli régiójában.
  • 2026. január 19-től ez a tanúsítványváltás a tervek szerint a többi (Kína kivételével) régióra is kiterjed, beleértve az Azure Governmentt is.
  • A 2026-os tavaszi fesztivál (kínai újév) után a kínai régiók tanúsítványváltáson is átesnek, amely az egyik fő hitelesítésszolgáltatóra való váltást is magában foglalja.

Hálózati biztonság

A Hálózatbiztonság szakasz végigvezeti a nyilvános hozzáférés megelőzésén és a postgreSQL biztonságos, szegmentált felhőhálózati architektúrába való integrálásához szükséges hálózati funkciók használatával.

  • Nyilvános hálózati hozzáférés letiltása: Tiltsa le a PostgreSQL nyilvános hálózati hozzáférését az internetnek való kitettség elkerülése érdekében. Ez a művelet biztosítja, hogy csak megbízható hálózatok férhessenek hozzá az adatbázishoz.

  • Privát végpontok: Privát végpontok használatával biztonságosan csatlakozhat a PostgreSQL-hez a virtuális hálózaton belülről.

  • Másik lehetőségként használja a virtuális hálózati integrációt: A PostgreSQL virtuális hálózathoz való csatlakoztatásához használjon virtuális hálózati integrációt . Ez az integráció biztonságos hozzáférést tesz lehetővé az Azure-erőforrásokból és a kiszolgálóról a felhasznált erőforrásokhoz, például az AI-hez.

  • Örökölt tűzfalszabályok és szolgáltatásvégpontok: Ha engedélyeznie kell a hozzáférést adott IP-címekről, használjon örökölt tűzfalszabályokat és szolgáltatásvégpontokat. Ez a megközelítés azonban nem ajánlott. Ehelyett inkább privát végpontokat vagy virtuális hálózati integrációt használ.

A hálózati biztonsági cikkek a hálózatkezelési szakaszokban találhatók:

Identitáskezelés

Az Identitáskezelés szakasz a hitelesítésre, az identitások védelmére és a hozzáférés-vezérlésre összpontosít központosított identitás- és hozzáférés-kezelési rendszerekkel. Az ajánlott eljárásokat, például az erős hitelesítési mechanizmusokat és az alkalmazások felügyelt identitásait ismerteti.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás az identitáskezelési szakaszhoz:

  • Használja az Entrát az adatbázis helyi hitelesítése helyett: Tiltsa le a helyi hitelesítést a PostgreSQL-kiszolgálóhoz. Ehelyett csak Microsoft Entra-hitelesítést használjon (nem vegyes módban) az adatbázishoz való hozzáférés kezeléséhez. A Microsoft Entra központi hitelesítést biztosít erős biztonsági vezérlőkkel és a Defender for Identity valós idejű védelmével. További információkért látogasson el a Microsoft Entra-ba általában, és a Microsoft Entra-hitelesítést az Azure Database for PostgreSQL-hez.

  • Felügyelt identitások használata az alkalmazások biztonságos eléréséhez: Felügyelt identitások használata az Azure-ban az alkalmazások és szolgáltatások biztonságos hitelesítéséhez hitelesítő adatok kezelése nélkül. Ez biztonságos és egyszerűsített módot biztosít az olyan erőforrások eléréséhez, mint az Azure Database for PostgreSQL. További információkért látogasson el a Felügyelt identitások webhelyre.

  • Biztonság kényszerítése feltételes hozzáférési szabályzatokkal: Feltételes hozzáférési szabályzatok beállítása a Microsoft Entra-ban a felhasználói, hely- vagy eszközkörnyezeten alapuló biztonsági vezérlők kényszerítéséhez. Ezek a szabályzatok lehetővé teszik a biztonsági követelmények kockázaton alapuló dinamikus érvényesítését, ami növeli az általános biztonsági helyzetet. További információ: Microsoft Entra Feltételes hozzáférés.

  • A helyi hitelesítésnek SCRAM-hitelesítést kell használnia: Ha helyi hitelesítést kell használnia, győződjön meg arról, hogy erős jelszószabályzatok vannak érvényben. Használja a jelszó összetettségi követelményeit és a jelszó rendszeres rotálását a feltört fiókok kockázatának minimalizálása érdekében. További információ: SCRAM-hitelesítés az Azure Database for PostgreSQL-ben.

Hozzáférés-vezérlés

A hozzáférés-vezérlési szakasz a hozzáférési szint minimális jogosultsági elven alapuló védelmére összpontosít. Hangsúlyozza, hogy a bizalmas erőforrásokhoz való jogosulatlan hozzáférés kockázatának minimalizálása az emelt szintű engedélyek korlátozásával és kezelésével, a többtényezős hitelesítés kikényszerítésével, valamint a kiemelt műveletek naplózásának és naplózásának biztosításával.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a hozzáférés-vezérlési szakaszhoz:

  • Entra-szerepkörök használata hozzáférés-vezérléshez: Implementálja az Azure Role-Based Hozzáférés-vezérlést (Role-Based Hozzáférés-vezérlés (RBAC) az Azure Database for PostgreSQL-erőforrásokhoz való hozzáférés kezeléséhez. Szerepkörök hozzárendelése a minimális jogosultság elve alapján, biztosítva, hogy a felhasználók és alkalmazások csak a szükséges engedélyekkel rendelkezzenek. További információkért látogasson el az Azure Role Based Access Control (RBAC) szolgáltatásba , és kezelje a Microsoft Entra szerepköröket az Azure Database for PostgreSQL-ben.

  • Kövesse az Entra ajánlott eljárásait: MFA- és feltételes hozzáférési szabályzatok használata a felhasználók és adatbázisok védelme érdekében.

  • Helyi adatbázis felhasználóinak, szerepköreinek és engedélyeinek kezelése: A PostgreSQL beépített szerepkör-kezelésével szabályozhatja a hozzáférést az adatbázis szintjén. Egyéni szerepkörök létrehozása meghatározott engedélyekkel a minimális jogosultság elvének kikényszerítéséhez. A biztonsági szabályzatoknak való megfelelőség biztosítása érdekében rendszeresen tekintse át és naplóozza ezeket a szerepköröket. További információ: Felhasználók létrehozása az Azure Database for PostgreSQL-ben.

Adatvédelem

Az adatvédelmi szakasz a bizalmas adatok biztonságossá tételére összpontosít inaktív és átvitel alatt. Gondoskodik az adatok titkosításáról, a hozzáférés szabályozásáról, valamint a bizalmas adatok jogosulatlan hozzáféréssel szembeni védelméről. Hangsúlyozza a titkosítás, a biztonságos kapcsolatok és az adatmaszkolás használatát az adatintegritás és a bizalmasság védelme érdekében.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás az adatvédelmi szakaszhoz:

Átvitel alatt lévő adatok titkosítása

  • TLS-kapcsolatok ellenőrzése: Az Azure PostgreSQL mindig SSL-t vagy TLS-t használ az alkalmazás és az adatbázis között áthaladó adatok titkosításához. Az alkalmazást úgy kell konfigurálnia, hogy ellenőrizze a használt tanúsítványt, például a legfelső szintű hitelesítésszolgáltatót, a lejárt tanúsítványokat, a gazdagépnév eltérését és a tanúsítvány visszavonását. Ez a gyakorlat segít megvédeni a bizalmas információkat a lehallgatástól és a középen belüli támadásoktól. További információt az Azure Database for PostgreSQL Biztonságos kapcsolat tLS-sel és SSL-sel című témakörében talál.

  • Győződjön meg arról, hogy az ügyfél a legújabb TLS-tanúsítványokkal rendelkezik: Győződjön meg arról, hogy az ügyfélalkalmazások a legújabb TLS-tanúsítványokkal rendelkeznek a biztonságos kapcsolatok támogatásához. Ez a gyakorlat segít megelőzni a csatlakozási hibákat, és biztosítja, hogy az alkalmazás biztonságos kapcsolatokat létesítsen a PostgreSQL-kiszolgálóval. További információ: A legfelső szintű hitelesítésszolgáltatói tanúsítványok letöltése és az alkalmazás-ügyfelek frissítése.

  • A TLS 1.3 használatához: A PostgreSQL-kiszolgáló konfigurálásához minden kapcsolathoz TLS 1.3 szükséges. Ez a konfiguráció biztosítja, hogy csak a protokoll legújabb és legbiztonságosabb verzióját használják, ami nagyobb biztonságot és teljesítményt biztosít. További információkért látogasson el a TLS-verziókra.

Adatok nyugalmi állapotban történő titkosítása

  • Az adatok mindig transzparensen vannak titkosítva inaktív állapotban az SMK-val: Az Azure Database for PostgreSQL szolgáltatás által felügyelt kulcsokkal (SMK) automatikusan titkosítja az inaktív adatokat. Ez a titkosítás biztosítja, hogy az adatok további konfiguráció nélkül védve legyen. A mögöttes Azure Storage-infrastruktúrára támaszkodik. Lefedi az elsődleges kiszolgálót, a replikákat, az időponthoz kötött helyreállítást (PITR) és a biztonsági mentéseket. További információ: Data encryption in Azure Database for PostgreSQL.

  • Használjon ügyfél által felügyelt kulcsokat a további vezérléshez: Ha több titkosítási kulcsra van szüksége, használja az Azure Key Vaultban vagy az Azure HSM-ben tárolt ügyfél által felügyelt kulcsokat (CMK). Ez a beállítás lehetővé teszi a titkosítási kulcsok kezelését, és további biztonsági és megfelelőségi lehetőségeket biztosít. További információkért látogasson el az ügyfél által felügyelt kulcsokra az Azure Database for PostgreSQL-ben , és konfigurálja az adattitkosítást az Azure Database for PostgreSQL-ben.

  • Automatikus kulcsváltás beállítása KV-ban vagy felügyelt HSM-ben: Ha ügyfél által felügyelt kulcsokat használ, konfigurálja az automatikus kulcsváltást az Azure Key Vaultban, hogy a titkosítási kulcsok rendszeresen frissüljenek. Az Azure Database for PostgreSQL támogatja az automatikus kulcsverzió-frissítéseket a kulcs elforgatása után. További információ: Kulcs autorotáció konfigurálása az Azure Managed HSM-ben vagy az Azure Key Vault autorotationjának ismertetése a Key Vault további részleteiért. További információkért tekintse meg az adattitkosítás konfigurálása ügyfél által felügyelt kulccsal a kiszolgáló kiépítése során című témakört az automatikus kulcsváltás konfigurálásával kapcsolatos további részletekért.

  • Ultraérzékeny adatok titkosítása ügyféloldali titkosítással: Az ultraérzékeny adatok esetében fontolja meg az ügyféloldali titkosítás implementálását. Ez a megközelítés magában foglalja az adatok titkosítását, mielőtt elküldené őket az adatbázisba, biztosítva, hogy csak a titkosított adatok legyenek tárolva az adatbázisban. Ez a gyakorlat nagyobb biztonsági réteget biztosít, mivel maga az adatbázis és így az adatbázis rendszergazdája nem fér hozzá a titkosítatlan adatokhoz.

Bizalmas számítás

Az Azure Confidential Computing (ACC) lehetővé teszi a szervezetek számára, hogy biztonságosan dolgozzanak fel és működjenek együtt bizalmas adatokon, például személyes adatokon vagy védett egészségügyi információkon (PHI). Az ACC beépített védelmet nyújt a jogosulatlan hozzáférés ellen a megbízható végrehajtási környezeteken (TEE-k) keresztül használt adatok védelmével.

  • Az SaaS és a tárhelyszolgáltatók megfontolják a bizalmas számítás konfigurálását: Ha Ön szolgáltatásként (SaaS) vagy üzemeltetési szolgáltatóként dolgozik, és a PostgreSQL számítási feladatai bizalmas adatok feldolgozását foglalják magukban, fontolja meg az Azure Confidential Computing használatát a használatban lévő adatok védelméhez. Ez a megoldás nagyobb biztonsági réteget biztosít azáltal, hogy biztonságos környezetben dolgozza fel az adatokat, így még a kiemelt felhasználóktól is megakadályozza a jogosulatlan hozzáférést. További információ: Azure Confidential Computing for Azure Database for PostgreSQL .

Adatmaszkolás és újrafedés

  • Adatmaszkolás implementálása: Használja a PostgreSQL Anonymizer bővítményt a támogatáshoz:

  • Névtelen memóriaképek: Exportálja a maszkolt adatokat egy SQL-fájlba.

  • Statikus maszkolás: Távolítsa el a személyes adatokat a szabályok szerint.

  • Dinamikus maszkolás: Személyes adatok elrejtése csak a maszkolt felhasználók számára.

  • Nézetek maszkolása: Dedikált nézetek létrehozása a maszkolt felhasználók számára.

  • Adatburkolók maszkolása: Maszkolási szabályok alkalmazása külső adatokra.

Naplózás és fenyegetésészlelés

A naplózási és fenyegetésészlelési szakasz az Azure-környezetekben előforduló fenyegetések észlelésére szolgáló vezérlőket ismerteti. Az Azure-szolgáltatások naplózási naplóinak engedélyezését, gyűjtését és tárolását ismerteti. Hangsúlyozza a natív fenyegetésészlelési képességek használatát, a központi naplókezelést és a megfelelő naplómegőrzést a biztonsági vizsgálatokhoz és a megfelelőséghez. Ez a szakasz a kiváló minőségű riasztások létrehozásával, a biztonsági elemzés Azure-eszközökkel történő központosításával, a pontos időszinkronizálás fenntartásával és a hatékony naplómegőrzési stratégiák biztosításával foglalkozik.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a naplózási és fenyegetésészlelési szakaszhoz:

Biztonsági mentés és helyreállítás

A biztonsági mentési és helyreállítási szakasz az Azure-szolgáltatások adatainak és konfigurációinak rendszeres biztonsági mentésére, védelmére és helyreállítására összpontosít a hibák vagy katasztrófák esetén. Hangsúlyozza a biztonsági mentések automatizálását, a biztonsági mentési adatok védelmét, valamint annak biztosítását, hogy a helyreállítási folyamatok tesztelése és ellenőrzése megfeleljen a helyreállítási idő célkitűzéseinek (RTO) és a helyreállítási pont célkitűzéseinek (RPO). A szakasz a biztonsági mentési folyamatok monitorozásának és naplózásának fontosságát is kiemeli a megfelelőség és a felkészültség biztosítása érdekében. További információkért tekintse meg az Azure Database for PostgreSQL üzletmenet-folytonosságának áttekintését.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a biztonsági mentési és helyreállítási észlelési szakaszhoz:

  • Magas rendelkezésre állás használata: Magas rendelkezésre állási (HA) konfigurációk implementálása rugalmas PostgreSQL-kiszolgálópéldányhoz az állásidő minimalizálása és az adatbázishoz való folyamatos hozzáférés biztosítása érdekében. További információ: Magas rendelkezésre állás (megbízhatóság) az Azure Database for PostgreSQL-ben , és magas rendelkezésre állás konfigurálása.

  • Automatikus biztonsági mentések konfigurálása: Az Azure Database for PostgreSQL automatikusan elvégzi az adatbázisfájlok napi biztonsági mentését, és folyamatosan biztonsági másolatot készít a tranzakciónaplókról. A biztonsági másolatokat hét naptól 35 napig őrizheti meg. Az adatbázis-kiszolgálót bármikor visszaállíthatja a biztonsági mentés megőrzési időszakán belül. Az RTO a visszaállítandó adatok méretétől és a napló helyreállításának időpontjától függ. Néhány perctől 12 óráig terjedhet. További információ: Backup and restore in Azure Database for PostgreSQL.

  • Olvasási replikák konfigurálása: Az olvasási replikák használatával ki lehet kapcsolni az olvasási műveleteket az elsődleges kiszolgálóról, ezáltal javítva a teljesítményt és a rendelkezésre állást. Az olvasási replikákat vészhelyreállítási forgatókönyvekhez is használhatja, így gyorsan átválthat egy elsődleges kiszolgálóhibával rendelkező replikára. További információ: Olvasási replikák az Azure Database for PostgreSQL-ben.

  • Biztonsági mentési adatok védelme ügyfél által felügyelt kulcstitkosítással: Biztonsági mentési adatok védelme inaktív titkosítással.

Kapcsolódó tartalom

  • Last updated on