Védje az Azure Database for PostgreSQL rugalmaskiszolgálóját

Az Azure Database for PostgreSQL egy teljes körűen felügyelt adatbázis-szolgáltatás, amely beépített magas rendelkezésre állást, automatikus biztonsági mentéseket és skálázási képességeket biztosít. A PostgreSQL-adatbázisok üzembe helyezésének biztonságossá tétele elengedhetetlen a bizalmas adatok védelme és az iparági szabványoknak való megfelelés fenntartása érdekében.

Ez a cikk bemutatja, hogyan védheti meg az Azure Database for PostgreSQL Server üzembe helyezését.

Fontos

A Microsoft TLS-tanúsítványokat forgat az Azure Database for PostgreSQL-hez a hitelesítésszolgáltató és az eredményként kapott tanúsítványlánc frissítéséhez.

Ha az ügyfélkonfiguráció a TLS-hez ajánlott konfigurációkat használja, nem kell műveletet elvégeznie.

Köztes tanúsítvány rotálási ütemezése:

  • Az USA nyugati középső régiójának és Kelet-Ázsia Azure-régióinak frissítései befejeződtek.
  • 2026. január 21-én kezdődnek az Egyesült Királyság déli és usa-beli kormányzati régióinak frissítései.
  • Az USA középső régiójának frissítései 2026. január 26-án kezdődnek.
  • Az összes többi régió frissítései 2026. január 28-án kezdődnek.

Főtanúsítvány-rotálás ütemezése:

  • 2026. március 9-től Kína régióiban a frissítések a DigiCert Global Root CA (G1) tanúsítványokról a DigiCert Global Root G2 tanúsítványokra történnek.

Hálózati biztonság

A Hálózatbiztonság szakasz végigvezeti a nyilvános hozzáférés megelőzésén és a postgreSQL biztonságos, szegmentált felhőhálózati architektúrába való integrálásához szükséges hálózati funkciók használatával.

A hálózati biztonsági cikkek a hálózati szekciókban találhatók.

Identitáskezelés

Az Identitáskezelés szakasz a hitelesítésre, az identitások védelmére és a hozzáférés-vezérlésre összpontosít központosított identitás- és hozzáférés-kezelési rendszerek használatával. Az ajánlott eljárásokat, például az erős hitelesítési mechanizmusokat és az alkalmazások felügyelt identitásait ismerteti.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás az identitáskezelési szakaszhoz:

  • Használja az Entra-t az adatbázis helyi hitelesítése helyett: Tiltsa le a helyi hitelesítést a PostgreSQL-kiszolgálóhoz. Ehelyett csak Microsoft Entra-hitelesítést használjon (nem vegyes módban) az adatbázishoz való hozzáférés kezeléséhez. A Microsoft Entra központi hitelesítést biztosít erős biztonsági vezérlőkkel és a Defender for Identity valós idejű védelmével. További általános információkért látogasson el a Microsoft Entra-ba, illetve a Microsoft Entra-hitelesítésről az Azure Database for PostgreSQL-el kapcsolatban.

  • Felügyelt identitások használata az alkalmazások biztonságos eléréséhez: Felügyelt identitások használata az Azure-ban az alkalmazások és szolgáltatások biztonságos hitelesítéséhez hitelesítő adatok kezelése nélkül. Ez a megközelítés biztonságos és egyszerűsített módot kínál az olyan erőforrások eléréséhez, mint a Azure Database for PostgreSQL. További információkért látogasson el a Felügyelt identitások webhelyre.

  • Biztonság kényszerítése feltételes hozzáférési szabályzatokkal: Feltételes hozzáférési szabályzatok beállítása a Microsoft Entra-ban a felhasználói, hely- vagy eszközkörnyezeten alapuló biztonsági vezérlők kényszerítéséhez. Ezek a szabályzatok lehetővé teszik a biztonsági követelmények kockázaton alapuló dinamikus érvényesítését, ami növeli az általános biztonsági helyzetet. További információ: Microsoft Entra Feltételes hozzáférés.

  • A helyi hitelesítésnek SCRAM-hitelesítést kell használnia: Ha helyi hitelesítést kell használnia, győződjön meg arról, hogy erős jelszószabályzatok vannak érvényben. Használja a jelszó összetettségi követelményeit és a jelszó rendszeres rotálását a feltört fiókok kockázatának minimalizálása érdekében. További információ: SCRAM-hitelesítés az Azure Database for PostgreSQL-ben.

Hozzáférés-vezérlés

A hozzáférés-vezérlési szakasz a hozzáférési szint minimális jogosultsági elven alapuló védelmére összpontosít. Hangsúlyozza, hogy a bizalmas erőforrásokhoz való jogosulatlan hozzáférés kockázatának minimalizálása az emelt szintű engedélyek korlátozásával és kezelésével, a többtényezős hitelesítés kikényszerítésével, valamint a kiemelt műveletek naplózásának és auditálásának biztosításával történik.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a hozzáférés-vezérlési szakaszhoz:

  • Entra szerepkörök használata hozzáférés-vezérléshez: Implementálja az Azure Szerepköralapú Hozzáférés-vezérlést (RBAC) az Azure Database for PostgreSQL erőforrásokhoz való hozzáférés kezeléséhez. Szerepkörök hozzárendelése a minimális jogosultság elve alapján, biztosítva, hogy a felhasználók és alkalmazások csak a szükséges engedélyekkel rendelkezzenek. További információkért látogasson el az Azure Role Based Access Control (RBAC) szolgáltatásba , és kezelje a Microsoft Entra szerepköröket az Azure Database for PostgreSQL-ben.

  • Kövesse az Entra ajánlott eljárásait: Az MFA, a feltételes hozzáférési szabályzatok és a just in time (JIT) hozzáférés használata a felhasználók és adatbázisok védelme érdekében.

  • Helyi adatbázis felhasználóinak, szerepköreinek és engedélyeinek kezelése: A PostgreSQL beépített szerepkör-kezelésével szabályozhatja a hozzáférést az adatbázis szintjén. Egyéni szerepkörök létrehozása meghatározott engedélyekkel a minimális jogosultság elvének kikényszerítéséhez. A biztonsági szabályzatoknak való megfelelőség biztosítása érdekében rendszeresen tekintse át és naplóozza ezeket a szerepköröket. További információért tekintse meg a következőt: Felhasználók kezelése az Azure Database for PostgreSQL szolgáltatásban.

Adatvédelem

Adatvédelmi szakasz a bizalmas adatok védelmére összpontosít nyugalmi állapotban és átvitel közben. Gondoskodik az adatok titkosításáról, a hozzáférés szabályozásáról, valamint a bizalmas adatok jogosulatlan hozzáféréssel szembeni védelméről. Hangsúlyozza a titkosítás, a biztonságos kapcsolatok és az adatmaszkolás használatát az adatintegritás és a bizalmasság védelme érdekében.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás az adatvédelmi szakaszhoz:

Átvitel alatt lévő adatok titkosítása

  • TLS-kapcsolatok ellenőrzése: Az Azure PostgreSQL mindig SSL-t vagy TLS-t használ az alkalmazás és az adatbázis között áthaladó adatok titkosításához. Az alkalmazást úgy kell konfigurálnia, hogy ellenőrizze a használt tanúsítványt, például a gyökér CA-t, a lejárt tanúsítványokat, a gazdagépnév eltérését és a tanúsítvány visszavonását. Ez a gyakorlat segít megvédeni a bizalmas információkat a lehallgatástól és a középen belüli támadásoktól. További információkért látogasson el ide: Transport Layer Security (TLS) az Azure Database for PostgreSQL-ben.

  • Győződjön meg arról, hogy az ügyfél a legújabb TLS-tanúsítványokkal rendelkezik: Győződjön meg arról, hogy az ügyfélalkalmazások a legújabb TLS-tanúsítványokkal rendelkeznek a biztonságos kapcsolatok támogatásához. Ez a gyakorlat segít megelőzni a csatlakozási hibákat, és biztosítja, hogy az alkalmazás biztonságos kapcsolatokat létesítsen a PostgreSQL-kiszolgálóval. További információkért látogasson el ide: Transport Layer Security (TLS) az Azure Database for PostgreSQL-ben.

  • A TLS 1.3 használatához: A PostgreSQL-kiszolgáló konfigurálásához minden kapcsolathoz TLS 1.3 szükséges. Ez a konfiguráció biztosítja, hogy csak a protokoll legújabb és legbiztonságosabb verzióját használják, ami nagyobb biztonságot és teljesítményt biztosít. További információkért látogasson el ide: Transport Layer Security (TLS) az Azure Database for PostgreSQL-ben.

Adatok nyugalmi állapotban történő titkosítása

  • Az adatok mindig transzparensen vannak titkosítva inaktív állapotban az SMK-val: Az Azure Database for PostgreSQL szolgáltatás által felügyelt kulcsokkal (SMK) automatikusan titkosítja az inaktív adatokat. Ez a titkosítás biztosítja, hogy az adatok további konfiguráció nélkül védve legyen. A mögöttes Azure Storage-infrastruktúrára támaszkodik. Lefedi az elsődleges kiszolgálót, a replikákat, az időponthoz kötött helyreállítást (PITR) és a biztonsági mentéseket. További információkért látogasson el ide: Nyugalmi állapotú adattitkosítás az Azure Database for PostgreSQL-ben.

  • Használjon ügyfél által felügyelt kulcsokat a további vezérléshez: Ha több titkosítási kulcsra van szüksége, használja az Azure Key Vaultban vagy az Azure HSM-ben tárolt ügyfél által felügyelt kulcsokat (CMK). Ez a beállítás lehetővé teszi a titkosítási kulcsok kezelését, és további biztonsági és megfelelőségi lehetőségeket biztosít. További információkért látogasson el az ügyfél által felügyelt kulcsokra az Azure Database for PostgreSQL-ben , és konfigurálja az adattitkosítást az Azure Database for PostgreSQL-ben.

  • Automatikus kulcsváltás beállítása KV-ban vagy felügyelt HSM-ben: Ha ügyfél által felügyelt kulcsokat használ, konfigurálja az automatikus kulcsváltást az Azure Key Vaultban, hogy a titkosítási kulcsok rendszeresen frissüljenek. Az Azure Database for PostgreSQL támogatja az automatikus kulcsverzió-frissítéseket a kulcs elforgatása után. További információ: Kulcs automatizált rotációjának konfigurálása az Azure Managed HSM-ben vagy az Azure Key Vault automatizált rotációjának ismertetése további részletekért a Key Vault-ról. További információkért tekintse meg az adattitkosítás konfigurálása ügyfél által felügyelt kulccsal a kiszolgáló kiépítése során című témakört az automatikus kulcsváltás konfigurálásával kapcsolatos további részletekért.

  • Ultraérzékeny adatok titkosítása ügyféloldali titkosítással: Az ultraérzékeny adatok esetében fontolja meg az ügyféloldali titkosítás implementálását. Ez a megközelítés magában foglalja az adatok titkosítását, mielőtt elküldené őket az adatbázisba, biztosítva, hogy csak a titkosított adatok legyenek tárolva az adatbázisban. Ez a gyakorlat nagyobb biztonsági réteget biztosít, mivel maga az adatbázis és így az adatbázis rendszergazdája nem fér hozzá a titkosítatlan adatokhoz.

Bizalmas számítás

Az Azure Confidential Computing (ACC) lehetővé teszi a szervezetek számára, hogy biztonságosan dolgozzanak fel és működjenek együtt bizalmas adatokon, például személyes adatokon vagy védett egészségügyi információkon (PHI). Az ACC beépített védelmet nyújt a jogosulatlan hozzáférés ellen a megbízható végrehajtási környezeteken (TEE-k) keresztül használt adatok védelmével.

  • Az SaaS és a tárhelyszolgáltatók megfontolják a bizalmas számítás konfigurálását: Ha Ön szolgáltatásként (SaaS) vagy üzemeltetési szolgáltatóként dolgozik, és a PostgreSQL számítási feladatai bizalmas adatok feldolgozását foglalják magukban, fontolja meg az Azure Confidential Computing használatát a használatban lévő adatok védelméhez. Ez a megoldás nagyobb biztonsági réteget biztosít azáltal, hogy biztonságos környezetben dolgozza fel az adatokat, így még a kiemelt felhasználóktól is megakadályozza a jogosulatlan hozzáférést. További információkért és részletekért látogasson el a következő oldalra: Azure Confidential Computing for Azure Database for PostgreSQL.

Adatmaszkolás és törlés

  • Adatmaszkolás implementálása: Használja a PostgreSQL Anonymizer bővítményt a támogatáshoz:

  • Névtelen adathalmazok: Exportálja a maszkolt adatokat egy SQL-fájlba.

  • Statikus maszkolás: Távolítsa el a személyes adatokat a szabályok szerint.

  • Dinamikus maszkolás: Személyes adatok elrejtése csak a maszkolt felhasználók számára.

  • Nézetek maszkolása: Dedikált nézetek létrehozása a maszkolt felhasználók számára.

  • Adatburkolók maszkolása: Maszkolási szabályok alkalmazása külső adatokra.

Napló- és fenyegetésészlelés

A naplózási és fenyegetésészlelési szakasz az Azure-környezetekben előforduló fenyegetések észlelésére szolgáló vezérlőket ismerteti. Az Azure-szolgáltatások naplózási naplóinak engedélyezését, gyűjtését és tárolását ismerteti. Hangsúlyozza a natív fenyegetésészlelési képességek használatát, a központi naplókezelést és a megfelelő naplómegőrzést a biztonsági vizsgálatokhoz és a megfelelőséghez. Ez a szakasz a kiváló minőségű riasztások létrehozásával, a biztonsági elemzés Azure-eszközökkel történő központosításával, a pontos időszinkronizálás fenntartásával és a hatékony naplómegőrzési stratégiák biztosításával foglalkozik.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a naplózási és fenyegetésészlelési szakaszhoz:

Biztonsági mentés és helyreállítás

A biztonsági mentési és helyreállítási szakasz az Azure-szolgáltatások adatainak és konfigurációinak rendszeres biztonsági mentésére, védelmére és helyreállítására összpontosít a hibák vagy katasztrófák esetén. Hangsúlyozza a biztonsági mentések automatizálását, a biztonsági mentési adatok védelmét, valamint annak biztosítását, hogy a helyreállítási folyamatok tesztelése és ellenőrzése megfeleljen a helyreállítási idő célkitűzéseinek (RTO) és a helyreállítási pont célkitűzéseinek (RPO). A szakasz a biztonsági mentési folyamatok monitorozásának és naplózásának fontosságát is kiemeli a megfelelőség és a felkészültség biztosítása érdekében. További információkért tekintse meg az Azure Database for PostgreSQL üzletmenet-folytonosságának áttekintését.

Íme néhány lehetséges biztonsági szolgáltatás, szolgáltatás és ajánlott eljárás a biztonsági mentési és helyreállítási észlelési szakaszhoz:

  • Magas rendelkezésre állás használata: Magas rendelkezésre állási (HA) konfigurációk implementálása a rugalmas PostgreSQL-kiszolgálóhoz az állásidő minimalizálása és az adatbázishoz való folyamatos hozzáférés biztosítása érdekében. További információkért látogasson el ide: Magas rendelkezésre állás (megbízhatóság) az Azure Database for PostgreSQL-ben és Magas rendelkezésre állás konfigurálása az Azure Database for PostgreSQL-ben.

  • Automatikus biztonsági mentések konfigurálása: Az Azure Database for PostgreSQL automatikusan elvégzi az adatbázisfájlok napi biztonsági mentését, és folyamatosan biztonsági másolatot készít a tranzakciónaplókról. A biztonsági másolatokat hét naptól 35 napig őrizheti meg. Az adatbázis-kiszolgálót bármikor visszaállíthatja a biztonsági mentés megőrzési időszakán belül. Az RTO a visszaállítandó adatok méretétől és a napló helyreállításának időpontjától függ. Néhány perctől 12 óráig terjedhet. További információért látogasson el az Azure Database for PostgreSQL biztonsági mentés és visszaállítás oldalra.

  • Olvasási replikák konfigurálása: Az olvasási replikák használatával ki lehet kapcsolni az olvasási műveleteket az elsődleges kiszolgálóról, ezáltal javítva a teljesítményt és a rendelkezésre állást. Használhatja az olvasási replikákat vészhelyreállítási forgatókönyvekhez is, lehetővé téve, hogy gyorsan átváltson egy replikára az elsődleges kiszolgáló meghibásodása esetén. További információ: Olvasási replikák az Azure Database for PostgreSQL-ben.

  • Biztonsági mentési adatok védelme ügyfél által felügyelt kulcstitkosítással: Biztonsági mentési adatok védelme inaktív titkosítással.

Kapcsolódó tartalom

  • Last updated on