Komponen dan batasan sistem informasi Azure
Artikel ini menjelaskan deskripsi umum tentang arsitektur dan manajemen Azure. Lingkungan sistem Azure terdiri dari jaringan berikut ini:
- Jaringan produksi Microsoft Azure (jaringan Azure)
- Jaringan perusahaan Microsoft (corpnet)
Tim IT terpisah bertanggung jawab atas operasi dan pemeliharaan jaringan-jaringan ini.
Arsitektur Azure
Azure adalah platform dan infrastruktur komputasi cloud untuk membangun, menyebarkan, dan mengelola aplikasi dan layanan melalui jaringan pusat data. Microsoft mengelola berbagai pusat data ini. Berdasarkan jumlah sumber daya yang Anda tentukan, Azure membuat komputer virtual (VM) berdasarkan kebutuhan sumber daya. VM ini berjalan pada hypervisor Azure, yang dirancang untuk digunakan di cloud dan tidak dapat diakses oleh publik.
Pada setiap simpul server fisik Azure, ada hypervisor yang berjalan langsung melalui perangkat keras. Hypervisor tersebut membagi simpul menjadi jumlah variabel VM tamu. Setiap simpul juga memiliki satu VM root, yang menjalankan sistem operasi host. Firewall Jendela diaktifkan pada setiap VM. Anda menentukan port mana yang dapat dituju dengan mengonfigurasi file definisi layanan. Port ini adalah satu-satunya yang terbuka dan dapat dituju, secara internal atau eksternal. Semua lalu lintas dan akses ke disk dan jaringan dimediasi oleh hypervisor dan sistem operasi root.
Pada lapisan host, Azure VM menjalankan versi Windows Server terbaru yang disesuaikan dan diperkeras. Azure menggunakan versi Windows Server yang hanya menyertakan komponen yang diperlukan untuk meng-hosting VM. Hal ini meningkatkan performa dan mengurangi permukaan serangan. Batas mesin diberlakukan oleh hypervisor, yang tidak bergantung pada keamanan sistem operasi.
Manajemen Azure oleh pengontrol fabrik
Di Azure, VM yang berjalan pada server fisik (bilah/simpul) dikelompokkan ke dalam kluster berjumlah sekitar 1000. VM dikelola secara independen oleh komponen perangkat lunak platform yang ditingkatkan dan berlebihan yang disebut pengontrol fabrik (FC).
Setiap FC mengelola siklus hidup aplikasi yang berjalan di klusternya, serta menyediakan dan memantau kesehatan perangkat keras dalam kontrolnya. Hal ini menjalankan operasi otonom, seperti menginkarnasi instans VM pada server sehat ketika FC menentukan bahwa server telah gagal. FC juga melakukan operasi manajemen aplikasi, seperti menyebarkan, memperbarui, dan menskalakan aplikasi.
Pusat data dibagi menjadi beberapa kluster. Kluster mengisolasi kesalahan di tingkat FC, dan mencegah agar kelas kesalahan tertentu tidak memengaruhi server di luar kluster tempat kesalahan tersebut terjadi. FC yang melayani kluster Azure tertentu dikelompokkan ke dalam kluster FC.
Inventaris perangkat keras
FC mempersiapkan inventaris perangkat keras dan perangkat jaringan Azure selama proses konfigurasi bootstrap. Setiap komponen perangkat keras dan jaringan baru yang memasuki lingkungan produksi Azure harus mengikuti proses konfigurasi bootstrap. FC bertanggung jawab untuk mengelola seluruh inventaris yang tercantum dalam file konfigurasi datacenter.xml.
Gambar sistem operasi yang dikelola FC
Tim sistem operasi menyediakan gambar, dalam bentuk Virtual Hard Disk, yang disebarkan pada semua VM host dan tamu di lingkungan produksi Azure. Tim menyusun gambar-gambar dasar ini melalui proses kompilasi offline otomatis. Gambar dasar adalah versi dari sistem operasi di mana kernel dan komponen inti lainnya telah dimodifikasi dan dioptimalkan untuk mendukung lingkungan Azure.
Ada tiga jenis gambar sistem operasi yang dikelola fabrik:
- Host: Sistem operasi kustomisasi yang berjalan pada VM host.
- Asli: Sistem operasi asli yang berjalan pada penyewa (misalnya, Microsoft Azure Storage). Sistem operasi ini tidak memiliki hypervisor.
- Tamu: Sistem operasi tamu yang berjalan pada VM tamu.
Host dan sistem operasi asli yang dikelola FC dirancang untuk digunakan di cloud, dan tidak dapat diakses secara publik.
Sistem operasi host dan asli
Host dan asli adalah gambar sistem operasi yang dikeraskan, yang meng-host agen fabrik, dan berjalan pada simpul komputasi (dijalankan sebagai VM pertama pada simpul) dan simpul penyimpanan. Manfaat menggunakan gambar dasar host dan asli yang dioptimalkan adalah mengurangi area permukaan yang terekspos oleh API atau komponen yang tidak digunakan. Hal ini dapat menimbulkan risiko keamanan tinggi dan meningkatkan jejak sistem operasi. Sistem operasi yang dengan pengurangan jejak hanya mencakup komponen yang diperlukan untuk Azure.
Sistem operasi tamu
Komponen internal Azure yang berjalan pada VM sistem operasi tamu tidak memiliki kesempatan untuk menjalankan Protokol Desktop Jauh. Setiap perubahan pada pengaturan konfigurasi garis besar harus melalui proses manajemen perubahan dan rilis.
Pusat data Azure
Tim Microsoft Cloud Infrastructure & Operations (MCIO) mengelola infrastruktur fisik dan fasilitas pusat data untuk semua layanan online Microsoft. MCIO terutama bertanggung jawab untuk mengelola kontrol fisik dan lingkungan dalam pusat data, serta mengelola dan mendukung perangkat jaringan perimeter luar (seperti router tepi dan router pusat data). MCIO juga bertanggung jawab untuk menyiapkan perangkat keras server minimum pada rak di pusat data. Pelanggan tidak memiliki interaksi langsung dengan Azure.
Tim manajemen layanan dan tim layanan
Berbagai kelompok teknik, yang dikenal sebagai tim layanan, mengelola dukungan untuk layanan Azure. Setiap tim layanan bertanggung jawab atas suatu area dukungan untuk Azure. Setiap tim layanan harus menyediakan ahli teknik 24x7 untuk menyelidiki dan menyelesaikan kegagalan dalam layanan. Tim layanan tidak, secara default, memiliki akses fisik ke perangkat keras yang beroperasi di Azure.
Tim layanan adalah:
- Platform Aplikasi
- Microsoft Entra ID
- Azure Compute
- Azure Net
- Layanan Teknik Cloud
- ISSD: Keamanan
- Autentikasi Multifaktor
- Microsoft Azure SQL Database
- Penyimpanan
Jenis pengguna
Karyawan (atau kontraktor) Microsoft diperhitungkan sebagai pengguna internal. Semua pengguna yang lain dianggap sebagai pengguna eksternal. Status karyawan semua pengguna internal Azure dikategorikan dengan tingkat sensitivitas yang menentukan akses mereka ke data pelanggan (akses atau tanpa akses). Hak istimewa pengguna untuk Azure (izin otorisasi setelah autentikasi diberikan) dijelaskan dalam tabel berikut:
| Peran | Internal atau eksternal | Tingkat sensitivitas | Hak istimewa dan fungsi kewenangan yang dilakukan | Jenis akses |
|---|---|---|---|---|
| Ahli teknik pusat data Azure | Internal | Tidak ada akses ke data pelanggan | Mengelola keamanan fisik di tempat. Melakukan patroli keluar masuk pusat data, dan memantau semua titik masuk. Mengawal personel tertentu yang tidak dibersihkan, yang menyediakan layanan umum (seperti katering atau kebersihan) atau bekerja di dalam pusat data, ke dalam dan ke luar pusat data. Melakukan pemantauan dan pemeliharaan perangkat keras jaringan secara rutin. Lakukan manajemen insiden dan pekerjaan break-fix dengan menggunakan berbagai alat. Melakukan pemantauan dan pemeliharaan perangkat keras fisik di pusat data secara rutin. Mengakses lingkungan sesuai permintaan dari pemilik properti. Mampu melakukan penyelidikan forensik, mencatat laporan insiden, dan mensyaratkan pelatihan keamanan dan persyaratan kebijakan wajib. Kepemilikan operasional dan pemeliharaan alat keamanan penting, seperti pemindai dan pengumpulan catatan. | Akses persisten ke lingkungan. |
| Triase insiden Azure (ahli teknik respons cepat) | Internal | Akses ke data pelanggan | Mengelola komunikasi di antara tim MCIO, dukungan, dan teknik. Insiden platform triase, masalah penyebaran, dan permintaan layanan. | Akses just-in-time ke lingkungan, dengan akses persisten terbatas ke sistem non-pelanggan. |
| Ahli teknik penyebaran Azure | Internal | Akses ke data pelanggan | Menyebarkan dan meningkatkan komponen platform, perangkat lunak, dan perubahan konfigurasi terjadwal untuk mendukung Azure. | Akses just-in-time ke lingkungan, dengan akses persisten terbatas ke sistem non-pelanggan. |
| Dukungan pemadaman pelanggan Azure (penyewa) | Internal | Akses ke data pelanggan | Men-debug dan mendiagnosis pemadaman dan kesalahan platform untuk penyewa komputasi dan akun Azure individu. Menganalisis kesalahan. Mendorong perbaikan penting atas platform atau pelanggan, dan mendorong peningkatan teknis di seluruh dukungan. | Akses just-in-time ke lingkungan, dengan akses persisten terbatas ke sistem non-pelanggan. |
| Ahli teknik situs langsung (ahli teknik pemantauan) dan insiden Azure | Internal | Akses ke data pelanggan | Mendiagnosis dan memitigasi kesehatan platform dengan menggunakan alat diagnostik. Mendorong perbaikan untuk driver volume, memperbaiki item yang diakibatkan oleh pemadaman, dan membantu tindakan pemulihan pemadaman. | Akses just-in-time ke lingkungan, dengan akses persisten terbatas ke sistem non-pelanggan. |
| Pelanggan Azure | Eksternal | T/A | T/A | T/A |
Azure menggunakan pengidentifikasi unik untuk mengautentikasi pengguna dan pelanggan organisasi (atau proses yang bertindak atas nama pengguna organisasi). Ini berlaku untuk semua aset dan perangkat yang merupakan bagian dari lingkungan Azure.
Autentikasi internal Azure
Komunikasi antara komponen-komponen internal Azure dilindungi dengan enkripsi TLS. Dalam kebanyakan kasus, sertifikat X.509 ditandatangani sendiri. Sertifikat dengan koneksi yang dapat diakses dari luar jaringan Azure merupakan pengecualian, seperti halnya sertifikat untuk FC. FC memiliki sertifikat yang diterbitkan oleh Microsoft Certificate of Authority (CA) yang didukung oleh CA akar tepercaya. Hal ini memungkinkan kunci umum FC untuk digulirkan dengan mudah. Selain itu, alat pengembang Microsoft menggunakan kunci umum FC. Ketika pengembang mengirimkan gambar aplikasi baru, gambar dienkripsi dengan kunci umum FC untuk melindungi rahasia yang disematkan.
Autentikasi perangkat keras Azure
FC mempertahankan serangkaian informasi masuk (kunci dan/atau kata sandi) yang digunakan untuk mengautentikasi dirinya ke berbagai perangkat keras di bawah kontrolnya. Microsoft menggunakan sistem untuk mencegah akses ke informasi masuk ini. Secara khusus, transportasi, persistensi, dan penggunaan informasi masuk ini dirancang untuk mencegah pengembang Azure, administrator, dan layanan dan personel pencadangan untuk mengakses informasi sensitif, rahasia, atau pribadi.
Microsoft menggunakan enkripsi berdasarkan kunci publik identitas utama FC. Ini terjadi pada waktu penyiapan FC dan konfigurasi ulang FC, untuk mentransfer informasi masuk yang digunakan untuk mengakses perangkat keras jaringan. Ketika FC membutuhkan informasi masuk, FC mengambil dan mendekripsi mereka.
Perangkat jaringan
Tim jaringan Azure mengonfigurasi akun layanan jaringan untuk memungkinkan klien Azure mengautentikasi ke perangkat jaringan (router, sakelar, dan penyeimbang beban).
Mengamankan administrasi layanan
Personel operasi Azure diwajibkan menggunakan workstation admin yang aman (SAW). Pelanggan dapat menerapkan kontrol serupa dengan menggunakan workstation akses khusus. Dengan SAW, personel administratif menggunakan akun administratif yang ditetapkan secara individual, yang terpisah dari akun pengguna standar pengguna. SAW mengembangkan diri berdasarkan praktik pemisahan akun tersebut dengan menyediakan workstation yang dapat dipercaya untuk akun-akun sensitif tersebut.
Langkah berikutnya
Untuk mempelajari selengkapnya tentang apa yang dilakukan Microsoft untuk membantu mengamankan infrastruktur Azure, lihat: