Mengamankan Cosmos DB Anda di database Microsoft Fabric

  • Berlaku untuk: ✅ Cosmos DB in Microsoft Fabric

Cosmos DB di Microsoft Fabric adalah database NoSQL yang dioptimalkan AI, secara otomatis dikonfigurasi sesuai kebutuhan pengembangan khas dan menawarkan pengalaman manajemen yang lebih sederhana. Fabric menyediakan keamanan bawaan, kontrol akses, dan pemantauan untuk Cosmos DB di Fabric. Meskipun Fabric menawarkan fitur keamanan bawaan untuk melindungi data Anda, ikuti praktik terbaik ini untuk lebih meningkatkan keamanan basis data, datanya, dan konfigurasi akses Anda.

Artikel ini memberikan panduan tentang cara terbaik melindungi Cosmos DB Anda dalam penyebaran Fabric.

Rekomendasi keamanan dalam artikel ini menerapkan prinsip-prinsip Zero Trust: "Verifikasi secara eksplisit", "Gunakan akses hak istimewa paling sedikit", dan "Asumsikan pelanggaran". Untuk panduan Zero Trust yang komprehensif, lihat Pusat Panduan Zero Trust.

Keamanan jaringan

Cosmos DB di Fabric mengandalkan kontrol jaringan tingkat platform Microsoft Fabric. Pisahkan akses pada tingkat tenant dan ruang kerja, karena opsi isolasi jaringan pada tingkat item saat ini terbatas.

  • Rute lalu lintas tenant melalui tautan privat: Aktifkan tautan privat tingkat tenant Fabric sehingga lalu lintas ke workspace yang menampung database Cosmos DB Anda melewati backbone pribadi Microsoft, bukan internet publik. Untuk informasi lebih lanjut, lihat Tautan pribadi untuk akses aman ke Fabric.

  • Rencanakan batasan jaringan tingkat item: Private Link saat ini belum didukung di tingkat database Cosmos DB, jadi rancang isolasi jaringan di sekitar tenant Fabric dan batas workspace, bukan database individual. Untuk informasi lebih lanjut, lihat Keterbatasan di Cosmos DB di Microsoft Fabric.

Pengelolaan identitas dan akses

  • Gunakan identitas terkelola untuk mengakses database Anda dari layanan Azure lainnya: Identitas terkelola menghilangkan kebutuhan untuk mengelola kredensial dengan menyediakan identitas yang dikelola secara otomatis di Microsoft Entra ID. Gunakan identitas terkelola untuk mengakses Cosmos DB dengan aman dari layanan Azure lainnya tanpa menyematkan kredensial dalam kode Anda. Meskipun Cosmos DB di Fabric mendukung beberapa tipe identitas (prinsipal layanan), identitas terkelola adalah pilihan utama karena tidak mengharuskan solusi Anda menangani kredensial secara langsung. Untuk informasi selengkapnya, lihat mengautentikasi dari layanan host Azure.

  • Gunakan autentikasi Entra untuk melakukan kueri, membuat, dan mengakses item dalam kontainer sambil mengembangkan solusi: Akses item dalam kontainer Cosmos DB menggunakan identitas manusia Anda dan autentikasi Microsoft Entra. Menerapkan akses hak istimewa paling sedikit untuk melakukan kueri, membuat, dan operasi lainnya. Untuk informasi selengkapnya, lihat menyambungkan dengan aman dari lingkungan pengembangan Anda.

  • Pisahkan identitas Azure yang digunakan untuk akses data dan sarana kontrol: Gunakan identitas Azure yang berbeda untuk operasi sarana kontrol dan sarana data untuk mengurangi risiko eskalasi hak istimewa dan memastikan kontrol akses yang lebih baik. Pemisahan ini meningkatkan keamanan dengan membatasi cakupan setiap identitas. Untuk informasi selengkapnya, lihat mengonfigurasi otorisasi.

  • Konfigurasikan akses ruang kerja Fabric paling tidak permisif: Fabric menegakkan izin pengguna berdasarkan tingkat akses ruang kerja saat ini. Jika Anda menghapus pengguna dari ruang kerja Fabric, mereka juga secara otomatis kehilangan akses ke database Cosmos DB terkait dan data dasarnya. Untuk informasi selengkapnya, lihat Model izin Fabric.

  • Memahami identitas eksekusi notebook: Saat bekerja dengan notebook di ruang kerja Fabric, perlu diketahui bahwa identitas yang digunakan notebook saat dijalankan bergantung pada cara notebook tersebut dipicu. Eksekusi interaktif menggunakan konteks keamanan pengguna saat ini, aktivitas pipeline berjalan dengan identitas pengguna yang terakhir memodifikasi pipeline, dan eksekusi terjadwal menggunakan identitas pengguna yang membuat atau terakhir memperbarui jadwal tersebut. Karena izin akses data dan jejak audit mencerminkan identitas tersebut, rencanakan strategi pembuatan, berbagi, dan penjadwalan buku catatan Anda sesuai dengan itu. Untuk informasi selengkapnya, lihat Konteks keamanan menjalankan buku catatan.

  • Merencanakan batasan identitas ruang kerja: Saat ini, Fabric tidak mendukung run-as fungsionalitas dengan Identitas Ruang Kerja. Operasi dijalankan dengan identitas pengguna pemicu daripada identitas ruang kerja bersama. Pertimbangkan keterbatasan ini saat Anda merancang skenario multi-pengguna, dan pastikan bahwa pengguna yang sesuai memicu artefak yang dibagikan dalam ruang kerja tersebut. Untuk informasi lebih lanjut, lihat Keterbatasan di Cosmos DB di Microsoft Fabric.

Perlindungan data

Cosmos DB di Fabric secara otomatis mengenkripsi semua data yang disimpan dan dalam perjalanan dengan kunci yang dikelola Microsoft, sehingga Anda tidak perlu mengonfigurasi pengaturan enkripsi apa pun. Kunci yang dikelola pelanggan saat ini belum tersedia. Anda dapat mengonfigurasi perlindungan data untuk salinan OneLake dari data Anda.

  • Amankan salinan otomatis data Anda di OneLake: Fabric secara otomatis menyalin setiap database Cosmos DB dalam Fabric ke OneLake dalam format Delta Lake terbuka, tanpa memerlukan penyiapan apa pun. Lindungi salinan analitik tersebut dengan kontrol akses ruang kerja dan peran dengan hak akses minimum yang sama seperti yang Anda terapkan pada basis data. Untuk informasi lebih lanjut, lihat Mirror OneLake di Cosmos DB di Microsoft Fabric.

  • Pertimbangkan keterbatasan kunci yang dikelola pelanggan: Enkripsi dengan kunci yang dikelola pelanggan (CMK) saat ini belum tersedia untuk Cosmos DB di Fabric. Jika persyaratan kepatuhan Anda mewajibkan CMK, pertimbangkan pembatasan ini sebelum menyimpan data yang diatur. Untuk informasi lebih lanjut, lihat Keterbatasan di Cosmos DB di Microsoft Fabric.

Pencatatan dan pemantauan

Lacak akses ke database Cosmos DB Anda dan perhatikan penggunaan anomali yang mungkin menunjukkan masalah keamanan.

  • Audit aktivitas pengguna dan admin dengan log audit Fabric: Tinjau log audit Fabric untuk melihat siapa yang mengakses atau mengubah database Cosmos DB Anda dan kapan, yang mendukung investigasi insiden dan tinjauan akses. Untuk informasi selengkapnya, lihat Melacak aktivitas pengguna di Microsoft Fabric.

  • Pantau metrik basis data untuk anomali: Gunakan Ringkasan Metrik untuk meninjau permintaan, penyimpanan, dan penggunaan throughput, serta menyelidiki lonjakan tak terduga yang dapat menandakan penyalahgunaan. Untuk informasi lebih lanjut, lihat Monitor Cosmos DB di Microsoft Fabric.

Kepatuhan dan tata kelola

Gunakan kemampuan tata kelola platform Microsoft Fabric untuk mengklasifikasikan, mendukung, dan melacak data Cosmos DB Anda.

  • Terapkan label sensitivitas untuk mengklasifikasikan dan melindungi data: Gunakan label sensitivitas Perlindungan Informasi Microsoft Purview untuk mengklasifikasikan item Cosmos DB Anda sehingga perlindungan dapat menyebar bersama data di Fabric dan OneLake. Untuk informasi lebih lanjut, lihat Perlindungan informasi di Microsoft Fabric.

  • Mendukung database terpercaya: Promosikan atau sertifikasi database Cosmos DB melalui dukungan konten agar pengguna dapat membedakan data otoritatif dari item yang belum diverifikasi. Untuk informasi lebih lanjut, lihat Endorsement di Microsoft Fabric.

  • Telusuri aliran data dengan garis keturunan: Gunakan garis keturunan untuk memahami bagaimana data bergerak antara basis data Cosmos DB Anda dan item Fabric hilir, yang membantu analisis dampak dan verifikasi kepatuhan. Untuk informasi lebih lanjut, lihat Lineage di Microsoft Fabric.

Pencadangan dan pemulihan

Cosmos DB di Fabric saat ini belum menyediakan cadangan yang dapat dikonfigurasi oleh pelanggan atau pemulihan ke satu titik waktu tertentu untuk database transaksional. Untuk merencanakan pemulihan, percayakan ketahanan platform Fabric dan kendalikan definisi item Anda secara sumber.

  • Percayakan pada ketahanan platform Fabric: Pahami jaminan ketersediaan dan pemulihan yang disediakan Microsoft Fabric untuk kapasitas Anda sehingga Anda dapat menetapkan ekspektasi pemulihan yang realistis. Untuk informasi selengkapnya, lihat Keandalan di Microsoft Fabric.

Konten terkait

  • Last updated on