Componenti e limiti del sistema informativo di Azure

Questo articolo fornisce una descrizione generale dell'architettura e della gestione di Azure. L'ambiente di sistema di Azure è costituito dalle reti seguenti:

  • Rete di produzione di Microsoft Azure (rete di Azure)
  • Rete aziendale Microsoft (corpnet)

Separate squadre IT gestiscono e mantengono queste reti.

Architettura di Azure

Azure è una piattaforma e un'infrastruttura di cloud computing per la creazione, la distribuzione e la gestione di applicazioni e servizi tramite una rete di data center. Microsoft gestisce questi data center. In base al numero di risorse che specifichi, Azure crea macchine virtuali (VM) in base alle esigenze di risorse. Queste VM girano su un hypervisor Azure che Microsoft progetta per l'uso nel cloud e che non rende accessibile al pubblico.

In ogni nodo del server fisico di Azure è presente un hypervisor che viene eseguito direttamente sull'hardware. L'hypervisor divide un nodo in un numero variabile di macchine virtuali guest. Ogni nodo ha anche una macchina virtuale radice, che esegue il sistema operativo host. Azure abilita il firewall Windows su ogni VM. È possibile definire le porte indirizzabili configurando il file di definizione del servizio. Queste porte sono le uniche aperte e indirizzabili, interne o esterne. L'hypervisor e il sistema operativo root mediano tutto il traffico e l'accesso al disco e alla rete.

A livello di host, le macchine virtuali di Azure eseguono una versione personalizzata e con protezione avanzata della versione più recente di Windows Server. Azure usa una versione di Windows Server che include solo i componenti necessari per ospitare le macchine virtuali. Questa configurazione migliora le prestazioni e riduce la superficie d'attacco. L'hypervisor fa rispettare i confini della macchina e non dipende dalla sicurezza del sistema operativo.

Gestione di Azure dai controller di infrastruttura

Azure raggruppa le VM che girano su server fisici (blade/nodi) in cluster di circa 1.000. Un componente software della piattaforma ridimensionato e ridondante chiamato fabric controller (FC) gestisce in modo indipendente le VM.

Ogni controller di infrastruttura gestisce il ciclo di vita delle applicazioni in esecuzione nel relativo cluster ed esegue il provisioning e monitora l'integrità dell'hardware sotto il suo controllo. Esegue operazioni autonome, come la riincarnazione di istanze di VM su server sani quando determina che un server fallisce. Il controller di infrastruttura esegue anche operazioni di gestione delle applicazioni, ad esempio distribuzione, aggiornamento e scalabilità orizzontale delle applicazioni.

Azure divide il datacenter in cluster. I cluster isolano i guasti a livello FC e impediscono a determinate classi di errori di influire sui server oltre il cluster nel quale si verificano. Azure raggruppa le FC che servono un particolare cluster Azure in un cluster FC.

Inventario hardware

Il controller di infrastruttura crea un inventario dell'hardware Azure e dei dispositivi di rete durante il processo di configurazione del bootstrap. Tutti i nuovi componenti hardware e di rete che entrano nell'ambiente di produzione di Azure devono seguire il processo di configurazione bootstrap. La FC gestisce l'intero inventario elencato nel file di configurazione datacenter.xml.

Immagini del sistema operativo gestite da FC

Il team del sistema operativo fornisce immagini virtuali del disco rigido per tutte le VM host e guest nell'ambiente di produzione Azure. Il team costruisce queste immagini di base tramite un processo di compilazione offline automatizzato. L'immagine base è una versione del sistema operativo in cui Microsoft modifica e ottimizza il kernel e altri componenti core per supportare l'ambiente Azure.

Esistono tre tipi di immagini del sistema operativo gestite dal fabric:

  • Host: sistema operativo personalizzato che viene eseguito nelle macchine virtuali host.
  • Nativo: un sistema operativo nativo in esecuzione sul tenant (ad esempio, Archiviazione di Azure). Questo sistema operativo non dispone di hypervisor.
  • Guest: sistema operativo guest in esecuzione nelle macchine virtuali guest.

Microsoft progetta l'host e i sistemi operativi gestiti nativamente da FC per l'uso nel cloud e non li rende accessibili al pubblico.

Sistemi operativi host e nativi

I sistemi operativi host e quelli nativi sono immagini di sistema operativo protette che ospitano gli agenti del fabric e vengono eseguite nei nodi di calcolo e di archiviazione. Immagini base ottimizzate dei sistemi operativi host e nativi riducono l'area di superficie esposta dalle API o dai componenti inutilizzati. Queste API e componenti possono presentare elevati rischi di sicurezza e aumentare l'impatto del sistema operativo. I sistemi operativi a ingombro ridotto includono solo i componenti necessari per Azure.

Sistema operativo guest

I componenti interni di Azure che girano su VM del sistema operativo ospite non possono utilizzare Desktop remoto Protocol. Tutte le modifiche apportate alle impostazioni di configurazione di base devono essere sottoposte al processo di gestione delle modifiche e delle versioni.

Datacenter di Azure

Il team di Microsoft Cloud Infrastructure and Operations (MCIO) gestisce le strutture fisiche dell'infrastruttura e del data center per tutti i servizi online Microsoft. MCIO è principalmente responsabile della gestione dei controlli fisici e ambientali all'interno dei data center, nonché della gestione e del supporto di dispositivi di rete perimetrali esterni (ad esempio router perimetrali e router del data center). MCIO è anche responsabile della configurazione dell'hardware minimo per server sui rack nel datacenter. I clienti Azure non hanno interazioni dirette con l'infrastruttura Azure.

Gestione dei servizi e team di servizi

Diversi gruppi di progettazione, noti come team di servizio, gestiscono il supporto del servizio di Azure. Ogni team di servizio è responsabile di un'area di supporto per Azure. Ogni team di servizio deve mettere a disposizione un ingegnere 24 ore su 24, 7 giorni su 7, per indagare e risolvere i guasti nel servizio. Per impostazione predefinita, i team di servizio non hanno accesso fisico all'hardware che opera in Azure.

I team di servizio sono:

  • Piattaforma applicativa
  • Microsoft Entra ID
  • Calcolo di Azure
  • Rete di Azure
  • Servizi di ingegneria cloud
  • ISSD: Sicurezza
  • Autenticazione a più fattori
  • SQL Base di dati
  • Immagazzinamento

Tipi di utenti

I dipendenti e i collaboratori Microsoft sono utenti interni. Tutti gli altri utenti sono utenti esterni. Tutti gli utenti interni di Azure hanno lo stato dei dipendenti classificati con un livello di riservatezza che definisce l'accesso ai dati dei clienti (accesso o nessun accesso). I privilegi utente per Azure (autorizzazione dopo l'autenticazione) sono descritti nella tabella seguente:

Ruolo Interno o esterno Livello di sensibilità Privilegi e funzioni autorizzati eseguiti Tipo di accesso
Tecnico del data center di Azure Interno Nessun accesso ai dati dei clienti Gestire la sicurezza fisica dell'ambiente locale. Condurre pattuglie all'interno e all'esterno del data center e monitorare tutti i punti di ingresso. Accompagna alcuni dipendenti non autorizzati che forniscono servizi generali (come ristorazione o pulizie) o lavori IT dentro e fuori dal datacenter. Eseguire il monitoraggio e la manutenzione di routine dell'hardware di rete. Eseguire operazioni di gestione e correzione degli eventi imprevisti usando vari strumenti. Eseguire il monitoraggio e la manutenzione di routine dell'hardware fisico nei data center. Accedi all'ambiente su richiesta dai proprietari immobiliari. Eseguire indagini forensi, registrare rapporti sugli incidenti e completare la formazione obbligatoria e i requisiti di politica sulla sicurezza. Possedere e mantenere strumenti di sicurezza critici, come scanner e raccolta di registri. Accesso permanente all'ambiente.
Valutazione degli eventi imprevisti di Azure (tecnici di risposta rapida) Interno Accesso ai dati dei clienti Gestire le comunicazioni tra team MCIO, supporto e progettazione. Incidenti di triage delle piattaforme, problemi di distribuzione e richieste di servizio. Accesso JIT all'ambiente - con accesso permanente limitato per sistemi non di clienti JIT.
Tecnici della distribuzione di Azure Interno Accesso ai dati dei clienti Distribuire e aggiornare componenti della piattaforma, software e modifiche di configurazione pianificate per il supporto di Azure. Accesso JIT all'ambiente - con accesso permanente limitato per sistemi non di clienti JIT.
Supporto per l'interruzione del servizio clienti di Azure (tenant) Interno Accesso ai dati dei clienti Eseguire il debug e diagnosticare interruzioni e errori della piattaforma per singoli tenant di calcolo e account Azure. Analizzare gli errori. Offre correzioni critiche alla piattaforma o al cliente e miglioramenti tecnici attraverso l'assistenza. Accesso JIT all'ambiente - con accesso permanente limitato per sistemi non di clienti JIT.
Tecnici del sito live di Azure (tecnici di monitoraggio) e eventi imprevisti Interno Accesso ai dati dei clienti Diagnosticare e attenuazione dello stato di integrità della piattaforma utilizzando strumenti diagnostici. Offre correzioni per i driver di volume, riparazioni derivanti da interruzioni e assistenza con le azioni di ripristino delle interruzioni. Accesso JIT all'ambiente - con accesso permanente limitato per sistemi non di clienti JIT.
Clienti di Azure Esterno Non disponibile Non disponibile Non disponibile

Azure usa identificatori univoci per autenticare utenti e clienti dell'organizzazione (o processi che agiscono per conto degli utenti dell'organizzazione). Questo approccio si applica a tutti gli asset e dispositivi che fanno parte dell'ambiente Azure.

Autenticazione interna di Azure

La crittografia TLS protegge le comunicazioni tra componenti interni di Azure. Nella maggior parte dei casi, i certificati X.509 sono autofirmati. I certificati con connessioni accessibili dall'esterno della rete Azure sono un'eccezione, così come i certificati per le FC. Un'autorità di certificazione Microsoft (CA) supportata da una CA root affidabile rilascia certificati per le FC. Questa configurazione consente di eseguire il rollover delle chiavi pubbliche dei controller di infrastruttura. Gli strumenti per sviluppatori Microsoft utilizzano anche le chiavi pubbliche FC. Quando gli sviluppatori inviano nuove immagini applicative, Microsoft cripta le immagini con una chiave pubblica FC per proteggere eventuali segreti incorporati.

Autenticazione del dispositivo hardware di Azure

La FC mantiene un insieme di credenziali (chiavi o password) utilizzate per autenticarsi su vari dispositivi hardware sotto il suo controllo. Microsoft usa un sistema per impedire l'accesso a queste credenziali. In particolare, Microsoft progetta il trasporto, la persistenza e l'uso di queste credenziali per impedire agli sviluppatori, amministratori, servizi di backup e personale Azure di accedere a informazioni sensibili, riservate o private.

Microsoft usa la crittografia basata sulla chiave pubblica di identità principale del controller di infrastruttura. Questa crittografia avviene durante l'installazione e la riconfigurazione FC per trasferire le credenziali utilizzate per accedere ai dispositivi hardware di rete. Se il controller di infrastruttura deve usare le credenziali, questo le recupera e ne esegue la decrittografia.

Dispositivi di rete

Il team di networking di Azure configura gli account di servizio di rete per consentire a un client Azure di autenticarsi su dispositivi di rete (router, switch e bilanciatori di carico).

Amministrazione sicura del servizio

Il personale addetto alle operazioni di Azure deve utilizzare workstation di amministrazione protette (SAW). Usa workstation ad accesso privilegiato per implementare controlli simili. Utilizzando i SAW, il personale amministrativo utilizza un account amministrativo assegnato individualmente separato dall'account utente standard dell'utente. SAW si basa sulla pratica di separazione degli account fornendo una workstation affidabile per tali account sensibili.

Passaggi successivi

Per altre informazioni sulle operazioni eseguite da Microsoft per proteggere l'infrastruttura di Azure, vedere:

  • Last updated on