Condividi tramite

Componenti e limiti del sistema informativo di Azure

Questo articolo fornisce una descrizione generale dell'architettura e della gestione di Azure. L'ambiente di sistema di Azure è costituito dalle reti seguenti:

  • Rete di produzione di Microsoft Azure (rete di Azure)
  • Rete aziendale Microsoft (corpnet)

I team IT separati sono responsabili delle operazioni e della manutenzione di queste reti.

Architettura di Azure

Azure è una piattaforma e un'infrastruttura di cloud computing per la creazione, la distribuzione e la gestione di applicazioni e servizi tramite una rete di data center. Microsoft gestisce questi data center. In base al numero di risorse specificato, Azure crea macchine virtuali (VM) in base alle esigenze delle risorse. Queste macchine virtuali vengono eseguite in un hypervisor di Azure, progettato per l'uso nel cloud e non è accessibile al pubblico.

In ogni nodo del server fisico di Azure è presente un hypervisor che viene eseguito direttamente sull'hardware. L'hypervisor divide un nodo in un numero variabile di macchine virtuali guest. Ogni nodo ha anche una macchina virtuale radice, che esegue il sistema operativo host. Windows Firewall è abilitato in ogni macchina virtuale. È possibile definire le porte indirizzabili configurando il file di definizione del servizio. Queste porte sono le uniche aperte e indirizzabili, interne o esterne. Tutto il traffico e l'accesso al disco e alla rete sono mediati dall'hypervisor e dal sistema operativo radice.

A livello di host, le macchine virtuali di Azure eseguono una versione personalizzata e con protezione avanzata della versione più recente di Windows Server. Azure usa una versione di Windows Server che include solo i componenti necessari per ospitare le macchine virtuali. Ciò migliora le prestazioni e riduce la superficie di attacco. I limiti del computer vengono applicati dall'hypervisor, che non dipende dalla sicurezza del sistema operativo.

Gestione di Azure da parte dei controller di infrastruttura

In Azure le macchine virtuali in esecuzione su server fisici (pannelli/nodi) vengono raggruppate in cluster di circa 1000. Le macchine virtuali sono gestite in modo indipendente da un componente software della piattaforma con scalabilità orizzontale e ridondante denominato controller di infrastruttura( FC).

Ogni Fabric Controller gestisce il ciclo di vita delle applicazioni in esecuzione nel suo cluster, ed esegue il provisioning e monitora l'integrità dell'hardware sotto il proprio controllo. Esegue operazioni autonome, ad esempio la reincarnazione di istanze di macchine virtuali in server integri quando determina che un server non è riuscito. Il cluster di failover esegue anche operazioni di gestione delle applicazioni, come la distribuzione, l'aggiornamento e l'espansione delle applicazioni.

Il data center è suddiviso in cluster. I cluster isolano i guasti a livello FC e impediscono a determinate classi di errori di influire sui server oltre il cluster nel quale si verificano. I controller di dominio che servono un cluster di Azure specifico vengono raggruppati in un cluster fc.

Inventario hardware

Il controller di failover prepara un inventario dei dispositivi hardware e di rete di Azure durante il processo di configurazione iniziale. Tutti i nuovi componenti hardware e di rete che entrano nell'ambiente di produzione di Azure devono seguire il processo di configurazione bootstrap. Il FC è responsabile della gestione dell'intero inventario elencato nel file di configurazione datacenter.xml.

Immagini del sistema operativo gestite da FC

Il team del sistema operativo fornisce immagini, sotto forma di dischi rigidi virtuali, distribuiti in tutte le macchine virtuali host e guest nell'ambiente di produzione di Azure. Il team costruisce queste immagini di base tramite un processo di compilazione offline automatizzato. L'immagine di base è una versione del sistema operativo in cui il kernel e altri componenti principali sono stati modificati e ottimizzati per supportare l'ambiente Azure.

Esistono tre tipi di immagini del sistema operativo gestite dall'infrastruttura:

  • Host: sistema operativo personalizzato che viene eseguito nelle macchine virtuali host.
  • Un sistema operativo nativo che funziona sui tenant, ad esempio Azure Storage. Questo sistema operativo non dispone di hypervisor.
  • Guest: sistema operativo guest in esecuzione nelle macchine virtuali guest.

I sistemi operativi gestiti dall'host e dalla tecnologia di gestione FC nativa sono progettati per l'uso nel cloud e non sono accessibili pubblicamente.

Sistemi operativi host e nativi

Host e nativo sono immagini del sistema operativo con protezione avanzata che ospitano gli agenti di infrastruttura e che vengono eseguite su un nodo di calcolo (eseguite come prima VM nel nodo) e nodi di archiviazione. Il vantaggio dell'uso di immagini di base ottimizzate di host e native è che riduce la superficie esposta dalle API o dai componenti inutilizzati. Questi possono presentare rischi di sicurezza elevati e aumentare il footprint del sistema operativo. I sistemi operativi con footprint ridotto includono solo i componenti necessari per Azure.

Sistema operativo guest

I componenti interni di Azure in esecuzione nelle macchine virtuali del sistema operativo guest non hanno la possibilità di eseguire Remote Desktop Protocol. Tutte le modifiche apportate alle impostazioni di configurazione di base devono essere sottoposte al processo di gestione delle modifiche e delle versioni.

Datacenter di Azure

Il team di Microsoft Cloud Infrastructure and Operations (MCIO) gestisce le strutture fisiche dell'infrastruttura e del data center per tutti i servizi online Microsoft. MCIO è principalmente responsabile della gestione dei controlli fisici e ambientali all'interno dei data center, nonché della gestione e del supporto di dispositivi di rete perimetrali esterni (ad esempio router perimetrali e router del data center). MCIO è anche responsabile della configurazione dell'hardware server minimo su rack nel data center. I clienti non hanno alcuna interazione diretta con Azure.

Gestione dei servizi e team di servizi

Diversi gruppi di progettazione, noti come team di servizio, gestiscono il supporto del servizio di Azure. Ogni team di servizio è responsabile di un'area di supporto per Azure. Ogni team di servizio deve rendere disponibile un tecnico 24x7 per analizzare e risolvere gli errori nel servizio. Per impostazione predefinita, i team di servizio non hanno accesso fisico all'hardware che opera in Azure.

I team di servizio sono:

  • Piattaforma applicativa
  • Microsoft Entra ID
  • Calcolo di Azure
  • Rete di Azure
  • Servizi di ingegneria cloud
  • ISSD: Sicurezza
  • Autenticazione a più fattori
  • SQL Base di dati
  • Immagazzinamento

Tipi di utenti

I dipendenti (o terzisti) di Microsoft sono considerati utenti interni. Tutti gli altri utenti sono considerati utenti esterni. Tutti gli utenti interni di Azure hanno lo stato dei dipendenti classificati con un livello di riservatezza che definisce l'accesso ai dati dei clienti (accesso o nessun accesso). I privilegi utente per Azure (autorizzazione dopo l'autenticazione) sono descritti nella tabella seguente:

Ruolo Interno o esterno Livello di sensibilità Privilegi e funzioni autorizzati eseguiti Tipo di accesso
Tecnico del data center di Azure Interno Nessun accesso ai dati dei clienti Gestire la sicurezza fisica dell'ambiente locale. Condurre pattuglie all'interno e all'esterno del data center e monitorare tutti i punti di ingresso. Scortare dentro e fuori dal data center determinato personale non autorizzato che fornisce servizi generali (come la ristorazione o la pulizia) o che lavora nell'IT all'interno del data center. Eseguire il monitoraggio e la manutenzione di routine dell'hardware di rete. Eseguire operazioni di gestione e correzione degli eventi imprevisti usando vari strumenti. Eseguire il monitoraggio e la manutenzione di routine dell'hardware fisico nei data center. Accesso all'ambiente su richiesta dai proprietari di proprietà. In grado di eseguire indagini forensi, registrare report sugli eventi imprevisti e richiedere requisiti obbligatori per la formazione e i criteri di sicurezza. Proprietà operativa e manutenzione di strumenti di sicurezza critici, ad esempio scanner e raccolta di log. Accesso permanente all'ambiente.
Valutazione degli eventi imprevisti di Azure (tecnici di risposta rapida) Interno Accesso ai dati dei clienti Gestire le comunicazioni tra team MCIO, supporto e progettazione. Gestire gli incidenti della piattaforma, i problemi di distribuzione e le richieste di servizio. Accesso just-in-time all'ambiente, con accesso permanente limitato ai sistemi non appartenenti ai clienti.
Tecnici della distribuzione di Azure Interno Accesso ai dati dei clienti Distribuire e aggiornare componenti della piattaforma, software e modifiche di configurazione pianificate per il supporto di Azure. Accesso just-in-time all'ambiente, con accesso permanente limitato ai sistemi non appartenenti ai clienti.
Supporto per l'interruzione del servizio clienti di Azure (tenant) Interno Accesso ai dati dei clienti Eseguire il debug e diagnosticare interruzioni e errori della piattaforma per singoli tenant di calcolo e account Azure. Analizzare gli errori. Favorire le correzioni critiche per la piattaforma o il cliente e migliorare i miglioramenti tecnici per tutto il supporto. Accesso just-in-time all'ambiente, con accesso permanente limitato ai sistemi non appartenenti ai clienti.
Tecnici del sito live di Azure (tecnici di monitoraggio) e incidenti Interno Accesso ai dati dei clienti Diagnosticare e gestire l'integrità della piattaforma usando gli strumenti diagnostici. Guidare le riparazioni per i driver di volume, riparare gli elementi risultanti da interruzioni, e assistere nelle azioni di ripristino dopo le interruzioni. Accesso just-in-time all'ambiente, con accesso permanente limitato ai sistemi non appartenenti ai clienti.
Clienti di Azure Esterno Non disponibile Non disponibile Non disponibile

Azure usa identificatori univoci per autenticare utenti e clienti dell'organizzazione (o processi che agiscono per conto degli utenti dell'organizzazione). Questo vale per tutti gli asset e i dispositivi che fanno parte dell'ambiente Azure.

Autenticazione interna di Azure

Le comunicazioni tra i componenti interni di Azure sono protette con la crittografia TLS. Nella maggior parte dei casi, i certificati X.509 sono autofirmati. I certificati con connessioni accessibili dall'esterno della rete di Azure sono un'eccezione, come i certificati per i controller di dominio di rete. I controller di dominio hanno certificati emessi da un'autorità di certificazione (CA) Microsoft supportata da una CA radice attendibile. In questo modo è possibile ruotare facilmente le chiavi pubbliche FC. Inoltre, gli strumenti di sviluppo Microsoft usano chiavi pubbliche fc. Quando gli sviluppatori inviano nuove immagini dell'applicazione, le immagini vengono crittografate con una chiave pubblica fc per proteggere eventuali segreti incorporati.

Autenticazione del dispositivo hardware di Azure

Il FC mantiene un set di credenziali (chiavi e/o password) utilizzate per autenticarsi a dispositivi hardware controllati. Microsoft usa un sistema per impedire l'accesso a queste credenziali. In particolare, il trasporto, la persistenza e l'uso di queste credenziali sono progettati per impedire agli sviluppatori, agli amministratori e ai servizi di backup di Azure e al personale di accedere a informazioni riservate, riservate o private.

Microsoft usa la crittografia basata sulla chiave pubblica dell'identità principale. Questo avviene durante l'impostazione e la riconfigurazione FC, per trasferire le credenziali usate per accedere ai dispositivi hardware di rete. Quando il controller di failover richiede le credenziali, il controller di failover li recupera e li decrittografa.

Dispositivi di rete

Il team di rete di Azure configura gli account del servizio di rete per consentire a un client di Azure di eseguire l'autenticazione ai dispositivi di rete (router, commutatori e servizi di bilanciamento del carico).

Amministrazione sicura del servizio

Il personale operativo di Azure è richiesto di usare postazioni di lavoro amministrative sicure. I clienti possono implementare controlli simili usando workstation con accesso con privilegi. Con le SAW, il personale amministrativo utilizza un account amministrativo assegnato individualmente, che è separato dall'account utente standard. SAW si basa sulla pratica di separazione degli account fornendo una workstation affidabile per tali account sensibili.

Passaggi successivi

Per altre informazioni sulle operazioni eseguite da Microsoft per proteggere l'infrastruttura di Azure, vedere: