Azure インフラストラクチャの整合性
ソフトウェア インストール
Azure 環境にインストールされているソフトウェア スタック内のすべてのコンポーネントは、Microsoft セキュリティ開発ライフサイクル (Security Development Lifecycle: SDL) プロセスに従ってカスタムビルドされています。 すべてのソフトウェア コンポーネント (オペレーティング システム (OS) イメージや SQL Database を含む) が、変更管理およびリリース管理プロセスの一部としてデプロイされます。 すべてのノード上で実行される OS は、カスタマイズされたバージョンです。 正確なバージョンは、OS に期待される役割に従ってファブリック コントローラー (FC) によって選択されます。 さらに、ホスト OS では、承認されていないソフトウェア コンポーネントのインストールは許可されません。
一部の Azure コンポーネントは、ゲスト OS で実行されているゲスト VM に Azure のお客様としてデプロイされます。
ビルドに対するウイルス スキャン
Azure ソフトウェア コンポーネント (OS を含む) の各ビルドには、Endpoint Protection ウイルス対策ツールを使用したウイルス スキャンを実行する必要があります。 各ウイルス スキャンでは、関連付けられたビルド ディレクトリ内に、スキャンの対象とスキャンの結果が詳細に記載されたログが作成されます。 このウイルス スキャンは、Azure 内のすべてのコンポーネントに対するビルド ソース コードの一部です。 コードは、クリーンな、成功したウイルス スキャンなしで運用に移行されることはありません。 問題が確認された場合、そのビルドは凍結されます。 そのビルドは、"悪意のある" コードがビルドに挿入された場所を識別するために Microsoft Security 内のセキュリティ チームに渡されます。
閉じてロックされている環境
既定では、Azure インフラストラクチャ ノードとゲスト VM にユーザー アカウントは作成されません。 さらに、既定の Windows 管理者アカウントも無効になっています。 Azure Live Support の管理者は、適切な認証を使用してこれらのマシンにログインし、応急修復のために Azure 運用ネットワークを管理できます。
Azure SQL Database の認証
SQL Server の他のすべての実装と同様に、ユーザー アカウントの管理は緊密に制御する必要があります。 Azure SQL Database では SQL Server 認証のみがサポートされています。 顧客のデータ セキュリティ モデルを補完するために、強力なパスワードを持ち、特定の権限で構成されたユーザー アカウントを使用する必要があります。
Microsoft 企業ネットワークと Azure クラスター間の ACL とファイアウォール
サービス プラットフォームと Microsoft 企業ネットワークの間のアクセス制御リスト (ACL) とファイアウォールは、承認されていない内部関係者のアクセスから SQL Database インスタンスを保護します。 さらに、Microsoft 企業ネットワークの IP アドレス範囲内のユーザーのみが Windows Fabric プラットフォーム管理エンドポイントにアクセスできます。
SQL Database クラスター内のノード間の ACL とファイアウォール
多層防御戦略の一部として、SQL Database クラスター内のノード間に ACL とファイアウォールが実装されています。 Windows Fabric プラットフォーム クラスター内のすべての通信と、実行中のすべてのコードは信頼できます。
カスタム監視エージェント
SQL Database は、SQL Database クラスターの正常性を監視するために、ウォッチドッグと呼ばれるカスタム監視エージェント (MA) を採用しています。
Web プロトコル
ロール インスタンスの監視と再開
Azure では、デプロイされて実行中のすべてのロール (インターネットに接続する Web ロールまたはバックエンド処理 worker ロール) が、稼働状況の持続的な監視対象になります。 稼働状況の監視では、それらのロールのプロビジョニング対象となったサービスを、ロールが効果的かつ効率的に提供していることが確認されます。 ロールが (ホストされているアプリケーションの致命的な障害、またはロール インスタンス自体にある基になる構成の問題のどちらかで) 異常な状態になった場合、FC はロール インスタンス内の問題を検出し、是正状態を開始します。
コンピューティング接続
Azure では、デプロイされているアプリケーションまたはサービスに、標準の Web ベースのプロトコル経由でアクセスできることが保証されます。 インターネットに接続する Web ロールの仮想インスタンスは、外部のインターネット接続が可能であり、Web ユーザーから直接アクセスできます。 パブリックにアクセス可能な Web ロール仮想インスタンスの代わりに worker ロールが実行する操作の機密性と整合性を保護するため、バックエンド処理 worker ロールの仮想インスタンスには外部インターネット接続がありますが、それらのインスタンスに外部の Web ユーザーから直接アクセスすることはできません。
次のステップ
Microsoft が提供する Azure アーキテクチャの保護の詳細については、以下を参照してください。