データの所在地
データ所在地とは、データが保存および処理される物理的な場所のことです。 データ所在地の要件は、公共部門の顧客にとって一般的な懸念事項であり、さまざまな種類のデータが保存および処理される場所を制限するよう Microsoft に要求することがよくあります。 Microsoft Cloud for Sovereignty では、顧客が ソブリン ランディング ゾーン (SLZ) を構成 して、エンド ユーザーが使用できるサービスとリージョンを制限し、顧客がデータ所在地のニーズを達成できるようにサービス構成を強制することができます。
Azure のデータ所在地
ほとんどの Azure サービスはリージョンごとに展開され、顧客データ の保存と処理の場所を指定することができます。 このようなリージョナル サービスの例には、VM、ストレージ、SQL データベースなどがあります。 リージョンは 地域 の一部であり、リージョナル サービスの場合、Microsoft は文書化された状況を除き、選択された地域の外に顧客データを保存することはありません。 詳細については、Azure のデータ所在地 とホワイトペーパー Microsoft Azure リージョンでデータ所在地とデータ保護を有効する を参照してください。
当社のサービス契約に定義されているように、顧客データ とは、オンライン サービスにより顧客または顧客に代わって Microsoft に提供された、すべてのテキスト、サウンド、ビデオ、または画像のファイル、およびソフトウェアを含む、あらゆるデータを指します。 顧客データにはプロフェッショナル サービスのデータは含まれません。 明確にするため、顧客データには、技術設定やリソース名など、オンライン サービスのリソースの構成に使用される情報は含まれません。
特定の Azure サービスでは、Microsoft Entra ID、Azure Monitor、Traffic Manager などのサービスが展開されるリージョンを指定できません。 これらのサービスは、顧客に重要な機能を提供するためにグローバルに運用されており、非リージョン サービスと呼ばれます。 特に指定がない限り、非リージョン サービスは、Azure パブリック リージョン内の Microsoft データ センターに顧客データを保存し、処理します。 詳細については、Azure のデータ所在地 を参照してください。
Azure リージョン間で転送されたデータは、Microsoft グローバル ネットワーク 上に残ります。 Azure ネットワーク セキュリティ グループ と Azure Firewall を使用して、企業ネットワークからのみアクセスできるように Azure で仮想ネットワークを構成できます。 さらに、Azure Web Application Firewall (WAF) Geomatch カスタム ルール や 条件付きアクセス - 場所によってアクセスをブロック などの機能を使用して、インターネットからのアクセスを特定の場所に制限できます。
Microsoft Cloud for Sovereignty のデータ所在地
Microsoft Cloud for Sovereignty のソブリン ベースライン ポリシーの取り組みでは、リソースを展開できる Azure リージョンを構成する必要があります。 リージョナル サービスの場合、構成されたリージョンは、顧客データ ストレージに対してサービスの地域と、有効なデータ所在地境界を決定します。
SLZ を構成して、特定のデータ所在地のニーズを満たさない非リージョン サービスなど、特定のサービスの使用を制限できます。
SLZ の基本構成には、どのネットワークからリソースにアクセスできるかを決定するネットワーク ルールが含まれています。
- Corp または Confidential Corp ランディング ゾーンのサブスクリプションに展開されたアプリケーションのデータは、Azure 内の組織ネットワークに制限され、Azure に接続されます。
- オンライン または 機密オンライン ランディング ゾーンのサブスクリプションに展開されたアプリケーションのデータは、データにアクセスするユーザーまたはシステムが適切な資格情報を持っており、アクセスをブロックするファイアウォールや条件付きアクセス ルールがない場合、どこからでもインターネット経由でアクセスできます。
詳細については、ソブリン ランディング ゾーンの概要 を参照してください。
データ所在地と回復性
Microsoft Cloud for Sovereignty の許可リージョンとして構成したリージョンは、展開するワークロードの回復性に影響を与える可能性があります。 通常、リージョン選択の制限が少ない程、より多くの、より離れたリージョンにアプリケーションを分散できるため、回復性が高くなります。 特に高可用性の要件があるアプリケーションの場合、リージョン制限に代わる制御手段として、暗号化 (保存時、転送中、および使用中) を検討できます。
ほとんどの Azure リージョンは、3 つ以上の 可用性ゾーン で構成されています。 複数の可用性ゾーンにまたがるストレージおよびコンピューティング サービスは、データ センター全体に影響を与える可能性のある地域災害に対する回復力を備えています。 リージョン全体に影響を与える可能性のある災害に対する回復力のために、多くの Azure リージョンには同じ地域内に リージョン ペア があり、サポートされているサービスについて、自動または顧客構成による クロス リージョン レプリケーション を可能にします。 特定のデータ所在地基準を達成するために、一部のリージョンにはリージョンナル ペアが存在せず、リージョン全体で万が一障害が発生した場合のデータ復元は顧客の責任となります。 詳細については、可用性ゾーンがあり、リージョン ペアがないリージョン を参照してください。