Isolering og Access Control for Microsoft 365 i Azure Active Directory

Azure Active Directory (Azure AD) ble utformet for å være vert for flere leiere på en svært sikker måte gjennom logisk isolering av data. Tilgang til Azure AD er inngjerdet av et godkjenningslag. Azure AD isolerer kunder som bruker leierbeholdere som sikkerhetsgrenser for å beskytte kundens innhold, slik at innholdet ikke kan åpnes eller kompromitteres av medleieren. Tre kontroller utføres av godkjenningslaget til Azure AD:

• Er hovedstolen aktivert for tilgang til Azure AD tenant?
• Er hovedstolen aktivert for tilgang til data i denne leieren?
• Er hovedstolens rolle i denne leieren autorisert for typen datatilgang som er forespurt?

Ingen programmer, brukere, servere eller tjenester har tilgang til Azure AD uten riktig godkjenning og token eller sertifikat. Forespørsler avvises hvis de ikke følges av riktig legitimasjon.

Effektivt er Azure AD vert for hver leier i sin egen beskyttede beholder, med policyer og tillatelser til og i beholderen utelukkende eid og administrert av leieren.

Konseptet med leierbeholdere er dypt inngrodd i katalogtjenesten på alle lag, fra portaler helt til fast lagring. Selv når flere Azure AD leiermetadata lagres på samme fysiske disk, er det ingen relasjon mellom andre beholdere enn det som er definert av katalogtjenesten, som igjen dikteres av leieradministratoren. Det kan ikke være noen direkte tilkoblinger til Azure AD lagringsplass fra et program eller tjeneste som ber om det, uten først å gå gjennom godkjenningslaget.

I eksemplet nedenfor har Contoso og Fabrikam begge separate, dedikerte beholdere, og selv om disse beholderne kan dele noe av den samme underliggende infrastrukturen, for eksempel servere og lagring, forblir de atskilt og isolert fra hverandre, og inngjerdet etter lag med autorisasjon og tilgangskontroll.

I tillegg finnes det ingen programkomponenter som kan utføres innenfra Azure AD, og det er ikke mulig for én leier å tvinge frem brudd på integriteten til en annen leier, få tilgang til krypteringsnøkler for en annen leier eller lese rådata fra serveren.

Som standard Azure AD ikke tillate alle operasjoner utstedt av identiteter i andre leiere. Hver leier er logisk isolert i Azure AD gjennom kravbaserte tilgangskontroller. Leser og skriver av katalogdata er begrenset til leierbeholdere, og inngjerdet av et internt abstraksjonslag og et rollebasert tilgangskontrolllag (RBAC), som sammen håndhever leieren som sikkerhetsgrense. Hver forespørsel om tilgang til katalogdata behandles av disse lagene, og alle tilgangsforespørsler i Microsoft 365 blir politisert av logikken ovenfor.

Azure AD har Nord-Amerika, amerikanske myndigheter, EU, Tyskland og verdensomspennende partisjoner. Det finnes en leier i én enkelt partisjon, og partisjoner kan inneholde flere leiere. Partisjonsinformasjon abstraherer bort fra brukere. En gitt partisjon (inkludert alle leierne i den) replikeres til flere datasentre. Partisjonen for en leier velges basert på egenskapene til leieren (for eksempel landskoden). Hemmeligheter og annen sensitiv informasjon i hver partisjon krypteres med en dedikert nøkkel. Nøklene genereres automatisk når en ny partisjon opprettes.

Azure AD systemfunksjonaliteter er en unik forekomst for hver brukerøkt. I tillegg bruker Azure AD krypteringsteknologier til å gi isolering av delte systemressurser på nettverksnivå for å forhindre uautorisert og utilsiktet overføring av informasjon.