Onderdelen en grenzen van het Azure-informatiesysteem

Dit artikel bevat een algemene beschrijving van de Azure-architectuur en het beheer. De Azure-systeemomgeving bestaat uit de volgende netwerken:

  • Microsoft Azure-productienetwerk (Azure-netwerk)
  • Microsoft-bedrijfsnetwerk (corpnet)

Aparte IT-teams beheren en onderhouden deze netwerken.

Azure-architectuur

Azure is een platform en infrastructuur voor cloudcomputing voor het bouwen, implementeren en beheren van toepassingen en services via een netwerk van datacenters. Microsoft beheert deze datacenters. Op basis van het aantal resources dat je specificeert, maakt Azure virtuele machines (VM's) op basis van resourcebehoeften. Deze VM's draaien op een Azure-hypervisor die Microsoft ontwerpt voor gebruik in de cloud en niet toegankelijk maakt voor het publiek.

Op elk fysiek Azure-serverknooppunt is er een hypervisor die rechtstreeks via de hardware wordt uitgevoerd. De hypervisor verdeelt een knooppunt in een variabel aantal gast-VM's. Elk knooppunt heeft ook één hoofd-VM, waarop het hostbesturingssysteem wordt uitgevoerd. Azure maakt Windows Firewall op elke VM mogelijk. U definieert welke poorten adresseerbaar zijn door het servicedefinitiebestand te configureren. Deze poorten zijn de enige poorten die intern of extern kunnen worden geopend en adresseerbaar. De hypervisor en het rootbesturingssysteem bemiddelen al het verkeer en de toegang tot de schijf en het netwerk.

Op de hostlaag voeren Azure-VM's een aangepaste en beperkte versie van de nieuwste Windows Server uit. Azure maakt gebruik van een versie van Windows Server die alleen die onderdelen bevat die nodig zijn voor het hosten van VM's. Deze configuratie verbetert de prestaties en verkleint het aanvalsoppervlak. De hypervisor handhaaft machinegrenzen en is niet afhankelijk van de beveiliging van het besturingssysteem.

Azure-beheer door infrastructuurcontrollers

Azure groepeert VM's die draaien op fysieke servers (blades/nodes) in clusters van ongeveer 1.000. Een opgeschaalde en redundante platformsoftwarecomponent, de fabric controller (FC), beheert de VM's onafhankelijk.

Elke FC beheert de levenscyclus van toepassingen die in zijn cluster draaien en voorziet in de hardware onder zijn beheer en bewaakt de gezondheid ervan. Het voert autonome operaties uit, zoals het reïncarneren van VM-instanties op gezonde servers wanneer het vaststelt dat een server faalt. De FC voert ook toepassingsbeheerbewerkingen uit, zoals het implementeren, bijwerken en uitschalen van toepassingen.

Azure verdeelt het datacenter in clusters. Clusters isoleren fouten op FC-niveau en voorkomen dat bepaalde klassen fouten van invloed zijn op servers buiten het cluster waarin ze optreden. Azure groepeert FC's die een bepaald Azure-cluster bedienen in een FC-cluster.

Hardware-inventaris

De FC bereidt een inventarisatie van Azure-hardware- en netwerkapparaten voor tijdens het bootstrap-configuratieproces. Nieuwe hardware- en netwerkonderdelen die de Azure-productieomgeving binnenkomen, moeten het bootstrap-configuratieproces volgen. De FC beheert de volledige inventaris die in het datacenter.xml configuratiebestand is vermeld.

Afbeeldingen van door FC beheerde besturingssystemen

Het besturingssysteemteam levert virtuele harde schijfimages voor alle host- en gast-VM's in de Azure productieomgeving. Het team maakt deze basisafbeeldingen met behulp van een geautomatiseerd offline bouwproces. De basisimage is een versie van het besturingssysteem waarin Microsoft de kernel en andere kerncomponenten aanpast en optimaliseert om de Azure-omgeving te ondersteunen.

Er bestaan drie soorten door de fabric beheerde besturingssysteemimages:

  • Host: Een aangepast besturingssysteem dat wordt uitgevoerd op host-VM's.
  • Systeemeigen: Een systeemeigen besturingssysteem dat wordt uitgevoerd op tenants (bijvoorbeeld Azure Storage). Dit besturingssysteem heeft geen hypervisor.
  • Gast: een gastbesturingssysteem dat wordt uitgevoerd op gast-VM's.

Microsoft ontwerpt de host- en native FC-beheerde besturingssystemen voor gebruik in de cloud en maakt ze niet openbaar toegankelijk.

Host- en systeemeigen besturingssystemen

De host- en native besturingssystemen zijn geharde besturingssysteemimages die de fabric-agents hosten en draaien op reken- en opslagknooppunten. Geoptimaliseerde basisimages van host- en native besturingssystemen verminderen het oppervlak dat door API's of ongebruikte componenten wordt blootgesteld. Deze API's en componenten kunnen hoge beveiligingsrisico's vormen en de aanwezigheid van het besturingssysteem vergroten. Besturingssystemen met een beperkte voetafdruk bevatten alleen de componenten die nodig zijn voor Azure.

Gastbesturingssysteem

Azure interne componenten die op gastbesturingssysteem-VM's draaien, kunnen geen Extern bureaublad Protocol gebruiken. Wijzigingen in de basislijnconfiguratie-instellingen moeten het wijzigings- en releasebeheerproces doorlopen.

Azure-datacentrums

Het MCIO-team (Microsoft Cloud Infrastructure and Operations) beheert de fysieke infrastructuur en datacenterfaciliteiten voor alle onlineservices van Microsoft. MCIO is voornamelijk verantwoordelijk voor het beheren van de fysieke en omgevingscontroles binnen de datacenters, evenals het beheren en ondersteunen van buitenste perimeternetwerkapparaten (zoals randrouters en datacenterrouters). MCIO is ook verantwoordelijk voor het instellen van de minimale serverhardware op racks in het datacenter. Azure-klanten hebben geen directe interactie met Azure-infrastructuur.

Servicebeheer en serviceteams

Verschillende technische groepen, ook wel serviceteams genoemd, beheren de ondersteuning van de Azure-service. Elk serviceteam is verantwoordelijk voor een ondersteuningsgebied voor Azure. Elk serviceteam moet 24/7 een technicus beschikbaar stellen om storingen in de dienst te onderzoeken en op te lossen. Serviceteams hebben standaard geen fysieke toegang tot de hardware die in Azure werkt.

De serviceteams zijn:

  • Toepassingsplatform
  • Microsoft Entra ID
  • Azure Compute
  • Azure Net
  • Cloud Engineeringdiensten
  • ISSD: Beveiliging
  • Meervoudige verificatie
  • SQL Databank
  • Opslag

Typen gebruikers

Microsoft-medewerkers en -aannemers zijn interne gebruikers. Alle andere gebruikers zijn externe gebruikers. Alle interne Azure-gebruikers hebben hun werknemersstatus gecategoriseerd met een vertrouwelijkheidsniveau dat de toegang tot klantgegevens definieert (toegang of geen toegang). Gebruikersbevoegdheden voor Azure (autorisatiemachtiging na verificatie) worden beschreven in de volgende tabel:

Rol Intern of extern Gevoeligheidsniveau Geautoriseerde bevoegdheden en functies uitgevoerd Toegangstype
Ingenieur van het Azure-datacenter Intern Geen toegang tot klantgegevens De fysieke beveiliging van de locatie beheren. Voer patrouilles uit in en uit het datacenter en bewaak alle toegangspunten. Begeleid bepaald niet-gemachtigd personeel dat algemene diensten levert (zoals dineren of schoonmaken) of IT-werk in en uit het datacenter. Routinebewaking en onderhoud van netwerkhardware uitvoeren. Voer incidentbeheer en break-fix-werk uit met behulp van verschillende hulpprogramma's. Voer routinebewaking en onderhoud van de fysieke hardware in de datacenters uit. Toegang tot het milieu op verzoek van eigenaren van onroerend goed. Forensisch onderzoek uitvoeren, incidentrapporten registreren en verplichte beveiligingstrainingen en beleidsvereisten voltooien. Bezit en onderhoud kritieke beveiligingstools, zoals scanners en logboekverzameling. Permanente toegang tot de omgeving.
Azure incidenttriage (engineers voor snelle respons) Intern Toegang tot klantgegevens Beheer de communicatie tussen MCIO-, ondersteunings- en engineeringteams. Beoordeel en prioriteer platformincidenten, uitrolproblemen en serviceverzoeken. Just-In-Time-toegang tot de omgeving, met beperkte permanente toegang tot niet-klantsystemen.
Azure-implementatietechnici Intern Toegang tot klantgegevens Platformonderdelen, software en geplande configuratiewijzigingen implementeren en upgraden ter ondersteuning van Azure. Just-In-Time-toegang tot de omgeving, met beperkte permanente toegang tot niet-klantsystemen.
Ondersteuning voor Azure-klantenstoring (tenant) Intern Toegang tot klantgegevens Problemen oplossen en diagnosticeren van platformstoringen en -fouten voor afzonderlijke computereenheden en Azure-accounts. Analyseer fouten. Essentiële oplossingen voor het platform of de klant stimuleren en technische verbeteringen aanbrengen in de ondersteuning. Just-In-Time-toegang tot de omgeving, met beperkte permanente toegang tot niet-klantsystemen.
Azure live site engineers (monitoring-ingenieurs) en incidentbeheer. Intern Toegang tot klantgegevens Stel de platformstatus vast en beperk deze met behulp van diagnostische hulpprogramma's. Rijd reparaties aan voor volumedrivers, reparaties door storingen en hulp bij het herstellen van storingen. Just-In-Time-toegang tot de omgeving, met beperkte permanente toegang tot niet-klantsystemen.
Azure-klanten Extern Niet van toepassing. Niet van toepassing. Niet van toepassing.

Azure gebruikt unieke id's voor het verifiëren van organisatiegebruikers en klanten (of processen die handelen namens organisatiegebruikers). Deze aanpak geldt voor alle assets en apparaten die deel uitmaken van de Azure-omgeving.

Interne Azure-verificatie

TLS-encryptie beschermt communicatie tussen interne componenten van Azure. In de meeste gevallen zijn de X.509-certificaten zelfondertekend. Certificaten met verbindingen die toegankelijk zijn van buiten het Azure-netwerk zijn een uitzondering, evenals certificaten voor de FC's. Een Microsoft certificaatautoriteit (CA) die wordt ondersteund door een vertrouwde root-CA geeft certificaten uit voor FC's. Deze configuratie maakt het mogelijk om FC publieke sleutels over te rollen. Microsoft-ontwikkeltools gebruiken ook FC publieke sleutels. Wanneer ontwikkelaars nieuwe applicatieafbeeldingen indienen, versleutelt Microsoft de afbeeldingen met een FC publieke sleutel om ingebedde geheimen te beschermen.

Verificatie van Azure-hardwareapparaten

De FC onderhoudt een set inloggegevens (sleutels of wachtwoorden) die worden gebruikt om zichzelf te authenticeren bij verschillende hardwareapparaten onder zijn controle. Microsoft gebruikt een systeem om toegang tot deze referenties te voorkomen. Specifiek ontwerpt Microsoft het transport, de persistentie en het gebruik van deze inloggegevens om te voorkomen dat Azure-ontwikkelaars, beheerders, back-updiensten en personeel toegang krijgen tot gevoelige, vertrouwelijke of privégegevens.

Microsoft gebruikt versleuteling op basis van de openbare sleutel van de hoofdidentiteit van de FC. Deze versleuteling vindt plaats bij FC-opstelling en FC-herconfiguratietijden om de inloggegevens over te dragen die worden gebruikt om toegang te krijgen tot netwerkhardwareapparaten. Wanneer de FC de referenties nodig heeft, haalt de FC deze op en ontsleutelt deze.

Netwerkapparaten

Het Azure-netwerkteam configureert netwerkserviceaccounts zodat een Azure-client kan authenticeren bij netwerkapparaten (routers, switches en load balancers).

Beveiligd servicebeheer

Azure operations medewerkers moeten gebruik maken van secure admin workstations (SAWs). Gebruik workstations met privileged access om vergelijkbare controles te implementeren. Door gebruik te maken van SAWs gebruiken administratief personeel een individueel toegewezen administratief account, los van het standaardaccount van de gebruiker. De SAW bouwt voort op die scheidingspraktijk voor accounts door een betrouwbaar werkstation te bieden voor deze gevoelige accounts.

Volgende stappen

Zie voor meer informatie over wat Microsoft doet om de Azure-infrastructuur te beveiligen:

  • Last updated on