Microsoft 365-isolatie en Access Control in Azure Active Directory

Azure Active Directory (Azure AD) is ontworpen om meerdere tenants op een zeer veilige manier te hosten via logische gegevensisolatie. Toegang tot Azure AD wordt afgesloten door een autorisatielaag. Azure AD isoleert klanten die tenantcontainers gebruiken als beveiligingsgrenzen om de inhoud van een klant te beschermen, zodat de inhoud niet kan worden geopend of aangetast door co-tenants. Er worden drie controles uitgevoerd door de autorisatielaag van Azure AD:

  • Is de principal ingeschakeld voor toegang tot Azure AD tenant?
  • Is de principal ingeschakeld voor toegang tot gegevens in deze tenant?
  • Is de rol van de principal in deze tenant geautoriseerd voor het type aangevraagde gegevenstoegang?

Geen enkele toepassing, gebruiker, server of service heeft toegang tot Azure AD zonder de juiste verificatie en token of certificaat. Aanvragen worden geweigerd als ze niet vergezeld gaan van de juiste referenties.

In feite host Azure AD elke tenant in een eigen beveiligde container, met beleidsregels en machtigingen voor en binnen de container die uitsluitend eigendom is van en wordt beheerd door de tenant.

Azure-container.

Het concept van tenantcontainers is in alle lagen diep geïntegreerd in de adreslijstservice, van portals tot permanente opslag. Zelfs wanneer meerdere Azure AD tenantmetagegevens worden opgeslagen op dezelfde fysieke schijf, is er geen andere relatie tussen de containers dan wat is gedefinieerd door de adreslijstservice, die op zijn beurt wordt bepaald door de tenantbeheerder. Er kunnen geen directe verbindingen zijn met Azure AD opslag vanuit een aanvragende toepassing of service zonder eerst de autorisatielaag te doorlopen.

In het onderstaande voorbeeld hebben Contoso en Fabrikam beide afzonderlijke, toegewezen containers. Hoewel deze containers mogelijk een deel van dezelfde onderliggende infrastructuur delen, zoals servers en opslag, blijven ze gescheiden en van elkaar geïsoleerd en worden ze afgesloten door lagen van autorisatie en toegangsbeheer.

Toegewezen Azure-containers.

Bovendien zijn er geen toepassingsonderdelen die kunnen worden uitgevoerd vanuit Azure AD en is het niet mogelijk voor één tenant om de integriteit van een andere tenant te schenden, versleutelingssleutels van een andere tenant te openen of onbewerkte gegevens van de server te lezen.

Standaard worden Azure AD alle bewerkingen die zijn uitgegeven door identiteiten in andere tenants, niet toegewezen. Elke tenant is logisch geïsoleerd binnen Azure AD via op claims gebaseerde toegangsbeheer. Lees- en schrijfbewerkingen van adreslijstgegevens zijn beperkt tot tenantcontainers en worden afgesloten door een interne abstractielaag en een op rollen gebaseerde toegangsbeheerlaag (RBAC), die samen de tenant afdwingen als de beveiligingsgrens. Elke aanvraag voor toegang tot adreslijstgegevens wordt verwerkt door deze lagen en elke toegangsaanvraag in Microsoft 365 wordt beheerd door de bovenstaande logica.

Azure AD heeft Noord-Amerika, Amerikaanse overheid, Europese Unie, Duitsland en World Wide-partities. Een tenant bestaat in één partitie en partities kunnen meerdere tenants bevatten. Partitiegegevens worden verwijderd van gebruikers. Een bepaalde partitie (inclusief alle tenants daarin) wordt gerepliceerd naar meerdere datacenters. De partitie voor een tenant wordt gekozen op basis van eigenschappen van de tenant (bijvoorbeeld de landcode). Geheimen en andere gevoelige informatie in elke partitie worden versleuteld met een toegewezen sleutel. De sleutels worden automatisch gegenereerd wanneer er een nieuwe partitie wordt gemaakt.

Azure AD systeemfunctionaliteiten zijn een uniek exemplaar voor elke gebruikerssessie. Bovendien maakt Azure AD gebruik van versleutelingstechnologieën om isolatie van gedeelde systeemresources op netwerkniveau te bieden om onbevoegde en onbedoelde overdracht van informatie te voorkomen.