Integralność infrastruktury platformy Azure

Instalacja oprogramowania

Microsoft dostosowuje wszystkie komponenty w stosie oprogramowania zainstalowanym w środowisku Azure, stosując proces Microsoft Security Development Lifecycle (SDL). Microsoft wdraża wszystkie komponenty oprogramowania, w tym obrazy systemów operacyjnych (OS) oraz bazę danych SQL, jako część procesu zarządzania zmianami i wydań. System operacyjny działający na wszystkich węzłach jest dostosowaną wersją. Kontroler tkaniny (FC) wybiera dokładną wersję w zależności od roli, jaką ma pełnić system operacyjny. Ponadto system gospodarza nie pozwala na instalację żadnych nieautoryzowanych komponentów oprogramowania.

Azure wdraża niektóre komponenty Azure jako obciążenia dla klienta na maszynie wirtualnej gościa działającej na systemie gościnnym.

Skanowanie antywirusowe w buildach

Kompilacje komponentów Azure, w tym systemy operacyjne, muszą przejść skanowanie wirusów z wykorzystaniem narzędzia antywirusowego Endpoint Protection. Każde skanowanie antywirusowe tworzy log w powiązanym katalogu buildów, opisujący to, co zostało zeskanowane i jakie są wyniki skanowania. Skanowanie wirusów jest częścią kodu źródłowego budowy każdego komponentu w Azure. Azure nie przenosi kodu do produkcji produkcyjnej bez czystego i skutecznego skanowania antywirusowego. Jeśli skany wykryją problemy, Azure zamraża kompilację. Build trafia do zespołów bezpieczeństwa w rozwiązania zabezpieczające firmy Microsoft, aby zidentyfikować, gdzie nieautoryzowany kod wszedł do builda.

Zamknięte i zamknięte środowisko

Domyślnie Azure nie tworzy kont użytkowników na węzłach infrastruktury Azure i na maszynach wirtualnych gościnnych. Dodatkowo domyślne konta administratora Windows również są wyłączone. Administratorzy z wsparcia Azure Live, przy odpowiednim uwierzytelnieniu, mogą zalogować się do tych maszyn i zarządzać siecią produkcyjną Azure w razie awaryjnych napraw.

Uwierzytelnianie usługi Azure SQL Database

Jak w każdej implementacji SQL Server, ściśle kontroluj zarządzanie kontami użytkowników. Azure SQL Database obsługuje uwierzytelnianie SQL oraz uwierzytelnianie Microsoft Entra. Aby wspierać model bezpieczeństwa danych klienta, używaj kont użytkowników z silnymi hasłami i określonymi prawami.

ACL i zapory sieciowe między siecią korporacyjną Microsoft a klastrem Azure

Listy kontroli dostępu (ACL) oraz zapory sieciowe pomiędzy platformą usługową a siecią korporacyjną Microsoft chronią instancje bazy SQL przed nieautoryzowanym dostępem ze strony insiderów. Ponadto tylko użytkownicy z zakresów adresów IP należących do sieci korporacyjnej firmy Microsoft mogą uzyskać dostęp do punktu końcowego zarządzania platformą Windows Fabric.

ACL i zapory sieciowe między węzłami w klastrze baz danych SQL

W ramach strategii obrony w głębi, Microsoft implementuje ACL oraz zaporę sieciową między węzłami w klastrze baz danych SQL. Cała komunikacja wewnątrz klastra platformy Windows Fabric oraz cały uruchomiony kod są zaufane.

Specjalni agenci monitorujący

SQL Database wykorzystuje niestandardowych agentów monitorujących (MA), zwanych również watchdogami, do monitorowania kondycji klastra baz danych SQL.

Protokoły sieciowe

Monitorowanie wystąpień ról i ponowne uruchamianie

Azure zapewnia, że wszystkie wdrożone i uruchomione role (role internetowe dostępne z Internetu lub role robocze przetwarzania zaplecza) są poddawane ciągłemu monitorowaniu kondycji. Monitorowanie zdrowia zapewnia, że skutecznie i efektywnie świadczą usługi, do których są zobowiązani. Jeśli rola przestanie działać prawidłowo z powodu krytycznego błędu w hostowanej aplikacji lub problemu z konfiguracją leżącego po stronie samej instancji roli, FC wykrywa problem w instancji roli i inicjuje stan naprawczy.

Łączność obliczeniowa

Azure zapewnia, że wdrożona aplikacja lub usługa jest dostępna za pomocą standardowych protokołów internetowych. Wirtualne instancje ról internetowych dostępnych z Internetu mają zewnętrzną łączność internetową i są bezpośrednio dostępne dla użytkowników internetu. Aby chronić wrażliwość i integralność operacji wykonywanych przez role pracowników w imieniu publicznie dostępnych wirtualnych instancji roli webowych, wirtualne instancje zadań pracowników przetwarzania zaplecza mają zewnętrzną łączność internetową, ale użytkownicy zewnętrzni nie mają do nich bezpośredniego dostępu.

Następne kroki

Aby dowiedzieć się więcej o tym, co Microsoft robi w zabezpieczaniu infrastruktury Azure, zobacz:

  • Last updated on