Udostępnij za pośrednictwem

Podejścia architektury do zapewniania ładu i zgodności w rozwiązaniach wielodostępnych

  • Artykuł

W miarę dojrzewania korzystania z platformy Azure ważne jest, aby wziąć pod uwagę nadzór nad zasobami w chmurze. Ład obejmuje sposób przechowywania i zarządzania danymi dzierżawców oraz sposobu organizowania zasobów platformy Azure. Może być również konieczne przestrzeganie norm prawnych, prawnych lub umownie upoważnionych. Ten artykuł zawiera informacje na temat sposobu rozważenia ładu i zgodności w rozwiązaniu wielodostępnym. Sugeruje również niektóre kluczowe funkcje platformy Azure, które obsługują te obawy.

Kluczowe zagadnienia i wymagania

Izolacja zasobów

Upewnij się, że zasoby platformy Azure są skonfigurowane tak, aby spełniały wymagania dotyczące izolacji dzierżaw. Zobacz Organizacja zasobów platformy Azure w rozwiązaniach wielodostępnych, aby uzyskać wskazówki dotyczące izolowania zasobów platformy Azure.

Zarządzanie danymi

W przypadku przechowywania danych w imieniu dzierżawy mogą istnieć wymagania lub zobowiązania, które należy spełnić. Z perspektywy dzierżawy często oczekują własności i kontroli nad danymi. Zastanów się, jak izolować, przechowywać, uzyskiwać dostęp i agregować dane dzierżaw. Odkrywanie oczekiwań i wymagań dzierżaw, które mogą mieć wpływ na sposób działania rozwiązania.

Izolacja

Zapoznaj się z podejściami architektury do magazynowania i danych w rozwiązaniach wielodostępnych, aby dowiedzieć się, jak odizolować dane dzierżaw. Zastanów się, czy dzierżawcy mają wymagania dotyczące używania własnych kluczy szyfrowania danych.

Niezależnie od wdrożeń metod izolacji należy przygotować dzierżawców do żądania inspekcji danych. Dobrym rozwiązaniem jest udokumentowanie wszystkich magazynów danych, w których mogą być przechowywane dane dzierżawy. Typowe źródła danych obejmują następujące elementy:

  • Bazy danych i konta magazynu wdrożone w ramach rozwiązania.
  • Systemy tożsamości, które są często współdzielone między dzierżawami.
  • Dzienniki.
  • Magazyny danych.

Niezależność

Dowiedz się, czy istnieją jakiekolwiek ograniczenia dotyczące lokalizacji fizycznej dla danych dzierżaw, które mają być przechowywane lub przetwarzane. Dzierżawy mogą wymagać przechowywania ich danych w określonych lokalizacjach geograficznych. Mogą również wymagać, aby nie przechowywać ich danych w określonych lokalizacjach. Chociaż te wymagania są często oparte na przepisach, mogą być również oparte na wartościach kulturowych i normach.

Aby uzyskać więcej informacji na temat rezydencji i niezależności danych, zobacz oficjalny dokument Dotyczący włączania rezydencji danych i ochrony danych w regionach platformy Microsoft Azure.

Dostęp dzierżaw do przechowywanych danych

Dzierżawcy czasami żądają bezpośredniego dostępu do danych przechowywanych w ich imieniu. Na przykład mogą chcieć pozyskać swoje dane do własnego magazynu data lake.

Zaplanuj sposób odpowiadania na te żądania. Zastanów się, czy dane dzierżawy są przechowywane w udostępnionych magazynach danych. Jeśli tak jest, zaplanuj, jak uniknąć dzierżawy uzyskiwania dostępu do danych innych dzierżaw.

Unikaj zapewniania bezpośredniego dostępu do baz danych lub kont magazynu, chyba że został zaprojektowany z myślą o tym wymaganiu , na przykład przy użyciu wzorca klucza valet. Rozważ utworzenie interfejsu API lub zautomatyzowanego procesu eksportowania danych na potrzeby integracji.

Aby uzyskać więcej informacji na temat integracji z systemami dzierżaw i systemami zewnętrznymi, zobacz Architektury dotyczące integracji dzierżawy i dostępu do danych.

Dostęp do danych dzierżaw

Zastanów się, czy wymagania dzierżawców ograniczają pracowników, którzy mogą pracować z ich danymi lub zasobami. Załóżmy na przykład, że tworzysz rozwiązanie SaaS, które jest używane przez wielu różnych klientów. Agencja rządowa może wymagać, aby tylko obywatele ich kraju/regionu mogli uzyskiwać dostęp do infrastruktury i danych dla swojego rozwiązania. To wymaganie może być spełnione przy użyciu oddzielnych grup zasobów platformy Azure, subskrypcji lub grup zarządzania dla wrażliwych obciążeń klientów. Do pracy z tymi zasobami można zastosować ściśle ograniczone przypisania ról kontroli dostępu na podstawie ról (RBAC, role-based access control) platformy Azure dla określonych grup użytkowników.

Agregacja danych z wielu dzierżaw

Zastanów się, czy musisz łączyć lub agregować dane z wielu dzierżaw. Czy na przykład analizujesz zagregowane dane lub trenujesz modele uczenia maszynowego, które mogą być stosowane do innych dzierżaw? Upewnij się, że dzierżawcy rozumieją sposoby używania ich danych. Uwzględnij dowolne użycie zagregowanych lub anonimowych danych.

Wymagania dotyczące zgodności

Ważne jest, aby zrozumieć, czy musisz spełnić jakiekolwiek standardy zgodności. Wymagania dotyczące zgodności mogą zostać wprowadzone w kilku sytuacjach, w tym:

  • Ty lub dowolna twoja dzierżawa pracujesz w niektórych branżach. Jeśli na przykład którakolwiek z dzierżaw pracować w branży opieki zdrowotnej, może być konieczne przestrzeganie standardu HIPAA.
  • Użytkownik lub dowolny z Twoich dzierżaw znajdują się w regionach geograficznych lub geopolitycznych, które wymagają zgodności z przepisami lokalnymi. Jeśli na przykład którakolwiek z Twoich dzierżaw znajduje się w Europie, może być konieczne przestrzeganie ogólnego rozporządzenia o ochronie danych (RODO).
  • Kupujesz zasady cyberakursji, aby ograniczyć ryzyko naruszeń. Dostawcy cyberakursji mogą wymagać przestrzegania ich standardów i zastosowania określonych mechanizmów kontroli, aby zasady mogły być prawidłowe.

Ważne

Zgodność to wspólna odpowiedzialność między firmą Microsoft, Tobą i Dzierżawami.

Firma Microsoft zapewnia, że nasze usługi spełniają określony zestaw standardów zgodności i udostępniają narzędzia takie jak Microsoft Defender dla Chmury, które pomagają zweryfikować, czy zasoby są skonfigurowane zgodnie z tymi standardami.

Ostatecznie jednak twoim zadaniem jest pełne zrozumienie wymagań dotyczących zgodności, które mają zastosowanie do rozwiązania oraz sposób konfigurowania zasobów platformy Azure zgodnie z tymi standardami. Aby uzyskać więcej informacji, zobacz Oferty zgodności platformy Azure.

Ten artykuł nie zawiera konkretnych wskazówek dotyczących zgodności z żadnymi określonymi standardami. Zamiast tego zawiera on pewne ogólne wskazówki dotyczące sposobu rozważenia zgodności i ładu w rozwiązaniu wielodostępnym.

Jeśli różne dzierżawy muszą przestrzegać różnych standardów zgodności, zaplanuj zgodność z najbardziej rygorystycznymi standardami w całym środowisku. Łatwiej jest przestrzegać jednego ścisłego standardu spójnie niż przestrzegać różnych standardów dla różnych dzierżaw.

Podejścia i wzorce do rozważenia

Tagi zasobów

Użyj tagów zasobów, aby śledzić identyfikator dzierżawy dla zasobów specyficznych dla dzierżawy lub identyfikator sygnatury podczas skalowania przy użyciu wzorca sygnatur wdrażania. Za pomocą tagów zasobów można szybko identyfikować zasoby skojarzone z określonymi dzierżawami lub sygnaturami.

Kontrola dostępu

Użyj kontroli dostępu opartej na rolach platformy Azure, aby ograniczyć dostęp do zasobów platformy Azure, które stanowią rozwiązanie wielodostępne. Postępuj zgodnie z najlepszymi rozwiązaniami dotyczącymi kontroli dostępu opartej na rolach, takimi jak stosowanie przypisań ról do grup zamiast użytkowników. Określ zakres przypisań ról, aby zapewnić minimalne uprawnienia niezbędne. Unikaj długotrwałego dostępu do zasobów przy użyciu dostępu just in time i funkcji, takich jak Microsoft Entra ID Privileged Access Management.

Azure Resource Graph

Usługa Azure Resource Graph umożliwia pracę z metadanymi zasobów platformy Azure. Za pomocą usługi Resource Graph można wykonywać zapytania dotyczące dużej liczby zasobów platformy Azure, nawet jeśli są one rozłożone na wiele subskrypcji. Usługa Resource Graph może wykonywać zapytania dotyczące zasobów określonego typu lub identyfikować zasoby, które zostały skonfigurowane w określony sposób. Może również służyć do śledzenia historii konfiguracji zasobu.

Usługa Resource Graph może być przydatna do zarządzania dużymi zasobami platformy Azure. Załóżmy na przykład, że wdrażasz zasoby platformy Azure specyficzne dla dzierżawy w wielu subskrypcjach platformy Azure. Stosując tagi do zasobów, możesz użyć interfejsu API usługi Resource Graph, aby znaleźć zasoby, które są używane przez określone dzierżawy lub sygnatury wdrożenia.

Microsoft Purview

Rozważ użycie usługi Microsoft Purview do śledzenia i klasyfikowania przechowywanych danych. Gdy dzierżawcy żądają dostępu do swoich danych, można łatwo określić źródła danych, które należy uwzględnić.

Weryfikowanie zgodności ze standardami

Użyj narzędzi takich jak Usługa Azure Policy, portal zgodności z przepisami Microsoft Defender dla Chmury i usługa Azure Advisor. Te narzędzia ułatwiają skonfigurowanie zasobów platformy Azure w celu spełnienia wymagań dotyczących zgodności i przestrzegania zalecanych najlepszych rozwiązań.

Generowanie dokumentacji zgodności

Dzierżawy mogą wymagać wykazania zgodności z określonymi standardami. Użyj portalu zaufania usług, aby wygenerować dokumentację zgodności, którą można udostępnić dzierżawcom lub audytorom innych firm.

Niektóre rozwiązania wielodostępne obejmują platformę Microsoft 365 i korzystają z usług, takich jak Microsoft OneDrive, Microsoft SharePoint i Microsoft Exchange Online. Portal zgodności Microsoft Purview pomaga zrozumieć, w jaki sposób te usługi są zgodne ze standardami prawnymi.

Wzorzec sygnatur wdrażania

Rozważ zastosowanie wzorca sygnatur wdrożenia, jeśli musisz spełnić wymagania specyficzne dla dzierżawy.

Możesz na przykład wdrożyć sygnatury rozwiązania w wielu regionach świadczenia usługi Azure. Następnie można przypisać nowe dzierżawy do sygnatur na podstawie regionów, w których muszą znajdować się dane.

Podobnie nowa dzierżawa może wprowadzać ścisłe wymagania dotyczące zgodności, których nie można spełnić w istniejących składnikach rozwiązania. Możesz rozważyć wdrożenie dedykowanej sygnatury dla tej dzierżawy, a następnie skonfigurować ją zgodnie z ich wymaganiami.

Antywzorzecy, aby uniknąć

  • Nie rozumiesz wymagań dotyczących zgodności dzierżaw. Ważne jest, aby nie zakładać wymagań dotyczących zgodności, które mogą nakładać dzierżawcy. Jeśli planujesz rozwijać swoje rozwiązanie na nowych rynkach, należy pamiętać o środowisku regulacyjnym, w którym mogą działać twoi dzierżawcy.
  • Ignorowanie dobrych praktyk. Jeśli nie masz natychmiastowej potrzeby przestrzegania standardów zgodności, podczas wdrażania zasobów platformy Azure nadal należy postępować zgodnie z dobrymi rozwiązaniami. Na przykład wyizoluj zasoby, zastosuj zasady w celu zweryfikowania konfiguracji zasobów i zastosuj przypisania ról do grup zamiast użytkowników. Postępując zgodnie z dobrymi rozwiązaniami, łatwiej jest przestrzegać standardów zgodności, gdy w końcu trzeba to zrobić.
  • Zakładając, że nie ma wymagań dotyczących zgodności. Po pierwszym uruchomieniu rozwiązania wielodostępnego możesz nie pamiętać o wymaganiach dotyczących zgodności lub nie trzeba ich przestrzegać. W miarę rozwoju prawdopodobnie trzeba będzie podać dowody zgodności z różnymi standardami. Użyj Microsoft Defender dla Chmury, aby monitorować stan zgodności względem ogólnego punktu odniesienia, takiego jak ciS Microsoft Foundations Benchmark, nawet przed wyraźnym wymaganiem, aby to zrobić.
  • Nie planujesz zarządzania. Podczas wdrażania zasobów platformy Azure należy wziąć pod uwagę sposób ich zarządzania. Jeśli musisz wprowadzić zbiorcze aktualizacje zasobów, upewnij się, że znasz narzędzia automatyzacji, takie jak interfejs wiersza polecenia platformy Azure, program Azure PowerShell, usługa Azure Resource Graph i interfejsy API usługi Azure Resource Manager.
  • Nieużywaj grup zarządzania. Zaplanuj hierarchię subskrypcji i grup zarządzania, w tym kontrolę dostępu i zasoby usługi Azure Policy w każdym zakresie. Wprowadzenie lub zmiana tych elementów w środowisku produkcyjnym może być trudna i destrukcyjna.
  • Nie można zaplanować strategii kontroli dostępu. Kontrola dostępu oparta na rolach platformy Azure zapewnia wysoki stopień kontroli i elastyczności w zarządzaniu dostępem do zasobów. Upewnij się, że używasz grup firmy Microsoft Entra, aby uniknąć przypisywania uprawnień do poszczególnych użytkowników. Przypisz role w zakresach, które zapewniają odpowiednią równowagę między zabezpieczeniami i elastycznością. Używaj wbudowanych definicji ról wszędzie tam, gdzie to możliwe, i przypisz role, które zapewniają wymagane minimalne uprawnienia.
  • Nie korzystasz z usługi Azure Policy. Ważne jest, aby zarządzać środowiskiem platformy Azure za pomocą usługi Azure Policy. Po zaplanowaniu i wdrożeniu zasad należy monitorować zgodność zasad i uważnie przeglądać wszelkie naruszenia lub wyjątki.

Współautorzy

Ten artykuł jest obsługiwany przez firmę Microsoft. Pierwotnie został napisany przez następujących współautorów.

Główny autor:

Inni współautorzy:

Aby wyświetlić niepubalne profile serwisu LinkedIn, zaloguj się do serwisu LinkedIn.

Następne kroki

Przejrzyj podejścia do zarządzania kosztami i alokacji.