Izolacja i Access Control platformy Microsoft 365 w Tożsamość Microsoft Entra

Tożsamość Microsoft Entra została zaprojektowana do hostowania wielu dzierżaw w wysoce bezpieczny sposób za pośrednictwem logicznej izolacji danych. Dostęp do Tożsamość Microsoft Entra jest objęty warstwą autoryzacji. Tożsamość Microsoft Entra izoluje klientów przy użyciu kontenerów dzierżawy jako granic zabezpieczeń w celu ochrony zawartości klienta, aby współdostępni współdostępni nie mogli uzyskać do niej dostępu ani nie naruszyć jej zabezpieczeń. Trzy testy są wykonywane przez warstwę autoryzacji Microsoft Entra:

• Czy jednostka jest włączona w celu uzyskania dostępu do dzierżawy Microsoft Entra?
• Czy podmiot zabezpieczeń jest włączony w celu uzyskania dostępu do danych w tej dzierżawie?
• Czy rola podmiotu zabezpieczeń w tej dzierżawie jest autoryzowana dla typu żądanego dostępu do danych?

Żadna aplikacja, użytkownik, serwer ani usługa nie mogą uzyskiwać dostępu do Tożsamość Microsoft Entra bez odpowiedniego uwierzytelniania, tokenu lub certyfikatu. Żądania są odrzucane, jeśli nie towarzyszą im odpowiednie poświadczenia.

Efektywnie Tożsamość Microsoft Entra hostuje każdą dzierżawę we własnym chronionym kontenerze z zasadami i uprawnieniami do i w ramach kontenera należącego wyłącznie do dzierżawy i zarządzanego przez dzierżawę.

Koncepcja kontenerów dzierżawy jest głęboko zakorzeniona w usłudze katalogowej we wszystkich warstwach, od portali aż po magazyn trwały. Nawet jeśli na tym samym dysku fizycznym jest przechowywanych wiele Microsoft Entra metadanych dzierżawy, nie ma relacji między kontenerami innymi niż zdefiniowane przez usługę katalogową, co z kolei jest podyktowane przez administratora dzierżawy. Nie można nawiązać bezpośrednich połączeń z magazynem Microsoft Entra z dowolnej żądanej aplikacji lub usługi bez uprzedniego przejścia przez warstwę autoryzacji.

W poniższym przykładzie zarówno firma Contoso, jak i firma Fabrikam mają oddzielne, dedykowane kontenery i mimo że te kontenery mogą współużytkować niektóre z tych samych podstawowych infrastruktur, takich jak serwery i magazyny, pozostają oddzielone i odizolowane od siebie i otoczone warstwami autoryzacji i kontroli dostępu.

Ponadto nie ma żadnych składników aplikacji, które mogą być wykonywane z poziomu Tożsamość Microsoft Entra i nie jest możliwe, aby jedna dzierżawa wymusiła naruszenie integralności innej dzierżawy, dostęp do kluczy szyfrowania innej dzierżawy lub odczytanie nieprzetworzonych danych z serwera.

Domyślnie Microsoft Entra nie zezwala na wszystkie operacje wystawiane przez tożsamości w innych dzierżawach. Każda dzierżawa jest logicznie izolowana w ramach Tożsamość Microsoft Entra za pośrednictwem kontroli dostępu opartej na oświadczeniach. Odczyty i zapisy danych katalogów są ograniczone do kontenerów dzierżawy i objęte wewnętrzną warstwą abstrakcji oraz warstwą kontroli dostępu opartą na rolach (RBAC), które razem wymuszają dzierżawę jako granicę zabezpieczeń. Każde żądanie dostępu do danych katalogu jest przetwarzane przez te warstwy, a każde żądanie dostępu w usłudze Microsoft 365 jest obsługiwane przez poprzednią logikę.

Tożsamość Microsoft Entra ma partycje Ameryka Północna, rząd USA, Unia Europejska, Niemcy i Świat. Dzierżawa istnieje w jednej partycji, a partycje mogą zawierać wiele dzierżaw. Informacje o partycjach są abstrakcyjne dla użytkowników. Dana partycja (w tym wszystkie dzierżawy w niej) jest replikowana do wielu centrów danych. Partycja dla dzierżawy jest wybierana na podstawie właściwości dzierżawy (na przykład kodu kraju). Wpisy tajne i inne informacje poufne w każdej partycji są szyfrowane za pomocą dedykowanego klucza. Klucze są generowane automatycznie po utworzeniu nowej partycji.

Microsoft Entra funkcje systemowe są unikatowym wystąpieniem dla każdej sesji użytkownika. Ponadto Tożsamość Microsoft Entra używa technologii szyfrowania w celu zapewnienia izolacji udostępnionych zasobów systemowych na poziomie sieci, aby zapobiec nieautoryzowanemu i niezamierzonemu transferowi informacji.