Compartilhar via

Abordagens de arquitetura para governança e conformidade em soluções de multilocatários

  • Artigo

Conforme o uso do Azure amadurece, é importante considerar a governança de seus recursos de nuvem. A governança inclui como os dados dos locatários são armazenados e gerenciados e como você organiza seus recursos do Azure. Talvez você também precise seguir padrões regulatórios, legais ou contratuais. Este artigo fornece informações sobre como considerar a governança e a conformidade em uma solução multilocatário. Ele também sugere alguns dos principais recursos da plataforma do Azure que dão suporte a essas preocupações.

Considerações e requisitos

Isolamento de recursos

Configure seus recursos do Azure para atender aos requisitos de isolamento dos locatários. Confira Organização de recursos do Azure em soluções multilocatário para obter as diretrizes de isolamento dos recursos do Azure.

Gerenciamento de dados

Quando você armazena dados em nome de seus locatários, pode ter requisitos ou obrigações que precisa cumprir. Do ponto de vista de um locatário, eles geralmente esperam a propriedade e o controle de seus dados. Considere como isolar, armazenar, acessar e agregar dados de locatários. Descubra as expectativas e os requisitos dos locatários que podem afetar o funcionamento da solução.

Isolamento

Examine as Abordagens de arquitetura para armazenamento e dados em soluções multilocatário para entender como isolar os dados dos locatários. Considere se os locatários têm requisitos para usar suas próprias chaves de criptografia de dados.

Seja qual for a abordagem de isolamento implementada, prepare-se para que os locatários solicitem uma auditoria de seus dados. É uma boa prática documentar todos os armazenamentos de dados nos quais os dados dos locatários podem ser mantidos. Fontes de dados comuns incluem o seguinte:

  • Bancos de dados e contas de armazenamento implantados como parte de sua solução.
  • Sistemas de identidade, que geralmente são compartilhados entre locatários.
  • Logs.
  • Data warehouses.

Soberania

Entenda se há restrições no local físico para os dados de seus locatários que devem ser armazenados ou processados. Seus locatários podem exigir que você armazene seus dados em locais geográficos específicos. Eles também podem exigir que você não armazene seus dados em determinados locais. Embora esses requisitos sejam comumente baseados na legislação, eles também podem ser baseados em valores culturais e normas.

Para obter mais informações sobre a residência e a soberania de dados, confira o artigo Habilitar residência de dados e proteção de dados nas Regiões do Microsoft Azure.

Acesso dos locatários aos dados que você armazena

Os locatários às vezes solicitam acesso direto aos dados armazenados em nome deles. Por exemplo, talvez eles queiram ingerir seus dados em seu próprio data lake.

Planeje como você responderá a essas solicitações. Considere se algum dos dados dos locatários é mantido em armazenamentos de dados compartilhados. Se for, planeje como evitará que os locatários acessem os dados de outros locatários.

Evite fornecer acesso direto a bancos de dados ou contas de armazenamento, a menos que você tenha projetado para esse requisito, por exemplo, usando o padrão de chave limitada. Considere criar uma API ou um processo automatizado de exportação de dados para fins de integração.

Para obter mais informações sobre a integração com sistemas de locatários e sistemas externos, consulte Abordagens de arquitetura para integração de locatários e acesso a dados.

Seu acesso aos dados dos locatários

Considere se os requisitos de seus locatários restringem o pessoal que pode trabalhar com seus dados ou recursos. Por exemplo, suponha que você crie uma solução de SaaS usada por muitos clientes diferentes. Uma agência governamental pode exigir que apenas cidadãos de seu país/região tenham permissão para acessar a infraestrutura e os dados para sua solução. Você pode atender a esse requisito usando grupos de recursos, assinaturas ou grupos de gerenciamento do Azure separados para cargas de trabalho confidenciais do cliente. Você pode aplicar atribuições de função RBAC (controles de acesso baseados em função) do Azure com escopo rígido para grupos específicos de usuários trabalharem com esses recursos.

Agregação de dados de vários locatários

Considere se você precisa combinar ou agregar dados de vários locatários. Por exemplo, você analisa os dados agregados ou treina modelos de machine learning que podem ser aplicados a outros locatários? Garanta que seus locatários entendam de que modo você usa seus dados. Inclua qualquer uso de dados agregados ou anônimos.

Requisitos de conformidade

É importante que você entenda se precisa atender a padrões de conformidade. Os requisitos de conformidade podem ser introduzidos em várias situações, incluindo:

  • Você, ou qualquer um de seus locatários, trabalha em determinados setores. Por exemplo, caso algum de seus locatários trabalhe no setor de saúde, talvez seja necessário estar em conformidade com o padrão HIPAA.
  • Você ou qualquer um de seus locatários está localizado em regiões geográficas ou geopolíticas que exigem conformidade com as leis locais. Por exemplo, se algum de seus locatários estiver localizado na Europa, talvez seja necessário estar em conformidade com o GDPR (Regulamento Geral sobre a Proteção de Dados).
  • Você compra uma apólice de seguro cibernético para mitigar o risco de violações. Os provedores de seguro cibernético podem exigir que você siga seus padrões e aplique controles específicos para que sua apólice seja válida.

Importante

A conformidade é uma responsabilidade compartilhada entre a Microsoft, você e seus locatários.

A Microsoft garante que nossos serviços atendam a um conjunto específico de padrões de conformidade e fornece ferramentas como o Microsoft Defender para Nuvem que ajudam a verificar se os recursos estão configurados de acordo com esses padrões.

No entanto, em última análise, é sua responsabilidade entender completamente os requisitos de conformidade que se aplicam à sua solução e como configurar seus recursos do Azure de acordo com esses padrões. Confira as ofertas de conformidade do Azure para obter mais detalhes.

Este artigo não fornece diretrizes específicas sobre como se tornar compatível com padrões específicos. Em vez disso, ele fornece algumas diretrizes gerais sobre como considerar a conformidade e a governança em uma solução multilocatário.

Se diferentes locatários precisarem que você siga diferentes padrões de conformidade, planeje cumprir o padrão mais rigoroso em todo o ambiente. É mais fácil seguir um padrão estrito do que seguir padrões diferentes para locatários distintos.

Abordagens e padrões a serem considerados

Marcações de recursos

Use marcas de recurso para acompanhar o identificador de locatário para recursos específicos do locatário ou o identificador de selo quando você dimensionar usando o padrão Selos de Implantação. Ao usar marcas de recurso, você pode identificar rapidamente recursos associados a locatários ou carimbos específicos.

Controle de acesso

Use o RBAC do Azure para restringir o acesso aos recursos do Azure que constituem a solução multilocatário. Siga as práticas recomendadas do RBAC, como aplicar atribuições de função a grupos em vez de usuários. Determine o escopo de suas atribuições de função para que elas forneçam as permissões mínimas necessárias. Evite o acesso de longa data aos recursos usando acesso just-in-time e recursos como o Microsoft Entra ID Privileged Access Management.

Gráfico de Recursos do Azure

O Azure Resource Graph permite que você trabalhe com metadados de recurso do Azure. Usando Resource Graph, você pode consultar um grande número de recursos do Azure, mesmo que eles estejam distribuídos em várias assinaturas. O Resource Graph pode consultar os recursos de um tipo específico ou identificar aqueles que foram configurados de maneiras específicas. Ele também pode ser usado para acompanhar o histórico da configuração de um recurso.

O Resource Graph pode ser útil para gerenciar grandes propriedades do Azure. Por exemplo, suponha que você implante recursos do Azure específicos do locatário em várias assinaturas do Azure. Aplicando marcas aos seus recursos, você pode usar a API do Resource Graph para localizar recursos que são usados por locatários ou selos de implantação específicos.

Azure Purview

Considere usar o Azure Purview para rastrear e classificar os dados armazenados. Quando os locatários solicitam acesso aos dados, você pode determinar facilmente as fontes de dados que devem ser incluídas.

Verificar a conformidade com os padrões

Use ferramentas como Azure Policy, o portal de conformidade regulatória do Microsoft Defender para Nuvem e o Assistente do Azure. Essas ferramentas ajudam você a configurar seus recursos do Azure para atender aos requisitos de conformidade e a seguir as práticas recomendadas.

Gerar documentação de conformidade

Seus locatários podem exigir que você demonstre sua conformidade com padrões específicos. Use o Portal de Confiança do Serviço para gerar a documentação de conformidade que você pode fornecer aos seus locatários ou a auditores de terceiros.

Algumas soluções multilocatários incorporam o Microsoft 365 e usam serviços como Microsoft OneDrive, Microsoft SharePoint e Microsoft Exchange Online. O portal de conformidade do Microsoft Purview ajuda você a entender como esses serviços estão em conformidade com as normas regulatórias.

Padrão de Carimbos de Implantação

Considere seguir o padrão Selos de Implantação quando precisar cumprir requisitos específicos do locatário.

Por exemplo, você pode implantar selos de sua solução em várias regiões do Azure. Depois, pode atribuir novos locatários a selos, com base nas regiões em que eles precisam ter seus dados localizados.

Da mesma forma, um novo locatário pode introduzir requisitos de conformidade estritos que você não pode atender em seus componentes de solução existentes. Você pode considerar a implantação de um selo dedicado para esse locatário e configurá-lo de acordo com seus requisitos.

Antipadrões a serem evitados

  • Não entender os requisitos de conformidade de seus locatários. É importante não fazer suposições sobre os requisitos de conformidade que seus locatários podem impor. Se você planeja expandir sua solução para novos mercados, esteja atento ao ambiente regulatório no qual seus locatários provavelmente operarão.
  • Ignorar as boas práticas. Se você não tiver necessidade imediata de seguir os padrões de conformidade, ainda deverá seguir boas práticas ao implantar seus recursos do Azure. Por exemplo, isole seus recursos, aplique políticas para verificar a configuração de recursos e aplique atribuições de função a grupos em vez de usuários. Seguindo as boas práticas, você torna mais simples seguir os padrões de conformidade quando eventualmente precisar fazer isso.
  • Supor que não haja requisitos de conformidade. Ao iniciar uma solução multilocatário pela primeira vez, talvez você não esteja ciente dos requisitos de conformidade ou talvez não precise seguir nenhum. À medida que cresce, você provavelmente precisará fornecer evidências de que está em conformidade com vários padrões. Use o Microsoft Defender para Nuvem a fim de monitorar sua postura de conformidade, mesmo antes de ter um requisito explícito para fazer isso.
  • Não planejar o gerenciamento. Ao implantar seus recursos do Azure, considere como planeja gerenciá-los. Se precisar fazer atualizações em massa nos recursos, verifique se você tem uma compreensão das ferramentas de automação, como a CLI do Azure, Azure PowerShell, Azure Resource Graph e as APIs do Azure Resource Manager.
  • Não usar grupos de gerenciamento. Planeje sua hierarquia de assinaturas e grupos de gerenciamento, incluindo controle de acesso e recursos do Azure Policy em cada escopo. Pode ser difícil e disruptivo introduzir ou alterar esses elementos quando seus recursos são usados em um ambiente de produção.
  • Falha em planejar sua estratégia de controle de acesso. O RBAC do Azure fornece um alto grau de controle e flexibilidade na forma como você gerencia o acesso aos seus recursos. Use os grupos do Microsoft Entra para evitar atribuir permissões a usuários individuais. Atribua funções em escopos que fornecem um equilíbrio apropriado entre segurança e flexibilidade. Use definições de função internas sempre que possível e atribua funções que fornecem as permissões mínimas necessárias.
  • Não usar o Azure Policy. É importante usar o Azure Policy para controlar seu ambiente do Azure. Depois de planejar e implantar políticas, monitore a conformidade da política e examine cuidadosamente quaisquer violações ou exceções.

Colaboradores

Esse artigo é mantido pela Microsoft. Ele foi originalmente escrito pelos colaboradores a seguir.

Autor principal:

  • John Downs | Engenheiro principal de atendimento ao cliente, FastTrack for Azure

Outros colaboradores:

Para ver perfis não públicos do LinkedIn, entre no LinkedIn.

Próximas etapas

Examine as abordagens para gerenciamento e alocação de custos.