Säkerhetsöverväganden i Azure Cosmos DB

  • Gäller för: ✅ NoSQL

Datasäkerhet är ett delat ansvar mellan dig, kunden och databasleverantören. Beroende på vilken databasprovider du väljer kan ansvaret variera. Om du väljer en lokal lösning måste du tillhandahålla allt från slutpunktsskydd till fysisk säkerhet för maskinvaran, vilket inte är någon enkel uppgift. Om du väljer en paaS-molndatabasprovider (plattform som en tjänst), till exempel Azure Cosmos DB, minskar ditt problemområde avsevärt.

Mer information finns i delat ansvar i molnet.

Checklist

Vi rekommenderar följande checklista med krav för att jämföra databassystem:

  • Inställningar för nätverkssäkerhet och brandvägg
  • Användarautentisering och detaljerade användarkontroller
  • Möjlighet att replikera data globalt för regionala fel
  • Möjlighet att växla över från ett datacenter till ett annat
  • Lokal datareplikering i ett datacenter
  • Automatiska säkerhetskopieringar av data
  • Återställning av borttagna data från säkerhetskopior
  • Möjlighet att skydda och isolera känsliga data
  • Övervakning av attacker
  • Inbyggda svar på attacker
  • Möjlighet att skapa geografiska avgränsningar för data för att följa datastyrningsbegränsningar
  • Fysiskt skydd av servrar i skyddade datacenter
  • Certifieringar

Även om det kan verka uppenbart påminner de senaste storskaliga databasöverträdelserna oss om den enkla men kritiska betydelsen av följande krav:

  • Patchade servrar som hålls uppdaterade
  • HTTPS som standard/TLS-kryptering
  • Administrativa konton med starka lösenord

Hur skyddar Azure Cosmos DB min databas?

Azure Cosmos DB skyddar databasen som standard med många inbyggda funktioner i tjänsten och Azure i stort.

Säkerhetskrav Azure Cosmos DB:s säkerhetsmetod
Nätverkssäkerhet Att använda en IP-brandvägg är det första skyddsskiktet för att skydda databasen. Azure Cosmos DB stöder principdrivna IP-baserade åtkomstkontroller för inkommande brandväggsstöd. IP-baserade åtkomstkontroller liknar de brandväggsregler som används av traditionella databassystem. De utökas dock så att ett Azure Cosmos DB databaskonto endast är tillgängligt från en godkänd uppsättning datorer eller molntjänster. Mer information finns i Azure Cosmos DB brandväggsstöd. Med Azure Cosmos DB kan du aktivera en specifik IP-adress (168.61.48.0), ett IP-intervall (168.61.48.0/8) och kombinationer av IP-adresser och intervall. Azure Cosmos DB blockerar alla begäranden som kommer från datorer utanför listan över tillåtna. Begäranden från godkända datorer och molntjänster måste sedan slutföra autentiseringsprocessen för att få åtkomstkontroll till resurserna. Du kan använda virtuella nätverkstjänsttaggar för att uppnå nätverksisolering och skydda dina Azure Cosmos DB resurser från det allmänna Internet. Använd tjänsttaggar i stället för specifika IP-adresser när du skapar säkerhetsregler. Genom att ange namnet på tjänsttaggen (till exempel AzureCosmosDB) i lämpligt käll- eller målfält för en regel kan du tillåta eller neka trafik för motsvarande tjänst.
Authorization Azure Cosmos DB använder hashbaserad kod för meddelandeautentisering (HMAC) för auktorisering. Varje begäran hashas med hjälp av den hemliga kontonyckeln och den efterföljande base-64-kodade hashen skickas med varje anrop till Azure Cosmos DB. För att verifiera begäran använder Azure Cosmos DB rätt hemlighetsnyckel och egenskaper för att generera en hash och jämför sedan värdet med värdet i begäran. Om de två värdena matchar godkänns åtgärden och begäran bearbetas. Om de inte matchar uppstår ett auktoriseringsfel och begäran avvisas. Du kan använda en primärnyckel, vilket ger detaljerad åtkomst till en resurs, till exempel ett dokument. Mer information finns i Sekure-åtkomst till Azure Cosmos DB resurser.
Användare och behörigheter Genom att använda primärnyckeln för kontot kan du skapa användarresurser och behörighetsresurser per databas. En resurstoken är associerad med en behörighet i en databas och avgör vilka åtkomstnivåer (läs- och skrivåtkomst, skrivskyddad eller ingen åtkomst) användaren har till en programresurs i databasen. Programresurser omfattar containrar, dokument, bifogade filer, lagrade procedurer, utlösare och användardefinierade funktioner (UDF:er). Resurstoken används sedan under autentiseringen för att tillhandahålla eller neka åtkomst till resursen. Mer information finns i Sekure-åtkomst till Azure Cosmos DB resurser.
služba Active Directory integrering (Azure rollbaserad åtkomstkontroll) Du kan också ange eller begränsa åtkomsten till Azure Cosmos DB konto, databas, container och erbjudanden (dataflöde) med hjälp av åtkomstkontroll (IAM) i Azure-portalen. IAM tillhandahåller rollbaserad åtkomstkontroll och integreras med služba Active Directory. Du kan använda inbyggda roller eller anpassade roller för individer och grupper.
Global replikering Azure Cosmos DB erbjuder nyckelfärdig global distribution, vilket gör att du kan replikera dina data till någon av Azure globala datacenter på ett nyckelfärdigt sätt. Med global replikering kan du skala globalt och ge åtkomst med låg svarstid till dina data runt om i världen. I säkerhetssammanhang säkerställer global replikering dataskydd mot regionala fel. Mer information finns i Distribuera data globalt.
Regionala växlingar vid systemfel Om du replikerar dina data i mer än ett datacenter, flyttar Azure Cosmos DB automatiskt över dina åtgärder om ett regionalt datacenter går offline. Du kan skapa en prioriterad lista över redundansregioner med hjälp av de regioner där dina data replikeras. Mer information finns i Regional redundans i Azure Cosmos DB.
Lokal replikering Även i ett enda datacenter replikerar Azure Cosmos DB automatiskt data för hög tillgänglighet, vilket ger dig möjlighet att välja konsekvensnivåer. Den här replikeringen garanterar ett serviceavtal med 99,99% tillgänglighetsgaranti för alla konton i en region och alla konton i flera regioner med avslappnad konsistens, samt 99,999% lästillgänglighet på alla databaskonton i flera regioner.
Automatiserade säkerhetskopieringar online Azure Cosmos DB databaser säkerhetskopieras regelbundet och lagras i ett geo-redundant arkiv. Mer information finns i Automatisk onlinesäkerhetskopiering och återställning med Azure Cosmos DB.
Återställa borttagna data Du kan använda de automatiserade onlinesäkerhetskopieringarna för att återställa data som tagits bort av misstag upp till ~30 dagar efter händelsen. Mer information finns i Automatisk onlinesäkerhetskopiering och återställning med Azure Cosmos DB.
Skydda och isolera känsliga data Alla data i de regioner som anges i Vad är nytt? krypteras nu i vila. Personuppgifter och annan konfidentiell data kan isoleras till specifika containrar, och skriv- och läs-/skrivskyddad åtkomst kan begränsas till specifika användare.
Övervaka attacker Genom att använda granskningsloggning och aktivitetsloggar kan du övervaka ditt konto för normal och onormal aktivitet. Du kan visa vilka åtgärder som har utförts på dina resurser. Dessa data omfattar vem som initierade åtgärden, när åtgärden inträffade, åtgärdens status och mycket mer.
Svara på attacker När du har kontaktat Azure support för att rapportera en potentiell attack påbörjas en femstegsprocess för incidenthantering. Målet är att återställa normal säkerhet och drift för tjänsterna. Processen återställer tjänster så snabbt som möjligt när ett problem har identifierats och en undersökning har startats. Mer information finns i Microsoft Azure säkerhetssvar i molnet.
Geo-stängsel Azure Cosmos DB säkerställer datastyrning för nationella regioner (till exempel Tyskland, Kina och AMERIKANSKA myndigheter).
Skyddade anläggningar Data i Azure Cosmos DB lagras på solid state-enheter i Azure skyddade datacenter. Mer information finns i Microsoft globala datacenter.
HTTPS- och TLS-kryptering Alla anslutningar till Azure Cosmos DB stöder HTTPS. Azure Cosmos DB stöder TLS-nivåer (Transport Layer Security) upp till 1,2 (ingår). Det går att framtvinga en lägsta TLS-nivå på serversidan. Det gör du genom att läsa självbetjäningsguiden självbetjäningshantering av minsta TLS-version i Azure Cosmos DB.
Kryptering i viloläge Alla data som lagras i Azure Cosmos DB krypteras i vila. Läs mer om Azure Cosmos DB-kryptering i lagrat tillstånd.
Patchade servrar Som en hanterad databas korrigerar Azure Cosmos DB automatiskt och hanterar servern åt dig, vilket eliminerar behovet av manuella underhållsuppgifter.
Administrativa konton med starka lösenord Det är omöjligt att ha ett administrativt konto utan lösenord i Azure Cosmos DB. Säkerhet via TLS- och HMAC-hemlighetsbaserad autentisering bakas in som standard.
Säkerhets- och dataskyddscertifieringar Den mest uppdaterade listan över certifieringar finns i Azure efterlevnad och det senaste Azure Efterlevnadsdokumentet med alla Azure-certifieringar, inklusive Azure Cosmos DB.

Relaterat innehåll

  • Last updated on