你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

定义主权策略

本文介绍如何在使用云服务时规划主权策略。 许多地缘政治区域都有处理特定类型的数据（例如隐私敏感数据和政府数据）的法规。 这些法规通常强制实施与数据驻留、对数据的控制，有时是操作独立性（称为 “无托克”）相关的主权要求。

当组织需要遵守这些法规时，应定义一个策略来满足主权要求。 如果组织从本地服务转移到云服务，则必须相应地调整主权策略。

实现主权策略的现代化

对于本地数据中心，你负责通常与主权关联的大多数方面，包括：

• 数据中心，其中存储并处理数据。
• 访问数据中心和物理基础结构。
• 硬件和软件，包括硬件和软件供应链。
• 验证硬件和软件的保证过程。
• 基础结构和流程，确保发生灾难或地缘政治事件时业务连续性。
• 用于确定谁有权访问哪些数据和系统的配置和进程。
• 用于保护数据和系统免受外部和内部威胁的工具和进程。

采用云服务时，这些方面的责任将转向 共同的责任。 合规性团队会更改它们用于确定是否满足主权要求的策略。 合规性团队考虑：

• 云服务的符合性。 云提供商的服务如何满足主权和合规性要求？

• 组织负责的系统和流程的合规性。 哪些工具可以帮助你满足主权和合规性要求，以及如何使用这些工具？

合规性团队可能需要与监管机构合作，才能使用实现相同目标的替代方法。 在某些情况下，可能需要通过添加更多选项或调整指令来更改法规，以使用特定解决方案获取预期结果。 改变监管可能是一个漫长的过程。 但是，如果可以证明你已达到法规的意图，可能会获得豁免。

例如，法规可能会限制组织使用某些云服务，因为隔离要求只能满足云中通常不可用的硬件隔离。 但也可以使用虚拟隔离来获取预期结果。 作为策略的一部分，你需要确定在出现这些潜在阻碍时如何与监管机构和审核员合作。

有关如何满足合规性和主权需求的详细信息，请参阅 Microsoft Cloud for Sovereignty。

云服务的符合性

合规性团队使用各种源和方法来验证云服务符合性，包括：

• 供应商文档 ，说明其服务的工作原理以及如何使用它们，例如美国联邦风险和授权管理计划（FedRAMP）产品文档和系统安全计划。

• 认证符合全球、区域和行业合规性框架的独立审核员认证 。 有关详细信息，请参阅 Microsoft 365、Azure 和其他Microsoft 服务的合规性产品/服务。

• 独立审核员创建的审核报告 ，以便深入了解云服务如何满足全球、区域和行业合规性框架的要求。 服务信任门户中提供了一些审核报告。

• 通过供应商审核产品（如政府安全计划（仅适用于选择客户）执行或代表合规性团队执行的审核。

• 透明度日志 提供有关 Microsoft 工程师何时访问资源的详细信息。

合规性团队使用的源和方法的组合取决于所需的见解级别、不同选项的信任以及资源和预算。 第三方审核员认证无需团队执行审核并降低成本，但需要信任审核员和审核流程。

系统与流程的合规性

组织的合规性流程和系统可以从云服务的新增功能中受益。 可以使用这些功能来：

• 强制或报告技术策略。 例如，可以阻止部署服务或配置，或报告不符合主权和合规性技术要求的违规行为。

• 使用符合特定符合性框架的预构建策略定义。

• 记录和监视审核。

• 使用安全工具。 有关详细信息，请参阅定义安全策略。

• 执行技术保障和监视功能，例如 Azure 机密计算。

请仔细考虑组织环境和单个工作负荷的这些功能。 对于每个功能，请考虑所需的工作量、适用性和函数。 例如，策略强制实施是一种相对简单的方法，它支持符合性，但它可以限制可以使用哪些服务以及如何使用它们。 相比之下，技术保证需要付出相当大的努力，并且更具限制性，因为它仅适用于一些服务。 它还需要大量的知识。

采用共同责任

采用云服务时，采用共同责任模型。 确定哪些职责转移到云提供商，以及哪些责任仍与你一起。 了解这些更改如何影响法规的主权要求。 有关详细信息，请参阅云服务合规性中的资源。 若要获取高级视图，请考虑以下资源：

• Azure 基础结构安全性 介绍了 Microsoft 如何为物理基础结构提供保护。

• Azure 平台完整性和安全性 介绍了 Microsoft 如何针对平台和技术保障流程的威胁提供保护。

• Azure 中的数据驻留描述数据驻留功能。 有关欧盟（欧盟）中的客户，请参阅 Microsoft EU 数据边界。

云提供商通过平台的复原能力部分提供业务连续性，方法是确保运行云的关键系统的连续性。 工作负荷使用的服务提供可用于生成工作负荷的连续性选项。 也可以使用其他服务，例如Azure 备份或 Azure Site Recovery。 有关详细信息，请参阅 Azure 可靠性文档。

云提供商负责保护从内部和外部威胁访问云平台。 客户负责配置其系统，以便通过标识和访问管理、加密和其他安全措施来保护其数据。 有关详细信息，请参阅定义安全策略。

使用分类来区分数据

不同类型的数据和工作负荷可以有不同的主权要求，具体取决于数据机密性以及数据是否包含隐私敏感数据等因素。 了解哪些数据分类适用于组织以及哪些数据和系统受哪些分类的约束，这一点很重要。 某些数据和应用程序受多种法规的约束，这可以创建组合要求的需求。 例如，可能存在与数据的保密性和系统关键性相关的法规。 生成的分类可能是高度机密性、低严重性或中等机密性和高严重性。

遵守主权要求时，可能会影响其他因素，例如成本、复原能力、可伸缩性、安全性和服务丰富性。 对于主权策略，请务必将正确的控件应用于数据分类。 一刀切的方法会导致一个环境，该环境有利于最高的合规性要求，这可能是最经济、最不利的环境。

后续步骤

• 云主权 提供对 Azure 平台上主权功能的见解，并介绍了如何应对主权要求。

• 安全和主权并不相同，但如果不安全，则不能是主权。 因此 ，必须定义与主权策略集成的安全策略 。