Azure 客戶資料保護
預設會拒絕 Microsoft 運作與支援人員對於客戶資料的存取。 授與支援案例相關數據的存取權時，只會使用稽核和審查我們的合規性和隱私策略的原則，使用 Just-In-Time （JIT） 模型來授與數據。 存取控制需求是由下列 Azure 安全性原則所建立：
- 依預設無法存取客戶資料。
- 客戶虛擬機器 (VM) 上沒有任何使用者或系統管理員帳戶。
- 授與完成工作所需的最低權限；稽核和記錄存取要求。
Microsoft 會將唯一的企業 Active Directory 帳戶指派給 Azure 支援人員。 Azure 依賴 Microsoft 企業 Active Directory (由 Microsoft Information Technology (MSIT) 管理) 來控制重要資訊系統存取權。 需要多重要素驗證，而且只能從安全控制台授與存取權。
資料保護
Azure 以預設和設為客戶選項的方式為客戶提供強大的資料安全性。
數據隔離：Azure 是多租用戶服務，這表示多個客戶部署和 VM 會儲存在相同的實體硬體上。 Azure 使用邏輯隔離來區隔每位客戶的資料。 隔離可提供多租使用者服務的規模和經濟效益，同時嚴格防止客戶存取彼此的數據。
待用資料保護：客戶有責任確保根據其標準將儲存在 Azure 中的資料加密。 Azure 提供各種加密功能，讓客戶彈性選擇最符合需求的解決方案。 Azure Key Vault 可協助客戶輕鬆維護金鑰控制，其用於進行資料加密的雲端應用程式與服務。 Azure 磁碟加密可讓客戶為 VM 加密。 Azure 儲存體服務加密可以為放入客戶儲存體帳戶的所有資料加密。
傳輸中數據保護：Microsoft提供許多選項，可供客戶用來保護 Azure 網路內部內部傳輸中的數據，以及透過因特網外部傳送給終端使用者。 其中包括透過虛擬私人網路 (利用 IPsec/IKE 加密) 與傳輸層安全性 (TLS) 1.2 或更新版本 (透過 Azure 元件，例如應用程式閘道或 Azure Front Door) 進行通訊，以及直接在 Azure 虛擬機器上 (例如 Windows IPsec 或 SMB) 的通訊協定進行通訊等等。
此外，使用 MACsec (資料連結層的 IEEE 標準) 的「預設加密」也是針對 Azure 資料中心之間流動的所有 Azure 流量所啟用，以確保客戶資料的機密性和完整性。
數據備援：Microsoft有助於確保數據在數據中心遭到網路攻擊或實體損壞時受到保護。 客戶可以選擇：
- 在國內/區域內儲存，以符合合規性或延遲考量。
- 在國外/區域外儲存，以符合安全性或災害復原目的。
數據可以在選取的地理區域內複寫，以進行備援，但無法在外部傳輸。 客戶有多個選項可複寫資料，包括複本數目以及複寫資料中心的的數目和數目。
建立儲存體帳戶時，選取下列其中一個複寫選項：
- 本地備援儲存體 (LRS)：本地備援儲存體可維護三個資料複本。 LRS 會在單一區域的單一設備內複寫三次。 LRS 可保護您的資料以避免一般的硬體故障，但無法避免單一設備的故障。
- 區域備援儲存體 (ZRS)：區域備援儲存體可維護三個資料複本。 ZRS 會在二到三個設施中複寫三次，以提供比 LRS 更高的持久性。 複寫會發生於單一區域內或跨越兩個區域。 ZRS 有助於確保資料在單一地區內的持續性。
- 異地備援儲存體 (GRS)：建立儲存體帳戶時，依預設會啟用異地備援儲存體。 GRS 可維護六個資料複本。 使用 GRS 時，系統會在主要區域內將您的資料複寫三次。 您的資料也會在與主要區域相距甚遠的次要區域內複寫三次，以提供最高等級的持久性。 如果主要區域的失敗，Azure 儲存體 故障轉移至次要區域。 GRS 有助於確保兩個不同區域中的資料持續性。
數據解構：當客戶刪除數據或離開 Azure 時，Microsoft遵循嚴格的標準來刪除數據，以及解除委任硬體的實體破壞。 Microsoft 會依照客戶要求以及在合約終止時，執行完整的資料刪除作業。 如需詳細資訊，請參閱 Microsoft 的資料管理。
客戶資料擁有權
Microsoft 不會檢查、核准或監視客戶部署至 Azure 的應用程式。 此外，Microsoft 不知道客戶選擇在 Azure 中儲存哪種資料。 Microsoft不會對輸入 Azure 的客戶資訊宣告數據擁有權。
記錄管理
Azure 已建立後端數據的內部記錄保留需求。 客戶有責任找出自己的記錄保留需求。 對於儲存在 Azure 中的記錄，客戶需負責擷取其資料，並且在客戶指定的保留期間內於 Azure 外部保留內容。
Azure 允許客戶匯出資料以及稽核產品中的報告。 匯出的資料會儲存於本機，以便在客戶定義的保留期間內保留資訊。
電子探索 (e-discovery)
Azure 客戶在使用 Azure 服務時，有責任遵守電子探索需求。 如果 Azure 客戶必須保留其客戶資料，他們可以在本機匯出並儲存資料。 此外，客戶可以要求 Azure 客戶支援部門匯出其資料。 除了允許客戶匯出其資料，Azure 會在內部進行廣泛的記錄和監視。
下一步
若要深入了解 Microsoft 為保護 Azure 基礎結構執行了哪些動作，請參閱：