概觀 – 將 零信任 原則套用至 Azure IaaS

摘要：若要將 零信任 原則套用至 Azure IaaS 元件和基礎結構，您必須先瞭解 Azure 記憶體、虛擬機和輪輻和中樞虛擬網路的常見參考架構和元件。

這一系列文章可協助您運用跨領域方法將零信任原則應用到 Microsoft Azure IaaS 的工作負載中。 零信任為安全性策略。 這不是產品或服務，而是設計和實作下列一組安全性原則的方法：

  • 明確驗證
  • 使用最低權限存取
  • 假設入侵

實作 零信任 思維來「假設外洩、永不信任、永遠驗證」需要變更雲端基礎結構、部署策略和實作。

這五篇文章的初始系列（包括本簡介）說明如何根據基礎結構服務，將 零信任 方法套用至常見的IT商務案例。 工作分成可一起設定的單位，如下所示：

如需詳細資訊，請參閱將 零信任 原則套用至 Azure 虛擬桌面。

注意

未來將新增此系列的其他文章，包括組織如何根據實際的IT商務環境，將零信任方法套用至應用程式、網路、數據和DevOps服務。

重要

本 零信任 指引說明如何使用及設定 Azure 上可用的數個安全性解決方案和功能，以取得參考架構。 其他數個資源也提供這些解決方案和功能的安全性指引，包括：

為了說明如何應用 零信任 方法，本指南針對許多組織在生產環境中常用的模式：虛擬機應用程式託管於虛擬網路（及 IaaS 應用）。 這是組織遷移本地應用程式至 Azure 時常見的模式，有時稱為「lift-and-shift」。參考架構包含支援此應用所需的所有元件，包括儲存服務與樞紐虛擬網路。

參考架構會反映生產環境中常見的部署模式。 它並非基於 雲端採用架構（CAF）建議的企業級著陸區，儘管參考架構中包含了許多 CAF 最佳實務，例如使用專用虛擬網路來承載能代理應用程式存取的元件（樞紐虛擬網路）。

如果您想要瞭解 azure 登陸區域 雲端採用架構 建議的指引，請參閱下列資源：

參考架構

下圖顯示此 零信任 指導方針的參考架構。

將 零信任 套用至 Azure IaaS 的參考架構圖表，其中包含不同類型的使用者、在虛擬機、PaaS 服務和記憶體上執行的常見應用程式。

此架構包含：

  • 多個 IaaS 元件和元素，包括不同類型的使用者和 IT 取用者，從不同網站存取應用程式。 例如 Azure、因特網、內部部署和分公司。
  • 包含前端層、應用層和數據層的一般三層應用程式。 所有層級皆在名為 SPOKE 的虛擬網路中的虛擬機器上運行。 應用程式的存取由另一個名為 HUB 的虛擬網路保護，該網路包含額外的安全服務。
  • Azure 上支援 IaaS 應用程式的一些最常使用的 PaaS 服務，包括角色型訪問控制 （RBAC） 和 Microsoft Entra 識別碼，這有助於 零信任 安全性方法。
  • 記憶體 Blob 和記憶體檔案，可為使用者共用的應用程式和檔案提供物件記憶體。

這系列文章將逐步解說如何針對下述在 Azure 中裝載的每個較大部分，實施零信任的參考架構建議。

將 零信任 套用至 Azure IaaS 的參考架構圖表，其中顯示記憶體、虛擬機和輪輻和中樞虛擬網路的群元件。

此圖表概述本系列中每個文章所處理之架構的較大區域：

  1. Azure 儲存體 服務
  2. 虛擬機器
  3. 輪輻 VNet
  4. 中樞 VNet

請務必注意，這一系列文章中的指引比 雲端採用架構 和 Azure 登陸區域架構中提供的指引更具體。 如果您在其中一個資源中套用指導方針，請務必也檢閱這一系列文章以取得其他建議。

瞭解 Azure 元件

參考架構圖表提供環境的拓撲檢視。 從邏輯上看，在 Azure 環境中如何組織每個元件也是有價值的。 下圖提供組織訂用帳戶和資源群組的方式。 您的 Azure 訂用帳戶可能會以不同的方式組織。

將 零信任 套用至 Azure IaaS 的邏輯架構圖表，其中顯示Microsoft Entra ID 租使用者內的訂用帳戶、適用於雲端的 Microsoft Defender 和 Azure 監視器和資源群組。

在此圖表中，Azure 架構被包含在 Microsoft Entra ID 租用戶之中。 下表描述圖表中顯示的不同區段。

  • Azure 訂用帳戶

    你可以將資源分發成多個訂閱，每個訂閱可能扮演不同角色，例如網路訂閱或安全訂閱。 如先前參考的 雲端採用架構 和 Azure 登陸區域檔所述。 不同的訂閱方式也可能涵蓋不同的環境，例如生產環境、開發環境和測試環境。 這取決於您要如何分隔環境，以及每個環境中將擁有的資源數目。 您可以使用管理群組一起管理一或多個訂用帳戶。 這可讓您將具有角色型訪問控制 （RBAC） 和 Azure 原則的許可權套用至一組訂用帳戶，而不是個別設定每個訂用帳戶。

  • 適用於雲端的 Microsoft Defender 和 Azure 監視器

    針對每個 Azure 訂用帳戶，有一組 Azure 監視器解決方案和 適用於雲端的 Defender 可供使用。 如果你透過管理群組管理這些訂閱，就可以整合成單一入口網站，分別支援 Azure 監視器 和 適用於雲端的 Defender 的功能。 舉例來說，由 Microsoft Cloud Defender 提供的安全評分會針對所有訂閱進行整合，並以管理群組為範圍。

  • 記憶體資源群組 （1）

    記憶體帳戶包含在專用的資源群組中。 您可以隔離不同資源群組中的每個記憶體帳戶，以取得更細微的許可權控制。 Azure 記憶體服務包含在專用記憶體帳戶內。 您可以針對每種記憶體工作負載類型有一個記憶體帳戶，例如物件記憶體（也稱為 Blob 記憶體）和 Azure 檔案儲存體。 這可提供更細微的訪問控制，並可改善效能。

  • 虛擬機器資源群組 （2）

    虛擬機包含在一個資源群組中。 您也可以將每種工作負載層的虛擬機類型，例如前端、應用程式和數據，分配到不同的資源群組中，以進一步隔離訪問控制。

  • Spoke（3）與樞紐（4）虛擬網路資源群組分別分開訂閱

    參考架構中每個 VNet 的網路和其他資源會隔離在輪輻和中樞 VNet 的專用資源群組內。 當這些責任由不同的小組負責時，這個組織運作良好。 另一個選項是將所有網路資源放在一個資源群組中，並將安全性資源放在另一個資源群組中，以組織這些元件。 這取決於貴組織如何設定來管理這些資源。

使用 適用於雲端的 Microsoft Defender的威脅防護

適用於雲端的 Microsoft Defender 是一種擴充的偵測和回應 （XDR） 解決方案，可自動收集、相互關聯和分析來自您環境中的訊號、威脅和警示數據。 適用於雲端的 Defender 是設計來與 Microsoft Defender 全面偵測回應 搭配使用，以提供更廣泛的相關聯環境保護，如下圖所示。

適用於雲端的 Microsoft Defender 和 Microsoft Defender 擴展偵測與回應的邏輯架構圖，可為 Azure IaaS 元件提供威脅防護。

在此圖表中：

  • 針對包含多個 Azure 訂用帳戶的管理群組，已啟用雲端安全防護。
  • Microsoft Defender 全面偵測回應 已啟用 Microsoft 365 應用程式和數據、與 Microsoft Entra ID 整合的 SaaS 應用程式，以及內部部署的 Active Directory 網域服務 (AD DS) 伺服器。

如需設定管理群組和啟用 適用於雲端的 Defender 的詳細資訊，請參閱：

本系列文章中的安全性解決方案

零信任 牽涉到將多個安全性與資訊保護專業領域套用在一起。 在此系列文章中，此多專業領域方法會套用至基礎結構元件的每個工作單位，如下所示：

將 零信任 原則套用至 Azure 記憶體

  1. 保護三種模式中的數據：待用數據、傳輸中的數據，以及使用中的數據
  2. 以最低許可權驗證使用者和控制記憶體數據的存取權
  3. 使用網路控制以邏輯方式分隔或隔離關鍵數據
  4. 使用適用於記憶體的Defender進行自動化威脅偵測和保護

將 零信任 原則套用至 Azure 中的虛擬機

  1. 設定虛擬機的邏輯隔離
  2. 利用角色為基礎的存取控制（RBAC）
  3. 保護虛擬機開機組件
  4. 啟用客戶管理的金鑰和雙重加密
  5. 控制安裝在虛擬機上的應用程式
  6. 設定安全存取
  7. 設定虛擬機的安全維護
  8. 啟用進階威脅偵測與保護

將 零信任 原則套用至 Azure 中的輪輻 VNet

  1. 利用 Microsoft Entra RBAC 或設定網路資源的自定義角色
  2. 將基礎結構隔離至自己的資源群組
  3. 為每個子網建立網路安全組
  4. 為每個虛擬機角色建立應用程式安全組
  5. 虛擬網路內的安全流量與資源
  6. 安全存取虛擬網路與應用程式
  7. 啟用進階威脅偵測與保護

將 零信任 原則套用至 Azure 中的中樞 VNet

  1. 安全進階 Azure 防火牆
  2. 部署 Azure DDoS 保護標準
  3. 設定網路網關路由至防火牆
  4. 設定威脅防護

技術圖例

這些圖例是這些文章中參考圖例的複本。 下載並客製化適用於您自己的組織和客戶的內容。 將 Contoso 標誌取代為您自己的標誌。

項目 說明
縮圖圖片 1 下載 Visio
更新日期：2024年10月		 將 零信任 原則套用至 Azure IaaS
搭配下列文章使用這些圖例：
- 概觀
- Azure 儲存體
- 虛擬機器
- Azure 輪輻虛擬網路
- Azure 中樞虛擬網路
縮圖圖片 2 下載 Visio
更新日期：2024年10月		 將 零信任 原則套用至 Azure IaaS — 一頁海報
零信任原則應用於 Azure IaaS 環境的單頁流程概述。

如需其他技術圖例，請參閱適用於IT架構設計人員和實作者的 零信任圖例。

以下是建議用於 零信任 的訓練模組。

Azure 管理和治理

訓練 描述 Azure 管理與治理
Microsoft Azure 基本概念訓練是由三個學習路徑所組成：Microsoft Azure 基本概念：描述雲端概念、描述 Azure 架構和服務，以及描述 Azure 管理和治理。 Microsoft Azure 基本概念：描述 Azure 管理和治理是 Microsoft Azure 基本概念中的第三個學習路徑。 此學習路徑探索可協助您管理雲端與內部部署資源的管理與治理資源。
此學習路徑可協助您準備 測驗 AZ-900：Microsoft Azure 基本概念。

開始 >

設定 Azure 原則

訓練 設定 Azure 原則
學習如何設定 Azure 原則以實作合規性需求。
在本課程模組中，您將瞭解如何：
  • 建立管理群組，以便設定原則與消費預算的目標。
  • 使用原則與倡議定義來實作 Azure 原則。
  • 檢視 Azure 政策，並判斷合規性。
    		•

    開始 >

    管理安全性作業

    訓練 管理安全性作業
    部署和保護 Azure 環境之後，請了解如何監視、操作及持續改善解決方案的安全性。
    此學習路徑可協助您準備 測驗 AZ-500：Microsoft Azure 安全性技術。

    開始 >

    設定儲存體安全性

    訓練 設定記憶體安全性
    了解如何設定常見的 Azure 儲存體安全性功能，例如儲存體存取簽章。
    在本課程模組中，您將了解如何：
  • 設定共用存取簽章 (SAS)，包括統一資源識別項 (URI) 和 SAS 參數。
  • 設定 Azure 儲存體加密。
  • 實作客戶自控金鑰。
  • 建議提高 Azure 儲存體安全性的機會。
    		•

    開始 >

    設定 Azure 防火牆

    訓練 設定 Azure 防火牆
    您將了解如何設定 Azure 防火牆，包括防火牆規則。
    完成此課程模組後，您將能夠：
  • 判斷使用 Azure 防火牆的時機。
  • 實作 Azure 防火牆，包括防火牆規則。
    		•

    開始 >

    如需 Azure 中安全性的更多訓練，請參閱Microsoft目錄中的這些資源：
    Azure 中的安全性 |Microsoft Learn

    後續步驟

    請參閱下列其他文章，以將 零信任 原則套用至 Azure：

    請參閱下列其他文章，以將 零信任 原則套用至 Azure 網路功能：

    參考資料

    請參閱下列連結，以瞭解本文所述的各種服務和技術。

    • Last updated on