اعتبارات الأمان في Azure Cosmos DB
أمان البيانات هو مسؤولية مشتركة بينك وبين العميل ومزود قاعدة بياناتك. اعتماداً على مزود قاعدة البيانات الذي تختاره، قد يختلف مقدار المسؤولية التي تتحملها. إذا اخترت حلا محليا، فأنت بحاجة إلى توفير كل شيء بدءا من حماية نقطة النهاية إلى الأمان الفعلي لأجهزتك، وهي ليست مهمة سهلة. إذا اخترت موفر قاعدة بيانات سحابية للنظام الأساسي كخدمة (PaaS)، مثل Azure Cosmos DB، فإن مجال اهتمامك يتقلص بشكل كبير.
لمزيد من المعلومات، راجع المسؤولية المشتركة في السحابة.
قائمة الاختيار
نوصي بقائمة التحقق التالية من المتطلبات التي يمكن من خلالها مقارنة أنظمة قواعد البيانات:
- إعدادات أمان الشبكة وجدار الحماية
- مصادقة المستخدم وعناصر تحكم المستخدم الدقيقة
- القدرة على تكرار البيانات على مستوى العالم للإخفاقات الإقليمية
- القدرة على تجاوز الفشل من مركز بيانات إلى آخر
- النسخ المتماثل للبيانات المحلية داخل مركز البيانات
- النسخ الاحتياطي التلقائي للبيانات
- استعادة البيانات المحذوفة من النسخ الاحتياطية
- القدرة على حماية البيانات الحساسة وعزلها
- رصد الهجمات
- الردود المضمنة على الهجمات
- القدرة على تطويق البيانات جغرافياً للالتزام بقيود إدارة البيانات
- الحماية الفعلية للخوادم في مراكز البيانات المحمية
- الشهادات
على الرغم من أنه قد يبدو واضحا، فإن الخروقات الأخيرة لقاعدة البيانات واسعة النطاق تذكرنا بالأهمية البسيطة والحاسمة للمتطلبات التالية:
- الخوادم المصححة التي يتم تحديثها باستمرار
- HTTPS افتراضياً/ تشفير TLS
- حسابات إدارية بكلمات مرور قوية
كيف يؤمن Azure Cosmos DB قاعدة البيانات الخاصة بي؟
يؤمن Azure Cosmos DB قاعدة البيانات بشكل افتراضي مع العديد من الميزات المضمنة في الخدمة وAzure بشكل عام.
| متطلبات الأمان | نهج أمان Azure Cosmos DB |
|---|---|
| أمن الشبكة | يعد استخدام جدار حماية IP هو الطبقة الأولى من الحماية لتأمين قاعدة بياناتك. يدعم Azure Cosmos DB عناصر التحكم في الوصول المستندة إلى IP المستندة إلى النهج لدعم جدار الحماية الوارد. تشبه عناصر التحكم في الوصول المستندة إلى IP قواعد جدار الحماية المستخدمة من قبل أنظمة قواعد البيانات التقليدية. ومع ذلك، يتم توسيعها بحيث لا يمكن الوصول إلى حساب قاعدة بيانات Azure Cosmos DB إلا من مجموعة معتمدة من الأجهزة أو الخدمات السحابية. لمعرفة المزيد، راجع دعم جدار حماية Azure Cosmos DB. باستخدام Azure Cosmos DB، يمكنك تمكين عنوان IP محدد (168.61.48.0)، ونطاق IP (168.61.48.0/8)، ومجموعات من عناوين IP والنطاقات. يحظر Azure Cosmos DB جميع الطلبات التي تنشأ من أجهزة خارج هذه القائمة المسموح بها. بعد ذلك، يجب أن تكمل الطلبات الواردة من الأجهزة والخدمات السحابية المعتمدة عملية المصادقة لمنح التحكم في الوصول إلى الموارد. يمكنك استخدام علامات خدمة الشبكة الظاهرية لتحقيق عزل الشبكة وحماية موارد Azure Cosmos DB من الإنترنت العام. استخدم علامات الخدمة بدلاً من عناوين IP معينة عند إنشاء قواعد الأمان. من خلال تحديد اسم علامة الخدمة (على سبيل المثال، AzureCosmosDB) في حقل المصدر أو الوجهة المناسب للقاعدة، يمكنك السماح بنسبة استخدام الشبكة للخدمة المقابلة أو رفضها. |
| التصريح | يستخدم Azure Cosmos DB التعليمة البرمجية لمصادقة الرسالة المستندة إلى التجزئة (HMAC) من أجل المصادقة. يتم تجزئة كل طلب باستخدام مفتاح الحساب السري، ويتم إرسال التجزئة المشفرة base-64 اللاحقة مع كل استدعاء إلى Azure Cosmos DB. للتحقق من صحة الطلب، يستخدم Azure Cosmos DB المفتاح السري الصحيح والخصائص لإنشاء تجزئة، ثم يقارن القيمة بالقيمة الموجودة في الطلب. إذا تطابقت القيمتان، يتم تخويل العملية بنجاح ومعالجة الطلب. إذا لم تتطابق، فهناك فشل في التخويل ويتم رفض الطلب. يمكنك استخدام مفتاح أساسي، مما يسمح بالوصول الدقيق إلى مورد مثل مستند. لمعرفة المزيد، راجع الوصول الآمن إلى موارد Azure Cosmos DB. |
| المستخدمون والأذونات | باستخدام المفتاح الأساسي للحساب، يمكنك إنشاء موارد المستخدم وموارد الأذونات لكل قاعدة بيانات. يرتبط الرمز المميز للمورد بإذن في قاعدة البيانات ويحدد ما إذا كان المستخدم لديه حق الوصول (للقراءة والكتابة أو للقراءة فقط أو لا يوجد وصول) إلى مورد تطبيق في قاعدة البيانات. تتضمن موارد التطبيق الحاويات والمستندات والمرفقات والإجراءات المخزنة والمشغلات والوظائف المعرفة من قبل المستخدم (UDFs). ثم يتم استخدام رمز المورد أثناء المصادقة لتوفير أو رفض الوصول إلى المورد. لمعرفة المزيد، راجع الوصول الآمن إلى موارد Azure Cosmos DB. |
| تكامل Active Directory (التحكم في الوصول المستند إلى الدور في Azure) | يمكنك أيضا توفير أو تقييد الوصول إلى حساب Azure Cosmos DB وقاعدة البيانات والحاوية والعروض (معدل النقل) باستخدام التحكم في الوصول (IAM) في مدخل Microsoft Azure. يوفر IAM التحكم في الوصول المستند إلى الأدوار ويتكامل مع Active Directory. يمكنك استخدام الأدوار المضمنة أو الأدوار المخصصة للأفراد والمجموعات. |
| النسخ المتماثل العمومي | يقدم Azure Cosmos DB توزيعا عالميا تسليم المفتاح، والذي يمكنك من نسخ بياناتك نسخا متماثلا إلى أي من مراكز البيانات العالمية في Azure بطريقة تسليم المفتاح. يتيح لك النسخ العالمي التوسع عالمياً وتوفير وصول بزمن انتقال منخفض إلى بياناتك حول العالم. في سياق الأمن، يضمن النسخ العالمي حماية البيانات ضد حالات الفشل الإقليمية. لمعرفة المزيد، راجع توزيع البيانات عالميا. |
| حالات الفشل الإقليمية | إذا قمت بنسخ بياناتك نسخا متماثلا في أكثر من مركز بيانات واحد، فإن Azure Cosmos DB يقوم تلقائيا بتدحرج عملياتك إذا كان مركز البيانات الإقليمي غير متصل. يمكنك إنشاء قائمة ذات أولوية بمناطق تجاوز الفشل باستخدام المناطق التي يتم فيها نسخ بياناتك نسخا متماثلا. لمعرفة المزيد، راجع عمليات تجاوز الفشل الإقليمية في Azure Cosmos DB. |
| النسخ المتماثل المحلي | حتى داخل مركز بيانات واحد، يقوم Azure Cosmos DB تلقائيا بنسخ البيانات نسخا متماثلا للحصول على قابلية وصول عالية، مما يمنحك اختيار مستويات التناسق. يضمن هذا النسخ المتماثل اتفاقية مستوى خدمة توفر بنسبة 99.99٪ (SLA) لجميع حسابات المنطقة الواحدة وجميع الحسابات متعددة المناطق مع تناسق مريح، وتوفر القراءة بنسبة 99.999٪ على جميع حسابات قاعدة البيانات متعددة المناطق. |
| النسخ الاحتياطي الآلي عبر الإنترنت | يتم نسخ قواعد بيانات Azure Cosmos DB احتياطيا بانتظام وتخزينها في مخزن متكرر جغرافيا. لمعرفة المزيد، راجع النسخ الاحتياطي التلقائي عبر الإنترنت والاستعادة باستخدام Azure Cosmos DB. |
| استعادة البيانات المحذوفة | يمكنك استخدام النسخ الاحتياطية التلقائية عبر الإنترنت لاسترداد البيانات المحذوفة عن طريق الخطأ حتى ~30 يوما بعد الحدث. لمعرفة المزيد، راجع النسخ الاحتياطي التلقائي عبر الإنترنت والاستعادة باستخدام Azure Cosmos DB. |
| حماية البيانات الحساسة وعزلها | جميع البيانات في المناطق المدرجة الواردة في ما الجديد؟ مشفر الآن في الوضع غير النشط. يمكن عزل البيانات الشخصية والبيانات السرية الأخرى إلى حاويات معينة ويمكن أن يقتصر الوصول للقراءة والكتابة أو الوصول للقراءة فقط على مستخدمين محددين. |
| مراقبة الهجمات | باستخدام تسجيل التدقيق وسجلات النشاط، يمكنك مراقبة حسابك بحثاً عن نشاط عادي وغير طبيعي. يمكنك عرض العمليات التي تم تنفيذها على مواردك. تتضمن هذه البيانات من بدأ العملية، ووقت حدوث العملية، وحالة العملية، وأكثر من ذلك بكثير. |
| الرد على الهجمات | بعد الاتصال بدعم Azure للإبلاغ عن هجوم محتمل، تبدأ عملية الاستجابة للحوادث المكونة من خمس خطوات. الهدف هو استعادة أمان الخدمة والعمليات العادية. تستعيد العملية الخدمات في أسرع وقت ممكن بعد اكتشاف مشكلة وبدء التحقيق. لمعرفة المزيد، راجع استجابة أمان Microsoft Azure في السحابة. |
| سياج جغرافي | يضمن Azure Cosmos DB إدارة البيانات للمناطق ذات السيادة (على سبيل المثال، ألمانيا والصين وحكومة الولايات المتحدة). |
| مرافق محمية | يتم تخزين البيانات في Azure Cosmos DB على محركات أقراص الحالة الصلبة في مراكز البيانات المحمية في Azure. لمعرفة المزيد، راجع مراكز البيانات العمومية ل Microsoft. |
| تشفير HTTPS وTLS | جميع الاتصالات بـ Azure Cosmos DB تدعم HTTPS. يدعم Azure Cosmos DB مستويات أمان طبقة النقل (TLS) حتى 1.2 (مضمنة). من الممكن فرض حد أدنى من مستوى TLS على جانب الخادم. للقيام بذلك، راجع دليل الخدمة الذاتية الخدمة الذاتية الحد الأدنى من فرض إصدار TLS في Azure Cosmos DB. |
| التشفير في حالة السكون | يتم تشفير جميع البيانات المخزنة في Azure Cosmos DB في حالة الثبات. تعرف على المزيد في تشفير Azure Cosmos DB الثابتة. |
| الخوادم المصححة | كقاعدة بيانات مدارة، يقوم Azure Cosmos DB تلقائيا بتصحيح الخادم وإدارته نيابة عنك، مما يلغي الحاجة إلى مهام الصيانة اليدوية. |
| حسابات إدارية بكلمات مرور قوية | من المستحيل أن يكون لديك حساب إداري بدون كلمة مرور في Azure Cosmos DB. يتم خبز الأمان عبر TLS والمصادقة السرية HMAC بشكل افتراضي. |
| شهادات الأمان وحماية البيانات | للحصول على أحدث قائمة من الشهادات، راجع توافق Azure وأحدث مستند توافق Azure مع جميع شهادات Azure، بما في ذلك Azure Cosmos DB. |