Biztonsági szempontok az Azure Cosmos DB-ben
Az adatbiztonság az Ön, az ügyfél és az adatbázis-szolgáltató közös felelőssége. A választott adatbázis-szolgáltatótól függően az Ön által viselt felelősség mértéke eltérő lehet. Ha helyszíni megoldást választ, mindent meg kell adnia a végpontvédelemtől a hardver fizikai biztonságán át, ami nem egyszerű feladat. Ha szolgáltatásként (PaaS) felhőadatbázis-szolgáltatót választ, például az Azure Cosmos DB-t, az érintett terület jelentősen csökken.
További információ: megosztott felelősség a felhőben.
Ellenőrzőlista
A következő ellenőrzőlistát javasoljuk az adatbázisrendszerek összehasonlítására vonatkozó követelményekről:
- Hálózati biztonsági és tűzfalbeállítások
- Felhasználói hitelesítés és részletes felhasználói vezérlők
- Az adatok globális replikálásának képessége regionális hibák esetén
- Feladatátvétel lehetősége egyik adatközpontból a másikba
- Helyi adatreplikálás egy adatközponton belül
- Automatikus adatmentések
- Törölt adatok visszaállítása biztonsági másolatokból
- Bizalmas adatok védelme és elkülönítése
- Támadások monitorozása
- Beépített válaszok a támadásokra
- Adatok geokerítésének képessége az adatszabályozási korlátozások betartásához
- Kiszolgálók fizikai védelme védett adatközpontokban
- Tanúsítványok
Bár nyilvánvalónak tűnhet, a legutóbbi nagy léptékű adatbázis-incidensek emlékeztetnek minket az alábbi követelmények egyszerű, de kritikus fontosságára:
- Javított kiszolgálók, amelyek naprakészek
- HTTPS alapértelmezés szerint/TLS-titkosítás
- Erős jelszóval rendelkező felügyeleti fiókok
Hogyan védi az Azure Cosmos DB az adatbázisomat?
Az Azure Cosmos DB alapértelmezés szerint a szolgáltatásba beépített számos funkcióval és az Azure-ral védi az adatbázist.
| Biztonsági követelmény | Az Azure Cosmos DB biztonsági megközelítése |
|---|---|
| Hálózati biztonság | Az IP-tűzfal használata az adatbázis védelmének első rétege. Az Azure Cosmos DB támogatja a házirendalapú IP-alapú hozzáférés-vezérlést a bejövő tűzfalak támogatásához. Az IP-alapú hozzáférés-vezérlők hasonlóak a hagyományos adatbázisrendszerek által használt tűzfalszabályokhoz. Ezek azonban ki vannak bővítve, így egy Azure Cosmos DB-adatbázisfiók csak jóváhagyott gépekről vagy felhőszolgáltatásokból érhető el. További információ: Azure Cosmos DB tűzfaltámogatás. Az Azure Cosmos DB-vel engedélyezheti egy adott IP-címet (168.61.48.0), egy IP-tartományt (168.61.48.0/8), valamint IP-címek és tartományok kombinációját. Az Azure Cosmos DB letiltja az engedélyezett listán kívüli gépekről érkező összes kérést. A jóváhagyott gépektől és felhőszolgáltatásoktól érkező kéréseknek ezután végre kell hajtaniuk a hitelesítési folyamatot, hogy hozzáférés-vezérlést kapjanak az erőforrásokhoz. A virtuális hálózati szolgáltatáscímkék használatával hálózatelkülönítést érhet el, és megvédheti az Azure Cosmos DB-erőforrásokat az általános internetről. Biztonsági szabályok létrehozása során használjon szolgáltatáscímkéket az egyes IP-címek helyett. Ha megadja a szolgáltatáscímke nevét (például AzureCosmosDB) egy szabály megfelelő forrás- vagy célmezőjében, engedélyezheti vagy letilthatja a megfelelő szolgáltatás forgalmát. |
| Engedélyezés | Az Azure Cosmos DB kivonatalapú üzenethitelesítési kódot (HMAC) használ az engedélyezéshez. Minden kérés kivonatolása a titkos fiók kulcsával történik, és a rendszer minden egyes hívással elküldi a 64-es base-64 kódolt kivonatot az Azure Cosmos DB-nek. A kérés érvényesítéséhez az Azure Cosmos DB a megfelelő titkos kulcsot és tulajdonságokat használja a kivonat létrehozásához, majd összehasonlítja az értéket a kérelemben szereplő értékkel. Ha a két érték egyezik, a művelet sikeresen engedélyezve van, és a kérés feldolgozása folyamatban van. Ha nem egyeznek meg, engedélyezési hiba történik, és a kérést elutasítja a rendszer. Használhat elsődleges kulcsot, amely lehetővé teszi egy erőforrás, például egy dokumentum részletes elérését. További információ: Biztonságos hozzáférés az Azure Cosmos DB-erőforrásokhoz. |
| Felhasználók és engedélyek | A fiók elsődleges kulcsának használatával adatbázisonként hozhat létre felhasználói erőforrásokat és engedélyerőforrásokat. Az erőforrás-jogkivonat egy adatbázis engedélyéhez van társítva, és meghatározza, hogy a felhasználó rendelkezik-e hozzáféréssel (írásvédett, írásvédett vagy nincs hozzáférés) az adatbázis alkalmazáserőforrásához. Az alkalmazáserőforrások közé tartoznak a tárolók, a dokumentumok, a mellékletek, a tárolt eljárások, az eseményindítók és a felhasználó által definiált függvények (UDF-ek). Az erőforrás-jogkivonat ezután a hitelesítés során az erőforráshoz való hozzáférés biztosítására vagy megtagadására szolgál. További információ: Biztonságos hozzáférés az Azure Cosmos DB-erőforrásokhoz. |
| Active Directory-integráció (Azure szerepköralapú hozzáférés-vezérlés) | Az Azure Cosmos DB-fiókhoz, adatbázishoz, tárolóhoz és ajánlatokhoz (átviteli sebesség) való hozzáférést az Azure Portal hozzáférés-vezérléssel (IAM) is biztosíthatja vagy korlátozhatja. Az IAM szerepköralapú hozzáférés-vezérlést biztosít, és integrálható az Active Directoryval. Egyéni és egyéni szerepköröket is használhat egyéni és egyéni szerepkörökhöz. |
| Globális replikáció | Az Azure Cosmos DB kulcsrakész globális disztribúciót kínál, amellyel kulcsrakész módon replikálhatja adatait az Azure bármely globális adatközpontjára. A globális replikáció lehetővé teszi a globális skálázást, és alacsony késésű hozzáférést biztosít az adatokhoz világszerte. A biztonság összefüggésében a globális replikáció biztosítja a regionális hibák elleni adatvédelmet. További információ: Adatok globális elosztása. |
| Régiónkénti feladatátvétel | Ha több adatközpontban replikálja az adatokat, az Azure Cosmos DB automatikusan átgörgeti a műveleteket, ha egy regionális adatközpont offline állapotba kerül. A feladatátvételi régiók rangsorolt listáját az adatok replikálási régióinak használatával hozhatja létre. További információ: Regionális feladatátvételek az Azure Cosmos DB-ben. |
| Helyi replikáció | Az Azure Cosmos DB még egyetlen adatközponton belül is automatikusan replikálja az adatokat a magas rendelkezésre állás érdekében, így a konzisztenciaszintek közül választhat. Ez a replikáció 99,99%-os rendelkezésre állási szolgáltatásiszint-szerződést (SLA) garantál az összes egyrégiós fiókhoz és az összes többrégiós fiókhoz nyugodt konzisztenciával, és 99,999%-os olvasási rendelkezésre állást az összes többrégiós adatbázisfiókon. |
| Automatikus online biztonsági mentések | Az Azure Cosmos DB-adatbázisokról rendszeresen készítünk biztonsági másolatot, és georedundáns tárolóban tároljuk őket. További információ: Automatikus online biztonsági mentés és visszaállítás az Azure Cosmos DB-vel. |
| Törölt adatok visszaállítása | Az automatikus online biztonsági mentésekkel az esemény után legfeljebb ~30 nappal helyreállíthatja a véletlenül törölt adatokat. További információ: Automatikus online biztonsági mentés és visszaállítás az Azure Cosmos DB-vel. |
| Bizalmas adatok védelme és elkülönítése | A Mi az újdonságok területen felsorolt összes adat? most már inaktív állapotban van titkosítva. A személyes adatok és egyéb bizalmas adatok meghatározott tárolókhoz különíthetők el, és írás-olvasás, illetve írásvédett hozzáférés adott felhasználókra korlátozható. |
| Támadások figyelése | Az auditnaplók és a tevékenységnaplók használatával figyelheti a fiókját a normál és rendellenes tevékenységekre. Megtekintheti, hogy milyen műveleteket hajtottak végre az erőforrásokon. Ezek az adatok magukban foglalják a műveletet kezdeményező személyeket, a művelet bekövetkeztét, a művelet állapotát és még sok mást. |
| Reagálás a támadásokra | Miután felvette a kapcsolatot Azure-támogatás egy lehetséges támadás bejelentéséhez, megkezdődik egy ötlépéses incidenskezelési folyamat. A cél a normál szolgáltatásbiztonság és -műveletek visszaállítása. A folyamat a probléma észlelése és a vizsgálat megkezdése után a lehető leggyorsabban visszaállítja a szolgáltatásokat. További információ: Microsoft Azure biztonsági válasz a felhőben. |
| Geokerítés | Az Azure Cosmos DB biztosítja a szuverén régiók (például Németország, Kína és az USA kormánya) adatszabályozását. |
| Védett létesítmények | Az Azure Cosmos DB-ben tárolt adatok az Azure védett adatközpontjaiban található szilárd állapotú meghajtókon találhatók. További információkért tekintse meg a Microsoft globális adatközpontjait. |
| HTTPS > TLS-titkosítás | Az Azure Cosmos DB-hez csatlakozó összes kapcsolat támogatja a HTTPS-t. Az Azure Cosmos DB támogatja a Transport Layer Security (TLS) 1.2-es szintig (tartalmazza). A kiszolgálóoldalon minimális TLS-szintet lehet érvényesíteni. Ehhez tekintse meg az önkiszolgáló útmutatót , amely az Azure Cosmos DB minimális TLS-verziójának önkiszolgáló érvényesítését ismerteti. |
| Titkosítás inaktív állapotban | Az Azure Cosmos DB-ben tárolt összes adat titkosítva van. További információ az Inaktív Azure Cosmos DB-titkosításról. |
| Javított kiszolgálók | Felügyelt adatbázisként az Azure Cosmos DB automatikusan javítja és kezeli a kiszolgálót az Ön nevében, így nincs szükség manuális karbantartási feladatokra. |
| Erős jelszóval rendelkező felügyeleti fiókok | Az Azure Cosmos DB-ben nem lehet jelszó nélküli rendszergazdai fiókkal rendelkezni. A TLS és hMAC titkos hitelesítésen keresztüli biztonság alapértelmezés szerint be van kapcsolva. |
| Biztonsági és adatvédelmi tanúsítványok | A tanúsítványok legfrissebb listájáért tekintse meg az Azure-megfelelőséget és a legújabb Azure-megfelelőségi dokumentumot az összes Azure-tanúsítvánnyal, beleértve az Azure Cosmos DB-t is. |