Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Azure HorizonDB ist ein cloudeigener, vollständig verwalteter, PostgreSQL-kompatibler Datenbankdienst für unternehmenskritische Workloads.
In diesem Artikel werden bewährte Methoden zum Schutz von Azure HorizonDB-Bereitstellungen beschrieben.
Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.
Netzwerksicherheit
Mit Netzwerksteuerelementen können Sie einschränken, welche Clients Ihren Azure HorizonDB-Cluster erreichen können, bevor die Datenbankauthentifizierung und Autorisierung erfolgt.
- Verwenden Sie private Endpunkte, wenn öffentliches Routing nicht erforderlich ist: Verwenden Sie private Endpunkte für Workloads, die private Verbindungen mit Azure HorizonDB herstellen können, anstatt den Datenbankdatenverkehr über öffentliche Internetpfade weiterzuleiten. Weitere Informationen finden Sie unter Netzwerkübersicht mit öffentlichen Zugriffen (zulässige IP-Adressen) und privaten Endpunkten in Azure HorizonDB.
- Einschränken des öffentlichen Zugriffs auf genehmigte IP-Adressen: Hinzufügen von Firewallregeln nur für vertrauenswürdige Client- und Anwendungs-IP-Adressen oder -Bereiche. Standardmäßig sind keine öffentlichen IP-Adressen zulässig. Weitere Informationen finden Sie unter Hinzufügen von Firewallregeln in Azure HorizonDB (Vorschau).
-
Beschränken Sie den allgemeinen Azure Dienstzugriff: Vermeiden Sie die
0.0.0.0Firewallregel, es sei denn, Ihr Szenario erfordert sie, da sie Verbindungen von IP-Adressen zulässt, die Azure Diensten und Ressourcen zugeordnet sind, einschließlich Ressourcen in anderen Kundenabonnements. Weitere Informationen finden Sie unter Netzwerkübersicht mit öffentlichen Zugriffen (zulässige IP-Adressen) und privaten Endpunkten in Azure HorizonDB. - Verwenden Sie vollqualifizierte Domänennamen für Verbindungen: Verwenden Sie in Verbindungszeichenfolgen den vollqualifizierten Domänennamen des Azure HorizonDB-Clusters anstelle einer IP-Adresse, da nicht garantiert ist, dass die Cluster-IP-Adresse statisch bleibt. Weitere Informationen finden Sie unter Netzwerkübersicht mit öffentlichen Zugriffen (zulässige IP-Adressen) und privaten Endpunkten in Azure HorizonDB.
Identitäts- und Zugriffsverwaltung
Verwenden Sie Azure RBAC für Azure Ressourcenverwaltungs- und PostgreSQL-Rollen für die Autorisierung auf Datenbankebene.
- Weisen Sie Azure RBAC-Berechtigungen nach dem Prinzip der geringsten Rechte zu: Gewähren Sie Benutzern und Automatisierungsprozessen nur die Azure-Berechtigungen, die zum Erstellen, Anzeigen, Ändern oder Löschen von Azure HorizonDB-Ressourcen erforderlich sind. Weitere Informationen finden Sie unter Rollenbasierte Zugriffssteuerung in Azure (Azure Role-Based Access Control, Azure RBAC).
- Erstellen von Datenbankrollen für den Anwendungszugriff: Verwenden Sie PostgreSQL-Rollen mit bestimmten Berechtigungen, anstatt die Administratorrolle für Anwendungen zu verwenden. Weitere Informationen finden Sie unter Access-Verwaltung in Azure HorizonDB (Vorschau).For more information, see Access management in Azure HorizonDB (Preview).
- Verwalten Sie lokale Datenbankbenutzer separat von Azure RBAC: Erstellen Sie Datenbankbenutzer, und erteilen Sie Datenbank-, Schema- und Tabellenberechtigungen basierend auf den Arbeitsauslastungsanforderungen der einzelnen Benutzer. Weitere Informationen finden Sie unter "Verwalten von Benutzern in Azure HorizonDB (Vorschau)".
-
SCRAM-SHA-256-Kennwortauthentifizierung erforderlich: Konfigurieren Sie
password_encryptionund die unterstützten Authentifizierungsmethoden so, dass sie SCRAM-SHA-256 verwenden, und aktualisieren Sie die Benutzerkennwörter, bevor Sie die ausschließliche SCRAM-Authentifizierung erzwingen. Weitere Informationen finden Sie unter SCRAM-Authentifizierung in Azure HorizonDB (Vorschau).For more information, see SCRAM authentication in Azure HorizonDB (Preview). - Verwenden Sie die Sicherheit auf Zeilenebene für den Mandanten- oder Zeilenbereichszugriff: Definieren Sie Sicherheitsrichtlinien auf Ebene der PostgreSQL-Zeile, wenn die Autorisierung von Zeilenbesitz, Mandantengrenzen oder klassifizierten Datenzugriff abhängt. Weitere Informationen finden Sie unter Access-Verwaltung in Azure HorizonDB (Vorschau).For more information, see Access management in Azure HorizonDB (Preview).
Datenschutz
Azure HorizonDB verschlüsselt verwaltete Daten im Ruhezustand immer mithilfe von dienstseitig verwalteten Schlüsseln. Vom Kunden verwaltete Schlüssel sind in der Vorschau nicht verfügbar, daher konzentrieren sich die konfigurierbaren Datenschutzsteuerelemente auf TLS, clientseitigen Schutz und PostgreSQL-Datenzugriffsmuster. Weitere Informationen finden Sie unter Azure HorizonDB-Einschränkungen und Verschlüsselung ruhender Daten in Azure HorizonDB (Vorschau).
-
Überprüfen Sie TLS-Zertifikate für Clientverbindungen: Konfigurieren Sie PostgreSQL-Clients für die Verwendung von
sslmode=verify-fullodersslmode=verify-ca, damit Clients das Zertifikat des Azure HorizonDB-Clusters überprüfen. Weitere Informationen finden Sie unter Verbinden von Clients mit TLS-Sicherheit mit Ihrer Datenbank in Azure HorizonDB (Preview).For more information, see Connect clients with TLS security to your database in Azure HorizonDB (Preview). -
Fordern Sie TLS 1.3 an, wenn Clients ihn unterstützen: Legen Sie den
ssl_min_protocol_versionParameterTLSv1.3für Workloads fest, die keine TLS 1.2-Kompatibilität benötigen. Weitere Informationen finden Sie unter Transport Layer Security (TLS) in Azure HorizonDB (Preview).For more information, see Transport Layer Security (TLS) in Azure HorizonDB (Preview). - Verwalten Sie vertrauenswürdige Stammzertifikate: Behalten Sie erforderliche Azure HorizonDB-Stammzertifizierungsstellen in Clientvertrauensspeichern bei, und vermeiden Sie vertrauenswürdige Zwischenzertifizierungsstellen oder einzelne Clusterzertifikate. Weitere Informationen finden Sie unter Transport Layer Security (TLS) in Azure HorizonDB (Preview).For more information, see Transport Layer Security (TLS) in Azure HorizonDB (Preview).
- Verschlüsseln Sie vertrauliche Werte vor dem Speichern: Für Daten, die zusätzlich zur ruhenden Dienstverwalteten Verschlüsselung anwendungsgesteuerte Geheimhaltung erfordern, verschlüsseln Sie Werte in der Anwendung, bevor Sie sie in Azure HorizonDB schreiben und Verschlüsselungsschlüssel separat von Datenbankadministratoren verwalten. Weitere Informationen finden Sie unter Azure Verschlüsselungsübersicht.
- Datenmaskierung für die kontrollierte Datenfreigabe verwenden: Verwenden Sie die vom PostgreSQL-Anonymizer unterstützten Funktionen für Muster wie anonyme Dumps, statische Maskierung, dynamische Maskierung, maskierende Ansichten und maskierende Data Wrapper, wenn Sie die Freigabe sensibler Daten reduzieren müssen. Weitere Informationen finden Sie unter "Angepasste Optionen für HorizonDB".
Sicherung und Wiederherstellung
Sicherungs- und Wiederherstellungskontrollen helfen Ihnen, sich von versehentlichen Datenänderungen, destruktiven Vorgängen und Verfügbarkeitsvorfällen zu erholen.
- Überprüfen Sie die Wiederherstellungsanforderungen anhand von Vorschausicherungsgrenzwerten: Azure HorizonDB hält derzeit automatisierte Sicherungen für sieben Tage, und die konfigurierbare Aufbewahrung von 1 bis 35 Tagen ist noch nicht verfügbar. Weitere Informationen finden Sie unter Backups in Azure HorizonDB (Preview).
- Stellen Sie nach versehentlichen Änderungen einen benutzerdefinierten Punkt wieder her: Verwenden Sie die Point-in-Time-Wiederherstellung, um einen neuen Cluster aus einem ausgewählten Wiederherstellungspunkt innerhalb des aktuellen Aufbewahrungsfensters zu erstellen. Weitere Informationen finden Sie unter "Restore for Azure HorizonDB (Preview)".
- Konfigurieren Sie Replikate für Verfügbarkeitsziele: Verwenden Sie mindestens zwei Compute-Replikate für zonenbezogene Resilienz, und verwenden Sie Lesereplikate innerhalb der Region, um Leselasten auszulagern und Failover-Ziele bereitzustellen. Weitere Informationen finden Sie unter Übersicht über die Geschäftskontinuität in Azure HorizonDB (Vorschau).
- Schützen von Clustern vor versehentlicher Löschung: Wenden Sie Azure Ressourcensperren auf kritische Azure HorizonDB-Cluster an, da gelöschte Server derzeit nicht wiederhergestellt werden können. Weitere Informationen finden Sie unter Schutz vor versehentlichem Löschen mithilfe von Ressourcensperren in Azure HorizonDB (Vorschau).