Isolamento nel cloud pubblico Azure

Azure ti aiuta a eseguire applicazioni e macchine virtuali (VM) su infrastrutture fisiche condivise. Uno dei principali vantaggi economici dell'esecuzione di applicazioni in un ambiente cloud è la possibilità di distribuire il costo delle risorse condivise tra più tenant. Questa pratica di multi-tenancy migliora l'efficienza condividendo le risorse tra diversi tenant a costi contenuti. Tuttavia, introduce anche il rischio di condividere server fisici e altre risorse infrastrutturali per eseguire applicazioni e VM sensibili che potrebbero appartenere a un utente arbitrario e potenzialmente malevolo.

Questo articolo descrive come Azure offra isolamento sia contro utenti dannosi che non dannosi. Serve da guida per progettare soluzioni cloud offrendo diverse opzioni di isolamento agli architetti.

Isolamento a livello di tenant

Uno dei principali vantaggi del cloud computing è il concetto di infrastruttura condivisa e comune tra numerosi tenant contemporaneamente, portando a economie di scala. Questo concetto è denominato multi-tenancy. Microsoft lavora continuamente per garantire che l'architettura multitenant di Microsoft Azure supporti standard di sicurezza, riservatezza, privacy, integrità e disponibilità.

Nell'area di lavoro abilitata per il cloud, un tenant è un client o un'organizzazione proprietaria e gestisce un'istanza specifica del servizio cloud. Nella piattaforma di identità fornita da Microsoft Azure, un tenant è un'istanza dedicata di Microsoft Entra ID che la tua organizzazione riceve e possiede quando si registra a un servizio cloud Microsoft.

Ogni directory di Microsoft Entra è distinta e separata da altre directory di Microsoft Entra. Come un edificio per uffici aziendali, una directory Microsoft Entra è un asset sicuro per l'uso esclusivo dalla tua organizzazione. L'architettura di Microsoft Entra isola le informazioni relative all'identità e i dati dei clienti evitando che si combinino con altri. Questo isolamento significa che utenti e amministratori di una directory Microsoft Entra non possono accedere accidentalmente o malevolmente ai dati in un'altra directory.

Tenancy di Azure

Il concetto di tenancy di Azure (sottoscrizione di Azure) fa riferimento a una relazione cliente e fatturazione e a un tenant univoco in Microsoft Entra ID. Microsoft Entra ID e il relativo controllo degli accessi in base al ruolo di Azure forniscono l'isolamento a livello di tenant in Microsoft Azure. Ogni sottoscrizione Azure è associata a una directory di Microsoft Entra.

Gli utenti, i gruppi e le applicazioni di tale directory possono gestire le risorse nella sottoscrizione Azure. Assegna questi diritti di accesso utilizzando il portale Azure, gli strumenti a riga di comando Azure e le API di gestione Azure. Le frontiere di sicurezza isolano logicamente un tenant di Microsoft Entra in modo che nessun cliente possa accedere o compromettere i coinquilini, deliberatamente o accidentalmente. Microsoft Entra ID viene eseguito su server "bare metal" isolati in un segmento di rete separato, in cui il filtro dei pacchetti a livello di host e Windows Firewall blocca le connessioni indesiderate e il traffico.

• Access ai dati in Microsoft Entra ID richiede l'autenticazione utente tramite un servizio token di sicurezza. Il sistema di autorizzazione utilizza informazioni sull'esistenza dell'utente, lo stato abilitato e il ruolo per determinare se quest'utente ha accesso autorizzato al tenant target in questa sessione.

• I tenant sono contenitori separati che non hanno alcuna relazione tra loro.

• Non esiste alcun accesso tra tenant, a meno che un amministratore tenant non lo conceda attraverso la federazione o il provisioning di account utente da altri tenant.

• Microsoft limita l'accesso fisico ai server che costituiscono il servizio Microsoft Entra e l'accesso diretto ai sistemi back-end di Microsoft Entra ID.

• Gli utenti Microsoft Entra non hanno accesso a asset fisici o località, quindi non possono bypassare i controlli logici delle policy RBAC di Azure indicati di seguito.

Per esigenze di diagnostica e manutenzione, usare un modello operativo che impieghi un sistema di elevazione dei privilegi just-in-time. Microsoft Entra Privileged Identity Management (PIM) introduce il concetto di amministratore idoneo. Gli amministratori idonei sono utenti che necessitano occasionalmente di accesso privilegiato, ma non tutti i giorni. Il ruolo è inattivo finché l'utente non ha bisogno di accedervi. L'utente completa quindi un processo di attivazione e diventa amministratore attivo per un periodo di tempo prestabilito.

Microsoft Entra ID ospita ogni tenant nel proprio contenitore protetto, con criteri e autorizzazioni per e all'interno del contenitore esclusivamente di proprietà e gestiti dal tenant.

Il concetto di contenitori tenant è profondamente radicato nel servizio directory a tutti i livelli, dai portali fino al storage permanente.

Anche quando i metadati di più tenant di Microsoft Entra vengono archiviati nello stesso disco fisico, non esiste alcuna relazione tra i contenitori diversi da quello definito dal servizio directory, che a sua volta è dettato dall'amministratore del tenant.

Azure controllo degli accessi basato sui ruoli (Azure RBAC)

Il controllo degli accessi basato sul ruolo di Azure (Azure RBAC) ti aiuta a condividere diversi componenti disponibili all'interno di un abbonamento Azure offrendo una gestione degli accessi dettagliata per Azure. Azure RBAC consente di suddividere i compiti all'interno dell'organizzazione e concedere l'accesso in base a ciò di cui gli utenti hanno bisogno per svolgere il loro lavoro. Anziché concedere a tutti le autorizzazioni senza restrizioni in una sottoscrizione o risorse Azure, è possibile consentire solo determinate azioni.

Azure RBAC (controllo degli accessi in base al ruolo) ha tre ruoli principali che si applicano a tutti i tipi di risorse.

• Owner ha access completo a tutte le risorse, incluso il diritto di delegare access ad altri utenti.

• Contributor può creare e gestire tutti i tipi di risorse Azure ma non può concedere access ad altri utenti.

• Reader può visualizzare le risorse Azure esistenti.

Il resto dei ruoli di Azure in Azure consente la gestione di risorse di Azure specifiche. Ad esempio, il ruolo Collaboratore macchina virtuale consente all'utente di creare e gestire virtual machines. Non fornisce accesso a Rete virtuale di Azure o alla subnet a cui si connette la macchina virtuale.

Ruoli predefiniti di Azure: elenca i ruoli disponibili in Azure. Specificano le operazioni e l'ambito che ogni ruolo predefinito concede agli utenti. Se si vuole definire i propri ruoli per un maggiore controllo, consulta come creare ruoli personalizzati in Azure RBAC.

Altre funzionalità per Microsoft Entra ID includono:

• Microsoft Entra ID consente l'accesso Single Sign-On alle applicazioni SaaS, indipendentemente dalla posizione in cui sono ospitati. Alcune applicazioni sono federate con Microsoft Entra ID e altre usano l'accesso SSO basato su password. Le applicazioni federate possono anche supportare il provisioning utenti e l'insieme di credenziali delle password.

• Microsoft Entra ID fornisce IDaaS tramite la federazione usando Active Directory Federation Services, la sincronizzazione e la replica con directory locali.

• L'autenticazione a più fattori di Microsoft Entra richiede agli utenti di verificare gli accessi usando un'app per dispositivi mobili, una telefonata o un SMS. Utilizzalo con Microsoft Entra ID per aiutare a proteggere le risorse on-premises utilizzando il Multi-Factor Authentication Server, e anche con applicazioni e directory personalizzate tramite l'SDK.

• Microsoft Entra Domain Services ti aiuta a collegare macchine virtuali Azure a un dominio Active Directory senza dover distribuire controller di dominio. È possibile accedere a queste virtual machines con le credenziali di Active Directory aziendali e amministrare le virtual machines aggiunte al dominio usando Group Policy per applicare le baseline di sicurezza in tutti i Azure virtual machines.

• Microsoft Entra per ID esterno è un servizio di gestione delle identità globali altamente disponibile per applicazioni rivolte al consumatore che può scalare fino a centinaia di milioni di identità. Puoi integrarlo sia su piattaforme mobili che web. Gli utenti possono accedere a tutte le applicazioni attraverso esperienze personalizzabili usando gli account dei propri social network esistenti o creando credenziali.

Isolamento dagli amministratori Microsoft e dall'eliminazione dei dati

Microsoft adotta misure avanzate per proteggere i dati da access inappropriati o dall'uso da parte di persone non autorizzate. Le condizioni di Online Services offrono impegni contrattuali che regolano l'accesso ai dati e supportano questi processi operativi e controlli.

• I tecnici Microsoft non hanno accesso predefinito ai tuoi dati nel cloud. Viene invece concesso l'accesso, sotto supervisione gestionale, solo quando necessario. L'accesso è controllato e registrato attentamente, e revocato quando non è più necessario.
• Microsoft può ricorrere ad altre società per la fornitura di servizi limitati per suo conto. I subappaltatori possono access solo i dati dei clienti per fornire i servizi per i quali Microsoft li ha assunti e non possono usarli per qualsiasi altro scopo. Inoltre, sono vincolati contrattualmente a mantenere la riservatezza delle informazioni dei clienti.

Microsoft e le società di controllo accreditate verificano regolarmente i servizi aziendali con certificazioni controllate, ad esempio ISO/IEC 27001. Questi revisori eseguono audit a campione per confermare che l'accesso è solo per scopi aziendali legittimi. È sempre possibile accedere ai propri dati dei clienti in qualsiasi momento e per qualsiasi motivo.

Se si eliminano dati, Microsoft Azure elimina i dati, incluse eventuali copie memorizzate nella cache o di backup. Per i servizi di competenza, l'eliminazione avviene entro 90 giorni dalla fine del periodo di conservazione. (La sezione Condizioni per il trattamento dei dati delle Condizioni dei servizi online definisce i servizi nell'ambito.)

Se un'unità disco usata per l'archiviazione subisce un errore hardware, Microsoft cancella o distrugge l'unità prima di restituirla al produttore per la sostituzione o la riparazione. Microsoft sovrascrive i dati sul disco per assicurarsi che nessuno possa recuperarli in alcun modo.

Isolamento delle risorse di calcolo

Microsoft Azure offre vari servizi di elaborazione basati sul cloud che includono una vasta gamma di istanze di calcolo e servizi che possono aumentare e ridurre automaticamente le prestazioni per soddisfare le esigenze dell'applicazione o dell'azienda. Queste istanze e servizi di calcolo offrono isolamento a più livelli per proteggere i dati senza sacrificare la flessibilità di configurazione richiesta dalle organizzazioni.

Dimensioni delle macchine virtuali isolate

Azure Compute offre dimensioni di macchina virtuale isolate a un tipo di hardware specifico e dedicate a un singolo cliente. Le dimensioni isolate operano su generazioni hardware specifiche. Azure deprecia queste dimensioni quando la generazione hardware va in pensione o quando è disponibile una nuova generazione hardware.

Le dimensioni isolate delle macchine virtuali sono più adatte per carichi di lavoro che richiedono un alto grado di isolamento rispetto ai carichi di lavoro di altri tenant. Questo isolamento è talvolta necessario per rispettare i requisiti di conformità e normative. Usare una dimensione isolata garantisce che la tua macchina virtuale sia l'unica ad eseguire su quell'istanza server specifica.

Poiché le VM di dimensioni isolate sono grandi, puoi scegliere di suddividere le loro risorse usando il supporto supporto tecnico di Azure per macchine virtuali annidate.

Le offerte attuali di macchine virtuali isolate includono:

• Standard_E192is_v6
• Standard_E192ids_v6
• Standard_E104i_v5
• Standard_E104id_v5
• Standard_E104is_v5
• Standard_E104ids_v5
• Standard_E112ias_v5
• Standard_E112iads_v5
• Standard_E80is_v4
• Standard_E80ids_v4
• Standard_E96ias_v4
• Standard_E112ibs_v5
• Standard_E112ibds_v5
• Standard_EC96ias_v5
• Standard_EC96iads_v5
• Standard_HB120rs_v3
• Standard_HB176rs_v4
• Standard_HB368rs_v5
• Standard_HX176rs
• Standard_M832is_16_v3
• Standard_M832ids_16_v3
• Standard_M192is_v2
• Standard_M192ids_v2
• Standard_M192ims_v2
• Standard_M192idms_v2
• Standard_NC64as_T4_v3
• Standard_NC96ads_A100_v4
• Standard_NC80adis_H100_v5
• Standard_ND128isr_NDR_GB200_v6
• Standard_ND128isr_NDR_GB300_v6
• Standard_ND96isr_H100_v5
• Standard_ND96isr_H200_v5
• Standard_ND96isr_MI300X_v5
• Standard_NG32ads_V620_v1
• Standard_NG32adms_V620_v1
• Standard_NV72ads_A10_v5

Deprecazione delle dimensioni isolate delle VM

Le dimensioni delle VM isolate hanno una durata limitata dall'hardware. Azure emetterà promemoria 12 mesi prima della data di deprecazione ufficiale delle dimensioni e fornirà un'offerta isolata aggiornata da valutare. Azure ha annunciato le seguenti dimensioni per il ritiro.

Per suddividere ulteriormente le risorse di queste macchine virtuali isolate, vedi supporto tecnico di Azure per macchine virtuali annidate.

Host dedicati

Oltre agli host isolati descritti nella sezione precedente, Azure offre anche host dedicati. host dedicato di Azure è un servizio che fornisce server fisici in grado di ospitare una o più macchine virtuali e sono dedicati a un singolo abbonamento Azure. Gli host dedicati forniscono isolamento hardware a livello di server fisico. Nessun'altra macchina virtuale viene collocata nei tuoi host. Gli host dedicati vengono distribuiti negli stessi data center e condividono la stessa rete e l'infrastruttura di storage sottostante di altri host non isolati. Per altre informazioni, vedere la panoramica dettagliata degli host dedicati di Azure.

Hyper-V e l'isolamento tra il sistema operativo principale e le macchine virtuali guest

la piattaforma di calcolo di Azure si basa sulla virtualizzazione delle macchine. Tutto il codice cliente viene eseguito in una macchina virtuale Hyper-V. In ogni nodo Azure (o endpoint di rete), un hypervisor viene eseguito direttamente sull'hardware e divide il nodo in un numero variabile di virtual machines guest (VM).

Ogni nodo ha anche una macchina virtuale radice speciale che esegue il sistema operativo host. L'hypervisor e il sistema operativo radice gestiscono l'isolamento della macchina virtuale radice dalle macchine virtuali guest e l'isolamento delle macchine virtuali guest l'una dall'altra. Questa coppia tra hypervisor e sistema operativo root sfrutta decenni di esperienza di Microsoft nella sicurezza dei sistemi operativi e più recenti apprendimenti dalla Hyper-V di Microsoft per fornire un forte isolamento delle VM ospite.

La piattaforma Azure usa un ambiente virtualizzato. Le istanze utente funzionano come virtual machines autonome che non hanno access a un server host fisico.

L'hypervisor Azure agisce come un microkernel. Passa tutte le richieste di accesso hardware dalle macchine virtuali guest all'host per l'elaborazione usando un'interfaccia di memoria condivisa denominata VM Bus. Questa architettura impedisce agli utenti di ottenere accesso diretto in lettura, scrittura o esecuzione al sistema e mitiga il rischio associato alla condivisione delle risorse di sistema.

Algoritmo avanzato di posizionamento delle VM e protezione dagli attacchi a canale laterale

Qualsiasi attacco cross-VM prevede due fasi: posizionare una VM controllata dall'avversario sullo stesso host di una delle VM vittime, e poi violare il confine di isolamento per rubare informazioni sensibili della vittima o influenzarne le prestazioni per furto o interruzione delle risorse. Microsoft Azure offre protezione in entrambi i passaggi usando un algoritmo avanzato di posizionamento delle macchine virtuali e la protezione da tutti gli attacchi di canale laterale noti, incluse le macchine virtuali adiacenti rumorose.

Controller di infrastruttura di Azure

Il controller di infrastruttura Azure alloca le risorse dell'infrastruttura ai carichi di lavoro tenant e gestisce le comunicazioni unidirezionali dall'host all'virtual machines. L'algoritmo di posizionamento delle VM è altamente sofisticato e quasi impossibile da prevedere a livello fisico dell'host.

In Azure, la macchina virtuale radice esegue un sistema operativo con protezione avanzata denominato sistema operativo radice che ospita un agente di infrastruttura (FA). Gli FA gestiscono gli agenti guest (GA) all'interno dei sistemi operativi guest nelle macchine virtuali dei clienti e gestiscono anche i nodi storage.

La raccolta dell'hypervisor di Azure, del sistema operativo/FA di root e delle VMs/GA dei clienti comprende un nodo di calcolo. Un controller di infrastruttura gestisce gli FA. Il Fibre Channel esiste all'esterno dei nodi di calcolo e di archiviazione. Le FC separate gestiscono i cluster di calcolo e di archiviazione. Se un cliente aggiorna il file di configurazione dell'applicazione mentre è in esecuzione, l'FC comunica con l'FA. L'FA contatta i GA, che notificano all'applicazione la modifica della configurazione. In caso di errore hardware, il controller di infrastruttura trova automaticamente l'hardware disponibile nel quale riavvia la macchina virtuale.

La comunicazione tra un controller di infrastruttura e un agente è unidirezionale. L'agente implementa un servizio protetto da SSL che risponda solo alle richieste del controller. L'agente non può avviare connessioni al controller o ad altri nodi interni privilegiati. Il controller di infrastruttura considera tutte le risposte come se fossero non attendibili.

L'isolamento si estende dalla macchina virtuale radice alle macchine virtuali guest e da una macchina virtuale guest a un'altra. I nodi di calcolo sono isolati anche dai nodi storage per una maggiore protezione.

L'hypervisor e il sistema operativo host forniscono filtri di pacchetti di rete. Questi filtri aiutano a garantire che le macchine virtuali non attendibili non possano generare traffico falsificato o ricevere traffico non indirizzato a loro. Indirizzano il traffico agli endpoint dell'infrastruttura protetta e impediscono l'invio o la ricezione di traffico di trasmissione inappropriato.

Altre regole configurate dall'agente fabric controller per isolare la VM

Di default, Azure blocca tutto il traffico quando crei una macchina virtuale. L'agente controller di infrastruttura configura quindi il filtro pacchetti per aggiungere regole ed eccezioni per consentire il traffico autorizzato.

L'agente fabric controller programma due categorie di regole:

• Regole di configurazione o infrastruttura della macchina: Di default, Azure blocca tutte le comunicazioni. Aggiungere eccezioni per consentire a una macchina virtuale di inviare e ricevere traffico DHCP e DNS. Virtual machines può anche inviare traffico a Internet "pubblico" e inviare traffico ad altri virtual machines all'interno dello stesso Rete virtuale di Azure e del server di attivazione del sistema operativo. L'elenco delle destinazioni in uscita consentite per le macchine virtuali non include le subnet dei router Azure, la gestione Azure e altre proprietà Microsoft.
• Role file di configurazione: Questo file definisce gli elenchi di Controllo di accesso in ingresso (ACL) in base al modello di servizio del tenant.

Isolamento VLAN

Ogni cluster contiene tre VLAN:

Isolamento

• La VLAN principale: Interconnette i nodi clienti non affidabili.
• La VLAN FC: Contiene FC affidabili e sistemi di supporto.
• La VLAN del dispositivo: Contiene dispositivi di rete affidabili e altri dispositivi di infrastruttura.

La VLAN FC può comunicare con la VLAN principale, ma la VLAN principale non può avviare la comunicazione con la VLAN FC. La VLAN principale non può comunicare con la VLAN del dispositivo. Questa architettura VLAN garantisce che anche se un nodo che esegue codice cliente viene compromesso, non possa attaccare nodi né sulla FC né sulle VLAN dei dispositivi.

isolamento dell'archiviazione

Isolamento logico tra calcolo e storage

Nell'ambito della progettazione fondamentale, Microsoft Azure separa il calcolo basato su macchine virtuali da storage. Questa architettura consente alle risorse di calcolo e di archiviazione di scalare in modo indipendente, semplificando l'offerta di multitenancy e isolamento.

Di conseguenza, Archiviazione di Azure viene eseguito su hardware separato senza connettività di rete per Azure Calcolo, ad eccezione della connettività logica. Questo design di archiviazione significa che quando crei un disco virtuale, il sistema non alloca spazio su disco per tutta la sua capacità. Il sistema crea invece una tabella che esegue il mapping degli indirizzi sul disco virtuale alle aree del disco fisico. Questa tabella è inizialmente vuota. La prima volta che si scrivono dati sul disco virtuale, il sistema alloca spazio sul disco fisico e lo inserisce nella tabella.

Isolamento tramite controllo di accesso allo storage

Access control in Archiviazione di Azure usa un modello access control semplice. Ogni sottoscrizione Azure può creare uno o più account storage. Ogni account di archiviazione ha una singola chiave segreta usata per controllare l'accesso a tutti i dati in quell'account di archiviazione.

È possibile controllare l'accesso ai dati di Archiviazione di Azure (incluse le tabelle) tramite un token SAS (firma di accesso condiviso), che concede l'accesso con ambito. Si crea la firma di accesso condiviso tramite un modello di query (URL) e lo si firma con la chiave dell'account di archiviazione. Puoi assegnare l'URL firmato a un altro processo (delegato). Il processo delegato può quindi compilare i dettagli della query e effettuare la richiesta del servizio storage. Usando una firma di accesso condiviso è possibile concedere l'accesso con scadenza ai client senza rivelare la chiave privata dell'account di archiviazione.

Con il SAS, puoi concedere a un client permessi limitati agli oggetti nel tuo account di archiviazione per un periodo di tempo specificato e un insieme specifico di permessi. Queste autorizzazioni limitate vengono concesse senza dover condividere le chiavi di accesso dell'account.

Isolamento dello storage a livello IP

È possibile stabilire firewall e definire un intervallo di indirizzi IP per i client attendibili. Usando un intervallo di indirizzi IP, solo i client che dispongono di un indirizzo IP all'interno dell'intervallo definito possono connettersi a Archiviazione di Azure.

Utilizzare un meccanismo di rete che alloca un tunnel dedicato di traffico allo storage IP per proteggere i dati di archiviazione IP da utenti non autorizzati.

Crittografia

Azure offre i tipi di crittografia seguenti per proteggere i dati:

• Crittografia in transito
• Crittografia di dati inattivi

Crittografia in transito

La crittografia in transito protegge i dati quando vengono trasmessi tra reti. Usando Archiviazione di Azure, è possibile proteggere i dati usando:

• Crittografia a livello di trasporto, ad esempio HTTPS, quando si trasferiscono dati verso o da Archiviazione di Azure.
• crittografia di rete, ad esempio la crittografia SMB 3.0 per le condivisioni file di Azure.
• Crittografia lato client, per crittografare i dati prima che vengano trasferiti in storage e decrittografare i dati dopo il trasferimento da storage.

Crittografia di dati inattivi

Per molte organizzazioni, la crittografia dei dati a riposo è un passo obbligatorio verso la privacy, la conformità e la sovranità dei dati. Le funzionalità di Azure che offrono la crittografia dei dati a riposo includono:

• La crittografia dei servizi di storage cripta automaticamente i dati quando li scrive su Archiviazione di Azure.
• La crittografia lato client cripta i dati prima che vengano trasferiti in archiviazione.
• Crittografia sull'host fornisce la crittografia end-to-end per i dati della macchina virtuale.

Crittografia a livello di host

Encryption all'host fornisce la crittografia end-to-end per i dati della macchina virtuale crittografando i dati a livello di host della macchina virtuale. Per impostazione predefinita, usa chiavi gestite dalla piattaforma, ma facoltativamente è possibile usare chiavi gestite dal cliente archiviate in Azure Key Vault o Azure Key Vault modulo di protezione hardware gestito quando è necessario un maggiore controllo.

La crittografia nell'host fornisce la crittografia lato server a livello di host della macchina virtuale usando la crittografia AES 256, conforme a FIPS 140-2. Questa crittografia si verifica senza usare le risorse della CPU della macchina virtuale e fornisce la crittografia end-to-end per:

• Dischi temporanei
• Cache di sistema operativo e disco dei dati
• Flussi di dati a Archiviazione di Azure

Vantaggi principali della crittografia nell'host:

• Nessun impatto sulle prestazioni: la crittografia avviene a livello host senza utilizzare le risorse CPU della VM.
• Ampio supporto VM: supportato sulla maggior parte delle serie e dimensioni di VM.
• Chiavi gestite dal cliente: Integrazione opzionale con Azure Key Vault o Managed HSM per il controllo delle chiavi.
• Chiavi gestite dalla piattaforma di default: Nessuna configurazione aggiuntiva necessaria per la crittografia.

Per altre informazioni, vedere Encryption nell'host e Panoramica delle opzioni di crittografia del disco gestito.

Isolamento del database SQL

database SQL di Azure è un servizio di database relazionale basato su cloud costruito sul motore Microsoft SQL Server. database SQL di Azure è un servizio di database multitenant altamente disponibile, scalabile e con un isolamento prevedibile dei dati a livello di account, geografia, regione e rete. Il servizio fornisce questo isolamento del database con un'amministrazione quasi nulla.

Modello di applicazione del database SQL

Dal punto di vista dell'applicazione, il database SQL fornisce la gerarchia seguente, dove ogni livello ha una relazione di contenimento di uno-a-molti di questi livelli.

L'account e la sottoscrizione sono concetti della piattaforma microsoft Azure per associare fatturazione e gestione.

I server e database SQL logici sono concetti specifici del database SQL. Li gestisci usando interfacce OData e T-SQL fornite dal database SQL o il portale Azure.

I server in SQL Database non sono istanze fisiche o VM. Invece, sono raccolte di database che condividono politiche di gestione e sicurezza memorizzate in un cosiddetto database logico master.

I database master logici includono:

• Account di accesso SQL usati per connettersi al server
• Regole del firewall

Le informazioni relative alla fatturazione e all'utilizzo per i database provenienti dallo stesso server non sono garantite che siano sulla stessa istanza fisica nel cluster. Le applicazioni devono fornire il nome del database target durante la connessione.

Dal tuo punto di vista, crei un server in una regione geografica, ma Azure crea il server in uno dei cluster di quella regione.

Isolamento tramite topologia di rete

Quando crei un server e registri il suo nome DNS, il nome DNS punta all'indirizzo VIP del Gateway nel data center specifico dove colloci il server.

Dietro l'indirizzo VIP (indirizzo IP virtuale), c'è una raccolta di servizi gateway senza stato. In generale, i gateway vengono coinvolti quando è necessario il coordinamento tra più origini dati (database master, database utente e così via). I servizi gateway implementano le funzioni seguenti:

• Inoltro dei dati tramite connessione TDS. Questa funzione include l'individuazione del database utente nel cluster back-end, l'implementazione della sequenza di autenticazione, quindi l'inoltro dei pacchetti TDS al back-end e indietro.
• Gestione di database. Questa funzione include l'implementazione di una raccolta di flussi di lavoro per gestire le operazioni di database CREATE, ALTER e DROP. Il servizio può evocare operazioni di database sia sniffando pacchetti TDS sia API OData esplicite.
• Operazioni CREATE, ALTER e DROP per l'autenticazione e per le operazioni utente
• Operazioni di gestione del server tramite l'API OData

Il livello dietro i gateway viene chiamato back-end. Il livello back-end memorizza tutti i dati in modo altamente disponibile. Ogni parte di dati appartiene a una partizione o a un'unità di failover e ogni partizione ha almeno tre repliche. Il motore di SQL Server archivia e replica le repliche e un sistema di failover spesso definito fabric li gestisce.

In genere, il sistema back-end non comunica in uscita con altri sistemi come misura di sicurezza. Azure riserva la comunicazione in uscita ai sistemi nel front-end (gateway) tier. Le macchine del livello gateway dispongono di privilegi limitati sulle macchine back-end. Questo vincolo minimizza la superficie d'attacco come meccanismo di difesa in profondità.

Isolamento in base alla funzione della macchina e all'accesso

Il database SQL comprende servizi che girano su diverse funzioni della macchina. SQL Database suddivide questi servizi in un ambiente di database cloud di back-end e in ambienti di front-end per gateway e gestione, con il principio generale che il traffico è consentito solo in ingresso verso il back-end e non in uscita. L'ambiente front-end può comunicare con il mondo esterno e con altri servizi e, in generale, dispone solo di autorizzazioni limitate nel back-end (sufficienti per chiamare i punti di accesso che deve invocare).

Isolamento della rete

Le implementazioni di Azure hanno più livelli di isolamento di rete. Il diagramma seguente mostra i vari livelli di isolamento di rete che Azure offre. Questi livelli includono funzionalità native della piattaforma Azure e funzionalità definite dal cliente. In entrata da Internet, la Protezione DDoS di Azure offre isolamento contro attacchi su larga scala contro Azure. Il livello di isolamento successivo è costituito dagli indirizzi IP pubblici definiti dal cliente (endpoint), usati per determinare il traffico che può passare attraverso il servizio cloud alla virtual network. L'isolamento nativo di rete virtuale Azure garantisce un isolamento completo rispetto a tutte le altre reti. Il traffico scorre solo attraverso percorsi e metodi configurati dall'utente. Questi percorsi e metodi rappresentano il livello successivo, dove NSG, UDR e tu possono utilizzare appliance virtuali di rete per creare confini di isolamento e proteggere le implementazioni applicative nella rete protetta.

Isolamento del traffico: Una rete virtuale costituisce il confine di isolamento del traffico sulla piattaforma Azure. Le macchine virtuali (VM) in una rete virtuale non possono comunicare direttamente con VM in una rete virtuale diversa, anche se entrambe le reti virtuali sono create dallo stesso cliente. L'isolamento è una proprietà fondamentale che garantisce che le VM dei clienti e le comunicazioni rimangano private all'interno di una rete virtuale.

Una subnet fornisce un ulteriore livello di isolamento all'interno di una rete virtuale basato sull'intervallo IP. È possibile dividere un virtual network in più subnet per l'organizzazione e la sicurezza. Le macchine virtuali e le istanze del ruolo PaaS distribuite in subnet (uguali o diverse) all'interno di un virtual network possono comunicare tra loro senza alcuna configurazione aggiuntiva. È anche possibile configurare gruppi di sicurezza di rete (NSG) per consentire o negare il traffico di rete a un'istanza di macchina virtuale in base alle regole di sicurezza. È possibile associare i gruppi di sicurezza di rete a subnet o a singole interfacce di rete collegate alle macchine virtuali. Quando si associa un gruppo di sicurezza di rete a una subnet, le regole di sicurezza si applicano a tutte le istanze di macchina virtuale in tale subnet.

Passaggi successivi

• Scopri i gruppi di sicurezza della rete. I gruppi di sicurezza di rete filtrano il traffico di rete tra le risorse Azure in una rete virtuale. È possibile limitare il traffico verso subnet o virtual machines in base all'origine, alla destinazione, alla porta e al protocollo usando le regole di sicurezza.

• Informazioni sull'isolamento della macchina virtuale in Azure. Azure Compute offre dimensioni di macchina virtuale isolate a un tipo di hardware specifico e dedicate a un singolo cliente.