Governance- en beveiligingsbasislijnen voor Azure VMware Solution

Dit artikel helpt u bij het instellen van governance- en beveiligingsbasislijnen, zodat elke Azure VMware Solution workload consistente controles overneemt en risico's vermindert voordat onboarding wordt uitgevoerd.

Diagram met het Microsoft Cloud Adoption Framework-proces voor Azure VMware Solution acceptatie.

Dit artikel helpt besluitvormers bij het vaststellen van de governance- en beveiligingsbasislijn die standaard door elke Azure VMware Solution workload wordt overgenomen. Een basislijn is de minimale reeks beheersmaatregelen die elke Azure VMware Solution-workload erft voordat een workloadteam wordt aangesloten. U maakt en onderhoudt deze basislijnen. Bouw aanvullende controles om te voldoen aan de behoeften van de organisatie, zoals naleving van regelgeving of om workloadspecifieke risico's te beheren.

In deze basisrichtlijnen wordt uitgegaan van Azure VMware Solution Generation 2 (Gen 2), waarbij de private cloud standaard binnen een virtueel Azure-netwerk wordt uitgerold, wat native connectiviteit met Azure-services en Azure-native beheeropties biedt. Generatie 1 (Gen 1) is de verouderde uitzondering en wordt alleen aangeroepen wanneer de mogelijkheden verschillen.

Pas dezelfde governance- en beveiligingsbasislijnen toe op niet-productieomgevingen als op productieomgevingen. Het gebruik van consistente basislijnen betekent minder risico op zwakke plekken in uw algehele omgeving en vereenvoudigt de overgang van workloads van de ene omgeving naar de andere.

Aanbeveling: Bepaal de governance- en beveiligingsbasislijn die elke Azure VMware Solution workload moet overnemen in zowel de Azure-omgeving als de VMware-privécloud voordat u toepassingen of operationele teams onboardt.

1. Basislijnbereik voor governance

Azure VMware Solution governance op twee oppervlakken nodig heeft en een basislijn die slechts één van deze omvat, laat hiaten in controle en risico achter.

  • Azure governance: Het Azure oppervlak is de set Azure resources die ondersteuning bieden voor de privécloud, zoals het abonnement, het virtuele netwerk, bewaking en Azure roltoewijzingen. U bepaalt dit met Azure systeemeigen hulpprogramma's.

  • Privécloudgovernance: Het VMware-oppervlak is de privécloud zelf, zoals netwerksegmenten, firewallbeleid, vCenter- en NSX-rollen en opslagbeleid. U bepaalt het grootste deel ervan met VMware-systeemeigen hulpprogramma's in de privécloud.

Een governancebasislijn die alleen betrekking heeft op de Azure omgeving of alleen op de VMware-omgeving, creëert hiaten in operationeel beheer en risicobeheer.

2. Afdwinging van governance

Dwing waar mogelijk basisvereisten af via de platform landing zone. Gebruik handmatige operationele processen ter ondersteuning van afdwinging wanneer er geen technische controles beschikbaar zijn.

Pas Azure Policy toe op het niveau van de beheergroep, het abonnement of de resourcegroep om verplichte vereisten vast te stellen voor elke Azure VMware Solution implementatie. Met behulp van Azure Policy kunt u consistentie garanderen in Azure VMware Solution privéclouds, met name wanneer u VMware-beheer delegeert aan workloadeigenaren. Stem deze vereisten af op de standaarden die al worden gebruikt in de bredere Azure estate. Enkele standaard afdwingingsbeleidsregels en -mechanismen zijn:

3. Beveiligingsbasislijn

Elke Azure VMware Solution-implementatie moet een goedgekeurde beveiligingsbasislijn overnemen voordat de onboarding van workloads wordt uitgevoerd. Begin met de Azure beveiligingsbasislijn voor Azure VMware Solution, die Azure VMware Solution mogelijkheden toe wijst aan de Microsoft Cloud Security Benchmark en Microsoft aanbevolen beveiligingsrichtlijnen biedt. Microsoft Defender voor Cloud kan de omgeving continu beoordelen op basis van toepasselijke aanbevelingen en regelgevingscontroles. Azure Policy-definities die aan benchmarkcontroles zijn gekoppeld, worden weergegeven in de omgeving Regelgeving-naleving in Microsoft Defender voor Cloud. Zie Azure VMware Solution aanbevelingen voor beveiliging.

4. Azure VMware Solution identiteitsbasislijn

Azure VMware Solution gebruikt uw bestaande identiteitsservices, zodat de basislijn verwijst naar hoe u verbinding maakt en uw resources, zoals virtuele machines, in plaats van nieuwe identiteitsservices te implementeren. Deze basislijn heeft betrekking op de identiteitsservices die door Azure VMware Solution zelf worden gebruikt en heeft geen invloed op de identiteitsservices die worden gebruikt door afzonderlijke toepassingsworkloads die worden uitgevoerd op VMware.

4.1 Id-provider

Gebruik een externe identiteitsbron voor vCenter-toegang in plaats van het ingebouwde CloudAdmin-account. Azure VMware Solution ondersteunt zowel Microsoft Entra ID als Active Directory (LDAPS) als externe identiteitsbronnen voor vCenter Server.

  • Optie 1. Microsoft Entra ID (aanbevolen). Organisaties die al op Microsoft Entra ID standaardiseren, moeten de voorkeur geven aan Entra ID federatie, omdat het identiteitsbeheer, voorwaardelijke toegang en meervoudige verificatie centraliseert in Azure en VMware-beheer.

  • Optie 2. Active Directory Domain Services via LDAPS. Organisaties met operationele afhankelijkheden op Active Directory geïntegreerde VMware-beheer kunnen LDAPS blijven gebruiken. Het biedt continuïteit met bestaande ad-geïntegreerde VMware-beheerwerkstromen. U draait AD-domeincontrollers centraal in Azure in het abonnement voor platformidentiteit.

4.2 Gebruikersmachtigingen

Beslissingen voor gebruikerstoegang vormen de basis voor veilig beheer van Azure VMware Solution. Voordat u operationele teams onboardt, definieert u hoe beheerders toegang ontvangen, welke rollen ze kunnen gebruiken en hoe de toegang in de loop van de tijd wordt beoordeeld.

  • Toewijzing op basis van groepen: Definieer beheerdersgroepen voordat u operationele teams onboardt. Gebruikers toewijzen aan groepen en groepen toewijzen aan rollen. Vermijd directe gebruikerstoewijzingen, met uitzondering van tijdelijke uitzonderingen.

  • VCenter-rollen met minimale bevoegdheden: Gebruik aangepaste vCenter-rollen wanneer de CloudAdmin-rol meer toegang verleent dan een team nodig heeft. Azure VMware Solution ondersteunt aangepaste rollen in vCenter met bevoegdheden die gelijk zijn aan of lager zijn dan de CloudAdmin-rol. Het biedt geen aangepaste rollen in de Azure VMware Solution-portal.

  • NSX Manager-pariteit: Hetzelfde toegangsbeheerproces toepassen op NSX Manager. Definieer goedgekeurde beheerdersrollen, pas minimale bevoegdheden toe en voer periodieke toegangsbeoordelingen uit. Niet elke vooraf gedefinieerde NSX-rol wordt ondersteund, dus definieer een kleine set goedgekeurde NSX-rollen en controleer deze regelmatig.

4.3 CloudAdmin-rol

De rol CloudAdmin in Azure VMware Solution gedraagt zich anders dan on-premises VMware-beheerderstoegang en het behandelen ervan als een dagelijks beheerdersaccount voor stuurprogramma's is een veelvoorkomende fout. Behandel CloudAdmin als een noodaccount dat regelmatig wordt gewijzigd, gemonitord en beperkt is tot noodgevallen. Verleen dagelijkse toegang via groepen voor externe identiteiten die zijn gekoppeld aan rollen met minimale bevoegdheden.

  • Alleen voor noodgevallen: Gebruik het ingebouwde CloudAdmin-account niet voor dagelijks beheer of integratie van services. Houd dit apart als een break-glass-account voor noodtoegang. Sla de inloggegevens op via uw proces voor bevoorrechte toegang, wissel deze volgens een vastgelegd schema en waarschuw wanneer deze worden opgehaald of gebruikt.

  • Geen toegang op hostniveau: Azure VMware Solution beheerders het vCenter Server-account administrator@vsphere.local of het ESXi-hoofdaccount niet ontvangen. Beheerders kunnen echter Active Directory gebruikers en groepen toewijzen aan de rol CloudAdmin in vCenter Server.

  • Beheerd SSO-domein: Het domein vsphere.local SSO is een beheerde resource die platformbewerkingen ondersteunt. U kunt deze niet gebruiken om lokale gebruikers en groepen te maken of te beheren buiten de standaardaccounts die bij de privécloud worden geleverd.

  • Een identiteitsbron toevoegen: De cloudadmin-rol kan geen identiteitsbron (zoals LDAP/LDAPS) rechtstreeks toevoegen. Gebruik opdrachten uitvoeren om een externe identiteitsbron toe te voegen en de CloudAdmin-rol toe te wijzen aan gebruikers en groepen.

5. Azure VMware Solution netwerkbasislijn

Elke privécloud maakt gebruik van VMware NSX als de door software gedefinieerde netwerklaag, waarbij het VLAN-model wordt vervangen door on-premises VMware. Uw teams maken NSX-segmenten voor workloads, routeren verkeer via NSX Tier-0- en Tier-1-gateways en gedistribueerde firewallregels schrijven. Plan de netwerkbeveiligingsbenadering vroeg en stel een duidelijke grens in:

  • Gebruik NSX voor verkeer binnen de Azure VMware Solution omgeving (oost-west).

  • Gebruik Azure systeemeigen of on-premises besturingselementen voor verkeer dat de Azure VMware Solution grens overschrijdt (noord-zuid).

5.1 Basislijn voor oost-westverkeer

Oost-westcontroles regelen het verkeer tussen workloads binnen de privécloud. Microsegmentatie afdwingen met de gedistribueerde NSX-firewall voor elke workload. Voeg vDefend alleen toe wanneer een specifieke controledoelstelling dit vereist.

  • Optie 1. NSX-firewall. Gebruik altijd de gedistribueerde NSX-firewall om microsegmentatie tussen workloads af te dwingen. Microsegmentatie beperkt laterale verplaatsing als een aanvaller één workload bereikt, zoals het stoppen van een geïnfecteerde webserver om een database te bereiken. Teams benutten deze mogelijkheid vlak na de migratie vaak te weinig, dus maak dit onderdeel van de standaard.

  • Optie 2. NSX-firewall en VMware vDefend Firewall. Wanneer de gedistribueerde firewall niet voldoet aan een specifieke vereiste, evalueert u de optionele VMware vDefend Firewall-invoegtoepassing voor mogelijkheden die NSX alleen niet biedt, zoals inbraakdetectie en URL-filtering. Gebruik dit alleen wanneer die mogelijkheden aansluiten bij een beheersdoelstelling waaraan u moet voldoen.

Pas dezelfde benadering met minimale bevoegdheden toe op NSX door te beperken wie firewallregels, segmenten en routering kan wijzigen. Plaats wijzigingsbeheer en controle omdat NSX-updates invloed kunnen hebben op gedeelde connectiviteit en meerdere workloads kunnen verstoren.

5.2 Basislijn voor noord-zuidverkeer

Controles op noord-zuid bepalen het verkeer dat de Azure VMware Solution-omgeving binnenkomt en verlaat. Het juiste hulpprogramma is afhankelijk van uw bredere Azure netwerkontwerp.

  • Optie 1.Azure Firewall of een NVA van derden. Veel organisaties inspecteren dit verkeer met Azure Firewall of een virtueel netwerkapparaat van derden dat is geplaatst in uw gecentraliseerde platformabonnement connectiviteit.

  • Optie 2.NSX Gateway Firewall aan de rand. Gebruik NSX Gateway Firewall aan de Azure VMware Solution edge wanneer u liever inspecteert op de grens van de privécloud.

  • Optie 3.On-premises firewall. Sommige routeren internetuitgangen via een bestaande on-premises firewall.

Voeg in Gen 2 Azure netwerkbeveiligingsgroepen (NSG's) toe op het niveau van het Azure virtuele netwerk voor een extra Azure systeemeigen laag die NSX aanvult. Gen 1 biedt geen NSGs.

Als u besturingselementen op meer dan één laag toepast, moet u plannen hoe u deze consistent wilt houden. Besturingselementen die over lagen worden verdeeld, zorgen voor complexiteit, maken het oplossen van problemen moeilijker en kunnen onbedoelde verkeerspaden maken. Als u geautomatiseerde netwerkhulpprogramma's gebruikt, moet u bepalen hoe u beleidsregels synchroniseert tussen VMware en Azure. Documenteer de netwerkverbindingsvereisten van de workload en zorg ervoor dat dezelfde documentatie en wijzigingsmeldingsproces wordt gebruikt door VMware-beheerders en upstream-netwerkbeheerders.

6. Azure VMware Solution kostenbasislijn

Kostengovernance bepaalt de financiële randvoorwaarden die elke implementatie van Azure VMware Solution overneemt. U hebt minimaal een budget nodig met waarschuwingen, een vereiste tagstandaard en een benoemde fiatteur voor capaciteitswijzigingen voor elk Azure VMware Solution abonnement.

  • Budgetten en waarschuwingen: Gebruik Microsoft Cost Management om budgetdrempels en bestedingswaarschuwingen in te stellen, zodat de uitgaven vroeg worden overschreden. Vereist dat workloadteams waarschuwingen configureren voor drempelwaarden voor CPU-, geheugen- en vSAN-gebruik en deze waarschuwingen routeren naar een benoemde eigenaar van bewerkingen, zodat het antwoord niet dubbelzinnig is. Stel de drempelwaarden centraal in, zoals waarschuwingen bij 75 procent duurzaam CPU-gebruik voor productieclusters, zodat capaciteitsbeslissingen worden gebaseerd op dezelfde gegevens in elk team. Zie Waarschuwingen configureren voor Azure VMware Solution.

  • Tags: Vereis tags voor resources van Azure VMware Solution, zodat kosten kunnen worden toegewezen aan eigenaren en workloads en u erover kunt rapporteren. Zie Beleidsdefinities voor het taggen van resources.

  • Capaciteit: Behandel het toevoegen van hosts als een opzettelijke, goedgekeurde actie. Bepaal wie nieuwe capaciteit kan goedkeuren. Stel normen vast voor de minimale en maximale clustergrootte en voor goedgekeurde implementatieregio’s, en vereis een buffer voor reservecapaciteit zodat een gegevensopslag nooit te vol raakt. Vraag het hostquotum aan voordat u het nodig hebt. Quotumaanvragen voegen geen kosten toe, maar het kan enkele dagen duren voordat aan een capaciteitsverhoging wordt voldaan. Zorg ervoor dat uw proces het verkrijgen van de benodigde VCF-licenties voor nieuw toegevoegde Azure VMware Solution-hosts omvat.

7. Azure VMware Solution basislijn voor gast-VM's

Microsoft beheert de Azure VMware Solution-infrastructuur, waaronder ESXi-hosts, vCenter Server en NSX. U blijft verantwoordelijk voor de gastbesturingssystemen, toepassingen en de beveiligingsmaatregelen die binnen elke virtuele machine worden uitgevoerd.

Breid het beheer uit tot in gastbesturingssystemen door virtuele machines aan Azure Arc-enabled VMware vSphere toe te voegen. Zie VMware vSphere met Azure Arc-ondersteuning.

Zodra een virtuele machine met Arc is ingeschakeld, kunnen organisaties Azure Policy machineconfiguratie, Microsoft Defender services, Updatebeheer en andere Azure beheermogelijkheden toepassen met behulp van dezelfde governanceprocessen die worden gebruikt voor Azure virtuele machines. Zie ingebouwde beleidsdefinities voor Azure Arc servers en aangepaste beleidsdefinities voor machineconfiguratie maken.

7.1 Basislijn voor gastconfiguratie

Vereisen Azure Arc onboarding als onderdeel van het inrichtingsproces voor virtuele machines. Vroege onboarding zorgt ervoor dat governancebesturingselementen van dag één van toepassing zijn in plaats van later te worden toegevoegd via handmatige inspanning. Azure Arc maakt mogelijkheden mogelijk, zoals Inventaris, Wijzigingen bijhouden en Machineconfiguratie.

Deze services werken op Azure VMware Solution dezelfde manier als voor Azure virtuele machines zodra de gast Arc heeft ingeschakeld. Organisaties kunnen vervolgens dezelfde configuratiestandaarden toepassen op Azure, on-premises VMware en Azure VMware Solution omgevingen.

7.2 Eindpuntbeveiliging

Endpoint Protection-standaarden moeten consistent blijven, ongeacht waar de virtuele machine wordt uitgevoerd. Voor virtuele machines van Azure VMware Solution biedt VMware vSphere met Azure Arc het vereiste integratietraject voor de implementatie van Microsoft Defender voor Eindpunt en andere Azure-beveiligingsservices. Met deze aanpak kunnen beveiligingsteams een uniforme weergave van de eindpuntbeveiligingspostuur in de hybride omgeving onderhouden. Zie Microsoft Defender voor Cloud integreren met Azure VMware Solution.

7.3 Basislijn voor patchbeheer

Microsoft is verantwoordelijk voor het patchen van de Azure VMware Solution-infrastructuur. In uw organisatie zijn doorgaans het IT Operations-team of workloadbeheerdersteams verantwoordelijk voor het patchen van gastbesturingssystemen en toepassingen. Als uw organisatie afhankelijk is van gevestigde oplossingen voor bedrijfspatches, kunt u deze hulpprogramma's blijven gebruiken waar geavanceerde plannings- of indelingsvereisten bestaan. Deze vereisten kunnen Azure Update Manager omvatten op met Arc ingeschakelde virtuele Azure VMware Solution-machines.

7.4 VM-extensiebasislijn

VM-extensies bieden mogelijkheden zoals beveiligingsbewaking, telemetrieverzameling en operationeel beheer. Zonder governance kan de implementatie van extensies gefragmenteerd en moeilijk te beheren worden.

Definieer een goedgekeurde extensiecatalogus en vereist dat workloadteams alleen geautoriseerde extensies gebruiken. Koppel uitbreidingsbeheer met Azure Policy om naleving af te dwingen en niet-geautoriseerde configuraties te detecteren.

Volgende stap

Operationele standaarden

  • Last updated on