Zabezpiecz swój serwer elastyczny Azure Database for PostgreSQL

Azure Database for PostgreSQL to w pełni zarządzana usługa bazy danych, która zapewnia wbudowaną wysoką dostępność, automatyczne kopie zapasowe i możliwości skalowania. Zabezpieczanie wdrożeń bazy danych PostgreSQL pomaga chronić poufne dane i spełniać wymagania dotyczące zgodności.

W tym artykule opisano sposób zabezpieczania wdrożenia serwera elastycznego Azure Database for PostgreSQL.

Zalecenia dotyczące zabezpieczeń w tym artykule implementują zasady Zero Trust: "Weryfikuj dokładnie", "Stosuj dostęp o najmniejszych uprawnieniach" i "Zakładaj, że doszło do naruszenia". Aby uzyskać kompleksowe wskazówki dotyczące zerowego zaufania, zobacz Centrum wskazówek dotyczących zerowego zaufania.

Bezpieczeństwo sieci

Mechanizmy zabezpieczeń sieciowych pomagają ograniczyć narażenie na publiczny dostęp i zintegrować usługę Azure Database for PostgreSQL — serwer elastyczny z architekturą segmentowanej sieci wirtualnej.

• Wyłącz dostęp do sieci publicznej: zapobiegaj narażeniu na dostęp do Internetu, blokując łączność publiczną z serwerem elastycznym PostgreSQL, gdy jest dostępna łączność prywatna. Aby uzyskać więcej informacji, zobacz Sieć platformy Azure Database for PostgreSQL przy użyciu usługi Private Link.

• Użyj prywatnych punktów końcowych: połącz się z serwerem elastycznym PostgreSQL za pośrednictwem Azure Private Link, aby ruch bazy danych pozostał na prywatnym adresie IP w sieci wirtualnej. Aby uzyskać więcej informacji, zobacz konfigurowanie sieci Azure Database for PostgreSQL z użyciem Private Link.

• Integracja z siecią wirtualną: Wdróż serwer elastyczny PostgreSQL z dostępem prywatnym, gdy potrzebujesz izolacji na poziomie sieci wirtualnej na potrzeby dostępu klienta i łączności wychodzącej z usługami zależnymi Azure. Aby uzyskać więcej informacji, zobacz Network with private access for Azure Database for PostgreSQL (Sieć z dostępem prywatnym dla usługi Azure Database for PostgreSQL).

• Ograniczanie dostępu do publicznej zapory: jeśli wdrożenie wymaga dostępu publicznego, zezwalaj tylko na wymagane adresy IP klientów i unikaj szerokiej reguły zapory. Aby uzyskać więcej informacji, zobacz Publiczny dostęp przy użyciu reguł zapory dla Azure Database for PostgreSQL.

• Przejrzyj zachowanie sieci publicznej: dowiedz się, jak publiczny dostęp, reguły zapory i dozwolone adresy IP wpływają na narażenie przed wybraniem modelu łączności. Aby uzyskać więcej informacji, zobacz Omówienie sieci dla Azure Database for PostgreSQL z dostępem publicznym.

Zarządzanie tożsamością i dostępem

Mechanizmy kontroli tożsamości i dostępu ułatwiają scentralizowanie uwierzytelniania, zmniejszenie narażenia na poświadczenia i wymuszanie najniższych uprawnień w ramach zarządzania Azure i dostępu do bazy danych PostgreSQL.

• Użyj uwierzytelniania Microsoft Entra: preferuj uwierzytelnianie Microsoft Entra dla serwera elastycznego PostgreSQL, aby scentralizować mechanizmy kontroli tożsamości i zmniejszyć zależność od lokalnych haseł bazy danych. Aby uzyskać więcej informacji, zobacz uwierzytelnianie Microsoft Entra w usłudze Azure Database for PostgreSQL.

• Zarządzanie tożsamościami Microsoft Entra: przypisuj i przeglądaj administratorów, użytkowników i grupy Microsoft Entra dla elastycznego serwera PostgreSQL, aby dostęp do bazy danych był zgodny z zasadą najmniejszych uprawnień. Aby uzyskać więcej informacji, zobacz Zarządzanie rolami Microsoft Entra w Azure Database for PostgreSQL.

• Użyj tożsamości zarządzanych na potrzeby dostępu do aplikacji: Uwierzytelnianie aplikacji hostowanych Azure na serwerze elastycznym PostgreSQL przy użyciu tożsamości zarządzanych zamiast przechowywania poświadczeń w kodzie aplikacji lub konfiguracji. Aby uzyskać więcej informacji, zobacz temat Tożsamości zarządzane w Azure Database for PostgreSQL.

• Wymuś dostęp warunkowy dla administratorów PostgreSQL: Stosuj zasady dostępu warunkowego, takie jak uwierzytelnianie wieloskładnikowe i wymóg korzystania ze zgodnych urządzeń, do tożsamości administratorów zarządzających serwerami elastycznymi PostgreSQL i powiązanymi zasobami platformy Azure. Aby uzyskać więcej informacji, zobacz artykuł Typowe zasady dostępu warunkowego: Wymagaj uwierzytelniania wieloskładnikowego dla zarządzania platformą Azure.

• Użyj protokołu SCRAM do uwierzytelniania lokalnego: jeśli są wymagane lokalne użytkownicy postgreSQL, użyj uwierzytelniania SCRAM i silnych praktyk dotyczących haseł, aby zmniejszyć ryzyko naruszenia zabezpieczeń haseł. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie SCRAM w Azure Database for PostgreSQL.

• Zarządzanie rolami lokalnej bazy danych: użyj ról i uprawnień bazy danych PostgreSQL, aby ograniczyć dostęp na poziomie bazy danych do obiektów i operacji, których potrzebuje każdy użytkownik. Aby uzyskać więcej informacji, zobacz Zarządzanie użytkownikami w Azure Database for PostgreSQL.

• Zaimplementuj Azure kontroli dostępu opartej na rolach (RBAC): przypisz role RBAC Azure tylko do tożsamości, które muszą tworzyć, konfigurować, monitorować lub usuwać elastyczne zasoby serwera PostgreSQL. Aby uzyskać więcej informacji, zobacz Azure kontrola dostępu oparta na rolach.

Ochrona danych

Usługa Azure Database for PostgreSQL szyfruje w spoczynku serwery główne, repliki, dane na potrzeby odzyskiwania do określonego punktu w czasie oraz kopie zapasowe za pomocą kluczy zarządzanych przez usługę. Użyj następujących mechanizmów sterowania konfigurowanych przez klienta, gdy Twoje obciążenie robocze wymaga silniejszego nadzoru nad szyfrowaniem lub lepszych zabezpieczeń użycia danych.

• Sprawdź połączenia TLS: skonfiguruj klientów PostgreSQL, aby zweryfikować łańcuch certyfikatów serwera i nazwę hosta przy użyciu metody sslmode=verify-fulllub sslmode=verify-ca gdzie verify-full nie jest to możliwe. Aby uzyskać więcej informacji, zobacz Transport Layer Security in Azure Database for PostgreSQL (Zabezpieczenia warstwy transportu w Azure Database for PostgreSQL).

• Utrzymuj zaufane certyfikaty główne: Przechowuj główne urzędy certyfikacji platformy Azure w magazynach zaufanych certyfikatów na klientach i nie ufaj certyfikatom pośrednim ani pojedynczym certyfikatom serwera, aby rotacja certyfikatów nie zakłócała łączności. Aby uzyskać więcej informacji, zobacz Transport Layer Security in Azure Database for PostgreSQL (Zabezpieczenia warstwy transportu w Azure Database for PostgreSQL).

• Wymagaj protokołu TLS 1.3, jeśli jest obsługiwany: ustaw ssl_min_protocol_version parametr serwera na TLSv1.3 dla klientów obsługujących najnowszą wersję protokołu bezpiecznego i nie ustawiaj wartości ssl_max_protocol_version. Aby uzyskać więcej informacji, zobacz Transport Layer Security in Azure Database for PostgreSQL (Zabezpieczenia warstwy transportu w Azure Database for PostgreSQL).

• Użyj kluczy zarządzanych przez klienta do zarządzania szyfrowaniem: Skonfiguruj klucze zarządzane przez klienta w usłudze Azure Key Vault lub Azure Managed HSM, gdy potrzebujesz kontroli cyklu życia kluczy lub podziału obowiązków. Używaj międzydzierżawowych kluczy zarządzanych przez klienta tylko w scenariuszach wersji zapoznawczej spełniających udokumentowane wymagania. Aby uzyskać więcej informacji, zobacz Szyfrowanie danych magazynowanych w Azure Database for PostgreSQL i Konfigurowanie szyfrowania danych w Azure Database for PostgreSQL.

• Konfigurowanie automatycznego obracania kluczy: jeśli używasz kluczy zarządzanych przez klienta, włącz autorotację kluczy w Azure Key Vault lub Azure zarządzanym modułem HSM i skonfiguruj elastyczny serwer PostgreSQL do korzystania z automatycznych aktualizacji wersji klucza. Aby uzyskać więcej informacji, zobacz Konfigurowanie szyfrowania kluczy zarządzanych przez klienta.

• Użyj przetwarzania poufnego w przypadku wysoce poufnych obciążeń roboczych: wdrażaj elastyczny serwer PostgreSQL w obsługiwanych jednostkach SKU obsługujących przetwarzanie poufne w obsługiwanych regionach, gdy potrzebujesz sprzętowej ochrony danych podczas użycia. Aby uzyskać więcej informacji, zobacz Poufne przetwarzanie danych na platformie Azure w usłudze Azure Database for PostgreSQL.

• Zastosuj anonimowość danych dla poufnych danych PostgreSQL: użyj anon rozszerzenia, gdy potrzebujesz narzędzi do anonimizacji danych na poziomie bazy danych i skonfiguruj wymagane udostępnione biblioteki wstępnego ładowania przed użyciem. Aby uzyskać więcej informacji, zobacz Lista rozszerzeń i modułów według nazw na serwerze elastycznym usługi Azure Database for PostgreSQL.

Rejestrowanie i monitorowanie

Mechanizmy kontroli rejestrowania i monitorowania ułatwiają wykrywanie podejrzanych działań, badanie zdarzeń i utrzymywanie dostępnych dowodów inspekcji bazy danych PostgreSQL na potrzeby przepływów pracy operacyjnych i zgodności.

• Włącz zbieranie dzienników diagnostycznych: wysyłanie dzienników inspekcji serwera elastycznego PostgreSQL do Log Analytics przy użyciu ustawień diagnostycznych i przypisań Azure Policy dla grupy kategorii inspekcji. Aby uzyskać więcej informacji, zobacz wbudowane definicje usługi Azure Policy dla Azure Database for PostgreSQL.

• Włącz rejestrowanie inspekcji: skonfiguruj rejestrowanie inspekcji bazy danych PostgreSQL z pgaudit rozszerzeniem, aby działania bazy danych zostały przechwycone na potrzeby badania i przeglądu zgodności. Aby uzyskać więcej informacji, zobacz Rejestrowanie zdarzeń inspekcji w Azure Database for PostgreSQL.

• Przeprowadź inspekcję zdarzeń uwierzytelniania Microsoft Entra: Monitoruj aktywność uwierzytelniania Microsoft Entra dla serwera elastycznego PostgreSQL, aby zbadać wzorce dostępu opartego na tożsamościach i logowania. Aby uzyskać więcej informacji, zobacz Inspekcja uwierzytelniania Microsoft Entra w usłudze Azure Database for PostgreSQL.

• Włącz Microsoft Defender dla relacyjnych baz danych typu open source: użyj Microsoft Defender dla Chmury, aby wykrywać nietypowe wzorce dostępu PostgreSQL, próby siłowe, podejrzane działania bazy danych i zagrożenia konfiguracyjne specyficzne dla bazy danych PostgreSQL. Więcej informacji można znaleźć w Microsoft Defender dla Chmury in Azure Database for PostgreSQL flexible server.

Zgodność i ład

Mechanizmy zgodności i nadzoru pomagają stosować spójną konfigurację, przypisywać wdrożenia PostgreSQL do wymogów regulacyjnych i utrzymywać widoczność odpowiedzialności za zabezpieczenia na dużą skalę.

• Wymuszanie konfiguracji zabezpieczeń postgreSQL za pomocą Azure Policy: przypisz wbudowane zasady dla elastycznych mechanizmów kontroli serwera PostgreSQL, takich jak prywatne punkty końcowe, ograniczenia dostępu publicznego, rejestrowanie diagnostyczne, TLS, klucze zarządzane przez klienta i geograficznie nadmiarowa kopia zapasowa. Aby uzyskać więcej informacji, zobacz wbudowane definicje usługi Azure Policy dla Azure Database for PostgreSQL.

• Zapoznaj się z ofertami zgodności dla bazy danych PostgreSQL: mapowanie Azure Database for PostgreSQL serwera elastycznego na odpowiednie certyfikaty zgodności i zaświadczania przed przetworzeniem danych regulowanych. Aby uzyskać więcej informacji, zobacz Zgodność w Azure Database for PostgreSQL.

• Stosowanie blokad zasobów na serwerach produkcyjnych: użyj blokad zarządzania na produkcyjnych serwerach elastycznych PostgreSQL i zasobach zależnych, aby zmniejszyć przypadkowe usunięcie lub zakłócające zmiany konfiguracji. Aby uzyskać więcej informacji, zobacz Ochrona zasobów Azure za pomocą blokady.

• Tagowanie zasobów PostgreSQL na potrzeby zarządzania: Stosuj tagi, takie jak obciążenie, środowisko, klasyfikacja danych, właściciel i zakres zgodności, do elastycznych serwerów PostgreSQL i powiązanych zasobów, aby zasady, spis zasobów i procesy zarządzania kosztami mogły identyfikować chronione bazy danych. Aby uzyskać więcej informacji, zobacz Organizowanie zasobów platformy Azure przy użyciu tagów.

Kopia zapasowa i przywracanie

Mechanizmy tworzenia kopii zapasowych i odzyskiwania pomagają przywrócić dane PostgreSQL po przypadkowym usunięciu, uszkodzeniu lub awarii regionu, przy jednoczesnym spełnieniu celów odzyskiwania obciążeń.

• Konfigurowanie automatycznego przechowywania kopii zapasowych: ustaw okres przechowywania kopii zapasowych z 7 do 35 dni na podstawie wymagań dotyczących odzyskiwania do punktu w czasie i sprawdź, czy okno przechowywania jest zgodne z potrzebami odzyskiwania obciążenia. Aby uzyskać więcej informacji, zobacz Tworzenie kopii zapasowej i przywracanie w usłudze Azure Database for PostgreSQL.

• Włącz geograficznie nadmiarową kopię zapasową na potrzeby odzyskiwania regionalnego: skonfiguruj geograficznie nadmiarową kopię zapasową podczas tworzenia serwera, jeśli plan odzyskiwania po awarii wymaga możliwości przywracania w Azure sparowanym regionie. Aby uzyskać więcej informacji, zobacz Geo-disaster recovery in Azure Database for PostgreSQL (Odzyskiwanie po awarii geograficznej w Azure Database for PostgreSQL).

• Konfigurowanie wysokiej dostępności dla obciążeń krytycznych: użyj konfiguracji wysokiej dostępności, aby aprowizować replikę rezerwową i zmniejszyć przestoje podczas awarii strefy lub infrastruktury. Aby uzyskać więcej informacji, zobacz Konfigurowanie wysokiej dostępności dla Azure Database for PostgreSQL.

• Użyj replik do odczytu do planowania odzyskiwania: użyj replik do odczytu, aby odciążyć ruch odczytu i obsługiwać scenariusze odzyskiwania, które wymagają promowanej repliki. Aby uzyskać więcej informacji, zobacz Read replicas in Azure Database for PostgreSQL (Repliki do odczytu w Azure Database for PostgreSQL).

• Ochrona danych kopii zapasowej przy użyciu kluczy zarządzanych przez klienta: używanie szyfrowania kluczy zarządzanych przez klienta podczas tworzenia kopii zapasowej i przywracania danych musi być zgodne z wymaganiami dotyczącymi zarządzania kluczami organizacji. Aby uzyskać więcej informacji, zobacz Tworzenie kopii zapasowej i przywracanie w Azure Database for PostgreSQL i Konfigurowanie szyfrowania danych w Azure Database for PostgreSQL.

• Zaplanuj cele ciągłości działania: Dopasuj okres przechowywania kopii zapasowych, wysoką dostępność, repliki do odczytu i opcje przywracania geograficznego do docelowego czasu odzyskiwania (RTO) i docelowego punktu odzyskiwania (RPO) dla obciążenia roboczego. Aby uzyskać więcej informacji, zobacz Ciągłość działania w Azure Database for PostgreSQL.

Następne kroki

• Najlepsze rozwiązania dotyczące architektury dla usługi Azure Database for PostgreSQL
• Centrum wskazówek zero trust