Isolamento na cloud pública do Azure

O Azure ajuda-te a executar aplicações e máquinas virtuais (VMs) em infraestruturas físicas partilhadas. Um dos principais benefícios económicos de executar aplicações num ambiente cloud é a capacidade de distribuir o custo dos recursos partilhados entre múltiplos inquilinos. Esta prática de multitenência melhora a eficiência ao multiplexar recursos entre diferentes inquilinos a baixos custos. No entanto, também introduz o risco de partilhar servidores físicos e outros recursos de infraestrutura para executar as suas aplicações e VMs sensíveis que possam pertencer a um utilizador arbitrário e potencialmente malicioso.

Este artigo descreve como o Azure proporciona isolamento contra utilizadores maliciosos e não maliciosos. Serve como guia para a arquitetura de soluções cloud, oferecendo várias opções de isolamento aos arquitetos.

Isolamento ao nível do inquilino

Um dos principais benefícios da computação em nuvem é o conceito de infraestrutura partilhada e comum entre vários inquilinos simultaneamente, conduzindo a economias de escala. Este conceito chama-se multitenância. A Microsoft trabalha continuamente para garantir que a arquitetura multitenant do Microsoft Azure suporta padrões de segurança, confidencialidade, privacidade, integridade e disponibilidade.

No local de trabalho com cloud, um inquilino é um cliente ou organização que detém e gere uma instância específica desse serviço cloud. Na plataforma de identidade fornecida pelo Microsoft Azure, um tenant é uma instância dedicada do Microsoft Entra ID que a sua organização recebe e possui quando se inscreve num serviço cloud da Microsoft.

Cada diretório do Microsoft Entra é distinto e separado de outros diretórios do Microsoft Entra. Tal como um edifício de escritórios corporativos, um diretório Microsoft Entra é um ativo seguro para uso exclusivo da sua organização. A arquitetura do Entra da Microsoft isola os dados do cliente e as informações de identidade da mistura. Este isolamento significa que os utilizadores e administradores de um diretório Microsoft Entra não podem, acidentalmente ou maliciosamente, aceder a dados noutro diretório.

Locatário do Azure

A tenência Azure (subscrição Azure) refere-se a uma relação de cliente e faturação e a um inquilino único no Microsoft Entra ID. O Microsoft Entra ID e o controlo de acesso baseado em funções do Azure proporcionam isolamento ao nível do tenant no Microsoft Azure. Cada subscrição do Azure está associada a um diretório Microsoft Entra.

Utilizadores, grupos e aplicações desse diretório podem gerir recursos na subscrição do Azure. Atribua estes direitos de acesso utilizando o portal Azure, as ferramentas de linha de comandos do Azure e as APIs de Gestão do Azure. Os limites de segurança isolam logicamente um inquilino Microsoft Entra para que nenhum cliente possa aceder ou comprometer outros inquilinos, seja de forma maliciosa ou acidental. O Microsoft Entra ID corre em servidores "bare metal" isolados num segmento de rede segregado, onde a filtragem de pacotes ao nível do host e o Windows Firewall bloqueiam ligações e tráfego indesejados.

• O Acesso a dados no Microsoft Entra ID requer autenticação do utilizador através de um serviço de token de segurança (STS). O sistema de autorização utiliza informações sobre a existência do utilizador, estado ativado e função para determinar se este utilizador tem acesso autorizado ao inquilino-alvo nesta sessão.

• Os inquilinos são entidades discretas e não há qualquer relação entre estas entidades.

• Não existe acesso entre os inquilinos, a menos que um administrador de inquilino o conceda através da federação ou provisionando contas de utilizador de outros inquilinos.

• A Microsoft restringe o acesso físico aos servidores que compõem o serviço Microsoft Entra e o acesso direto aos sistemas back-end do Microsoft Entra ID.

• Os utilizadores do Microsoft Entra não têm acesso a ativos físicos ou localizações, pelo que não podem contornar as verificações lógicas da política RBAC do Azure referidas abaixo.

Para necessidades de diagnóstico e manutenção, implemente um modelo operacional que utilize um sistema de aumento de privilégios just-in-time. Microsoft Entra Privileged Identity Management (PIM) introduz o conceito de administrador elegível. Administradores elegíveis são utilizadores que necessitam de acesso privilegiado ocasionalmente, mas não todos os dias. A função permanece inativa até que o utilizador precise de acesso. O utilizador conclui então um processo de ativação e torna-se administrador ativo por um período de tempo pré-determinado.

O Microsoft Entra ID aloja cada inquilino no seu próprio contentor protegido, com políticas e permissões para e dentro do contentor que são exclusivamente detidas e geridas pelo inquilino.

O conceito de contentores tenant está profundamente enraizado no serviço de diretório em todas as camadas, desde portais até ao storage persistente.

Mesmo quando metadados de múltiplos locatários Microsoft Entra são armazenados no mesmo disco físico, não existe qualquer relação entre os contentores para além da definida pelo serviço de diretório, e que é, por sua vez, ditada pelo administrador do locatário.

Controlo de acesso baseado em funções do Azure (Azure RBAC)

O controlo de acesso baseado em papéis do Azure (Azure RBAC) ajuda-o a partilhar vários componentes disponíveis numa subscrição Azure, fornecendo uma gestão de acesso detalhada para o Azure. O Azure RBAC permite-lhe segregar funções dentro da sua organização e conceder acesso com base no que os utilizadores precisam para desempenhar as suas funções. Em vez de dar permissões irrestritas a todos numa subscrição ou recursos do Azure, só pode permitir certas ações.

O Azure RBAC tem três funções básicas que se aplicam a todos os tipos de recursos:

• Proprietário tem pleno acesso a todos os recursos, incluindo o direito de delegar acesso a outras pessoas.

• Contribuidor pode criar e gerir todos os tipos de recursos de Azure, mas não pode conceder access a outros.

• Reader pode consultar recursos de Azure existentes.

As restantes funções no Azure permitem a gestão de recursos específicos do Azure. Por exemplo, o papel de Virtual Machine Contributor permite ao utilizador criar e gerir virtual machines. Não lhes dá access à Rede Virtual do Azure ou à sub-rede a que a máquina virtual se liga.

Azure funções incorporadas lista as funções disponíveis no Azure. Especificam as operações e o âmbito que cada função incorporada concede aos utilizadores. Se procuras definir os teus próprios papéis para ainda mais controlo, vê como construir funções Personalizadas no Azure RBAC.

Algumas outras funcionalidades do Microsoft Entra ID incluem:

• O Microsoft Entra ID permite SSO a aplicações SaaS, independentemente de onde estejam alojadas. Algumas aplicações estão federadas com o Microsoft Entra ID, e outras usam SSO com palavra-passe. Os aplicativos federados também podem oferecer suporte ao provisionamento de usuários e ao armazenamento seguro de senhas.

• Microsoft Entra ID fornece Identidade como Serviço através da federação utilizando Serviços de Federação do Active Directory (AD FS), sincronização e replicação com diretórios locais.

• A autenticação multifator do Microsoft Entra exige que os utilizadores verifiquem as entradas usando uma aplicação móvel, chamada telefónica ou mensagem de texto. Utilize-o com o Microsoft Entra ID para ajudar a proteger recursos locais utilizando o Multi-Factor Authentication Server, e também com aplicações e diretórios personalizados utilizando o SDK.

• O Microsoft Entra Domain Services ajuda-o a ligar máquinas virtuais Azure a um domínio Active Directory sem ter de implementar controladores de domínio. Pode iniciar sessão nestas máquinas virtuais com as suas credenciais do Active Directory corporativo e administrar máquinas virtuais integradas no domínio usando o "Group Policy" (Política de Grupo) para impor linhas de base de segurança em todas as suas máquinas virtuais Azure.

• O ID externo Microsoft Entra é um serviço global de gestão de identidade altamente disponível para aplicações direcionadas ao consumidor, que escala para centenas de milhões de identidades. Pode integrá-lo em plataformas móveis e web. Seus consumidores podem entrar em todos os seus aplicativos por meio de experiências personalizáveis usando suas contas sociais existentes ou criando credenciais.

Isolamento dos administradores da Microsoft e eliminação de dados

A Microsoft toma medidas rigorosas para proteger os seus dados de acessos ou uso inadequados por pessoas não autorizadas. Os Termos Online Services oferecem compromissos contratuais que regem acesso aos seus dados e apoiam esses processos e controlos operacionais.

• Os engenheiros da Microsoft não têm acesso padrão aos teus dados na cloud. Em vez disso, só lhes é concedido acesso, sob supervisão de gestão, quando necessário. Esse acesso é cuidadosamente controlado e registado, e revogado quando já não é necessário.
• A Microsoft pode contratar outras empresas para fornecer serviços limitados em seu nome. Os subcontratados podem acess aos dados dos clientes apenas para prestar os serviços para os quais a Microsoft os contratou, estando proibidos de os utilizar para qualquer outro fim. Além disso, estão contratualmente obrigados a manter a confidencialidade das informações dos clientes.

A Microsoft e as empresas de auditoria acreditadas verificam regularmente os serviços empresariais com certificações auditadas como a ISO/IEC 27001. Estes auditores realizam auditorias amostrais para atestar que o acesso é apenas para fins comerciais legítimos. Pode sempre acessar os seus próprios dados de clientes a qualquer momento e por qualquer motivo.

Se apagares qualquer dado, o Microsoft Azure apaga esses dados, incluindo quaisquer cópias em cache ou cópias de segurança. Nos serviços dentro do âmbito do alcance, essa eliminação ocorre dentro de 90 dias após o fim do período de retenção. (A secção de Termos de Processamento de Dados dos Termos dos Serviços Online define serviços abrangidos.)

Se uma unidade de disco usada para storage sofrer uma avaria de hardware, a Microsoft apaga ou destrói de forma segura /c0> antes de a devolver ao fabricante para substituição ou reparação. A Microsoft sobreescreve os dados no disco para garantir que ninguém consiga recuperar os dados de forma alguma.

Isolamento de computação

O Microsoft Azure oferece vários serviços de computação baseados na cloud que incluem uma vasta seleção de instâncias e serviços de computação que podem escalar automaticamente para satisfazer as necessidades da sua aplicação ou empresa. Estas instâncias e serviços de computação oferecem isolamento em múltiplos níveis para proteger os dados sem sacrificar a flexibilidade de configuração que as organizações exigem.

Tamanhos de máquinas virtuais isoladas

O Azure Compute oferece tamanhos de máquinas virtuais que são isolados a um tipo de hardware específico e dedicados a um único cliente. Os tamanhos isolados operam em gerações específicas de hardware. O Azure desvaloriza estes tamanhos quando a geração de hardware termina ou quando está disponível nova geração de hardware.

Tamanhos isolados de máquinas virtuais são mais adequados para cargas de trabalho que requerem um elevado grau de isolamento em relação às cargas de trabalho de outros inquilinos. Este isolamento é por vezes necessário para cumprir requisitos de conformidade e regulamentos. Usar um tamanho isolado garante que a sua máquina virtual é a única a correr nessa instância específica do servidor.

Uma vez que as VMs de tamanho isolado são grandes, pode optar por subdividir os respetivos recursos através do suporte do Azure para máquinas virtuais aninhadas.

As ofertas atuais de máquinas virtuais isoladas incluem:

• Standard_E192is_v6
• Standard_E192ids_v6
• Standard_E104i_v5
• Standard_E104id_v5
• Standard_E104is_v5
• Standard_E104ids_v5
• Standard_E112ias_v5
• Standard_E112iads_v5
• Standard_E80is_v4
• Standard_E80ids_v4
• Standard_E96ias_v4
• Standard_E112ibs_v5
• Standard_E112ibds_v5
• Standard_EC96ias_v5
• Standard_EC96iads_v5
• Standard_HB120rs_v3
• Standard_HB176rs_v4
• Standard_HB368rs_v5
• Standard_HX176rs
• Standard_M832is_16_v3
• Standard_M832ids_16_v3
• Standard_M192is_v2
• Standard_M192ids_v2
• Standard_M192ims_v2
• Standard_M192idms_v2
• Standard_NC64as_T4_v3
• Standard_NC96ads_A100_v4
• Standard_NC80adis_H100_v5
• Standard_ND128isr_NDR_GB200_v6
• Standard_ND128isr_NDR_GB300_v6
• Standard_ND96isr_H100_v5
• Standard_ND96isr_H200_v5
• Standard_ND96isr_MI300X_v5
• Standard_NG32ads_V620_v1
• Standard_NG32adms_V620_v1
• Standard_NV72ads_A10_v5

Depreciação de tamanhos isolados de VMs

Tamanhos isolados de VMs têm uma vida útil limitada por hardware. O Azure emite lembretes com 12 meses de antecedência da data oficial de descontinuação dos tamanhos e fornece uma oferta isolada atualizada para sua consideração. O Azure anunciou a descontinuação dos seguintes tamanhos.

Para subdividir ainda mais os recursos destas máquinas virtuais isoladas, consulte o suporte do Azure para máquinas virtuais aninhadas.

Anfitriões dedicados

Para além dos hosts isolados descritos na secção anterior, o Azure também oferece hosts dedicados. Azure Dedicated Host é um serviço que fornece servidores físicos capazes de alojar uma ou mais máquinas virtuais e dedicados a uma única subscrição do Azure. Os hosts dedicados fornecem isolamento de hardware no nível do servidor físico. Não há outras VMs colocadas nos seus hosts. Implementas hosts dedicados nos mesmos datacenters e partilham a mesma rede e infraestrutura de armazenamento subjacente que outros hosts não isolados. Para mais informações, consulte a visão geral detalhada dos anfitriões dedicados Azure.

Hyper-V e isolamento do sistema operativo raiz entre a VM raiz e as VMs convidadas

A plataforma de computação do Azure baseia-se na virtualização de máquinas. Todo o código do cliente corre numa Hyper-V máquina virtual. Em cada nó do Azure (ou ponto final de rede), um hipervisor é executado diretamente sobre o hardware e divide o nó num número variável de máquinas virtuais (VMs) convidadas.

Cada nó tem também uma VM raiz especial que executa o sistema operativo anfitrião. O hipervisor e o sistema operativo raiz gerem o isolamento da VM raiz das VMs convidadas e o isolamento das VMs convidadas umas das outras. Esta combinação de hipervisor e sistema operativo raiz utiliza décadas de experiência de Microsoft em segurança de sistemas operativos e o aprendizado mais recente do Hyper-V da Microsoft para proporcionar forte isolamento das VMs convidadas.

A plataforma Azure utiliza um ambiente virtualizado. As instâncias de utilizador funcionam como virtual machines autónomas que não têm acesso a um servidor anfitrião físico.

O hipervisor Azure funciona como um microkernel. Transmite todos os pedidos de acesso de hardware das virtual machines convidadas para o host para processamento, utilizando uma interface de memória partilhada chamada VM Bus. Esta arquitetura impede que os utilizadores obtenham acesso bruto de leitura, escrita ou execução ao sistema e mitiga o risco de partilhar recursos do sistema.

Algoritmo avançado de posicionamento de VMs e proteção contra ataques em canais laterais

Qualquer ataque entre VMs envolve dois passos: colocar uma VM controlada pelo adversário no mesmo host que uma das VMs vítimas e, em seguida, violar o limite de isolamento para roubar informações sensíveis da vítima ou afetar o seu desempenho para roubo ou perturbação de recursos. O Microsoft Azure oferece proteção em ambas as etapas através de um algoritmo avançado de posicionamento de VMs e proteção contra todos os ataques conhecidos de canais laterais, incluindo VMs vizinhas ruidosas.

O controlador de malha do Azure

O Azure Fabric Controller aloca recursos de infraestrutura para cargas de trabalho de locatários e gere comunicações unidirecionais do host para as máquinas virtuais. O algoritmo de posicionamento das VMs é altamente sofisticado e quase impossível de prever ao nível físico do hospedeiro.

No Azure, a máquina virtual raiz executa um sistema operativo reforçado, chamado sistema operativo raiz, que aloja um agente de infraestrutura (FA). Os FAs gerenciam os agentes de convidados (GA) dentro dos sistemas operativos de convidados nas VMs dos clientes e também gerenciam nós de armazenamento.

A coleção do hipervisor Azure, do sistema operativo root/FA e das VMs/GAs de clientes constitui um nó de computação. Um controlador de tecido (FC) gere os FAs. A FC existe fora dos nós de computação e armazenamento. FCs separadas gerem clusters de computação e armazenamento. Se um cliente atualizar o ficheiro de configuração da sua aplicação enquanto está a correr, o FC comunica com a FA. A FA contacta as GAs, que notificam a aplicação da alteração na configuração. Em caso de falha de hardware, a FC encontra automaticamente o hardware disponível e reinicia a VM aí.

A comunicação de um controlador de malha para um agente é unidirecional. O agente implementa um serviço protegido por SSL que só responde a solicitações do controlador. O agente não pode iniciar ligações ao controlador ou a outros nós internos privilegiados. A CF trata todas as respostas como se não fossem confiáveis.

O isolamento estende-se da VM raiz às VMs convidadas, e de uma VM convidada para outra. Os nós de computação também são isolados dos nós de storage para maior proteção.

O hipervisor e o sistema operativo anfitrião fornecem filtros de pacotes de rede. Estes filtros ajudam a garantir que virtual machines não confiáveis não possam gerar tráfego falsificado nem receber tráfego não endereçado a elas. Elas direcionam o tráfego para os pontos finais da infraestrutura protegida e evitam o envio ou receção de tráfego de difusão inadequado.

Outras regras configuradas pelo agente controlador de fabric para isolar a VM

Por defeito, o Azure bloqueia todo o tráfego quando crias uma máquina virtual. Depois, o agente controlador de malha configura o filtro de pacotes, adicionando regras e exceções para permitir o tráfego autorizado.

O agente do controlador da malha programa duas categorias de regras:

• Regras de configuração ou infraestrutura da máquina: Por defeito, o Azure bloqueia toda a comunicação. Adicionar exceções para permitir que uma máquina virtual envie e receba tráfego DHCP e DNS. As máquinas virtuais também podem enviar tráfego para a internet "pública" e para outras máquinas virtuais dentro da mesma Rede Virtual Azure e para o servidor de ativação do sistema operativo. A lista de destinos de saída permitidos para máquinas virtuais não inclui subredes de routers Azure, gestão do Azure e outras propriedades da Microsoft.
• Role configuration file: Este ficheiro define as Listas de Controlo de Acesso (ACLs) de entrada com base no modelo de serviço do locatário.

Isolamento VLAN

Cada cluster contém três VLANs:

• A VLAN principal: Interliga nós de clientes não fiáveis.
• A VLAN FC: Contém FCs de confiança e sistemas de apoio.
• A VLAN do dispositivo: Contém dispositivos de rede confiáveis e outros dispositivos de infraestrutura.

A VLAN FC pode comunicar com a VLAN principal, mas a VLAN principal não pode iniciar comunicação com a VLAN FC. A VLAN principal também não consegue comunicar com a VLAN do dispositivo. Esta arquitetura VLAN garante que, mesmo que um nó a executar código do cliente seja comprometido, esse nó não pode atacar nós em qualquer uma das VLANs FC ou de dispositivo.

Isolamento de Armazenamento

Isolamento lógico entre computação e storage

Como parte do seu design fundamental, o Microsoft Azure separa a computação baseada em VMs do storage. Este design permite que a computação e o armazenamento escalem de forma independente, facilitando a disponibilização de multitenência e isolamento.

Assim, o Armazenamento do Azure corre em hardware separado, sem ligação de rede ao Azure Compute, exceto a conectividade lógica. Este design de armazenamento significa que, ao criar um disco virtual, o sistema não aloca espaço em disco para toda a sua capacidade. Em vez disso, o sistema cria uma tabela que mapeia endereços no disco virtual para áreas do disco físico. Esta tabela está inicialmente vazia. Na primeira vez que escreves dados no disco virtual, o sistema aloca espaço no disco físico e coloca um ponteiro para ele na tabela.

Isolamento usando controlo de acesso ao armazenamento

Access control em Armazenamento do Azure usa um modelo de access control simples. Cada subscrição do Azure pode criar uma ou mais contas de storage. Cada conta de storage tem uma única chave secreta que usas para controlar o acesso a todos os dados dessa conta de storage.

Pode controlar o acesso aos dados do Armazenamento do Azure (incluindo Tabelas) através de um token SAS (Shared Access Signature), que concede acesso delimitado. Você cria o SAS através de um modelo de consulta (URL) e assina-o com a SAK (Chave da Conta de Armazenamento). Podes atribuir o URL assinado a outro processo (delegado). O processo delegado pode então preencher os detalhes da consulta e fazer o pedido ao serviço de armazenamento. Ao usar um SAS, pode conceder acesso baseado no tempo aos clientes sem revelar a chave secreta da conta de storage.

Com o SAS, pode conceder permissões limitadas a um cliente a objetos na sua conta de armazenamento por um período de tempo especificado e um conjunto específico de permissões. Concede estas permissões limitadas sem ter de partilhar as chaves de acesso da sua conta.

Isolamento de armazenamento ao nível de IP

Você pode estabelecer firewalls e definir um intervalo de endereços IP para seus clientes confiáveis. Ao usar um intervalo de endereços IP, apenas os clientes que têm um endereço IP dentro do intervalo definido podem ligar-se a Armazenamento do Azure.

Use um mecanismo de rede que aloque um túnel dedicado de tráfego para armazenamento IP para proteger os dados de armazenamento IP de utilizadores não autorizados.

Encriptação

O Azure oferece os seguintes tipos de encriptação para proteger dados:

• Encriptação em trânsito
• Encriptação em repouso

Encriptação em trânsito

A encriptação em trânsito protege os dados quando são transmitidos através de redes. Ao usar o Armazenamento do Azure, pode proteger os dados utilizando:

• Encriptação ao nível de transporte, como HTTPS quando transfere dados para dentro ou para fora do Armazenamento do Azure.
• Encriptação de ligação, como a encriptação SMB 3.0 para partilhas de ficheiros do Azure.
• Encriptação do lado do cliente, para encriptar os dados antes de serem transferidos para storage e para desencriptar os dados depois de serem transferidos para fora de storage.

Encriptação em repouso

Para muitas organizações, a encriptação de dados em repouso é um passo obrigatório para a privacidade dos dados, conformidade e soberania dos dados. As funcionalidades do Azure que fornecem encriptação de dados em repouso incluem:

• A encriptação dos serviços de armazenamento encripta automaticamente os dados ao escrevê-los no Armazenamento do Azure.
• A encriptação do lado do cliente encripta os dados antes de serem transferidos para armazenamento.
• Encryption at host fornece encriptação de ponta a ponta para os dados da VM.

Encriptação no anfitrião

Encryption no host fornece encriptação de ponta a ponta para os dados da sua VM, encriptando os dados ao nível do host da VM. Por defeito, utiliza chaves geridas pela plataforma, mas pode opcionalmente usar chaves geridas pelo cliente armazenadas em Azure Key Vault ou Azure Key Vault Managed HSM quando precisar de maior controlo.

A encriptação no host fornece encriptação do lado do servidor ao nível do host da VM, utilizando encriptação AES 256, que é compatível com o FIPS 140-2. Esta encriptação ocorre sem consumir recursos da CPU da VM e fornece encriptação de ponta a ponta para:

• Discos temporários
• SO e caches de disco de dados
• Os dados fluem para o Armazenamento do Azure.

Principais benefícios da encriptação no hospedeiro:

• Sem impacto no desempenho: A encriptação ocorre ao nível do host sem utilizar os recursos da CPU da VM.
• Suporte amplo para VMs: Suportado na maioria das séries e tamanhos de VMs.
• Chaves geridas pelo cliente: Integração opcional com Azure Key Vault ou Managed HSM para controlo de chaves.
• Chaves geridas pela plataforma por defeito: Não é necessária configuração extra para encriptação.

Para mais informações, consulte Encryption at host e Overview of managed disk encryption options.

Isolamento de base de dados SQL

Base de Dados SQL do Azure é um serviço de base de dados relacional baseado na cloud, construído sobre o motor Microsoft SQL Server. Base de Dados SQL do Azure é um serviço de base de dados multiinquilino, altamente disponível e escalável com isolamento de dados previsível a nível de conta, geografia, região e rede. O serviço fornece este isolamento da base de dados com uma administração quase nula.

Modelo de aplicação de base de dados SQL

Do ponto de vista da aplicação, a Base de Dados SQL fornece a seguinte hierarquia, onde cada nível tem uma contenção um-para-muitos dos níveis abaixo.

A conta e a subscrição são conceitos da plataforma Microsoft Azure para associar faturação e gestão.

Servidores lógicos SQL e bases de dados são conceitos específicos de bases de dados SQL. Gere-os através das interfaces OData e T-SQL disponibilizadas pela Base de Dados SQL ou através do portal do Azure.

Os servidores na base de dados SQL não são instâncias físicas nem de VM. Em vez disso, são coleções de bases de dados que partilham políticas de gestão e segurança armazenadas numa chamada base de datos lógica-mestre.

Os bancos de dados mestres lógicos incluem:

• Logons SQL usados para se conectar ao servidor
• Regras da firewall

A faturação e a informação relacionada com o uso das bases de dados do mesmo servidor não têm garantia de estar na mesma instância física do cluster. As aplicações devem fornecer o nome da base de dados alvo ao ligar-se.

Do teu ponto de vista, crias um servidor numa região geográfica, mas o Azure cria o servidor num dos clusters dessa região.

Isolamento através da topologia da rede

Quando crias um servidor e registas o seu nome DNS, o nome DNS aponta para o endereço VIP do Gateway no centro de dados específico onde colocas o servidor.

Por trás do VIP (endereço IP virtual), existe um conjunto de serviços de gateway sem estado. Em geral, os gateways envolvem-se quando é necessária coordenação entre múltiplas fontes de dados (base de dados mestre, base de dados de utilizadores, etc.). Os serviços gateway implementam as seguintes funções:

• Proxy de conexão TDS. Esta função inclui localizar a base de dados de utilizadores no cluster backend, implementar a sequência de autenticação e depois encaminhar os pacotes TDS para o backend e de volta.
• Gestão de bases de dados. Esta função inclui a implementação de um conjunto de fluxos de trabalho para gerir operações de bases de dados CREATE, ALTER e DROP. O serviço pode invocar operações de base de dados quer através da captura de pacotes TDS quer através de APIs OData explícitas.
• CREATE, ALTER e DROP ações de autenticação e de utilizador
• Operações de gestão de servidores através da API OData

O nível atrás dos gateways chama-se back-end. A camada de back-end armazena todos os dados de forma altamente disponível. Cada pedaço de dados pertence a uma partição ou unidade de failover, e cada partição tem pelo menos três réplicas. O motor de SQL Server armazena e replica réplicas, e um sistema de failover frequentemente referido como fabric gere-as.

Geralmente, o sistema back-end não comunica externamente com outros sistemas como uma precaução de segurança. O Azure restringe a comunicação de saída aos sistemas na camada front-end (gateway). As máquinas da camada de gateway têm privilégios limitados nas máquinas de back-end. Esta restrição minimiza a superfície de ataque como mecanismo de defesa em profundidade.

Isolamento por função da máquina e acesso

A base de dados SQL compreende serviços a correr em diferentes funções de máquina. A Base de Dados SQL divide estes serviços num ambiente de base de dados na cloud de back-end e num ambiente de gateway e gestão de front-end, segundo o princípio geral de que o tráfego apenas entra no back-end, e não sai dele. O ambiente de front-end pode comunicar com o exterior e com outros serviços e, em geral, dispõe apenas de permissões limitadas no back-end (as suficientes para chamar os pontos de entrada que necessita de invocar).

Isolamento de rede

As implementações do Azure têm múltiplas camadas de isolamento de rede. O diagrama seguinte mostra várias camadas de isolamento de rede que o Azure fornece. Estas camadas incluem funcionalidades nativas da plataforma Azure e funcionalidades definidas pelo cliente. A proteção DDoS do Azure fornece isolamento contra ataques em grande escala provenientes da internet contra o Azure. A camada seguinte de isolamento são os endereços IP públicos definidos pelo cliente (endpoints), que se usam para determinar que tráfego pode passar através do serviço cloud para a virtual network. O isolamento de rede virtual nativo Azure assegura isolamento completo de todas as outras redes. O tráfego flui apenas através de caminhos e métodos configurados pelo utilizador. Estes caminhos e métodos constituem a camada seguinte, na qual é possível utilizar NSGs, UDR e dispositivos virtuais de rede para criar fronteiras de isolamento, de modo a proteger as implementações de aplicações na rede protegida.

Isolamento de tráfego: A virtual network é o limite de isolamento de tráfego na plataforma Azure. Virtual machines (VMs) numa virtual network não podem comunicar diretamente com VMs de uma virtual network diferente, mesmo que ambas as redes virtuais sejam criadas pelo mesmo cliente. O isolamento é uma propriedade crítica que garante que as VMs dos clientes e as comunicações permanecem privadas dentro de uma rede virtual.

Uma sub-rede fornece outra camada de isolamento dentro de uma rede virtual baseada na faixa de IP. Pode dividir uma virtual network em múltiplas subredes para organização e segurança. VMs e instâncias de função PaaS implementadas em sub-redes (iguais ou diferentes) dentro de uma rede virtual podem comunicar entre si sem qualquer configuração adicional. Também pode configurar grupos de segurança de rede (NSGs) para permitir ou negar o tráfego de rede a uma instância de VM com base nas regras de segurança. Pode associar NSGs a sub-redes ou interfaces de rede individuais ligadas a VMs. Quando associa um NSG a uma subrede, as regras de segurança aplicam-se a todas as instâncias de VM nessa subrede.

Próximos passos

• Saiba mais sobre grupos de segurança de rede. Os grupos de segurança de rede filtram o tráfego de rede entre recursos do Azure numa virtual network. Pode restringir o tráfego a sub-redes ou virtual machines com base na origem, destino, porta e protocolo usando regras de segurança.

• Aprenda sobre isolamento de máquinas virtuais em Azure. O Azure Compute oferece tamanhos de máquinas virtuais que são isolados a um tipo de hardware específico e dedicados a um único cliente.