Azure Information System-Komponenten und -Grenzen

Dieser Artikel enthält eine allgemeine Beschreibung der Azure-Architektur und -Verwaltung. Die Azure-Systemumgebung besteht aus den folgenden Netzwerken:

  • Microsoft Azure-Produktionsnetzwerk (Azure-Netzwerk)
  • Microsoft-Unternehmensnetzwerk (Corpnet)

Separate IT-Teams betreiben und pflegen diese Netzwerke.

Azure-Architektur

Azure ist eine Cloud Computing-Plattform und Infrastruktur zum Erstellen, Bereitstellen und Verwalten von Anwendungen und Diensten über ein Netzwerk von Rechenzentren. Microsoft verwaltet diese Rechenzentren. Basierend auf der von Ihnen angegebenen Anzahl der Ressourcen erstellt Azure virtuelle Maschinen (VMs) basierend auf dem Ressourcenbedarf. Diese VMs laufen auf einem Azure-Hypervisor, den Microsoft für die Cloud-Nutzung entwickelt und der der Öffentlichkeit nicht zugänglich macht.

Auf jedem physischen Azure-Serverknoten gibt es einen Hypervisor, der direkt über die Hardware ausgeführt wird. Der Hypervisor teilt einen Knoten in eine variable Anzahl von Gast-VMs auf. Jeder Knoten verfügt auch über einen virtuellen Stammcomputer, der das Hostbetriebssystem ausführt. Azure aktiviert die Windows-Firewall auf jeder VM. Sie definieren, welche Ports adressierbar sind, indem Sie die Dienstdefinitionsdatei konfigurieren. Diese Ports sind die einzigen offenen und adressierbaren, intern oder extern. Der Hypervisor und das Root-Betriebssystem vermitteln den gesamten Datenverkehr und den Zugriff auf Festplatte und Netzwerk.

Auf der Hostebene führen Azure-VMs eine angepasste und gehärtete Version der neuesten Windows Server-Version aus. Azure verwendet eine Version von Windows Server, die nur diese Komponenten enthält, die zum Hosten von VMs erforderlich sind. Diese Konfiguration verbessert die Leistung und verringert die Angriffsfläche. Der Hypervisor setzt die Maschinengrenzen durch und hängt nicht von der Sicherheit des Betriebssystems ab.

Azure-Verwaltung durch Fabric-Controller

Azure gruppiert VMs, die auf physischen Servern (Blades/Nodes) laufen, in Cluster von etwa 1.000. Eine skalierte und redundante Plattformsoftwarekomponente, genannt Fabric Controller (FC), verwaltet die VMs eigenständig.

Jeder FC verwaltet den Lebenszyklus von Anwendungen, die in seinem Cluster ausgeführt werden, und stellt die Integrität der Hardware unter ihrer Kontrolle bereit und überwacht sie. Es führt autonome Operationen aus, wie zum Beispiel das Reinkarnieren von VM-Instanzen auf gesunden Servern, wenn festgestellt wird, dass ein Server ausfällt. Der FC führt auch Anwendungsverwaltungsvorgänge aus, z. B. Bereitstellen, Aktualisieren und Skalieren von Anwendungen.

Azure teilt das Rechenzentrum in Cluster auf. Cluster isolieren Fehler auf FC-Ebene und verhindern, dass bestimmte Arten von Fehlern Auswirkungen auf Server außerhalb des Clusters haben, in dem sie auftreten. Azure gruppiert FCs, die einen bestimmten Azure-Cluster bedienen, zu einem FC-Cluster.

Hardwareinventar

Der FC bereitet eine Bestandsaufnahme von Azure-Hardware- und Netzwerkgeräten während des Bootstrap-Konfigurationsprozesses vor. Alle neuen Hardware- und Netzwerkkomponenten, die in die Azure-Produktionsumgebung eintreten, müssen dem Bootstrap-Konfigurationsprozess folgen. Die FC verwaltet das gesamte Inventar, das in der datacenter.xml Konfigurationsdatei aufgeführt ist.

Vom FC verwaltete Betriebssystemimages

Das Betriebssystemteam stellt virtuelle Festplattenabbilder für alle Host- und Gast-VMs in der Azure-Produktionsumgebung bereit. Das Team erstellt diese Basisimages über einen automatisierten Offlinebuildprozess. Das Basis-Image ist eine Version des Betriebssystems, bei der Microsoft den Kernel und andere Kernkomponenten modifiziert und optimiert, um die Azure-Umgebung zu unterstützen.

Es gibt drei Arten von durch Fabric verwalteten Betriebssystemabbildern:

  • Host: Ein angepasstes Betriebssystem, das auf Host-VMs ausgeführt wird.
  • Nativ: Ein natives Betriebssystem, das auf Mandanten (z.B. Azure Storage) ausgeführt wird. Dieses Betriebssystem hat keinen Hypervisor.
  • Gast: Ein Gastbetriebssystem, das auf Gast-VMs ausgeführt wird.

Microsoft entwickelt die Host- und native FC-verwalteten Betriebssysteme für den Einsatz in der Cloud und macht sie nicht öffentlich zugänglich.

Host- und systemeigene Betriebssysteme

Die Host- und nativen Betriebssysteme sind gehärtete Betriebssystemimages, die die Fabric-Agents hosten und auf Compute- und Speicherknoten ausgeführt werden. Optimierte Basisabbildungen von Host- und nativen Betriebssystemen verringern die von APIs oder ungenutzte Komponenten freigesetzte Oberfläche. Diese APIs und Komponenten können hohe Sicherheitsrisiken darstellen und die Reichweite des Betriebssystems erhöhen. Betriebssysteme mit reduziertem Aufwandbedarf enthalten nur die für Azure notwendigen Komponenten.

Gastbetriebssystem

Azure-interne Komponenten, die auf Gastbetriebssystem-VMs laufen, können das Remotedesktop Protocol nicht verwenden. Alle Änderungen an den Basiskonfigurationseinstellungen müssen den Änderungs- und Veröffentlichungsverwaltungsprozess durchlaufen.

Azure-Rechenzentren

Das Microsoft Cloud Infrastructure and Operations (MCIO)-Team verwaltet die physische Infrastruktur und Rechenzentren für alle Microsoft-Onlinedienste. MCIO ist in erster Linie für die Verwaltung der physischen und Umgebungskontrollen innerhalb der Rechenzentren sowie für die Verwaltung und Unterstützung äußerer Umkreisnetzwerkgeräte (z. B. Edgerouter und Rechenzentrumsrouter) verantwortlich. MCIO ist außerdem verantwortlich für die Einrichtung der minimalen Serverhardware auf den Racks im Rechenzentrum. Azure-Kunden haben keine direkte Interaktion mit der Azure-Infrastruktur.

Dienstverwaltungs- und Serviceteams

Verschiedene Engineering-Gruppen, die als Serviceteams bezeichnet werden, verwalten die Unterstützung des Azure-Diensts. Jedes Serviceteam ist für einen Bereich des Supports für Azure verantwortlich. Jedes Serviceteam muss rund um die Uhr einen Ingenieur zur Verfügung stellen, um Fehler im Service zu untersuchen und zu beheben. Serviceteams haben standardmäßig keinen physischen Zugriff auf die Hardware, die in Azure ausgeführt wird.

Die Serviceteams sind:

  • Anwendungsplattform
  • Microsoft Entra ID
  • Azure Compute
  • Azure Net
  • Cloud-Engineering-Dienstleistungen
  • ISSD: Sicherheit
  • Mehrstufige Authentifizierung
  • SQL-Datenbank
  • Lagerung

Benutzertypen

Microsoft-Mitarbeiter und Auftragnehmer sind interne Nutzer. Alle anderen Nutzer sind externe Nutzer. Alle internen Azure-Benutzer haben ihren Mitarbeiterstatus mit einer Vertraulichkeitsstufe kategorisiert, die ihren Zugriff auf Kundendaten definiert (Zugriff oder keinen Zugriff). Benutzerberechtigungen für Azure (Autorisierungsberechtigungen nach der Authentifizierung) werden in der folgenden Tabelle beschrieben:

Rolle Intern oder extern Vertraulichkeitsstufe Autorisierte Berechtigungen und ausgeführte Funktionen Zugriffstyp
Azure-Rechenzentrumstechniker Intern Kein Zugriff auf Kundendaten Verwalten Sie die physische Sicherheit des Geländes. Führen Sie Patrouillen in und außerhalb des Rechenzentrums durch, und überwachen Sie alle Einstiegspunkte. Begleiten Sie bestimmte nicht freigegebene Mitarbeiter, die allgemeine Dienstleistungen (wie Essen oder Reinigung) oder IT-Arbeit erbringen, in und aus dem Rechenzentrum. Führen Sie routinebasierte Überwachung und Wartung von Netzwerkhardware durch. Durchführung von Incident Management und Break-Fix-Arbeiten mithilfe verschiedener Tools. Führen Sie routinebasierte Überwachung und Wartung der physischen Hardware in den Rechenzentren durch. Greifen Sie auf Anforderung von Eigenschaftsbesitzern auf die Umgebung zu. Forensische Untersuchungen durchführen, Vorfallberichte protokollieren und verpflichtende Sicherheitsschulungen sowie Richtlinien absolvieren. Besitzen und warten Sie wichtige Sicherheitswerkzeuge wie Scanner und Protokollsammlungen. Beständiger Zugriff auf die Umgebung.
Azure-Incidentselektierung (Rapid Response-Techniker) Intern Zugriff auf Kundendaten Verwalten Sie die Kommunikation zwischen MCIO, Support und Engineering-Teams. Führen Sie eine Selektierung von Plattformvorfällen, Bereitstellungsproblemen und Serviceanfragen durch. Just-in-Time-Zugriff auf die Umgebung mit eingeschränktem permanentem Zugriff auf Nicht-Kundensysteme.
Azure-Bereitstellungstechniker Intern Zugriff auf Kundendaten Bereitstellen und Aktualisieren von Plattformkomponenten, Software und geplanten Konfigurationsänderungen zur Unterstützung von Azure. Just-in-Time-Zugriff auf die Umgebung mit eingeschränktem permanentem Zugriff auf Nicht-Kundensysteme.
Azure-Kundensupport bei Ausfällen (Mandant) Intern Zugriff auf Kundendaten Debuggen und Diagnostizieren von Plattformausfällen und Fehlern bei einzelnen Computemandanten und Azure-Konten. Analysieren Sie Fehler. Fördern Sie wichtige Fixes für die Plattform oder den Kunden, und fördern Sie technische Verbesserungen für den gesamten Support. Just-in-Time-Zugriff auf die Umgebung mit eingeschränktem permanentem Zugriff auf Nicht-Kundensysteme.
Azure Live Site Engineers (Überwachungsengineers) und Incident Intern Zugriff auf Kundendaten Diagnostizieren und Beheben von Problemen mit der Plattformintegrität durch Diagnosetools. Treiben Sie Fixes für Volumetreiber voran, reparieren Sie Elemente, die aus Ausfällen resultieren, und bieten Sie Unterstützung bei Aktionen zur Wiederherstellung nach Ausfällen. Just-in-Time-Zugriff auf die Umgebung mit eingeschränktem permanentem Zugriff auf Nicht-Kundensysteme.
Azure-Kunden Extern Nicht verfügbar Nicht verfügbar Nicht verfügbar

Azure verwendet eindeutige IDs, um Organisationsbenutzer und -kunden zu authentifizieren (oder Prozesse, die im Auftrag von Organisationsbenutzern handeln). Dieser Ansatz gilt für alle Assets und Geräte, die Teil der Azure-Umgebung sind.

Interne Azure-Authentifizierung

Die TLS-Verschlüsselung schützt die Kommunikation zwischen internen Azure-Komponenten. In den meisten Fällen sind die X.509-Zertifikate selbstsigniert. Zertifikate mit Verbindungen, die von außerhalb des Azure-Netzwerks zugänglich sind, sind eine Ausnahme, ebenso wie Zertifikate für die FCs. Eine Microsoft-Zertifizierungsstelle (CA), die von einer vertrauenswürdigen Root-CA unterstützt wird, stellt Zertifikate für FCs aus. Diese Konfiguration ermöglicht das Übertragen von FC-Public-Keys. Microsoft-Entwicklertools verwenden außerdem FC-Public-Keys. Wenn Entwickler neue Anwendungsbilder einreichen, verschlüsselt Microsoft die Bilder mit einem FC-Public-Key, um eingebettete Geheimnisse zu schützen.

Azure-Hardwaregeräteauthentifizierung

Der FC verwaltet eine Reihe von Zugangsdaten (Schlüssel oder Passwörter), die zur Authentifizierung an verschiedene von ihr kontrollierte Hardwaregeräte verwendet werden. Microsoft verwendet ein System, um den Zugriff auf diese Anmeldeinformationen zu verhindern. Konkret gestaltet Microsoft den Transport, die Persistenz und Nutzung dieser Zugangsdaten, um zu verhindern, dass Azure-Entwickler, Administratoren, Backup-Dienste und Mitarbeiter auf sensible, vertrauliche oder private Informationen zugreifen.

Microsoft verwendet Verschlüsselung basierend auf dem öffentlichen Master-Identity-Schlüssel des FC. Diese Verschlüsselung erfolgt bei der FC-Einrichtung und der FC-Neukonfiguration, um die Zugangsdaten zu übertragen, die für den Zugriff auf Netzwerkhardware-Geräte verwendet werden. Wenn der FC die Anmeldeinformationen benötigt, ruft der FC sie ab und entschlüsselt sie.

Netzwerkgeräte

Das Azure-Netzwerkteam konfiguriert Netzwerkdienstkonten so, dass ein Azure-Client sich auf Netzwerkgeräte (Router, Switches und Load Balancer) authentifizieren kann.

Sichere Dienstverwaltung

Azure-Betriebspersonal muss Secure Admin Workstations (SAWs) verwenden. Verwenden Sie privilegierte Arbeitsstationen, um ähnliche Kontrollen umzusetzen. Durch die Verwendung von SAWs verwenden Verwaltungsmitarbeiter ein individuell zugewiesenes Administratorkonto, das vom Standardkonto des Benutzers getrennt ist. Die SAW baut auf dieser Kontotrennungspraxis auf, indem eine vertrauenswürdige Arbeitsstation für diese vertraulichen Konten bereitgestellt wird.

Nächste Schritte

In den folgenden Artikeln erfahren Sie mehr über den Schutz der Azure-Infrastruktur durch Microsoft:

  • Last updated on