Approcci architetturali per la governance e la conformità nelle soluzioni multi-tenant

Man mano che il tuo uso di Azure matura, è importante considerare la governance delle risorse cloud. La governance include la modalità di archiviazione e gestione dei dati dei tenant e la modalità di organizzazione delle risorse di Azure. Potrebbe anche essere necessario seguire gli standard normativi, legali o contrattuali. Questo articolo fornisce informazioni su come considerare la governance e la conformità in una soluzione multi-tenant. Suggerisce anche alcune delle principali funzionalità della piattaforma Azure che supportano queste esigenze.

Considerazioni e requisiti chiave

Isolamento delle risorse

Assicurarsi di configurare le risorse di Azure per soddisfare i requisiti di isolamento dei tenant. Per indicazioni sull'isolamento delle risorse di Azure, vedere l'organizzazione delle risorse di Azure in soluzioni multitenant .

Gestione dei dati

Quando si archiviano i dati per conto dei tenant, potrebbero essere necessari requisiti o obblighi da soddisfare. Dal punto di vista di un tenant, spesso si aspettano la proprietà e il controllo dei dati. Valutare come isolare, archiviare, accedere e aggregare i dati dei tenant. Scoprire le aspettative e i requisiti dei tenant che potrebbero influire sul funzionamento della soluzione.

Isolamento

Esaminare gli approcci architetturali per l'archiviazione e i dati nelle soluzioni multi-tenant per comprendere come isolare i dati dei tenant. Valutare se i tenant hanno requisiti per usare le proprie chiavi di crittografia dei dati.

Indipendentemente dall'approccio di isolamento implementato, prepararsi affinché i tenant possano richiedere un audit dei loro dati. È consigliabile documentare tutti gli archivi dati in cui è possibile conservare i dati dei tenant. Le origini dati comuni includono quanto segue:

• Database e account di archiviazione distribuiti come parte della soluzione.
• Sistemi di identità, che vengono spesso condivisi tra tenant.
• Registri.
• Magazzini di dati.

Sovranità

Comprendere se sono presenti restrizioni sulla posizione fisica per i dati dei tenant da archiviare o elaborare. I tenant potrebbero richiedere l'archiviazione dei dati in posizioni geografiche specifiche. Potrebbero anche richiedere che tu non archivi i loro dati in determinate posizioni. Anche se questi requisiti sono comunemente basati sulla legislazione, possono anche essere basati su valori e norme culturali.

Per altre informazioni sulla residenza e la sovranità dei dati, vedere il white paper Abilitazione della residenza dei dati e protezione dei dati nelle aree di Microsoft Azure.

Accesso dei tenant ai dati archiviati

I tenant a volte richiedono l'accesso diretto ai dati archiviati per loro conto. Ad esempio, potrebbero voler caricare i propri dati nel loro lago di dati.

Pianificare la risposta a queste richieste. Valutare se uno qualsiasi dei dati degli inquilini venga conservato negli archivi dati condivisi. Se sì, pianifica come evitare che i tenant accedano ai dati di altri tenant.

Evitare di fornire l'accesso diretto ai database o agli account di archiviazione, a meno che non sia stato progettato per questo requisito, ad esempio usando il modello Passeggio chiavi. È consigliabile creare un'API o un processo di esportazione automatica dei dati a scopo di integrazione.

Per altre informazioni sull'integrazione con i sistemi dei tenant e i sistemi esterni, vedere approcci architetturali per l'integrazione dei tenant e l'accesso ai dati.

L'accesso ai dati dei tenant

Considera se i requisiti degli inquilini limitano il personale che può lavorare con i loro dati o risorse. Si supponga, ad esempio, di creare una soluzione SaaS usata da molti clienti diversi. Un'agenzia governativa potrebbe richiedere che solo i cittadini del proprio paese/area geografica possano accedere all'infrastruttura e ai dati per la propria soluzione. È possibile soddisfare questo requisito usando gruppi di risorse, sottoscrizioni o gruppi di gestione di Azure separati per carichi di lavoro sensibili dei clienti. È possibile applicare assegnazioni di ruolo con ambito limitato di controllo degli accessi in base al ruolo di Azure per gruppi specifici di utenti per lavorare con queste risorse.

Aggregazione di dati da più clienti

Valutare se è necessario combinare o aggregare i dati di più tenant. Ad esempio, si analizzano i dati aggregati o si addestrano modelli di apprendimento automatico che possono essere applicati ad altri clienti? Assicurati che gli inquilini comprendano i modi in cui vengono utilizzati i loro dati. Includere qualsiasi uso di dati aggregati o anonimi.

Requisiti di conformità

È importante comprendere se è necessario soddisfare eventuali standard di conformità. I requisiti di conformità possono essere introdotti in diverse situazioni, tra cui:

• L'utente o uno dei suoi inquilini lavora in determinati settori. Ad esempio, se uno dei tenant lavora nel settore sanitario, potrebbe essere necessario rispettare lo standard HIPAA.
• L'utente o uno dei suoi inquilini possono trovarsi in aree geografiche o geopolitiche che richiedono la conformità alle leggi locali. Ad esempio, se uno dei tuoi tenant si trova in Europa, potresti dover rispettare il regolamento generale sulla protezione dei dati (GDPR).
• Si acquista una polizza di cyberassicurazione per ridurre il rischio di violazioni. I fornitori di assicurazioni informatiche potrebbero richiedere di rispettare i loro standard e applicare controlli specifici affinché la polizza sia valida.

Se diversi tenant hanno bisogno che tu segua diversi standard di conformità, pianifica la conformità allo standard più rigoroso nell'intero ambiente. È più facile seguire uno standard rigoroso in modo coerente rispetto a seguire standard diversi per tenant diversi.

Approcci e modelli da considerare

Tag delle risorse

Usare i tag di risorsa per monitorare l'identificatore del tenant per le risorse specifiche del tenant o l'identificatore della stamp quando si esegue il ridimensionamento usando il modello Deployment Stamps . Usando i tag delle risorse, è possibile identificare rapidamente le risorse associate a tenant o timbri specifici.

Controllo di accesso

Utilizzare il controllo degli accessi in base al ruolo di Azure per limitare l'accesso alle risorse di Azure che costituiscono la soluzione multi-tenant. Seguire il controllo degli accessi in base al ruolo procedure consigliate, ad esempio l'applicazione di assegnazioni di ruolo ai gruppi anziché agli utenti. Definire l'ambito delle assegnazioni di ruolo in modo che forniscano le autorizzazioni minime necessarie. Evitare l'accesso di lunga durata alle risorse usando l'accesso JIT e le funzionalità come Microsoft Entra ID Privileged Access Management.

Azure Resource Graph

Azure Resource Graph consente di usare i metadati delle risorse di Azure. Usando Resource Graph, è possibile eseguire query su un numero elevato di risorse di Azure, anche se sono distribuite tra più sottoscrizioni. Resource Graph può eseguire query per le risorse di un tipo specifico o per identificare le risorse configurate in modi specifici. Può anche essere usato per tenere traccia della cronologia della configurazione di una risorsa.

Resource Graph può essere utile per gestire grandi aree di Azure. Ad esempio, supponiamo di distribuire risorse di Azure specifiche del tenant in più abbonamenti di Azure. Applicando i tag alle risorse, è possibile utilizzare l'API Resource Graph per trovare le risorse usate da tenant specifici o stamp di distribuzione.

Microsoft Purview

È consigliabile usare Microsoft Purview per tenere traccia e classificare i dati archiviati. Quando gli inquilini richiedono l'accesso ai loro dati, è possibile determinare facilmente le origini dati da includere.

Verificare la conformità agli standard

Usare strumenti come Criteri di Azure, il portale di conformità alle normative di Microsoft Defender for Cloude Azure Advisor. Questi strumenti consentono di configurare le risorse di Azure in modo da soddisfare i requisiti di conformità e seguire le procedure consigliate.

Generare la documentazione di conformità

I tuoi inquilini potrebbero richiedere che tu dimostri la conformità con standard specifici. Usare il Service Trust Portal per generare la documentazione di conformità che è possibile fornire ai tenant o ai revisori di terze parti.

Alcune soluzioni multi-tenant incorporano Microsoft 365 e usano servizi come Microsoft OneDrive, Microsoft SharePoint e Microsoft Exchange Online. Il portale di conformità di Microsoft Purview consente di comprendere come questi servizi siano conformi agli standard normativi.

Modello stamp di distribuzione

Prendere in considerazione il modello Deployment Stamps quando è necessario rispettare i requisiti specifici del tenant.

Ad esempio, è possibile distribuire istanze della tua soluzione in più regioni di Azure. È quindi possibile assegnare nuovi tenant ai timbri, in base alle aree in cui devono trovarsi i dati.

Analogamente, un nuovo tenant potrebbe introdurre requisiti di conformità rigorosi che non è possibile soddisfare nei componenti della soluzione esistenti. È possibile valutare la possibilità di distribuire un timbro dedicato per il tenant e quindi configurarlo in base ai requisiti.

Antipattern da evitare

• Non comprendere i requisiti di conformità degli inquilini. È importante non fare ipotesi sui requisiti di conformità che i tenant potrebbero imporre. Se si prevede di espandere la vostra offerta in nuovi mercati, è importante tenere presente l'ambiente normativo in cui i vostri clienti potrebbero operare.
• Ignorare le procedure consigliate. Se non è necessario rispettare immediatamente gli standard di conformità, è comunque consigliabile seguire le procedure consigliate quando si distribuiscono le risorse di Azure. Ad esempio, isolare le risorse, applicare criteri per verificare la configurazione delle risorse e applicare assegnazioni di ruolo ai gruppi anziché agli utenti. Seguendo le procedure consigliate, è più semplice seguire gli standard di conformità quando alla fine è necessario farlo.
• Supponendo che non siano previsti requisiti di conformità. Quando si avvia per la prima volta una soluzione multitenant, potrebbe non essere a conoscenza dei requisiti di conformità o potrebbe non essere necessario seguire alcun requisito. Man mano che cresci, è probabile che sia necessario fornire prove che si è conformi a vari standard. Usa Microsoft Defender for Cloud per monitorare il tuo stato di conformità rispetto a una baseline generale, come il CIS Microsoft Foundations Benchmark, anche prima di avere un requisito esplicito.
• Non pianificare la gestione. Quando si distribuiscono le risorse di Azure, prendere in considerazione il modo in cui si prevede di gestirle. Se è necessario apportare aggiornamenti in blocco alle risorse, assicurarsi di avere una conoscenza degli strumenti di automazione, ad esempio l'interfaccia della riga di comando di Azure, Azure PowerShell, Azure Resource Graph e le API di Azure Resource Manager.
• Non si usano gruppi di gestione. Pianifica la gerarchia delle sottoscrizioni e dei gruppi di gestione, inclusi il controllo di accesso e le risorse dei criteri di Azure in ogni ambito. Può essere difficile e problematico introdurre o modificare questi elementi quando le risorse vengono usate in un ambiente di produzione.
• Mancanza di pianificazione della strategia di controllo degli accessi. RBAC di Azure offre un elevato livello di controllo e flessibilità nella gestione dell'accesso alle risorse. Assicurarsi di usare i gruppi di Microsoft Entra per evitare di assegnare autorizzazioni ai singoli utenti. Assegnare ruoli agli ambiti che offrono un equilibrio appropriato tra sicurezza e flessibilità. Usare le definizioni di ruolo predefinite laddove possibile e assegnare ruoli che forniscono le autorizzazioni minime necessarie.
• Non usando Criteri di Azure. È importante usare i Criteri di Azure per governare l'ambiente di Azure. Dopo aver pianificato e distribuito i criteri, assicurarsi di monitorare la conformità dei criteri ed esaminare attentamente eventuali violazioni o eccezioni.

Contributori

Questo articolo viene gestito da Microsoft. Originariamente è stato scritto dai collaboratori seguenti.

Autore principale:

• John Downs | Ingegnere Software Principale

Altri collaboratori:

• Bohdan Cherchyk | Ingegnere dei Clienti Senior, FastTrack per Azure
• Laura Nicolas | Senior Customer Engineer, FastTrack su Azure
• Arsen Vladimirskiy | Ingegnere Principale per la Clientela, FastTrack per Azure

Per visualizzare i profili LinkedIn non pubblici, accedere a LinkedIn.

Passaggi successivi

Esaminare gli approcci per la gestione dei costi e l'allocazione.