在 Azure Data Factory 中資料移動的安全性考量

• 目前的版本

適用於：Azure Data Factory Azure Synapse Analytics

本文說明 Azure Data Factory 中資料移動服務用來協助保護您資料的基本安全性基礎結構。 Data Factory 管理資源建置在 Azure 安全性基礎結構上，並使用 Azure 提供的所有可能安全性措施。

在 Data Factory 方案中，您可以建立一或多個資料 管線。 管線是共同執行一項工作的多個活動邏輯群組。 這些管線位於建立 Data Factory 的區域中。

儘管 Data Factory 僅適用於某些區域，資料移動服務仍全球適用，以確保資料合規、有效率，且網路輸出成本降低。

Azure Data Factory (包括 Azure Integration Runtime 和自我裝載整合執行階段) 不會儲存任何暫存資料、快取資料或記錄，但雲端資料存放區的連結服務認證 (其是使用憑證予以加密) 除外。 您可以使用 Data Factory 來建立資料導向工作流程，藉由使用其他區域或內部部署環境中的計算服務，協調所支援資料存放區之間的資料移動和資料處理。 您也可以藉由使用 SDK 和 Azure 監視器來監視和管理工作流程。

Data Factory 已通過下列各項規範的認證：

如果您對 Azure 法規遵循以及 Azure 如何保護其專屬基礎結構感興趣，請瀏覽 Microsoft 信任中心。 如需所有 Azure 合規性供應項目的最新清單，請查看 - https://aka.ms/AzureCompliance。

在本文中，我們會檢閱下列兩個資料移動案例中的安全性考量︰

• 雲端案例：在此案例中，可透過網際網路公開存取您的來源和目的地。 這些包括受控雲端儲存體服務 (例如「Azure 儲存體」、Azure Synapse Analytics、Azure SQL Database、Azure Data Lake Store、Amazon S3、Amazon Redshift)、SaaS 服務 (例如 Salesforce)，以及 Web 通訊協定 (例如 FTP 和 OData)。 在支援的資料存放區和格式中，尋找支援的資料來源完整清單。
• 混合式案例：在此案例中，您的來源或目的地是位於防火牆後方或在內部部署公司網路內。 或者，資料存放區是在私人網路或虛擬網路 (最常見的來源) ，而且無法公開存取。 裝載在虛擬機器上的資料庫伺服器也屬於此案例的涵蓋範圍。

雲端案例

保護資料存放區認證

• 在 Azure Data Factory 受控存放區中儲存加密的認證。 Data Factory 可透過使用受 Microsoft 管理的憑證來加密資料存放區認證，為這些認證提供保護。 這些憑證每隔兩年會輪替一次 (包括憑證更新和憑證移轉)。 如需有關「Azure 儲存體」安全性的詳細資訊，請參閱 Azure 儲存體安全性概觀。
• 在 Azure Key Vault 中儲存認證。 您也可以在 Azure Key Vault 中儲存資料存放區的認證。 Data Factory 會在活動執行期間擷取認證。 如需詳細資訊，請參閱 在 Azure Key Vault 中儲存認證。

在 Azure Key Vault 中集中儲存應用程式祕密，可讓您控制其散發。 Key Vault 可大幅降低不小心洩露祕密的風險。 您可以在 Key Vault 中妥善儲存連接字串，而不用在應用程式的程式碼中儲存連接字串。 您的應用程式可以使用 URI 安全地存取其所需的資訊。 這些 URI 可讓應用程式擷取特定版本的祕密。 您不需要撰寫自訂程式碼來保護 Key Vault 中儲存的任何祕密資訊。

傳輸中資料加密

如果雲端資料存放區支援 HTTPS 或 TLS，則 Data Factory 中資料移動服務與雲端資料存放區之間的所有資料傳輸，都會透過安全通道 HTTPS 或 TLS。

待用資料加密

有些資料存放區支援待用資料加密。 建議您為這些資料存放區啟用資料加密機制。

Azure Synapse Analytics

Azure Synapse Analytics 中的透明資料加密 (TDE) 可以對待用資料執行即時加密和解密，協助防止惡意活動的威脅。 用戶端並不會察覺到這個過程。 如需詳細資訊，請參閱在 Azure Synapse Analytics 中保護資料庫。

Azure SQL Database

Azure SQL Database 也支援透明資料加密 (TDE)，TDE 可在不需變更應用程式的情況下，對資料執行即時加密和解密，協助防止惡意活動的威脅。 用戶端並不會察覺到這個過程。 如需詳細資訊，請參閱 SQL Database 和資料倉儲的透明資料加密。

Azure Data Lake Store

Azure Data Lake Store 也針對儲存在帳戶中的資料提供加密功能。 啟用加密功能時，Data Lake Store 會在保存資料之前先自動加密資料，並在擷取資料之前先解密資料，因此存取該資料的用戶端並不會察覺這個過程。 如需詳細資訊，請參閱 Azure Data Lake Store 安全性。

Azure Blob 儲存體和 Azure 資料表儲存體

「Azure Blob 儲存體」和「Azure 資料表儲存體」支援「儲存體服務加密」(SSE)，此功能會在將資料保存到儲存體之前先自動加密資料，並在擷取資料之前先解密資料。 如需詳細資訊，請參閱待用資料的 Azure 儲存體服務加密。

Amazon S3

Amazon S3 同時支援用戶端和伺服器的待用資料加密。 如需詳細資訊，請參閱使用加密來保護資料 (英文)。

Amazon Redshift

Amazon Redshift 支援叢集待用資料加密。 如需詳細資訊，請參閱 Amazon Redshift 資料庫加密 (英文)。

Salesforce

Salesforce 支援「Shield 平台加密」，可加密所有檔案、附件和自訂欄位。 如需詳細資訊，請參閱了解 Web 伺服器 OAuth 驗證流程 (英文)。

混合式案例

混合式案例需要您在內部部署網路中或是虛擬網路 (Azure) 或虛擬私人雲端 (Amazon) 內安裝自我裝載整合執行階段。 自我裝載整合執行階段必須能夠存取本機資料存放區。 如需自我裝載整合執行階段的詳細資訊，請參閱如何建立和設定自我裝載整合執行階段。

命令通道可允許 Data Factory 中的資料移動服務與自我裝載整合執行階段之間進行通訊。 此通訊包含活動的相關資訊。 資料通道會用來在內部部署資料存放區與雲端資料存放區之間傳輸資料。

內部部署資料存放區認證

認證可以儲存在資料處理站中，或從 Azure Key Vault 在執行階段供 Data Factory 參考。 如果將認證儲存在資料處理站，則一律會在自我裝載整合執行階段加密儲存。

• 在本機儲存認證。 如果您直接使用 Set-AzDataFactoryV2LinkedService Cmdlet 搭配連接字串和 JSON 中內嵌的認證，連結服務會加密儲存在自我裝載整合執行階段。 在此情況下，認證會流經極度安全的 Azure 後端服務，流向自我裝載整合機器，最後在此加密儲存。 自我裝載整合執行階段會使用 Windows DPAPI 加密機密資料和認證資訊。

• 在 Azure Key Vault 中儲存認證。 您也可以在 Azure Key Vault 中儲存資料存放區的認證。 Data Factory 會在活動執行期間擷取認證。 如需詳細資訊，請參閱 在 Azure Key Vault 中儲存認證。

• 在本機儲存認證，認證不會經由 Azure 後端流向自我裝載整合執行階段。 如果您要在本機環境的自我裝載整合執行階段加密儲存認證，而不要讓認證流經資料處理站後端，請遵循在 Azure Data Factory 中加密內部部署資料存放區的認證中的步驟。 所有連接器皆支援此選項。 自我裝載整合執行階段會使用 Windows DPAPI 加密機密資料和認證資訊。

• 使用 New-AzDataFactoryV2LinkedServiceEncryptedCredential Cmdlet 來加密連結服務認證和加密連結服務中的機密詳細資料。 然後，您可以使用傳回的 JSON (與連接字串中的 EncryptedCredential 元素)，搭配 Set-AzDataFactoryV2LinkedService Cmdlet 來建立連結服務。

在自我裝載整合執行階段上加密連結服務時所使用的連接埠

根據預設，啟用從內部網路進行遠端存取時，PowerShell 會在具有自我裝載整合執行階段的電腦上使用連接埠 8060 來保護通訊安全。 必要時，您可以從 Integration Runtime Configuration Manager 的 [設定] 索引標籤變更此連接埠：

傳輸中加密

與 Azure 服務進行通訊時，所有資料傳輸都會透過安全通道 HTTPS 和 TLS over TCP，以防止攔截式攻擊。

您也可以使用 IPsec VPN 或 Azure ExpressRoute ，進一步保護內部部署網路與 Azure 之間的通道。

Azure 虛擬網路是您網路在雲端的邏輯呈現方式。 您可以設定 IPsec VPN（站對站）或 ExpressRoute （私人對等互連），將內部部署網路連線到您的虛擬網路。

下表根據混合式資料移動的不同來源和目的地位置組合，摘要說明網路和自我裝載整合執行階段組態的建議事項。

下圖顯示使用 ExpressRoute 和 IPsec VPN 在內部部署資料庫與 Azure 服務之間行動數據的自我裝載整合運行時間（搭配 Azure 虛擬網絡）：

Express Route

IPsec VPN

防火牆設定和 IP 位址允許清單設定

內部部署/私人網路的防火牆需求

在企業中，公司防火牆會在組織的中央路由器上執行。 Windows 防火牆則是在安裝自我裝載整合執行階段的本機電腦上以精靈的形式執行。

下表提供公司防火牆的輸出連接埠和網域需求：

下表提供 Windows 防火牆的輸入連接埠需求：

資料存放區中的 IP 設定和允許清單設定

有些雲端資料存放區也會要求必須將存取存放區的電腦 IP 位址加入允許清單。 請確定在防火牆中已將自我裝載整合執行階段電腦的 IP 位址正確地加入允許清單並進行設定。

下列雲端資料存放區會要求必須將自我裝載整合執行階段電腦的 IP 位址加入允許清單。 在這些資料存放區中，有些可能預設不會要求將 IP 位址加入允許清單。

• Azure SQL Database
• Azure Synapse Analytics
• Azure Data Lake Store
• Azure Cosmos DB
• Amazon Redshift

常見問題集

是否可以跨不同的 Data Factory 共用自我裝載整合執行階段？

是。 這裡提供更多詳細資料。

自我裝載整合執行階段需要什麼連接埠才能運作？

自我裝載整合執行階段會建立 HTTP 型連線來存取網際網路。 必須開啟輸出連接埠 443，自我裝載整合執行階段才能建立此連線。 針對認證管理員應用程式，請只在機器層級 (而非公司防火牆層級) 開啟輸入連接埠 8060。 如果使用 Azure SQL Database 或 Azure Synapse Analytics 作為來源或目的地，則也需要開啟連接埠 1433。 如需詳細資訊，請參閱防火牆設定及 IP 位址允許清單設定一節。

相關內容

如需有關 Azure Data Factory 複製活動效能的詳細資訊，請參閱複製活動的效能及微調指南。