Considerações de soberania para zonas de aterrissagem do Azure

Adotar a computação em nuvem ao mesmo tempo em que atende aos requisitos de soberania digital é complexo e pode diferir muito entre organizações, setores e geografias. O Microsoft Cloud for Sovereignty atende às necessidades de soberania das organizações governamentais combinando o poder da plataforma global do Azure com vários recursos de soberania projetados para ajudar a mitigar os riscos de soberania.

Microsoft Cloud for Sovereignty

O Microsoft Cloud for Sovereignty fornece recursos em várias camadas:

• Serviços avançados de controle soberano, como computação confidencial do Azure e Azure Key Vault Managed Hardware Security Module (HSM gerenciado)
• Guardrails soberanos por meio de arquitetura codificada, aceleradores de carga de trabalho, iniciativas localizadas de Política do Azure, ferramentas e orientação
• Conformidade regulamentar e transparência nas atividades do operador de nuvem
• Funcionalidade criada com base nos recursos de nuvem pública do Azure

Os clientes do setor público com necessidades de soberania que desejam começar a usar o Azure podem se beneficiar do Microsoft Cloud for Sovereignty. As ferramentas e diretrizes que o Microsoft Cloud for Sovereignty fornece, como a zona de aterrissagem soberana (visualização), podem acelerar a definição e a implantação de um ambiente soberano.

Zona de desembarque soberano

A zona de aterrissagem soberana (visualização) é uma variante personalizada opinativa da arquitetura da zona de pouso do Azure destinada a organizações que precisam de controles avançados de soberania. A zona de aterrissagem soberana (visualização) alinha recursos do Azure, como residência de serviço, chaves gerenciadas pelo cliente, Link Privado do Azure e computação confidencial para criar uma arquitetura de nuvem onde dados e cargas de trabalho oferecem criptografia e proteção contra ameaças por padrão.

Áreas de projeto de zonas de desembarque soberano

A arquitetura da zona de aterrissagem do Azure consiste em oito áreas de design. Cada área de design descreve os fatores a serem considerados antes de implantar uma zona de pouso. As seções a seguir descrevem considerações adicionais que se aplicam quando você implanta a zona de pouso soberano (visualização). Além da orientação da zona de aterrissagem do Azure, também tenha essas novas considerações em mente.

Organização de recursos

A zona de pouso soberano é uma versão personalizada da arquitetura conceitual da zona de pouso do Azure. A zona de aterrissagem soberana está alinhada à orientação descrita em Personalizar a arquitetura da zona de pouso do Azure.

Grupos de gestão para computação confidencial

Como mostra o diagrama a seguir, a arquitetura da zona de aterrissagem soberana se baseia na arquitetura da zona de aterrissagem do Azure:

• No grupo de gerenciamento Zonas de desembarque, são adicionados os grupos de gerenciamento on-line Confidencial corp e Confidencial.
• Um conjunto de iniciativas políticas específicas, por exemplo, a linha de base da política Microsoft Cloud for Soberania, também é aplicada. Essas iniciativas oferecem controles como local de implantação de recursos, tipos de implantação de recursos e criptografia.

Linha de base da política do Microsoft Cloud for Sovereignty

A zona de aterrissagem soberana (visualização) vem com as iniciativas de linha de base da política do Microsoft Cloud for Sovereignty implantadas. Como resultado, você pode implantar outros conjuntos de políticas dentro da zona de pouso soberano (visualização). Você pode colocar políticas extras em camadas sobre a zona de pouso soberano (visualização). Os exemplos incluem políticas de zona de aterrissagem do Azure e conjuntos de políticas que abordam estruturas de controle, como o National Institute of Standards and Technology (NIST) 800 171 Revisão 2 e o Microsoft Cloud Security Benchmark.

A linha de base da política do Microsoft Cloud for Sovereignty consiste em:

• Políticas para impor o uso de recursos de computação confidenciais quando cargas de trabalho são implantadas nos grupos de gerenciamento confidenciais. Essas políticas ajudam a criar uma plataforma onde as cargas de trabalho são protegidas em repouso, em trânsito e durante o uso, o que remove a Microsoft da cadeia de confiança.
• Políticas de localização, que também são implantadas por padrão para fornecer controle de administrador de nuvem sobre onde os recursos do Azure podem ser implantados.
• Gerenciamento de chaves, que é controlado por um HSM validado pelo Federal Information Processing Standard (FIPS) 140-2 nível 3 e aplicado pela política.

As políticas e opiniões que a zona de aterrissagem soberana (visualização) adiciona sobre a zona de aterrissagem do Azure criam uma plataforma tendenciosa para aumentar a segurança e a confidencialidade por padrão.

Para obter mais informações sobre a iniciativa de linha de base da política de soberania, consulte a documentação do portfólio de políticas do Microsoft Cloud for Soberania.

Topologia e conectividade de rede

A zona de aterragem soberana (pré-visualização) centra-se no controlo operacional dos dados em repouso, em trânsito e em utilização.

Encriptação de tráfego de rede

Para obter práticas recomendadas para criptografia de rede, consulte Definir requisitos de criptografia de rede.

Conectividade de entrada e saída da Internet

Semelhante às implantações da zona de aterrissagem do Azure, a implantação da zona de aterrissagem soberana dá suporte:

• Uma implantação parametrizada da camada premium do Firewall do Azure, para habilitar a proteção distribuída contra negação de serviço (DDoS).
• A implantação de uma infraestrutura central do Azure Bastion.

Antes de ativar esses recursos, consulte as práticas recomendadas para conectividade de entrada e saída da Internet em Planejar a conectividade de entrada e saída com a Internet.

Segurança

A arquitetura da zona de desembarque soberana faz uso de computação confidencial nas zonas de pouso confidenciais. As seções a seguir descrevem serviços que fornecem suporte para a computação confidencial do Azure.

HSM Gerido do Azure Key Vault

O Key Vault é um serviço necessário para a implantação de recursos de computação confidenciais. Para obter considerações e recomendações de design, consulte Criptografia e gerenciamento de chaves no Azure. Talvez seja necessário escolher o Azure Key Vault Managed HSM para requisitos de conformidade.

Azure Attestation

Se você usar a computação confidencial do Azure, poderá aproveitar o recurso de atestado de convidado do Atestado do Azure. Esse recurso ajuda a confirmar que uma VM confidencial é executada em um ambiente de execução confiável (TEE) baseado em hardware com recursos de segurança, como isolamento e integridade, habilitados.

Para obter mais informações sobre como habilitar o atestado de convidado, consulte O que é atestado de convidado para VMs confidenciais?.

Governação

Na maioria dos casos, a equipe da Microsoft executa operações, suporte e solução de problemas, e nenhum acesso aos dados do cliente é necessário. Ocasionalmente, um engenheiro da Microsoft precisa acessar os dados do cliente. Esses casos podem surgir em resposta a tíquetes de suporte iniciados pelo cliente ou quando a Microsoft identifica um problema.

Sistema de Proteção de Dados do Cliente para o Microsoft Azure

Nas raras circunstâncias em que o acesso é necessário, você pode usar o Customer Lockbox for Microsoft Azure. Esse recurso fornece uma interface que você pode usar para revisar e, em seguida, aprovar ou rejeitar solicitações de acesso a dados do cliente.

Automatização de plataforma e DevOps

A zona de pouso soberano (visualização) está disponível como um repositório GitHub.

Opções de implementação

Você pode implantar toda a zona de aterrissagem ou implantar um componente de cada vez. Ao implantar componentes individuais, você pode integrá-los ao fluxo de trabalho de implantação existente. Para obter orientações de implantação, consulte Principais componentes da implantação de visualização da zona de pouso soberana.

O repositório GitHub inclui os seguintes componentes de zona de pouso soberano (visualização):

• Bootstrap: Configura a hierarquia do grupo de gerenciamento e cria as assinaturas conforme ditado pela arquitetura da zona de pouso soberano (visualização). Esses elementos são implantados no grupo raiz do locatário do locatário do cliente do Azure.

• Plataforma: configura a rede do hub e os recursos de registro que são usados pela plataforma e cargas de trabalho da zona de pouso soberano (visualização).

• Conformidade: cria e atribui os conjuntos de políticas padrão e as políticas personalizadas que são impostas no ambiente.

• Painel: fornece uma representação visual da conformidade de seus recursos.

Painel de conformidade

Um painel de conformidade é implantado como parte da implantação da zona de pouso soberano (visualização). Este painel ajuda-o a validar a zona de aterragem soberana (pré-visualização) em relação aos seus requisitos e leis e regulamentos locais. Especificamente, o painel fornece informações sobre a conformidade no nível de recursos contra:

• As políticas de linha de base que são implantadas com a zona de pouso soberano (visualização).
• Outra conformidade personalizada que foi implantada.

Para obter mais informações, consulte a documentação do painel de conformidade.