Vzory návrhu cloudu, které podporují zabezpečení

  • Článek

Při návrhu architektur úloh byste měli používat oborové vzory, které řeší běžné výzvy. Vzory vám můžou pomoct s úmyslným kompromisem v rámci úloh a optimalizovat je pro požadovaný výsledek. Můžou také pomoct zmírnit rizika vyplývající z konkrétních problémů, které můžou mít vliv na spolehlivost, výkon, náklady a provoz. Tato rizika mohou značit nedostatek bezpečnostních záruk, pokud je ponecháte bez dozoru, mohou pro firmu představovat významná rizika. Tyto vzory jsou založené na reálných zkušenostech, jsou navržené pro cloudové škálování a provozní modely a jsou ze své podstaty nezávislé na dodavatelích. Použití dobře známých vzorů jako způsobu standardizace návrhu úloh je součástí efektivity provozu.

Mnoho vzorů návrhu přímo podporuje jeden nebo více pilířů architektury. Vzory návrhu, které podporují pilíř zabezpečení, upřednostňují koncepty, jako je segmentace a izolace, silná autorizace, jednotné zabezpečení aplikací a moderní protokoly.

Vzory návrhu pro zabezpečení

Následující tabulka shrnuje vzory návrhu cloudu, které podporují cíle zabezpečení.

Vzor Souhrn
Ambassador Zapouzdřuje a spravuje síťovou komunikaci přesměrováním průřezových úloh souvisejících se síťovou komunikací. Výsledné pomocné služby zahájí komunikaci jménem klienta. Tento zprostředkační bod poskytuje příležitost k posílení zabezpečení síťové komunikace.
Backends for Frontends Individualizuje vrstvu služby úlohy vytvořením samostatných služeb, které jsou výhradní pro konkrétní front-endové rozhraní. Díky tomuto oddělení je možné zabezpečení a autorizaci ve vrstvě služby, která podporuje jednoho klienta, přizpůsobit funkcím, které tento klient poskytuje, a potenciálně tak zmenšit plochu rozhraní API a laterální přesun mezi různými back-endy, které můžou vystavit různé možnosti.
Bulkhead Zavádí záměrnou a úplnou segmentaci mezi komponentami za účelem izolace poloměru výbuchu chybných funkcí. Tuto strategii můžete použít také k zahrnutí incidentů zabezpečení na ohroženou přepážku.
Kontrola deklarace identity Odděluje data od toku zasílání zpráv a poskytuje způsob, jak samostatně načíst data související se zprávou. Tento model podporuje uchovávání citlivých dat mimo těla zpráv, místo toho je spravuje v zabezpečeném úložišti dat. Tato konfigurace umožňuje vytvořit přísnější autorizaci pro podporu přístupu k citlivým datům ze služeb, u kterých se očekává, že data budou používat, ale odeberete viditelnost z pomocných služeb, jako jsou řešení pro monitorování front.
Federated Identity Deleguje vztah důvěryhodnosti na zprostředkovatele identity, který je externí pro danou úlohu pro správu uživatelů a poskytování ověřování pro vaši aplikaci. Díky externalizaci správy a ověřování uživatelů můžete získat vyvinuté funkce pro detekci a prevenci hrozeb založených na identitách, aniž byste je museli implementovat ve svých úlohách. Externí zprostředkovatelé identity používají moderní interoperabilní ověřovací protokoly.
Gatekeeper Přesměruje zpracování požadavků, které je speciálně pro vynucení zabezpečení a řízení přístupu před a po předání požadavku do back-endového uzlu. Přidání brány do toku požadavků vám umožní centralizovat funkce zabezpečení, jako jsou brány firewall webových aplikací, ochrana před útoky DDoS, detekce robotů, manipulace s požadavky, inicializace ověřování a kontroly autorizace.
Gateway Aggregation Zjednodušuje interakce klientů s úlohou tím, že agreguje volání několika back-endových služeb v jednom požadavku. Tato topologie často snižuje počet dotykových bodů, které má klient se systémem, což snižuje veřejnou plochu a ověřovací body. Agregované back-endy můžou zůstat plně izolované od klientů.
Gateway Offloading Přesměruje zpracování požadavků na zařízení brány před předáním požadavku do back-endového uzlu a po jeho předání do back-endového uzlu. Přidání brány do toku požadavků vám umožní centralizovat funkce zabezpečení, jako jsou brány firewall webových aplikací a připojení TLS s klienty. Všechny funkce s přesměrováním zatížení, které jsou již poskytovány platformou, nabízejí rozšířené zabezpečení.
Vydavatel/odběratel Odděluje komponenty v architektuře nahrazením přímé komunikace mezi klientem a službou komunikací prostřednictvím zprostředkujícího zprostředkovatele zpráv nebo sběrnice událostí. Toto nahrazení zavádí důležitou hranici segmentace zabezpečení, která umožňuje, aby předplatitelé front byly izolované od vydavatele.
Karantény Zajišťuje, aby externí prostředky splňovaly úroveň kvality odsouhlasenou týmem před tím, než budou oprávněny je využívat v úlohách. Tato kontrola slouží jako první ověření zabezpečení externích artefaktů. Ověření artefaktu se provádí v segmentované prostředí před jeho použitím v rámci životního cyklu zabezpečeného vývoje (SDL).
Sidecar Rozšiřuje funkčnost aplikace zapouzdřením neprimárních nebo průřezových úloh do doprovodného procesu, který existuje vedle hlavní aplikace. Zapouzdřením těchto úloh a jejich nasazením mimo proces můžete zmenšit plochu citlivých procesů pouze na kód potřebný k provedení úkolu. Pomocí sajdkár můžete také přidat průřezové ovládací prvky zabezpečení do komponenty aplikace, která není nativně navržena s danou funkcí.
Omezování Omezuje rychlost nebo propustnost příchozích požadavků na prostředek nebo komponentu. Omezení můžete navrhnout tak, aby se zabránilo vyčerpání prostředků, které by mohlo být důsledkem automatizovaného zneužití systému.
Valet Key Udělí přístup k prostředku s omezeným zabezpečením bez použití zprostředkujícího prostředku k proxy přístupu. Tento model umožňuje klientovi přímý přístup k prostředku, aniž by potřeboval dlouhodobé nebo trvalé přihlašovací údaje. Všechny žádosti o přístup začínají auditovatelnou transakcí. Udělený přístup je pak omezený jak v rozsahu, tak v trvání. Tento model také usnadňuje odvolání uděleného přístupu.

Další kroky

Projděte si vzory návrhu cloudu, které podporují další pilíře architektury Azure Well-Architected: