Abordagens arquitetônicas para governança e conformidade em soluções multilocatárias

À medida que seu uso do Azure amadurece, é importante considerar a governança de seus recursos de nuvem. A governança inclui como os dados dos locatários são armazenados e gerenciados e como você organiza seus recursos do Azure. Poderá também ter de seguir normas regulamentares, legais ou contratualmente obrigatórias. Este artigo fornece informações sobre como considerar a governança e a conformidade em uma solução multilocatário. Ele também sugere alguns dos principais recursos da plataforma Azure que dão suporte a essas preocupações.

Principais considerações e requisitos

Isolamento de recursos

Certifique-se de configurar seus recursos do Azure para atender aos requisitos de isolamento de seus locatários. Consulte Organização de recursos do Azure em soluções multilocatárias para obter orientação sobre como isolar seus recursos do Azure.

Gestão de dados

Quando armazena dados em nome dos seus inquilinos, poderá ter requisitos ou obrigações que precisa de cumprir. Do ponto de vista de um inquilino, eles geralmente esperam a propriedade e o controle de seus dados. Considere como você isola, armazena, acessa e agrega dados de locatários. Descubra as expectativas e os requisitos dos locatários que podem afetar o funcionamento da sua solução.

Isolamento

Analise as abordagens de arquitetura para armazenamento e dados em soluções multilocatárias para entender como isolar os dados dos locatários. Considere se os locatários têm requisitos para usar suas próprias chaves de criptografia de dados.

Seja qual for a abordagem de isolamento implementada, esteja preparado para que os locatários solicitem uma auditoria de seus dados. É uma boa prática documentar todos os armazenamentos de dados nos quais os dados dos locatários podem ser mantidos. As fontes de dados comuns incluem o seguinte:

• Bancos de dados e contas de armazenamento implantados como parte de sua solução.
• Sistemas de identidade, que são frequentemente partilhados entre inquilinos.
• Logs.
• Armazéns de dados.

Soberania

Entenda se há alguma restrição na localização física dos dados dos seus locatários que devem ser armazenados ou processados. Seus locatários podem exigir que você armazene seus dados em locais geográficos específicos. Eles também podem exigir que você não armazene seus dados em determinados locais. Embora estes requisitos se baseiem geralmente na legislação, também podem basear-se em valores e normas culturais.

Para obter mais informações sobre residência e soberania de dados, consulte o whitepaper Habilitando a residência de dados e a proteção de dados em regiões do Microsoft Azure.

Acesso dos locatários aos dados que você armazena

Às vezes, os locatários solicitam acesso direto aos dados que você armazena em seu nome. Por exemplo, eles podem querer ingerir seus dados em seu próprio data lake.

Planeje como você responderá a essas solicitações. Considere se algum dos dados dos locatários é mantido em armazenamentos de dados compartilhados. Se estiver, planeje como você evitará que os locatários acessem os dados de outros locatários.

Evite fornecer acesso direto a bancos de dados ou contas de armazenamento, a menos que você tenha projetado para esse requisito, como usando o padrão de chave de manobrista. Considere a criação de uma API ou um processo automatizado de exportação de dados para fins de integração.

Para obter mais informações sobre a integração com sistemas de locatários e sistemas externos, consulte Abordagens arquitetônicas para integração de locatários e acesso a dados.

O seu acesso aos dados dos inquilinos

Considere se os requisitos dos locatários restringem o pessoal que pode trabalhar com seus dados ou recursos. Por exemplo, suponha que você crie uma solução SaaS usada por muitos clientes diferentes. Uma agência governamental pode exigir que apenas cidadãos de seu país/região tenham permissão para acessar a infraestrutura e os dados para sua solução. Você pode atender a esse requisito usando grupos de recursos do Azure, assinaturas ou grupos de gerenciamento separados para cargas de trabalho confidenciais de clientes. Você pode aplicar atribuições de função RBAC (controles de acesso baseados em função) do Azure com escopo rigoroso para grupos específicos de usuários trabalharem com esses recursos.

Agregação de dados de vários locatários

Considere se você precisa combinar ou agregar dados de vários locatários. Por exemplo, você analisa os dados agregados ou treina modelos de aprendizado de máquina que podem ser aplicados a outros locatários? Certifique-se de que os seus inquilinos compreendem as formas como utiliza os respetivos dados. Inclua qualquer uso de dados agregados ou anonimizados.

Requisitos de conformidade

É importante que você entenda se precisa atender a algum padrão de conformidade. Os requisitos de conformidade podem ser introduzidos em várias situações, incluindo:

• Você, ou qualquer um dos seus inquilinos, trabalha em determinados setores. Por exemplo, se algum dos seus inquilinos trabalhar no setor da saúde, poderá ter de cumprir a norma HIPAA.
• Você, ou qualquer um dos seus inquilinos, está localizado em regiões geográficas ou geopolíticas que exigem conformidade com as leis locais. Por exemplo, se algum dos seus inquilinos estiver localizado na Europa, poderá ter de cumprir o Regulamento Geral sobre a Proteção de Dados (RGPD).
• Você compra uma apólice de seguro cibernético para mitigar o risco de violações. Os provedores de seguros cibernéticos podem exigir que você siga seus padrões e aplique controles específicos para que sua apólice seja válida.

Importante

A conformidade é uma responsabilidade partilhada entre a Microsoft, o utilizador e os seus inquilinos.

A Microsoft garante que nossos serviços atendam a um conjunto específico de padrões de conformidade e fornece ferramentas como o Microsoft Defender for Cloud que ajudam a verificar se seus recursos estão configurados de acordo com esses padrões.

No entanto, em última análise, é sua responsabilidade entender completamente os requisitos de conformidade que se aplicam à sua solução e como configurar seus recursos do Azure de acordo com esses padrões. Consulte Ofertas de conformidade do Azure para obter mais detalhes.

Este artigo não fornece orientações específicas sobre como se tornar compatível com quaisquer normas específicas. Em vez disso, ele fornece algumas orientações gerais sobre como considerar a conformidade e a governança em uma solução multilocatário.

Se diferentes locatários precisarem que você siga diferentes padrões de conformidade, planeje cumprir o padrão mais rigoroso em todo o seu ambiente. É mais fácil seguir um padrão rigoroso do que seguir padrões diferentes para diferentes inquilinos.

Abordagens e padrões a considerar

Etiquetas de recursos

Use marcas de recursos para controlar o identificador de locatário para recursos específicos do locatário ou o identificador de carimbo ao dimensionar usando o padrão Carimbos de Implantação. Usando tags de recursos, você pode identificar rapidamente recursos associados a locatários ou carimbos específicos.

Controlo de acesso

Use o RBAC do Azure para restringir o acesso aos recursos do Azure que constituem a solução multilocatário. Siga as práticas recomendadas do RBAC, como aplicar atribuições de função a grupos em vez de usuários. Defina o escopo de suas atribuições de função para que elas forneçam as permissões mínimas necessárias. Evite o acesso de longa data aos recursos usando o acesso just-in-time e recursos como o Gerenciamento de Acesso Privilegiado do Microsoft Entra ID.

Azure Resource Graph

O Azure Resource Graph permite que você trabalhe com metadados de recursos do Azure. Usando o Gráfico de Recursos, você pode consultar um grande número de recursos do Azure, mesmo que eles estejam espalhados por várias assinaturas. O Gráfico de Recursos pode consultar os recursos de um tipo específico ou identificar recursos que foram configurados de maneiras específicas. Ele também pode ser usado para rastrear o histórico da configuração de um recurso.

O Gráfico de Recursos pode ser útil para gerenciar grandes propriedades do Azure. Por exemplo, suponha que você implante recursos do Azure específicos do locatário em várias assinaturas do Azure. Ao aplicar tags aos seus recursos, você pode usar a API do Gráfico de Recursos para localizar recursos que são usados por locatários ou carimbos de implantação específicos.

Azure Purview

Considere usar o Azure Purview para controlar e classificar os dados que você armazena. Quando os locatários solicitam acesso aos seus dados, você pode determinar facilmente as fontes de dados que você deve incluir.

Verificar a conformidade com as normas

Use ferramentas como a Política do Azure, o portal de conformidade regulatória do Microsoft Defender for Cloud e o Azure Advisor. Essas ferramentas ajudam você a configurar seus recursos do Azure para atender aos requisitos de conformidade e seguir as práticas recomendadas recomendadas.

Gerar documentação de conformidade

Seus locatários podem exigir que você demonstre sua conformidade com padrões específicos. Use o Portal de Confiança do Serviço para gerar documentação de conformidade que você pode fornecer aos seus locatários ou a auditores de terceiros.

Algumas soluções multilocatárias incorporam o Microsoft 365 e usam serviços como Microsoft OneDrive, Microsoft SharePoint e Microsoft Exchange Online. O portal de conformidade do Microsoft Purview ajuda você a entender como esses serviços estão em conformidade com as normas regulamentares.

Padrão de carimbos de implantação

Considere seguir o padrão de Carimbos de Implantação quando precisar cumprir os requisitos específicos do locatário.

Por exemplo, você pode implantar carimbos de sua solução em várias regiões do Azure. Em seguida, você pode atribuir novos locatários a selos, com base nas regiões nas quais eles precisam ter seus dados localizados.

Da mesma forma, um novo locatário pode introduzir requisitos de conformidade rigorosos que você não pode atender em seus componentes de solução existentes. Você pode considerar a implantação de um carimbo dedicado para esse locatário e, em seguida, configurá-lo de acordo com seus requisitos.

Antipadrões a evitar

• Não compreender os requisitos de conformidade dos seus inquilinos. É importante não fazer suposições sobre os requisitos de conformidade que seus locatários podem impor. Se você planeja expandir sua solução para novos mercados, esteja atento ao ambiente regulatório em que seus locatários provavelmente operarão.
• Ignorando as boas práticas. Se você não tiver nenhuma necessidade imediata de aderir aos padrões de conformidade, ainda deverá seguir as boas práticas ao implantar seus recursos do Azure. Por exemplo, isole seus recursos, aplique políticas para verificar a configuração de recursos e aplique atribuições de função a grupos em vez de usuários. Ao seguir boas práticas, você torna mais simples seguir os padrões de conformidade quando eventualmente precisar fazê-lo.
• Assumindo que não existem requisitos de conformidade. Ao iniciar uma solução multilocatária pela primeira vez, talvez você não esteja ciente dos requisitos de conformidade ou talvez não precise seguir nenhum. À medida que você cresce, provavelmente precisará fornecer provas de que está em conformidade com vários padrões. Use o Microsoft Defender for Cloud para monitorar sua postura de conformidade, mesmo antes de ter um requisito explícito para fazê-lo.
• Não planear a gestão. Ao implantar seus recursos do Azure, considere como você planeja gerenciá-los. Se você precisar fazer atualizações em massa nos recursos, certifique-se de ter um entendimento das ferramentas de automação, como a CLI do Azure, o Azure PowerShell, o Azure Resource Graph e as APIs do Azure Resource Manager.
• Não usar grupos de gerenciamento. Planeje sua assinatura e hierarquia de grupo de gerenciamento, incluindo controle de acesso e recursos do Azure Policy em cada escopo. Pode ser difícil e perturbador introduzir ou alterar esses elementos quando seus recursos são usados em um ambiente de produção.
• Falha ao planejar sua estratégia de controle de acesso. O RBAC do Azure fornece um alto grau de controle e flexibilidade na forma como você gerencia o acesso aos seus recursos. Certifique-se de usar grupos do Microsoft Entra para evitar atribuir permissões a usuários individuais. Atribua funções em escopos que forneçam um equilíbrio adequado entre segurança e flexibilidade. Use definições de função internas sempre que possível e atribua funções que forneçam as permissões mínimas necessárias.
• Não usar a Política do Azure. É importante usar a Política do Azure para governar seu ambiente do Azure. Depois de planejar e implantar políticas, certifique-se de monitorar a conformidade com a política e analise cuidadosamente quaisquer violações ou exceções.

Contribuidores

Este artigo é mantido pela Microsoft. Foi originalmente escrito pelos seguintes contribuidores.

Autor principal:

• John Downs - Brasil | Engenheiro de Clientes Principal, FastTrack for Azure

Outros contribuidores:

• Bohdan Cherchyk - Brasil | Engenheiro de Clientes Sênior, FastTrack for Azure
• Laura Nicolas - Brasil | Engenheiro de Clientes Sênior, FastTrack for Azure
• Arsen Vladimirskiy - Brasil | Engenheiro de Clientes Principal, FastTrack for Azure

Para ver perfis não públicos do LinkedIn, inicie sessão no LinkedIn.

Próximos passos

Rever abordagens para gestão de custos e alocação.