この記事では、MicrosoftがAzureの本番ネットワークをどのように管理・運用し、Azureデータセンターを安全に保護しているかについて説明します。
監視、記録、報告
Azure本番ネットワークの管理と運用は、AzureとAzure SQL Databaseの運用チーム間の協調的な取り組みです。 チームは環境内で複数のシステムおよびアプリケーションのパフォーマンス監視ツールを使用しています。 また、ネットワーク機器、サーバー、サービス、アプリケーションプロセスを監視するための適切なツールも使用します。
Azure環境で動作するサービスの安全な実行を確保するため、オペレーションチームは複数の監視、ログ記録、報告を実施しており、以下の動作が含まれます。
Microsoft Monitoring Agent(MMA)は、ファブリックコントローラ(FC)やルートOS(OS)を含む多くの場所から監視および診断ログ情報を収集し、ログファイルに書き込みます。 エージェントは最終的に、情報のダイザストされたサブセットを事前に設定されたAzureストレージアカウントにプッシュします。 さらに、独立型のモニタリング・診断サービスは、さまざまなモニタリングおよび診断ログデータを読み取り、情報を要約します。 監視・診断サービスは情報を統合ログに書き込みます。 AzureはカスタムビルドのAzureセキュリティモニタリングを使用しており、これはAzure監視システムの拡張です。 この拡張機能には、プラットフォーム内のさまざまなポイントからセキュリティ関連のイベントを観察、分析、報告するコンポーネントが含まれています。
Azure SQL Database Windows Fabricプラットフォームは、Azure SQL Databaseの管理、展開、開発、運用監督サービスを提供します。 このプラットフォームは分散型の多段階展開サービス、健康監視、自動修理、サービスバージョン準拠を提供しています。 プラットフォームは以下のサービスを提供しています:
- 高忠実度開発環境でのサービスモデリング機能(データセンタークラスターは高価で希少です)。
- サービスブートストラップやメンテナンスのためのワンクリック展開およびアップグレードワークフロー。
- 自己修復を支援する自動修復ワークフローによる健康報告。
- 分散システムのノード間でリアルタイムの監視、アラート、デバッグ機能を提供します。
- 分散型の根本原因分析とサービスインサイトのための運用データと指標の集中収集。
- 展開、変更管理、モニタリングのための運用ツール。
- Azure SQL Database Windows Fabricプラットフォームとウォッチドッグスクリプトは連続的に動作し、リアルタイムで監視します。
異常が発生した場合、Azureがインシデント対応プロセスを起動し、その後Azureのインシデントトリアージチームが対応します。 Azureは適切なサポート担当者に通知し、インシデント対応を促します。 集中型のチケットシステムが問題の追跡と解決を記録・管理します。 Microsoftは、秘密保持契約(NDA)および要望に応じてシステムの稼働時間指標を提供しています。
企業ネットワークと運用環境への多要素アクセス
企業ネットワークのユーザーベースにはAzure サポート personnelが含まれます。 企業ネットワークは社内の機能をサポートし、Azureのカスタマーサポートのための社内アプリケーションへのアクセスも含まれます。 Microsoftは企業ネットワークを論理的かつ物理的にAzureの本番ネットワークから分離しています。 Azureの担当者はAzureワークステーションやノートパソコンを使って企業ネットワークにアクセスします。 すべてのユーザーは、企業ネットワークリソースにアクセスするために、ユーザー名とパスワードを含むMicrosoft Entraアカウントを持っている必要があります。 Microsoft Information Technologyは、企業ネットワークにアクセスするすべての職員、契約者、ベンダーの Microsoft Entra アカウントを発行・管理しています。 ユーザー識別子は、Microsoftでの雇用状況に基づいて人員を識別します。
Active Directory フェデレーション サービス (AD FS)(AD FS)は、認証を通じて内部Azureアプリケーションへのアクセスを制御します。 Microsoft Information Technologyは、安全なトークンとユーザークレームを適用して企業ネットワークユーザーを認証するためにAD FSをホストしています。 AD FSは、社内のAzureアプリケーションがユーザーをMicrosoftの企業Active Directoryドメインに対して認証するのに役立ちます。 企業ネットワーク環境から本番ネットワークにアクセスするには、多要素認証を用いて認証する必要があります。
次のステップ
MicrosoftがAzureインフラをどのように保護しているかについて詳しく知りたい方は、以下をご覧ください:
