我们如何保护 Azure AD 中的客户数据

大家好：

近几年来，云身份服务泄露事件频发，我们遇到了许多对我们如何确保客户数据安全的询问。今天，本篇博客将详细介绍我们如何保护 Azure AD 中的客户数据。

数据中心和服务安全

我们先从数据中心谈起。首先，所有 Microsoft 数据中心工作人员必须通过背景审查。对数据中心的任何访问均会受到严格管控，每次进入和离开都处于监控之下。在这些数据中心内，存储客户数据的关键 Azure AD 服务位于特殊锁定的机架中，对这些服务的物理访问受到严格限制，且处于 24 小时摄像头监控之下。此外，如果其中某个服务器被停用，所有磁盘都会被逻辑销毁和物理销毁，避免出现数据泄露。

其次，我们限制了可访问 Azure AD 服务的人员数量，并且即使拥有访问权限的人员也不是随时拥有这些特权。当这些人员确实需要服务访问特权时，需要使用一张智能卡通过多重身份验证以完成身份确认，然后提交请求。请求通过批准后，用户特权会预配为“适时”。在固定的一段时间后，这些特权会自动移除。如需更长访问时间，必须再次完成请求和批准流程。

特权授予后，所有访问通过一个托管管理员工作站进行（与已发布的特权访问工作站指南一致）。这是政策要求，且合规性受到严密监控。这些工作站使用一个固定的映像，且机器上的所有软件是完全托管的。为最大程度减小风险范围，仅允许进行选定的活动，并且用户无法偶然性地规避管理员工作站这一设计，因为他们没有相应的管理员权限。为进一步保护工作站，任何访问均要求使用一个智能卡，且每个工作站的访问权限仅限于特定用户。

最后，我们仅保留少量（小于 5 个）的“应急访问”帐户。此类帐户仅适用于紧急情况，其受到多步“应急访问”流程保护。使用此类帐户会受到监控，且会触发警报。

威胁检测

我们会每几分钟定期执行数项自动检查，确保一切运行正常，即使是在按客户要求添加新功能时也是如此：

• 泄露检测： 我们会检查是否存在指示泄露的模式。我们会定期添加检测项。此外，我们还使用触发这些模式的自动化测试来检查数据泄露检测逻辑是否正常运行！
  
• 渗透测试： 渗透测试随时都在运行。此类测试千方百计地试图破坏我们的服务，我们希望这些测试始终失败。如果某个渗透测试成功，我们便知道服务存在某些问题，然后立即进行修复。
  
• 审计： 所有管理活动均会被记录。预期之外的任何活动（例如管理员创建具有特权的帐户）会触发警报，我们会对相应操作进行深入检查以确保其并非异常操作。
  

我们是否说过会加密 Azure AD 中你的所有数据？没错，确实如此，我们使用 BitLocker 加密所有 Azure AD 静态身份数据。那么网络数据呢？依然经过加密！所有 Azure AD API 基于 Web，使用 SSL 通过 HTTPS 加密此类数据。 所有 Azure AD 服务器配置为使用 TLS 1.2。我们允许采用通过 TLS 1.1 和 1.0 的入站连接，以支持外部客户端。我们会明确拒绝所有通过旧版 SSL（包括 SSL 3.0 和 2.0）的连接。 信息访问通过基于令牌的授权受到限制，且每个租户的数据仅可通过该租户中允许的帐户访问。此外，我们的内部 API 还要求对受信任的证书和颁发链使用 SSL 客户端/服务器身份验证。

结语

Azure AD 以两种方式提供，本篇博客介绍由 Microsoft 提供和运营的公共服务的安全性和加密。有关由受信任合作伙伴运营的国家/地区云实例的类似问题，请联系你的帐户团队。

（注意：作为一条简单的经验法则，如果通过以 .com 结尾的 URL 管理或访问 Microsoft Online 服务，本博客介绍我们如何保护和加密你的数据。）

确保你的数据安全是我们的第一要务，我们对此非常重视。希望本篇数据加密和安全协议概述可以为你消除困惑并提供帮助。

此致，

Alex Simons (Twitter: @Alex_A_Simons)

计划管理总监

Microsoft 身份部门

[更新于 2017/10/3，新增了我们使用的 TLS 和 SSL 的特定版本信息]