Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Azure DocumentDB est un service de base de données NoSQL entièrement managé conçu pour les applications stratégiques hautes performances. La sécurisation de votre cluster Azure DocumentDB est essentielle pour protéger vos données et votre réseau.
Cet article explique les meilleures pratiques et les fonctionnalités clés pour vous aider à prévenir, détecter et répondre aux violations de base de données.
Sécurité réseau
Restreindre l’accès à l’aide de points de terminaison privés et de règles de pare-feu : par défaut, les clusters sont verrouillés. Contrôlez les ressources qui peuvent se connecter à votre cluster en activant l’accès privé via Private Link ou un accès public avec des règles de pare-feu basées sur IP. Pour plus d’informations, consultez comment activer l’accès privé et comment activer l’accès public.
Combinez l’accès public et privé en fonction des besoins : vous pouvez configurer les options d’accès public et privé sur votre cluster et les modifier à tout moment pour répondre à vos exigences de sécurité. Pour plus d’informations, consultez les options de configuration réseau.
Gestion des identités
Utilisez des identités managées pour accéder à votre compte à partir d’autres services Azure : les identités managées éliminent la nécessité de gérer les informations d’identification en fournissant une identité managée automatiquement dans l’ID Microsoft Entra. Utilisez des identités managées pour accéder en toute sécurité à Azure DocumentDB à partir d’autres services Azure sans incorporer d’informations d’identification dans votre code. Pour plus d’informations, consultez Identités managées pour les ressources Azure.
Utilisez le contrôle d’accès en fonction du plan de contrôle Azure pour gérer les bases de données et collections de comptes : appliquez le contrôle d’accès en fonction du rôle Azure pour définir des autorisations affinées pour la gestion des clusters, bases de données et collections Azure DocumentDB. Ce contrôle garantit que seuls les utilisateurs ou services autorisés peuvent effectuer des opérations administratives.
Utilisez le contrôle d’accès en fonction du rôle de plan de données natif pour interroger, créer et accéder à des éléments au sein d’un conteneur : implémentez le contrôle d’accès en fonction du rôle du plan de données pour appliquer l’accès au moins privilégié pour l’interrogation, la création et l’accès aux éléments dans les collections Azure DocumentDB. Ce contrôle permet de sécuriser vos opérations de données. Pour découvrir plus d’informations, consultez Octroi d’accès au plan de données.
Séparez les identités Azure utilisées pour l’accès aux données et au plan de contrôle : utilisez des identités Azure distinctes pour les opérations de plan de contrôle et de plan de données pour réduire le risque d’escalade des privilèges et garantir un meilleur contrôle d’accès. Cette séparation améliore la sécurité en limitant l’étendue de chaque identité.
Utilisez des mots de passe forts pour les clusters d’administration : les clusters administratifs nécessitent des mots de passe forts avec au moins huit caractères, y compris des majuscules, des minuscules, des nombres et des caractères nonphanumériques. Les mots de passe forts empêchent l’accès non autorisé. Pour plus d’informations, consultez comment gérer les utilisateurs.
Créez des clusters d’utilisateurs secondaires pour un accès granulaire : attribuez des privilèges en lecture-écriture ou en lecture seule aux clusters d’utilisateurs secondaires pour un contrôle d’accès plus granulaire sur les bases de données de votre cluster. Pour plus d’informations, consultez comment créer des utilisateurs secondaires.
Sécurité du transport
Appliquer le chiffrement de sécurité de la couche de transport pour toutes les connexions : toutes les communications réseau avec des clusters Azure DocumentDB sont chiffrées en transit à l’aide du protocole TLS (Transport Layer Security) jusqu’à 1.3. Seules les connexions via un client MongoDB sont acceptées et le chiffrement est toujours appliqué. Pour plus d’informations, consultez comment se connecter en toute sécurité.
Utilisez HTTPS pour la gestion et la surveillance : vérifiez que toutes les opérations de gestion et de surveillance sont effectuées sur HTTPS pour protéger les informations sensibles. Pour plus d’informations, consultez comment surveiller les journaux de diagnostic.
Chiffrement des données
Chiffrer les données au repos à l’aide de clés gérées par le service ou gérées par le client : toutes les données, sauvegardes, journaux et fichiers temporaires sont chiffrées sur disque à l’aide du chiffrement AES (Advanced Encryption Standard) 256 bits. Vous pouvez utiliser des clés gérées par le service par défaut ou configurer des clés gérées par le client pour un meilleur contrôle. Pour plus d’informations, consultez comment configurer le chiffrement des données.
Utiliser le chiffrement de référence : le chiffrement des données au repos est appliqué pour tous les clusters et sauvegardes, ce qui garantit que vos données sont toujours protégées. Pour plus d’informations, consultez Chiffrement au repos.
Sauvegarde et restauration
- Activer les sauvegardes de cluster automatisées : les sauvegardes sont activées lors de la création du cluster, entièrement automatisées et ne peuvent pas être désactivées. Vous pouvez restaurer votre cluster à n’importe quel horodatage au cours de la période de rétention de 35 jours. Pour plus d’informations, consultez comment restaurer un cluster.
Surveillance et réponse
Surveillez les attaques à l’aide des journaux d’audit et d’activité : utilisez la journalisation d’audit et les journaux d’activité pour surveiller votre base de données pour une activité normale et anormale, y compris qui a effectué des opérations et quand. Pour plus d’informations, consultez comment surveiller les journaux de diagnostic.
Répondre aux attaques avec le support Azure : si vous soupçonnez une attaque, contactez le support Azure pour lancer un processus de réponse aux incidents en cinq étapes pour restaurer la sécurité et les opérations du service. Pour plus d’informations, consultez la responsabilité partagée dans le cloud.