Partager via

Composants et limites du système d’information Azure

Cet article fournit une description générale de l’architecture et de la gestion Azure. L’environnement système Azure est constitué des réseaux suivants :

  • Réseau de production Microsoft Azure (réseau Azure)
  • Réseau d’entreprise Microsoft (corpnet)

Les équipes informatiques distinctes sont responsables des opérations et de la maintenance de ces réseaux.

Architecture Azure

Azure est une plateforme et une infrastructure de cloud computing pour la création, le déploiement et la gestion d’applications et de services via un réseau de centres de données. Microsoft gère ces centres de données. En fonction du nombre de ressources que vous spécifiez, Azure crée des machines virtuelles en fonction des besoins en ressources. Ces machines virtuelles s’exécutent sur un hyperviseur Azure, qui est conçu pour être utilisé dans le cloud et n’est pas accessible au public.

Sur chaque nœud de serveur physique Azure, il existe un hyperviseur qui s’exécute directement sur le matériel. L’hyperviseur divise un nœud en un nombre variable de machines virtuelles invitées. Chaque nœud a également une machine virtuelle racine, qui exécute le système d’exploitation hôte. Le Pare-feu Windows est activé sur chaque machine virtuelle. Vous définissez les ports adressables en configurant le fichier de définition de service. Ces ports sont les seuls ouverts et adressables, en interne ou en externe. Tout le trafic et l’accès au disque et au réseau sont médiatés par l’hyperviseur et le système d’exploitation racine.

Au niveau de la couche hôte, les machines virtuelles Azure exécutent une version personnalisée et renforcée de la dernière version de Windows Server. Azure utilise une version de Windows Server qui inclut uniquement les composants nécessaires pour héberger des machines virtuelles. Cela améliore les performances et réduit la surface d’attaque. Les limites de l’ordinateur sont appliquées par l’hyperviseur, qui ne dépend pas de la sécurité du système d’exploitation.

Gestion d’Azure par les contrôleurs de structure

Dans Azure, les machines virtuelles s’exécutant sur des serveurs physiques (panneaux/nœuds) sont regroupées en clusters d’environ 1 000. Les machines virtuelles sont gérées indépendamment par un composant logiciel de plateforme, mis à l’échelle horizontalement et redondant, appelé « contrôleur de fabrique » (FC).

Chaque fc gère le cycle de vie des applications s’exécutant dans son cluster, et provisionne et surveille l’intégrité du matériel sous son contrôle. Il exécute des opérations autonomes, telles que la réincarnation d’instances de machine virtuelle sur des serveurs sains lorsqu’il détermine qu’un serveur a échoué. Le FC effectue également des opérations de gestion des applications, telles que le déploiement, la mise à jour et la montée en puissance des applications.

Le centre de données est divisé en clusters. Les clusters isolent les erreurs au niveau fc et empêchent certaines classes d’erreurs d’affecter les serveurs au-delà du cluster dans lequel ils se produisent. Les FC qui servent un cluster Azure particulier sont regroupés dans un cluster FC.

Inventaire du matériel

Le FC prépare un inventaire des appareils matériels et réseau Azure pendant le processus de configuration de démarrage. Tous les nouveaux composants matériels et réseau entrant dans l’environnement de production Azure doivent suivre le processus de configuration de démarrage. Le fc est responsable de la gestion de l’inventaire entier répertorié dans le fichier de configuration datacenter.xml.

Images de système d’exploitation gérées par FC

L’équipe du système d’exploitation fournit des images, sous la forme de disques durs virtuels, déployées sur toutes les machines virtuelles hôtes et invitées dans l’environnement de production Azure. L’équipe construit ces images de base via un processus de génération hors connexion automatisé. L’image de base est une version du système d’exploitation dans laquelle le noyau et d’autres composants principaux ont été modifiés et optimisés pour prendre en charge l’environnement Azure.

Il existe trois types d’images de système d’exploitation gérées par Fabric :

  • Hôte : système d’exploitation personnalisé qui s’exécute sur des machines virtuelles hôtes.
  • Natif : système d’exploitation natif qui s’exécute sur des locataires (par exemple, Stockage Azure). Ce système d’exploitation n’a pas d’hyperviseur.
  • Invité : système d’exploitation invité qui s’exécute sur des machines virtuelles invitées.

Les systèmes d’exploitation managés par FC hôtes et natifs sont conçus pour être utilisés dans le cloud et ne sont pas accessibles publiquement.

Systèmes d’exploitation hôtes et natifs

L’hôte et le natif sont des images de système d’exploitation renforcées qui hébergent les agents d’infrastructure et s’exécutent sur un nœud de calcul (s’exécute en tant que première machine virtuelle sur le nœud) et les nœuds de stockage. L’avantage d’utiliser des images de base optimisées de l’hôte et du natif est qu’elle réduit la surface d’exposition exposée par les API ou les composants inutilisés. Ceux-ci peuvent présenter des risques de sécurité élevés et augmenter l’empreinte du système d’exploitation. Les systèmes d’exploitation à encombrement réduit incluent uniquement les composants nécessaires à Azure.

Système d’exploitation invité

Les composants internes Azure s’exécutant sur des machines virtuelles du système d’exploitation invité n’ont pas la possibilité d’exécuter le protocole Bureau à distance. Toutes les modifications apportées aux paramètres de configuration de base doivent passer par le processus de gestion des modifications et des mises en production.

Centres de données Azure

L’équipe MCIO (Microsoft Cloud Infrastructure and Operations) gère les installations physiques de l’infrastructure et du centre de données pour tous les services en ligne Microsoft. MCIO est principalement responsable de la gestion des contrôles physiques et environnementaux au sein des centres de données, ainsi que de la gestion et de la prise en charge des périphériques réseau de périmètre (tels que les routeurs de périphérie et les routeurs de centres de données). MCIO est également responsable de la configuration du matériel serveur minimal complet sur les racks du centre de données. Les clients n’ont aucune interaction directe avec Azure.

Gestion des services et équipes de service

Différents groupes d’ingénierie, appelés équipes de service, gèrent la prise en charge du service Azure. Chaque équipe de service est responsable d’un domaine de support pour Azure. Chaque équipe de service doit rendre disponible un ingénieur 24x7 pour examiner et résoudre les défaillances dans le service. Les équipes de service n’ont pas, par défaut, un accès physique au matériel dans Azure.

Les équipes de service sont les suivantes :

  • Plateforme d’applications
  • Microsoft Entra ID (système d'identification de Microsoft)
  • Services de calcul Azure
  • Réseau Azure
  • Services d’ingénierie cloud
  • ISSD : Sécurité
  • Authentification multifacteur
  • Base de données SQL
  • Stockage

Types d’utilisateurs

Les employés (ou sous-traitants) de Microsoft sont considérés comme des utilisateurs internes. Tous les autres utilisateurs sont considérés comme des utilisateurs externes. Tous les utilisateurs internes Azure ont leur statut d’employé classé avec un niveau de confidentialité qui définit leur accès aux données client (accès ou aucun accès). Les privilèges utilisateur d’Azure (autorisation après l’authentification ont lieu) sont décrits dans le tableau suivant :

Rôle Interne ou externe Niveau de sensibilité Privilèges et fonctions autorisés exécutés Type d’accès
Ingénieur centre de données Azure Interne Aucun accès aux données client Gérez la sécurité physique des locaux. Effectuez des patrouilles dans et hors du centre de données, et surveillez tous les points d’entrée. Accompagnez dans et hors du centre de données certains employés non habilités qui assurent des services généraux (tels que la restauration ou le nettoyage) ou effectuent des travaux informatiques au sein du centre de données. Effectuez une surveillance et une maintenance de routine du matériel réseau. Effectuez le travail de gestion des incidents et de résolution des incidents à l’aide de différents outils. Effectuez une surveillance et une maintenance de routine du matériel physique dans les centres de données. Accès à l'environnement à la demande des propriétaires. Capable d’effectuer des enquêtes judiciaires, de consigner des rapports d’incidents et d’exiger des exigences obligatoires en matière de sécurité et de stratégie. Propriété opérationnelle et maintenance des outils de sécurité critiques, tels que les scanners et la collecte de journaux. Accès persistant à l’environnement.
Triage des incidents Azure (ingénieurs de réponse rapide) Interne Accès aux données client Gérez les communications entre MCIO, les équipes de support et d’ingénierie. Incidents de plateforme de triage, problèmes de déploiement et demandes de service. Accès juste-à-temps à l’environnement, avec un accès persistant limité aux systèmes non clients.
Ingénieurs de déploiement Azure Interne Accès aux données client Déployez et mettez à niveau des composants de plateforme, des logiciels et des modifications de configuration planifiées dans la prise en charge d’Azure. Accès juste-à-temps à l’environnement, avec un accès persistant limité aux systèmes non clients.
Support des pannes des clients Azure (locataire) Interne Accès aux données client Déboguer et diagnostiquer les pannes et les erreurs de plateforme pour les locataires de cloud computing individuels et les comptes Azure. Analyser les erreurs. Apportez des correctifs critiques à la plateforme ou au client et apportez des améliorations techniques au sein du support. Accès juste-à-temps à l’environnement, avec un accès persistant limité aux systèmes non clients.
Ingénieurs chargés du site actif Azure (ingénieurs en supervision) et des incidents Interne Accès aux données client Diagnostiquer et atténuer la santé de la plateforme à l'aide d'outils de diagnostic. Appliquer des correctifs pour les pilotes de volume, réparer des éléments résultant de pannes, et faciliter les actions de restauration des pannes. Accès juste-à-temps à l’environnement, avec un accès persistant limité aux systèmes non clients.
Les clients d'Azure Externe N/A N/A N/A

Azure utilise des identificateurs uniques pour authentifier les utilisateurs et les clients de l’organisation (ou les processus agissant au nom des utilisateurs de l’organisation). Cela s’applique à toutes les ressources et appareils qui font partie de l’environnement Azure.

Authentification interne Azure

Les communications entre les composants internes Azure sont protégées par le chiffrement TLS. Dans la plupart des cas, les certificats X.509 sont auto-signés. Les certificats avec des connexions accessibles à partir de l’extérieur du réseau Azure sont une exception, comme les certificats pour les contrôleurs de domaine. Les FC ont des certificats émis par une autorité de certification (CA) Microsoft qui est validée par une autorité de certification racine approuvée. Les clés publiques des FC peuvent ainsi être facilement reconduites. En outre, les outils de développement Microsoft utilisent des clés publiques FC. Lorsque les développeurs envoient de nouvelles images d’application, les images sont chiffrées avec une clé publique FC afin de protéger les secrets incorporés.

Authentification des appareils matériels Azure

Le FC gère un ensemble d’informations d’identification (clés et/ou mots de passe) utilisés pour s’authentifier auprès de différents appareils matériels sous son contrôle. Microsoft utilise un système pour empêcher l’accès à ces informations d’identification. Plus précisément, le transport, la persistance et l’utilisation de ces informations d’identification sont conçus pour empêcher les développeurs, administrateurs et services de sauvegarde Azure et l’accès du personnel aux informations sensibles, confidentielles ou privées.

Microsoft utilise le chiffrement basé sur la clé publique d’identité principale du FC. Cela se produit lors de l’installation de FC et des temps de reconfiguration FC, pour transférer les informations d’identification utilisées pour accéder aux périphériques matériels réseau. Lorsque le FC a besoin des informations d’identification, le FC les récupère et les déchiffre.

Appareils de réseau

L’équipe réseau Azure configure les comptes de service réseau pour permettre à un client Azure de s’authentifier auprès d’appareils réseau (routeurs, commutateurs et équilibreurs de charge).

Sécuriser l’administration des services

Le personnel des opérations Azure est tenu d’utiliser des stations de travail d’administration sécurisées (SAWs). Les clients peuvent implémenter des contrôles similaires à l’aide de stations de travail d’accès privilégié. Avec les SAP, le personnel administratif utilise un compte d’administration affecté individuellement qui est distinct du compte d’utilisateur standard de l’utilisateur. Le SAW s’appuie sur cette pratique de séparation de compte en fournissant une station de travail fiable pour ces comptes sensibles.

Étapes suivantes

Pour en savoir plus sur ce que Microsoft fait pour sécuriser l’infrastructure Azure, consultez :

  • Last updated on