你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
在考虑和评估公有云服务时，了解共同的责任模型以及云提供商处理的安全任务以及你处理的任务至关重要。 工作负荷责任因工作负荷是托管在软件即服务（SaaS）、平台即服务（PaaS）、基础结构即服务（IaaS）还是本地数据中心的不同而异：
- IaaS （基础结构即服务）：管理虚拟机、作系统和应用程序。 示例包括 Azure 虚拟机、Azure 磁盘存储和虚拟网络。
- PaaS （平台即服务）：无需管理 VM 或作系统即可部署应用程序。 示例包括 Azure 应用服务、Azure Functions、Azure SQL 数据库和 Azure 存储。
- SaaS （软件即服务）：使用现成的应用程序。 示例包括Microsoft 365、Dynamics 365 和其他云应用程序。
许多 Azure 解决方案使用服务模型的组合。 有关选择计算服务的更详细指南，请参阅 “选择 Azure 计算服务”。
责任划分
在本地数据中心，你拥有整个堆栈。 迁移到云时，某些职责将转移到Microsoft。 下图说明了你和 Microsoft 之间的责任区域，具体取决于你堆栈的部署类型。
对于所有云部署类型，你拥有数据和标识。 你负责保护数据和标识、本地资源和你控制的云组件的安全性。 你控制的云组件因服务类型而异。
责任矩阵
下表详细介绍了您与Microsoft在堆栈每个区域之间的责任划分：
| 责任区域 | 本地 | IaaS | PaaS | SaaS |
|---|---|---|---|---|
| 客户数据 | 客户 | 客户 | 客户 | 客户 |
| 配置和设置 | 客户 | 客户 | 客户 | 客户 |
| 标识和用户 | 客户 | 客户 | 客户 | 客户 |
| 客户端设备 | 客户 | 客户 | 客户 | 共享 |
| Applications | 客户 | 客户 | 共享 | 共享 |
| 网络控制措施 | 客户 | 客户 | 共享 | Microsoft |
| 操作系统 | 客户 | 客户 | Microsoft | Microsoft |
| 物理主机 | 客户 | Microsoft | Microsoft | Microsoft |
| 物理网络 | 客户 | Microsoft | Microsoft | Microsoft |
| 物理数据中心 | 客户 | Microsoft | Microsoft | Microsoft |
你始终保留的责任
无论部署类型如何，始终保留以下责任：
- 数据 - 你负责数据，包括数据分类、数据保护、加密决策以及符合数据治理要求。
- 终结点 - 负责保护访问云服务（包括移动设备、笔记本电脑和台式机）的客户端设备和终结点。
- 帐户 - 你负责管理用户帐户，包括创建、管理和删除用户访问。
- 访问管理 - 负责实现和管理访问控制，包括基于角色的访问控制（RBAC）、多重身份验证和条件访问策略。
共同责任的解释
某些责任由你和Microsoft共享，除法因服务模型而异：
- 应用程序 - 在 IaaS 中，你完全负责已部署的应用程序。 在 PaaS 和 SaaS 中，Microsoft管理应用程序堆栈的各个部分，但你负责应用程序配置、代码安全性和访问控制。
- 网络控制 - 在 IaaS 中，配置所有网络安全，包括防火墙和网络分段。 在 PaaS 中，Microsoft 提供基础网络安全性，但应用程序级网络控制需要由您自行配置。 在 SaaS 中，Microsoft管理网络安全。
- 客户端设备 - 在 SaaS 方案中，Microsoft可以提供一些设备管理功能，但你负责终结点保护和符合性。
Microsoft 的职责
Microsoft负责底层云基础结构，其中包括：
- 物理安全性 - 保护数据中心，包括设施、物理访问控制和环境控制。
- 物理网络 - 管理网络基础结构，包括数据中心内的路由器、交换机和电缆。
- 物理主机 - 管理和维护托管云服务的物理服务器。
- 虚拟机监控程序 - 管理在 IaaS 和 PaaS 中启用虚拟机的虚拟化层。
- 平台服务 - 在 PaaS 和 SaaS 中，Microsoft管理作系统、运行时环境和中间件。
AI 共担责任
使用 AI 服务时，共享责任模型在传统 IaaS、PaaS 和 SaaS 之外引入了独特的注意事项。 Microsoft负责保护 AI 基础结构、模型托管和平台级安全措施。 但是，客户仍对 AI 在其环境中应用的方式负责—这包括保护敏感数据、管理提示安全性、缓解提示注入风险，并确保符合组织和法规要求。
由于 AI 工作负载的责任差异很大，因此应查看 AI 共同责任模型 ，获取有关角色、最佳做法和风险管理的详细指导。
云的安全优势
云为解决长期存在的信息安全挑战提供了显著优势。 在本地环境中，组织可能会承担未满足的责任和有限的资源来投资安全性，从而创建攻击者能够利用所有层的漏洞的环境。
传统本地环境中未履行职责的常见示例包括：
- 延迟修补 - 由于 IT 人员有限或对系统停机的担忧，安全更新不会及时应用，导致已知漏洞暴露。
- 物理安全性不足 - 由于预算限制，服务器机房可能缺乏适当的访问控制、环境监控或安防监视。
- 不完整的网络监视 - 组织可能没有检测入侵、监视流量异常或实时响应威胁的工具或专业知识。
- 过时的硬件 - 老化的基础结构可能不再收到供应商的安全更新，从而造成永久性安全漏洞。
- 备份和灾难恢复不足 - 备份可能不频繁、未经测试或存储在站点上，使数据容易受到勒索软件或物理灾难的影响。
下图显示了一种传统方法，由于资源有限，许多安全责任未满足。 在启用云的方法中，你可以将日常安全责任转移到云提供商，并重新分配资源。
在启用云的方法中，还可以应用基于云的安全功能来提高有效性，并使用云智能来提高威胁检测和响应时间。 通过将责任转移到云提供商，组织可以扩大安全覆盖范围，为其他优先业务重新调配安全资源与预算。
后续步骤
在架构良好的框架安全支柱概述中了解有关改善安全态势的共同责任和策略的详细信息。