2022云計(jì)算中共擔(dān)責(zé)任

Page|1Page|1云計(jì)算中的共擔(dān)責(zé)任Page|Page|PAGE10內(nèi)容執(zhí)行摘要 2遷移到端 4云服務(wù)交付式 4共同責(zé)任 5數(shù)據(jù)分和責(zé)任 6客戶(hù)端終結(jié)保護(hù) 7身份和問(wèn)管理 7應(yīng)用級(jí)制 8網(wǎng)絡(luò)控制 9主機(jī)基設(shè)施 10物理安全 10結(jié)語(yǔ) 11遷移到云端（CSP）云供應(yīng)商自身應(yīng)該為某些元素提供安全性，如物理基礎(chǔ)設(shè)施和網(wǎng)絡(luò)元素，但客戶(hù)必須意識(shí)到自己的責(zé)任。云供應(yīng)商可以提供服務(wù)幫助保護(hù)數(shù)據(jù)，但客戶(hù)也必須了解他們?cè)诒Ｗo(hù)數(shù)據(jù)安全性和私密性方面所扮演的角色。這個(gè)問(wèn)題最好的例證包括密碼策略執(zhí)行不力；用戶(hù)如果不使用復(fù)雜或難以猜測(cè)的密碼，云供應(yīng)商的最佳安全性和私密性措施也將會(huì)失效。云服務(wù)和交付模式NISTNIST還定義了三種主要的云服務(wù)交付機(jī)制：基礎(chǔ)設(shè)施即服務(wù)（IaaS），平臺(tái)即服務(wù)（PaaS）和軟件即服務(wù)（SaaS）。共同責(zé)任我們了解不同的云服務(wù)模式是如何影響著云供應(yīng)商和客戶(hù)之間共擔(dān)責(zé)任的方式。圖1在圖1中，最左邊的列表示七個(gè)應(yīng)該被納入考慮的責(zé)任（在下面的部分中定義），所有這些都關(guān)乎計(jì)算環(huán)境的安全性和保密性。數(shù)據(jù)分類(lèi)和責(zé)任、客戶(hù)端和終結(jié)點(diǎn)保護(hù)屬于客戶(hù)范疇的單一責(zé)任，而平臺(tái)即服務(wù)(PaaS)和軟件即服務(wù)（SaaS）模型中涉及到的物理架構(gòu)、宿主機(jī)和網(wǎng)絡(luò)屬于云服務(wù)供應(yīng)商方面的責(zé)任。其余的責(zé)任由客戶(hù)和云服務(wù)供應(yīng)商共同承擔(dān)。有些責(zé)任需要云服務(wù)供應(yīng)商和客戶(hù)共同管理，包括他們域的安全審核。例如，在使用Azure的ActiveDirectory服務(wù)時(shí)要考慮身份和訪問(wèn)管理；服務(wù)配置的選擇比如多因素身份驗(yàn)證是由客戶(hù)來(lái)決定，但是確保有效的功能性是Azure的責(zé)任。數(shù)據(jù)分類(lèi)和責(zé)任圖2不管在本地還是云模式，用戶(hù)都要負(fù)責(zé)保證其數(shù)據(jù)被安全地識(shí)別、標(biāo)記和正確分類(lèi)。區(qū)分敏感的客戶(hù)數(shù)據(jù)和為公眾設(shè)計(jì)的營(yíng)銷(xiāo)內(nèi)容必須由客戶(hù)來(lái)完成。數(shù)據(jù)分類(lèi)是一個(gè)復(fù)雜的過(guò)程，但它是所有組織在考慮任何變化(包括移動(dòng)到云中)時(shí)需要考慮的一個(gè)重要問(wèn)題。軟件即服務(wù)解決方案如Office365提供保護(hù)客戶(hù)數(shù)據(jù)的功能，如OfficeLockbox和DataLossPrevention，但最終必須由客戶(hù)管理，分類(lèi)和配置解決方案，以滿(mǎn)足其獨(dú)特的安全和隱私要求。對(duì)于平臺(tái)即服務(wù)的解決方案，客戶(hù)對(duì)數(shù)據(jù)分類(lèi)和管理的責(zé)任應(yīng)當(dāng)被認(rèn)為是規(guī)劃過(guò)程中必不可少的一部分。在這樣的解決方案中，客戶(hù)需要配置并建立流程來(lái)保護(hù)數(shù)據(jù)以及用于保護(hù)其數(shù)據(jù)的解決方案功能設(shè)置。AzureRightsManagement服務(wù)屬于平臺(tái)即服務(wù)，它為客戶(hù)提供了數(shù)據(jù)保護(hù)功能，并已被集成到許多微軟的軟件即服務(wù)解決方案中。在基礎(chǔ)設(shè)施即服務(wù)模式中，客戶(hù)數(shù)據(jù)以及已部署的任何支持解決方案都必須考慮責(zé)任和數(shù)據(jù)分類(lèi)。錯(cuò)誤配置的服務(wù)器會(huì)影響存儲(chǔ)在服務(wù)中的數(shù)據(jù)受到保護(hù)?？蛻?hù)端和終結(jié)點(diǎn)保護(hù)圖3由于采用更加多樣化的設(shè)備，清晰界限的定義和用來(lái)連接到云服務(wù)的設(shè)備的職責(zé)界定也是至關(guān)重要的。云解決方案供應(yīng)商可以提供管理終端設(shè)備的功能。但是，使用移動(dòng)管理解決方案仍要求客戶(hù)為他們自己的用戶(hù)負(fù)責(zé)。身份和訪問(wèn)管理圖4用戶(hù)或身份管理是一個(gè)組織以無(wú)縫方式提供的核心服務(wù)之一，并且操作簡(jiǎn)單、易于管理。身份和訪問(wèn)管理給用戶(hù)提供了在其環(huán)境中訪問(wèn)和使用資源的能力，這是圖5所示的“誰(shuí)（Who）”和“什么（What）”之間的紐帶。圖5在平臺(tái)即服務(wù)和軟件即服務(wù)解決方案中，身份和訪問(wèn)管理是共擔(dān)的責(zé)任，需要一個(gè)有效的實(shí)施計(jì)劃，其中包括身份提供者的配置，管理服務(wù)的配置，用戶(hù)身份的創(chuàng)建和配置，服務(wù)訪問(wèn)控制的實(shí)施。其他應(yīng)考慮的注意事項(xiàng)包括多因素身份驗(yàn)證的使用，基于角色的訪問(wèn)控制，及時(shí)的管理控制，以及用戶(hù)和控制點(diǎn)的監(jiān)測(cè)和注冊(cè)。云計(jì)算解決方案如AzureActiveDirectory（AzureAD）提供諸如多因素身份驗(yàn)證，身份保護(hù)，強(qiáng)化基于角色的訪問(wèn)控制等功能。AzureAD也具備提供本地和第三方應(yīng)用程序的能力。云服務(wù)供應(yīng)商可以提供可擴(kuò)展單點(diǎn)登錄功能來(lái)將客戶(hù)和CSP之間的責(zé)任聯(lián)系在一起，降低安全和隱私錯(cuò)誤配置的風(fēng)險(xiǎn)?；A(chǔ)設(shè)施即服務(wù)解決方案要求客戶(hù)在托管的主機(jī)和虛擬機(jī)上配置以及管理身份和訪問(wèn)控制。AzureAD等解決方案支持虛擬機(jī)的身份和訪問(wèn)控制，但必須在虛擬機(jī)級(jí)別進(jìn)行配置。還必須注意在基礎(chǔ)設(shè)施層服務(wù)運(yùn)行時(shí)附加的安全性和合規(guī)責(zé)任。應(yīng)用級(jí)控制圖6平臺(tái)管理的應(yīng)用程序和服務(wù)，如Azurewebservices，batch，docDb，IoT，analytics，mediaservices，以及許多相關(guān)功能，通過(guò)提供Azure管理的更安全的解決方案降低客戶(hù)的責(zé)任。托管的應(yīng)用程序要求客戶(hù)正確配置服務(wù)，但同時(shí)也提供更全面的安全功能和集成其它解決方案，如身份管理。云供應(yīng)商和客戶(hù)之間的共擔(dān)責(zé)任可以用Web服務(wù)部署來(lái)說(shuō)明。默認(rèn)情況下，一個(gè)Azure的Web服務(wù)是可以被公開(kāi)查看的，但這可能并不一定是期望狀態(tài)，需要客戶(hù)通過(guò)自行配置來(lái)達(dá)到設(shè)計(jì)時(shí)的需求。平臺(tái)即服務(wù)的解決方案的好處之一是它們不像基礎(chǔ)設(shè)施的部署（如虛擬機(jī)）一樣要求相同的安全配置。這樣的例子包括補(bǔ)丁管理，反惡意軟件和基準(zhǔn)配置。WebWebWindows還是Linux網(wǎng)絡(luò)控制圖7網(wǎng)絡(luò)控制包括配置，管理以及網(wǎng)絡(luò)元素如虛擬網(wǎng)絡(luò)、負(fù)載均衡、DNS和網(wǎng)關(guān)的安全。這些控制為服務(wù)提供了交流和交互操作的方式。在軟件即服務(wù)解決方案中，網(wǎng)絡(luò)控制作為軟件核心產(chǎn)品的一部分，在提供給客戶(hù)時(shí)經(jīng)過(guò)了云供應(yīng)商的管理和安全保障，因?yàn)樵破脚_(tái)中的網(wǎng)絡(luò)基礎(chǔ)設(shè)施對(duì)客戶(hù)來(lái)說(shuō)是被抽象出來(lái)的。如軟件即服務(wù)解決方案，平臺(tái)即服務(wù)中的大部分網(wǎng)絡(luò)控制配置是由服務(wù)供應(yīng)商完成的。在Azure中，混合解決方案是個(gè)例外，因?yàn)樘摂M機(jī)被放置在Azure的虛擬網(wǎng)絡(luò)中，它允許客戶(hù)配置網(wǎng)絡(luò)級(jí)服務(wù)。在基礎(chǔ)設(shè)施即服務(wù)解決方案中，客戶(hù)和服務(wù)供應(yīng)商共同負(fù)責(zé)網(wǎng)絡(luò)解決方案的部署，管理，保護(hù)和配置。主機(jī)基礎(chǔ)設(shè)施圖8主機(jī)基礎(chǔ)設(shè)施責(zé)任包括云計(jì)算的配置，管理和安全（虛擬主機(jī)、容器、服務(wù)結(jié)構(gòu)，自動(dòng)縮放），存儲(chǔ)（對(duì)象、CDN、文件存儲(chǔ)）和平臺(tái)服務(wù)。云供應(yīng)商負(fù)責(zé)宿主服務(wù)（例如服務(wù)的宿主操作系統(tǒng)）的運(yùn)維及安全?；A(chǔ)設(shè)施即服務(wù)供應(yīng)商和客戶(hù)共同承擔(dān)確保服務(wù)最優(yōu)配置和安全的職責(zé)。此職責(zé)包括確保網(wǎng)絡(luò)可以正確連通、設(shè)備能夠連接或安裝正確的存儲(chǔ)設(shè)備所必需的權(quán)限和網(wǎng)絡(luò)訪問(wèn)服務(wù)的配置。物理安全圖9這些元素可以被認(rèn)為是物理安全的組成部分，包括建筑或設(shè)施、服務(wù)器和網(wǎng)絡(luò)設(shè)備?？蛻?hù)認(rèn)為遷移服務(wù)至云端最顯著的價(jià)值就是物理環(huán)境的管理。云服務(wù)商，例如Azure數(shù)據(jù)中心，使用建筑物安全流程和策略來(lái)幫助確?；A(chǔ)設(shè)施免受未經(jīng)授權(quán)的物理訪問(wèn)，這種能力以一種高度可用的方法被維護(hù)著，如果有災(zāi)難發(fā)生時(shí)，服務(wù)會(huì)被轉(zhuǎn)移到一個(gè)新的物理地點(diǎn)來(lái)提供持續(xù)的服務(wù)。其