विंडोज एज़्योर सिक्योरिटी ओवरव्यू, भाग 1

शुभ दोपहर, प्रिय सहयोगियों।

इस समीक्षा में, मैंने यथासंभव सरल बात करने की कोशिश की कि विंडोज एज़्योर प्लेटफ़ॉर्म पर सुरक्षा के विभिन्न पहलुओं को कैसे प्रदान किया जाता है। समीक्षा में दो भाग होते हैं। पहला भाग मूल जानकारी - गोपनीयता, पहचान प्रबंधन, अलगाव, एन्क्रिप्शन, अखंडता और Windows Azure प्लेटफ़ॉर्म पर उपलब्धता को ही प्रकट करेगा। समीक्षा का दूसरा भाग SQL डेटाबेस, भौतिक सुरक्षा, क्लाइंट-साइड सुरक्षा सुविधाओं, प्लेटफ़ॉर्म प्रमाणन और सुरक्षा सिफारिशों के बारे में जानकारी प्रदान करेगा।


क्लाउड में होस्टिंग एप्लिकेशन पर चर्चा करते समय सुरक्षा सबसे महत्वपूर्ण विषयों में से एक है। क्लाउड कंप्यूटिंग की बढ़ती लोकप्रियता ने सुरक्षा मुद्दों पर विशेष रूप से ध्यान केंद्रित किया है, विशेष रूप से संसाधन साझाकरण और बहु-किरायेदारी की उपस्थिति के प्रकाश में। मल्टी-टेनेंट के पहलू और क्लाउड प्लेटफार्मों के वर्चुअलाइजेशन कुछ विशिष्ट सुरक्षा विधियों के लिए कॉल करते हैं, विशेष रूप से इस तरह के हमलों को साइड-चैनल हमला (शारीरिक कार्यान्वयन के बारे में कुछ जानकारी प्राप्त करने के आधार पर हमले का एक प्रकार) पर विचार करते हैं।

7 जून 2012 के बाद, विंडोज एज़्योर प्लेटफ़ॉर्म को सास, पाएस या किसी भी प्लेटफ़ॉर्म नहीं कहा जा सकता है; अब यह एक छाता शब्द की तरह अधिक है, कई प्रकार की सेवाओं का संयोजन। Microsoft एक सुरक्षित रनटाइम वातावरण प्रदान करता है, ऑपरेटिंग सिस्टम और बुनियादी ढांचे के स्तर पर सुरक्षा प्रदान करता है। क्लाउड प्लेटफ़ॉर्म प्रदाता के स्तर पर लागू किए गए कुछ सुरक्षा पहलू वास्तव में ऑन-प्रिमाइसेस इन्फ्रास्ट्रक्चर में उपलब्ध से बेहतर हैं। उदाहरण के लिए, डेटा केंद्रों की भौतिक सुरक्षा, जहां विंडोज एज़्योर स्थित है, अधिकांश विशाल उद्यमों और संगठनों की तुलना में अधिक विश्वसनीय है। विंडोज एज़्योर नेटवर्क सुरक्षा, रनटाइम पर्यावरण को अलग करना, और ऑपरेटिंग सिस्टम की सुरक्षा सुनिश्चित करने के लिए दृष्टिकोण पारंपरिक होस्टिंग की तुलना में काफी अधिक है। इस प्रकार, क्लाउड में एप्लिकेशन रखने से आपके एप्लिकेशन की सुरक्षा में सुधार हो सकता है। नवंबर 2011 में, Windows Azure प्लेटफ़ॉर्म और इसकी सूचना सुरक्षा प्रबंधन प्रणाली को ISO 27001 प्रमाणन के अनुपालन के रूप में ब्रिटिश मानक संस्थान द्वारा मान्यता दी गई थी। प्लेटफ़ॉर्म की प्रमाणित कार्यक्षमता में कंप्यूटिंग सेवाओं, भंडारण, एक आभासी नेटवर्क और एक वर्चुअल मशीन शामिल थी। अगला चरण विंडोज एज़्योर की बाकी कार्यक्षमता का प्रमाणन होगा: एसक्यूएल डेटाबेस, सर्विस बस, सीडीएन, आदि।

सामान्य तौर पर, किसी भी क्लाउड प्लेटफ़ॉर्म को क्लाइंट डेटा सुरक्षा के तीन बुनियादी पहलुओं को प्रदान करना चाहिए: गोपनीयता, अखंडता और उपलब्धता, और Microsoft क्लाउड प्लेटफ़ॉर्म कोई अपवाद नहीं है। इस समीक्षा में, मैं उन सभी तकनीकों और विधियों को यथासंभव विस्तृत रूप से प्रकट करने का प्रयास करूंगा, जिनका उपयोग विंडोज एज़्योर प्लेटफ़ॉर्म के साथ सुरक्षा के तीन पहलुओं को प्रदान करने के लिए किया जाता है।

गोपनीयता

गोपनीयता सुनिश्चित करने से ग्राहक को यह सुनिश्चित करने की अनुमति मिलती है कि उसका डेटा केवल उन वस्तुओं के लिए उपलब्ध होगा जिनके पास इसके समान अधिकार है। Windows Azure प्लेटफ़ॉर्म पर, गोपनीयता निम्नलिखित उपकरणों और विधियों के माध्यम से सुनिश्चित की जाती है:

• पहचान प्रबंधन - यह निर्धारित करना कि एक प्रमाणित प्रिंसिपल एक वस्तु है जिसका किसी चीज़ तक पहुंच है।
• अलगाव - भौतिक और तार्किक दोनों स्तरों के "कंटेनरों" का उपयोग करके डेटा के अलगाव को सुनिश्चित करना।
• एन्क्रिप्शन - एन्क्रिप्शन तंत्र का उपयोग करके अतिरिक्त डेटा सुरक्षा। संचार चैनलों की सुरक्षा के लिए Windows Azure प्लेटफ़ॉर्म पर एन्क्रिप्शन का उपयोग किया जाता है और ग्राहक डेटा के लिए बेहतर सुरक्षा प्रदान करने के लिए इसका उपयोग किया जाता है।

आइए इन तीनों तकनीकों को अधिक विस्तार से देखें।

पहचान प्रबंधन

शुरू करने के लिए, आपकी सदस्यता को सुरक्षित विंडोज लाइव आईडी सिस्टम का उपयोग करके एक्सेस किया जाता है, जो सबसे पुराने और सबसे विश्वसनीय इंटरनेट प्रमाणीकरण प्रणालियों में से एक है। पहले से ही तैनात सेवाओं तक पहुंच को सब्सक्रिप्शन द्वारा नियंत्रित किया जाता है।

Windows Azure में एप्लिकेशन को परिनियोजित करने के दो तरीके हैं - Windows Azure पोर्टल से और सेवा प्रबंधन API (SMAPI) का उपयोग करना। सेवा प्रबंधन एपीआई (SMAPI) प्रतिनिधि राज्य स्थानांतरण (REST) ​​प्रोटोकॉल का उपयोग करके वेब सेवाएँ प्रदान करता है और इसे डेवलपर्स के लिए डिज़ाइन किया गया है। प्रोटोकॉल एसएसएल के शीर्ष पर चलता है।

एसएमएपीआई प्रमाणीकरण सार्वजनिक और निजी कुंजी की एक जोड़ी बनाने वाले उपयोगकर्ता पर आधारित है और एक स्व-हस्ताक्षरित प्रमाण पत्र है, जो विंडोज एज़ेड पोर्टल पर पंजीकृत है। इस तरह, सभी महत्वपूर्ण एप्लिकेशन प्रबंधन गतिविधियों को आपके स्वयं के प्रमाणपत्र द्वारा संरक्षित किया जाता है। इसी समय, प्रमाण पत्र एक विश्वसनीय रूट सर्टिफिकेट अथॉरिटी (सीए) से बंधा नहीं है, इसके बजाय यह स्व-हस्ताक्षरित है, जो एक निश्चित डिग्री सटीकता के साथ यह सुनिश्चित करने की अनुमति देता है कि क्लाइंट के केवल कुछ प्रतिनिधियों के पास इस तरह से संरक्षित सेवाओं और डेटा तक पहुंच होगी।

Windows Azure Storage, दो Storage Account Keys (SAK) के आधार पर अपने स्वयं के प्रमाणीकरण तंत्र का उपयोग करता है, जो प्रत्येक खाते से जुड़े होते हैं और उपयोगकर्ता द्वारा रीसेट किए जा सकते हैं।

इस प्रकार, विंडोज एज़्योर सही व्यापक सुरक्षा और प्रमाणीकरण को लागू करता है, जिनमें से सामान्य डेटा तालिका में दिए गए हैं।

विषयों	संरक्षण की वस्तुएँ	प्रमाणीकरण तंत्र
ग्राहकों	अंशदान	विंडोज लाइव आईडी
डेवलपर्स	विंडोज एज़्योर पोर्टल / एसएमएपीआई	विंडोज लाइव आईडी (पोर्टल), स्व-हस्ताक्षरित प्रमाण पत्र (SMAPI)
भूमिका उदाहरण	कोष	कुंजी
बाहरी अनुप्रयोग	कोष	कुंजी
बाहरी अनुप्रयोग	क्षुधा	उपयोगकर्ता परिभाषित किया गया

यह ध्यान दिया जाना चाहिए कि भंडारण सेवाओं के मामले में, आप उपयोगकर्ता अधिकार (सभी भंडारण सेवाओं के लिए - संस्करण 1.7 से, पहले - केवल ब्लॉब्स के लिए) निर्धारित करने के लिए साझा प्रवेश हस्ताक्षर का उपयोग कर सकते हैं। साझा पहुँच हस्ताक्षर पहले केवल ब्लब्स के लिए उपलब्ध थे, जो संग्रहण खाता स्वामियों को ब्लब्स तक पहुँच प्रदान करने के लिए एक निश्चित तरीके से हस्ताक्षरित URL जारी करने की अनुमति देता था। अब शरबत और कंटेनरों के अलावा टेबल और कतारों के लिए साझा प्रवेश हस्ताक्षर उपलब्ध है। इस सुविधा की शुरुआत से पहले, एक तालिका या कतार के साथ CRUD से कुछ हासिल करने के लिए, खाते का मालिक होना आवश्यक था। अब आप दूसरे व्यक्ति को साझा पहुंच हस्ताक्षर द्वारा हस्ताक्षरित लिंक प्रदान कर सकते हैं, और आपको कौन से अधिकारों की आवश्यकता है। साझा पहुंच हस्ताक्षर की कार्यक्षमता इसमें निहित है - संसाधनों तक पहुंच का विस्तृत नियंत्रण, यह निर्धारित करना कि उपयोगकर्ता किसी संसाधन पर क्या साझा कर सकता है, साझा पहुंच हस्ताक्षर हो। साझा पहुंच हस्ताक्षर को परिभाषित करने के लिए उपलब्ध संचालन की सूची में शामिल हैं:

• सामग्री पढ़ना और लिखना - बूँद के मामले में उनके गुण और मेटाडेटा, साथ ही साथ ब्लॉक सूचियाँ भी हैं।
• हटाना, पट्टे देना, स्नैपशॉट बनाना
• सामग्री आइटम की सूची प्राप्त करना।
• संदेशों को जोड़ना, हटाना, कतारों में संदेश अपडेट करना।
• कतार में संदेशों की संख्या सहित, कतार मेटाडेटा को पुनः प्राप्त करना।
• एक तालिका में संस्थाओं को पढ़ें, जोड़ें, अपडेट करें और सम्मिलित करें।

साझा पहुंच हस्ताक्षर मानकों में भंडारण संसाधनों तक पहुंच प्रदान करने के लिए आवश्यक सभी जानकारी शामिल हैं - URL में अनुरोध पैरामीटर उस समय अवधि को निर्धारित करते हैं जिसके माध्यम से साझा पहुंच हस्ताक्षर "खराब हो जाता है", इस साझा एक्सेस हस्ताक्षर को दी गई अनुमतियाँ, जिन संसाधनों तक पहुंच प्रदान की गई है और वास्तव में, हस्ताक्षर जिसके द्वारा प्रमाणीकरण होता है। इसके अलावा, संग्रहीत पहुँच नीति का एक लिंक साझा पहुँच हस्ताक्षर URL में शामिल किया जा सकता है, जिसके साथ आप नियंत्रण की एक और परत प्रदान कर सकते हैं।

स्वाभाविक रूप से, साझा प्रवेश हस्ताक्षर HTTPS का उपयोग करके वितरित किया जाना चाहिए और संचालन के लिए आवश्यक कम से कम समय तक पहुंच की अनुमति दे सकता है।

साझा पहुंच हस्ताक्षर का उपयोग करने के लिए एक विशिष्ट उदाहरण एक पता पुस्तिका सेवा है, जिसके विकास के लिए एक शर्त यह है कि यह बड़ी संख्या में उपयोगकर्ताओं के लिए स्केल कर सकता है। सेवा उपयोगकर्ता को अपनी स्वयं की पता पुस्तिका को क्लाउड में संग्रहीत करने और किसी भी उपकरण या एप्लिकेशन से एक्सेस करने की क्षमता प्रदान करती है। उपयोगकर्ता सेवा की सदस्यता लेता है और पता पुस्तिका प्राप्त करता है। आप इस परिदृश्य को Windows Azure रोल मॉडल का उपयोग करके कार्यान्वित कर सकते हैं, और फिर सेवा क्लाइंट अनुप्रयोग और क्लाउड प्लेटफ़ॉर्म संग्रहण सेवाओं के बीच एक परत के रूप में काम करेगी। क्लाइंट एप्लिकेशन के प्रमाणीकरण के बाद, यह सेवा के वेब इंटरफ़ेस के माध्यम से पता पुस्तिका तक पहुंच जाएगा, जो क्लाइंट द्वारा क्लाउड प्लेटफॉर्म टेबल स्टोरेज सेवा के लिए शुरू किए गए अनुरोध भेजेगा। हालाँकि, विशेष रूप से इस परिदृश्य में, तालिका सेवा के लिए साझा पहुँच हस्ताक्षर का उपयोग बहुत अच्छा लगता है, और इसे काफी सरलता से लागू किया जाता है। तालिका सेवा के लिए एसएएस का उपयोग आवेदन के लिए पता पुस्तिका तक सीधे पहुंच प्रदान करने के लिए किया जा सकता है। यह दृष्टिकोण आपको सिस्टम की मापनीयता की डिग्री बढ़ाने और समाधान की लागत को कम करने की अनुमति देता है जो एक सेवा के रूप में अनुरोधों को संसाधित करता है। इस मामले में सेवा की भूमिका ग्राहक सदस्यता के प्रसंस्करण और ग्राहक आवेदन के लिए साझा प्रवेश हस्ताक्षर टोकन बनाने के लिए कम हो जाएगी।

आप इस विषय को समर्पित एक लेख में साझा पहुंच हस्ताक्षर के बारे में अधिक पढ़ सकते हैं।

सुरक्षा का एक अतिरिक्त उपाय कम से कम विशेषाधिकार का सिद्धांत है, जो वास्तव में, आमतौर पर स्वीकृत अभ्यास भी है। इस सिद्धांत के अनुसार, ग्राहकों को उनकी वर्चुअल मशीन तक प्रशासनिक पहुंच की अनुमति नहीं है (मैं आपको याद दिलाता हूं कि विंडोज एज़्योर में सभी सेवाएं वर्चुअलाइज्ड हैं), और वे जिस सॉफ्टवेयर को चलाते हैं, वह एक विशेष सीमित खाते के तहत चलता है। इस प्रकार, जो कोई भी किसी भी तरह से सिस्टम तक पहुंच प्राप्त करना चाहता है, उसे अपग्रेड प्रक्रिया को पूरा करना चाहिए।

सब कुछ जो नेटवर्क पर विंडोज एज़्योर को प्रसारित किया जाता है और प्लेटफ़ॉर्म के अंदर SSL का उपयोग करके मज़बूती से संरक्षित किया जाता है, और ज्यादातर मामलों में, एसएसएल प्रमाणपत्र स्व-हस्ताक्षरित होते हैं। एक अपवाद विंडोज एज़्योर आंतरिक नेटवर्क के बाहर डेटा ट्रांसफर है, उदाहरण के लिए, भंडारण सेवाओं या कपड़े नियंत्रक के लिए, जो माइक्रोसॉफ्ट द्वारा जारी किए गए प्रमाण पत्र का उपयोग करते हैं।

विंडोज एज़्योर एक्सेस कंट्रोल सर्विस

उदाहरण के लिए, अधिक जटिल पहचान प्रबंधन परिदृश्यों के लिए, न केवल Live Id लॉगिन, बल्कि Windows Azure प्रमाणीकरण तंत्र और क्लाउड (या ऑन-प्रिमाइसेस) अनुप्रयोग का एकीकरण, Microsoft अपनी स्वयं की Windows Azure Access Control Service प्रदान करता है। विंडोज एज़्योर एक्सेस कंट्रोल सर्विस आपके क्लाउड या ऑन-प्रिमाइसेस एप्लिकेशन को संघीय सुरक्षा और एक्सेस कंट्रोल प्रदान करने के लिए एक सेवा प्रदान करती है। AD में AD FS 2.0 और सभी प्रदाता जो WS-Fed, + सार्वजनिक प्रदाताओं LiveID, FB, Google का समर्थन करते हैं, के लिए अंतर्निहित समर्थन पोर्टल पर पूर्व-कॉन्फ़िगर प्रदाता हैं। इसके अलावा, AD OAuth, OpenId और REST सेवाओं का समर्थन करता है।

Windows Azure और Access नियंत्रण सेवा (Windows Azure सक्रिय निर्देशिका सहित) दावे-आधारित प्रमाणीकरण का उपयोग करते हैं। इन कथनों में कोई भी वस्तु जानकारी शामिल हो सकती है जो पहचान प्रदाता इस जानकारी को प्रदान करता है। जोर-आधारित प्रमाणीकरण का उपयोग करना जटिल प्रमाणीकरण परिदृश्यों को हल करने के लिए सबसे प्रभावी तरीकों में से एक है। इसलिए, कई वेब परियोजनाएं दावों का उपयोग करती हैं - Google, याहू, फेसबुक और इतने पर। चयनित पहचान प्रदाता का उपयोग करके प्रमाणीकरण के बाद, क्लाइंट को WS-फेडरेशन या सुरक्षा अभिकथन मार्कअप लैंग्वेज (SAML) का उपयोग करके अनुमोदन प्राप्त होता है, जो तब सुरक्षा टोकन (बयान वाले कंटेनर) में स्थानांतरित किया जाता है जहां आवश्यक हो। दावे आपको एकल साइन-ऑन के सिद्धांत को प्रभावी ढंग से लागू करने की अनुमति देते हैं, जब उपयोगकर्ता, उदाहरण के लिए, अपने संगठन क्रेडेंशियल्स के तहत लॉग इन करते हैं, स्वचालित रूप से सभी संसाधनों तक पहुंच प्राप्त करते हैं।



उदाहरण के लिए, क्लाइंट के पास एक ऐसा एप्लिकेशन होता है जो प्रमाणीकरण के लिए स्थानीय डेटा केंद्र में स्थित प्रमाणीकरण के लिए उपयोगकर्ता जानकारी का एक निश्चित भंडार का उपयोग करता है। इसके लिए, एक विशेष प्रमाणीकरण मॉड्यूल जो एक निश्चित मानक को लागू करता है। एक निश्चित बिंदु पर, एक प्रदाता के साथ न केवल एक दोष-सहिष्णु प्रमाणीकरण तंत्र को लागू करना आवश्यक हो जाता है, बल्कि उपयोगकर्ताओं को सार्वजनिक पहचान प्रदाताओं के माध्यम से प्रमाणित करने का अवसर भी प्रदान करता है, उदाहरण के लिए, विंडोज लाइव आईडी, फेसबुक और इसी तरह। प्रमाणीकरण मॉड्यूल इन पहचान प्रदाताओं के साथ काम करने के लिए तर्क जोड़ता है। लेकिन इस घटना में कि कोई भी, यहां तक ​​कि सबसे तुच्छ, पहचान प्रदाता के प्रमाणीकरण तर्क, मानक या वाक्यविन्यास में परिवर्तन होता है, डेवलपर को मैन्युअल रूप से इस परिवर्तन को एन्कोड करने की आवश्यकता होगी, जो व्यापार के लिए एक अप्रभावी दृष्टिकोण है। यदि यह अनुप्रयोग क्लाउड पर माइग्रेट हो जाता है तो समस्या और भी गंभीर हो जाती है। विंडोज एज़्योर एक्सेस कंट्रोल सर्विस आपको एक विशेष रूप से निर्मित बुनियादी ढांचे की पेशकश करके इस विशेष परिदृश्य को हल करने की अनुमति देता है - जब कोई उपयोगकर्ता किसी वेब एप्लिकेशन पेज में प्रवेश करता है, तो उसे पहले विंडोज एज़्योर एक्सेस कंट्रोल सर्विस में स्थानांतरित किया जाता है, जहां वह आवश्यक प्रमाणीकरण प्रदाता का चयन करता है, फिर उसकी मदद से प्रमाणीकरण करता है और सिस्टम पर लॉग ऑन करता है। इस मामले में, डेवलपर आंतरिक प्रमाणीकरण तंत्र, टोकन, दावों, आदि से पूरी तरह से विघटित हो सकता है - माइक्रोसॉफ्ट और विंडोज एज़्योर एक्सेस कंट्रोल सर्विस उसके लिए सभी काम करेगी। इस प्रकार, एक सामान्य परिदृश्य को लागू करना संभव है, जब एक तैयार किए गए एप्लिकेशन के साथ ऐसी स्थिति में पहचान प्रबंधन प्रदान करना आवश्यक है जो बादल में स्थानांतरित हो गया है।



एक सामान्य सवाल यह भी है कि "क्या होगा यदि कोई ऐसा तैयार अनुप्रयोग है जो उपयोगकर्ताओं को उनके डोमेन क्रेडेंशियल्स का उपयोग करके प्रमाणित करता है?"। इस सवाल का एक जवाब है - यह क्लाउड और स्थानीय सक्रिय निर्देशिका अवसंरचना में स्थित अनुप्रयोग को एकीकृत करने के लिए एक सक्रिय स्क्रिप्ट प्राप्त करने के लिए सक्रिय निर्देशिका फेडरेशन सर्विसेज 2.0 तत्व + AD + Windows Azure एप्लिकेशन बंडल को जोड़ने के लिए पर्याप्त है। इस मामले में उपयोगकर्ता के लिए, प्रमाणीकरण एक पारदर्शी प्रक्रिया है। इसके अलावा, कोई भी क्रेडेंशियल क्लाउड पर स्थानांतरित नहीं किया जाता है - AD FS 2.0 प्रमाणीकरण प्रदाता के रूप में कार्य करता है जो कुछ क्रेडेंशियल्स के साथ उपयोगकर्ता क्रेडेंशियल्स प्राप्त करता है, इन दावों से एक सुरक्षा टोकन बनाता है और इसे सुरक्षित एक्सेस कंट्रोल सर्विस चैनल के माध्यम से भेजता है। एप्लिकेशन केवल विंडोज एज़्योर एक्सेस कंट्रोल सर्विस पर भरोसा करना जारी रखता है और इसे केवल दावे प्राप्त करता है, जबकि ये दावे पूरी तरह से विभिन्न स्रोतों से आ सकते हैं। डेवलपर अपने स्वयं के दावे प्रदाता भी बना सकता है और उपयोगकर्ता सूचियों और पासवर्डों के प्रबंधन के लिए किसी भी आवश्यक तर्क को लागू कर सकता है। अनुमोदन के लिए अनुरोध, टोकन बनाएं, या अपने स्वयं के दावा प्रदाता के रूप में ASP.NET सदस्यता प्रदाता का उपयोग करें।





Windows नीला सक्रिय निर्देशिका

Windows Azure में प्रमाणीकरण परिदृश्यों को लागू करने के लिए नवीनतम सेवा Windows Azure सक्रिय निर्देशिका है। यह अभी ध्यान देने योग्य है कि यह सेवा स्थानीय सक्रिय निर्देशिका का पूर्ण अनुरूप नहीं है, बल्कि, यह स्थानीय निर्देशिका को "दर्पण" के साथ क्लाउड में विस्तारित करती है।

Windows Azure सक्रिय निर्देशिका में तीन मुख्य घटक होते हैं: एक REST सेवा जिसके साथ आप कैटलॉग से जानकारी बना सकते हैं, प्राप्त कर सकते हैं, अपडेट कर सकते हैं और हटा सकते हैं, साथ ही SSO का उपयोग कर सकते हैं (उदाहरण के लिए, Office 365, Dynamics, Windows Intune के साथ एकीकरण के मामले में); विभिन्न पहचान प्रदाताओं जैसे कि फेसबुक और Google के साथ-साथ एक पुस्तकालय जो विंडोज एज़्योर एक्टिव डायरेक्ट्री की कार्यक्षमता तक पहुंच को आसान बनाता है, के साथ एकीकरण। प्रारंभ में, Office 365 के लिए Windows Azure सक्रिय निर्देशिका का उपयोग किया गया था। अब Windows Azure सक्रिय निर्देशिका निम्न जानकारी तक पहुँच प्रदान करती है:

उपयोगकर्ता : पासवर्ड, सुरक्षा नीतियां, भूमिकाएं।

समूह : सुरक्षा / वितरण-समूह।

और अन्य बुनियादी जानकारी (उदाहरण के लिए, सेवाओं के बारे में)। यह सब विंडोज़ एज़्योर एडी ग्राफ़, एक अभिनव सामाजिक कॉर्पोरेट ग्राफ़ का उपयोग करके प्रदान किया गया है, जो कि REST का समर्थन करता है, जिसमें सूचना और कनेक्शन की आसान खोज के लिए एक्सप्लोरर दृश्य है।



एक्सेस कंट्रोल सर्विस के साथ, जब आप अपने ऑन-प्रिमाइसेस इंफ्रास्ट्रक्चर को AD से चलाना चाहते हैं, तो आपको एक्टिव डायरेक्ट्री फेडरेशन सर्विसेज वर्जन 2 को इंस्टॉल और कॉन्फ़िगर करना होगा।
इस प्रकार, विंडोज एज़्योर एक्टिव का उपयोग करके, आप आंतरिक और सार्वजनिक दोनों तरह के प्लान एप्लिकेशन का उपयोग कर सकते हैं, उदाहरण के लिए, ऑफिस 365, साथ ही ऑन-प्रिमाइसेस एक्टिव डायरेक्ट्री इंफ्रास्ट्रक्चर और विंडोज एज़्योर के बीच फ़ेडरेटेड प्रमाणीकरण और सिंक्रनाइज़ेशन परिदृश्यों को लागू करते हैं।

वियोग

क्लाइंट द्वारा परिभाषित रोल इंस्टेंस की संख्या के आधार पर, विंडोज एज़्योर एक समान संख्या में वर्चुअल मशीन बनाता है जिसे रोल इंस्टेंस (क्लाउड सर्विसेज के लिए) कहा जाता है, और फिर इन वर्चुअल मशीनों पर एक तैनात एप्लिकेशन लॉन्च करता है। बदले में, ये वर्चुअल मशीनें विशेष रूप से क्लाउड में काम करने के लिए डिज़ाइन किए गए हाइपरविजर में चलती हैं (विंडोज एज़्योर हाइपरवाइज़र)।

बेशक, एक प्रभावी सुरक्षा तंत्र को लागू करने के लिए, एक-दूसरे से अलग-अलग ग्राहकों की सेवा करने और भंडारण सेवाओं में संग्रहीत डेटा को उचित रूप से अलग करना होगा।

।

मंच पर सब कुछ और सब कुछ के आभासी "मूल" को देखते हुए, तथाकथित रूट वीएम (एक सुरक्षित प्रणाली जहां फैब्रिक कंट्रोलर अपने फैब्रिक एजेंटों को होस्ट करता है, को अलग करने के लिए महत्वपूर्ण है, जो बदले में, अतिथि वर्चुअल पर क्लाइंट वर्चुअल मशीन पर होस्ट किए गए गेस्ट एजेंटों को नियंत्रित करता है) मशीनों और अतिथि आभासी मशीनों के अलावा। विंडोज एज़्योर अपने स्वयं के हाइपरविजर का उपयोग करता है, हाइपर-वी पर आधारित एक वर्चुअलाइजेशन परत। यह सीधे उपकरणों पर चलता है और प्रत्येक नोड को एक निश्चित संख्या में वर्चुअल मशीन में विभाजित करता है। Root VM, . Windows Azure Windows Server, , , «» . , , :

•

• (Jailbreaking, Hyperjacking)





Root VM. , . , (, , DHCP lease). – , , , ( ), .

, , , , IP-, , intra-application IP-.



, Fabric Controller Fabric Agent- . , , SSL, , . , , , SSL, VLAN-.

VLAN- Windows Azure . , . VLAN- , VLAN- «» , – , . VLAN-:

1) VLAN .

2) VLAN – .

3) VLAN – (, ).



नोट: नियंत्रक वीएलएएन और प्राथमिक वीएलएएन के बीच संचार संभव है, लेकिन केवल नियंत्रक प्राथमिक के लिए एक कनेक्शन शुरू कर सकता है, लेकिन इसके विपरीत नहीं। इसी तरह, प्राथमिक वीएलएएन से डिवाइस वीएलएएन तक संचार अवरुद्ध है।

एन्क्रिप्शन

, , . , , , SSL. Windows Azure SDK, .NET .NET Cryptographic Service Providers (CSP) Windows Azure, :

1) , , , MD5 SHA-2.

2) RNGCryptoServiceProvider – , .

3) (, AES), .

4) ..

, , TLS 128 .

Windows Azure SOAP, XML, REST-based. .

Windows Azure – – , . , , , Trust Services ( http://www.microsoft.com/en-us/sqlazurelabs/labs/trust-services.aspx ), . Trust Services .







Microsoft Codename «Trust Services» – , , Windows Azure. , . , , .

, , Windows Azure SQL Databases.



, , , . Windows Azure , -, , , - — Windows- . . (VHD):

* डिस्क डी: विंडोज के कई संस्करणों में से एक है। WA विभिन्न छवियों को प्रदान करता है और उन्हें समयबद्ध तरीके से अपडेट करता है। क्लाइंट सबसे उपयुक्त संस्करण का चयन करता है और, जैसे ही विंडोज का एक नया संस्करण उपलब्ध हो जाता है, क्लाइंट इसे स्विच कर सकता है।

* डिस्क ई: में क्लाइंट द्वारा प्रदान की गई सामग्री के साथ नियंत्रक द्वारा बनाई गई छवि शामिल है - उदाहरण के लिए, एप्लिकेशन।

* डिस्क सी: कॉन्फ़िगरेशन जानकारी, स्वैप फ़ाइलें और अन्य सेवा डेटा शामिल हैं।

D: E: , , , read-only (ACL, , ). «» — VHD + -. , VHD D:, , - . . , .

उपलब्धता

- , , , , , . Microsoft , , , .

, Windows Azure, . ( – 7 2012 ) .

Locally Redundant Storage (LRS) (). , , (, , , ) , , . (fault domain), . , , , - , Microsoft , , .

Geo Redundant Storage (GRS) , , - , . ( – ). , . , , . , , . . , .

, , , , , . , .

, . , . , , – , DNS- (account.service.core.windows.net). , DNS- - , URL. ( , ). .

यह सब फैब्रिक कंट्रोलर द्वारा नियंत्रित किया जाता है। वर्चुअल मशीन पर इंस्टॉल किए गए अतिथि एजेंट (जीए) उस घटना का जवाब देना बंद कर देते हैं, नियंत्रक पूर्ण उपलब्धता सुनिश्चित करने के लिए नेटवर्क कॉन्फ़िगरेशन के लिए सब कुछ दूसरे नोड में स्थानांतरित करता है और नेटवर्क कॉन्फ़िगरेशन को फिर से चलाता है।

विंडोज एज़्योर प्लेटफ़ॉर्म पर भी अपडेट डोमेन और त्रुटि डोमेन जैसे तंत्र हैं, जो ऑपरेटिंग सिस्टम या हार्डवेयर त्रुटियों को अपडेट करते हुए भी तैनात सेवा की निरंतर उपलब्धता की गारंटी देते हैं।

— , , (rack). ? , , , , . , . , - , . — Fabric Controller.

. , rolling- . , , — . , . №1, №2 .



प्रत्येक डेटा सेंटर में कम से कम दो शक्ति स्रोत होते हैं, जिनमें एक स्वायत्त बिजली स्रोत भी शामिल है। पर्यावरण नियंत्रण स्वायत्त हैं और तब तक कार्य करेंगे जब तक सिस्टम इंटरनेट से जुड़े हुए हैं।