Den här artikeln är en del av vår serie om digital suveränitet i Europa. Den här gången tittar vi på Sovereign Control Panel som börjar dyka upp i Azure. Det är fortfarande i förhandsversion, så vi uppdaterar artikeln allt eftersom Microsoft lägger till mer funktionalitet.
Att införa suveränitetskontroller i Azure är inte särskilt nytt längre. Du kan begränsa regioner med Azure Policy, kräva customer managed keys, använda confidential computing för de arbetsbelastningar som behöver det och bygga miljön ovanpå en Sovereign Landing Zone.
Det blir svårare när någon ber dig bevisa att alla dessa kontroller faktiskt finns på plats.
De bevisen ligger oftast utspridda över flera system som Azure Policy, Defender for Cloud och konfigurationen av enskilda resurser. Allt kanske finns där, men någon måste ändå samla ihop det och förklara vad det betyder inför en revision, en bedömning eller en upphandling.
Microsoft erkänner problemet i sin egen dokumentation. "Reglerade organisationer lägger ofta mer arbete på att bevisa att kontroller finns på plats än på att implementera kontrollerna själva." Sovereign Control Panel är tänkt att göra just den delen enklare.
En samlad vy, med ett nytt namn
När Microsoft för drygt ett år sedan presenterade sin Sovereign Public Cloud, tillsammans med Data Guardian och External Key Management, hette den här funktionaliteten Regulated Environment Management. Vi använde också det namnet i vår tidigare artikel om Microsofts suveräna lösningar.
Microsoft har sedan dess bytt namn till Sovereign Control Panel, eller SCP. Det är bra att känna till när du söker information, eftersom en hel del av den befintliga dokumentationen och rapporteringen fortfarande använder det gamla namnet.
Idén är ganska rättfram. I stället för att leta på flera olika ställen i Azure får du en plats där du ser miljöns suveränitetsstatus över tenants, hanteringsgrupper, prenumerationer och resurser.
Microsoft delar in det i tre områden.
- Discover visar nuläget, inklusive sådant som dataresidens, konfidentialitet, operativ suveränitet och kontinuitet.
- Control är där de nödvändiga kontrollerna och dina egna suveränitetsregler kan tillämpas.
- Act är tänkt att hjälpa till att identifiera suveränitetsrisker och hantera resurser som inte längre följer den förväntade konfigurationen.
Ännu en efterlevnadspanel?
För mig är den mest intressanta delen inte ännu en efterlevnadspanel. Azure har redan gott om sådana. Det intressanta är hur Sovereign Control Panel samlar in sina bevis.
Azure Policy bygger i hög grad på alias. Om Azure inte exponerar en viss resursegenskap genom ett alias kan Policy inte utvärdera den ordentligt. Det innebär att du kan få en efterlevnadsvy som ser bra ut samtidigt som en del av den konfiguration du faktiskt bryr dig om aldrig kontrollerades.
Sovereign Control Panel förlitar sig inte enbart på resultaten från Azure Policy. Det kan också läsa resurskonfigurationen direkt. Det låter som en liten implementationsdetalj, men det är viktigt. Det betyder att bevisen inte begränsas till det Azure Policy råkar förstå i dag.
Det gör det mer användbart än att bara lägga ännu en panel ovanpå de vyer för regelefterlevnad som redan finns i Azure Policy och Defender for Cloud. Microsoft kopplar dessutom panelen till Europeiska kommissionens Cloud Sovereignty Framework och till SEAL-nivåerna.
Här finns en viktig skillnad. SEAL bedömer en molnleverantör utifrån åtta suveränitetsmål och 48 kriterier. Där ingår områden som rättslig jurisdiktion och beroenden i leverantörskedjan.
Sovereign Control Panel tittar på den tekniska konfigurationen av din Azure-miljö. En grön Sovereign Control Panel kan alltså ge användbara bevis under en bedömning eller upphandling, men den ger inte plötsligt din Azure-miljö en SEAL-nivå.
Vad du faktiskt ser i dag
Vi kan redan se Sovereign Control Panel i vår egen Azure-tenant. Overview-bladet visas som Sovereign Control Panel (Preview) och innehåller just nu en flik Get started och en flik Sovereign views. Azure är också tydligt med de nuvarande begränsningarna. En banner anger att tjänsten är tillgänglig genom ett private preview-program, för närvarande är begränsad till EU-regioner och att åtkomst till hela upplevelsen går via din Microsoft-kontakt.
Utgångspunkten är en egen sovereign view. Den utvärderar Azure-resurser mot sovereign policies som täcker sådant som dataresidens och kryptering. Det mesta av den mer intressanta funktionaliteten ligger fortfarande bakom den privata förhandsversionen.
Så även om Microsoft dokumenterar modellen med Discover, Control och Act skulle jag i nuläget betrakta Control och Act främst som färdriktning, om du inte faktiskt har blivit antagen till förhandsversionen.
Det är fortfarande en privat förhandsversion
Microsofts tidigare dokumentation, från när tjänsten fortfarande hette Regulated Environment Management, ger också en bra bild av vad organisationer bör ha på plats innan de använder den.
Den förutsätter en Azure-miljö byggd kring en genomtänkt hanteringshierarki, helst med en Azure Landing Zone eller Sovereign Landing Zone. Den förväntar sig också att du har en modell för dataklassificering och att du kopplar den klassificeringen till Microsofts sovereign control levels.
L1 fokuserar på residens. L2 lägger till kryptering med customer managed keys. L3 tar in confidential computing i bilden. Du behöver också veta hur nyckelhanteringen ska fungera i din miljö. Den sista delen är viktig, eftersom Sovereign Control Panel inte utformar din suveränitetsmodell åt dig.
Om dina policyer mest körs i audit mode, klassificeringarna är oklara och ingen riktigt äger undantagen, så kommer panelen att synliggöra det. Den löser inte det underliggande problemet. Och det är förmodligen där det mesta av det verkliga arbetet finns kvar.
En Sovereign Landing Zone, policy as code och en klassificeringsmodell som översätter verksamhetskrav till faktiska Azure-kontroller är fortfarande grunden. Sovereign Control Panel kan sedan göra de kontrollerna till något du löpande kan se, hantera och bevisa, i stället för att bygga upp bevisen på nytt varje gång någon frågar efter dem.
Om du kör reglerade arbetsbelastningar i europeiska Azure-regioner tycker jag att det är värt att fråga din Microsoft-kontakt om åtkomst till förhandsversionen. Men jag skulle också titta på grunden först. En bättre panel blir riktigt användbar först när miljön under den har utformats ordentligt.
Boka ett samtal med DevOps Masterminds CTO Rinie Huijgen, eller kontakta oss.
