Azure 中的数据驻留

Azure 包含比任何其他云提供商都多的全球区域,提供使应用更贴近全球用户所需的规模和数据驻留方案。

作为客户,你可以保留客户数据的所有权;数据指你提供的用于在 Azure 服务中存储和托管的内容、个人数据和其他数据。Microsoft 不会在你指定的地理地域之外存储和处理客户数据,但某些非区域服务除外。你还可以控制要在哪些额外的地理区域部署解决方案或复制数据。

对于服务的功能需要全球数据复制的情况,请参阅以下详细信息。

  • Microsoft 使用多层安全和加密协议来保护数据。概要了解 Microsoft 如何使用加密来保护数据

    默认情况下,Microsoft 托管密钥保护你的数据,始终使用符合 FIPS 140-2 的加密协议来加密保留在任何物理媒体上的客户数据。客户还可以使用客户管理的密钥 (CMK) 双加密和/或硬件安全模块 (HSM) 来加强数据保护。

    使用 IEEE 802.1AE MAC 安全标准保护在数据中心之间移动的所有数据流量,以防止物理“中间人”攻击。为了保持复原能力,Microsoft 使用了有时跨越地区边界的可变网络路径,但区域之间的客户数据复制始终通过加密的网络连接进行传输。

    另外,为了最大限度地减少隐私风险,Microsoft 会生成匿名标识符,让 Microsoft 能够提供全球的云服务(包括运营和改进服务、计费和欺诈防护)。在所有情况下,都不能使用匿名标识符直接标识个体,并如上所述保护标识着个人的客户数据的访问权限。

  • 可通过符合 GDPR 的方式使用所有 Azure 服务。如果使用 Azure 服务的客户选择跨国传输包含个人数据的内容,则他们需要考虑适用于这种传输的法律要求。Microsoft 为客户提供服务和资源,帮助其遵循可能适用于其运营的 GDPR 要求。

    某些 Microsoft 联机服务与作为相应服务的次级处理者的第三方共享数据。已公开的 Microsoft Online Services 次级处理者列表列出了经授权处理客户数据或个人数据的次级处理者。所有此类次级处理者都有义务来满足或超越 Microsoft 对其客户的合同承诺。

    Microsoft 将不会向任何第三方提供:(1) 对客户数据的直接、不分场合或者不设限的访问;(2) 用于保护数据的平台加密密钥,或者用于破解此类加密的功能;(3) 如果 Microsoft 了解到数据被用于第三方请求中所述以外的目的,则不会向其提供对此数据的访问权限。这里提供了 Microsoft 的政府要求相关客户数据合法披露方法的详细信息。

大多数 Azure 服务允许你指定存储和处理客户数据的区域。Microsoft 可以复制到其他区域以获得数据复原能力,但 Microsoft 不会存储或处理所选地区之外的客户数据。你和你的用户可从全球任何位置移动、复制或访问你的客户数据。

有关客户数据位置的详细信息

区域服务的数据存储

大多数 Azure 服务的部署都是区域性的,客户可指定将在其中部署服务的区域。此类 Azure 服务包括虚拟机、存储器和 SQL 数据库等。有关区域性服务的完整列表,请查看各区域的服务可用性

Microsoft 可能会在特定地区内的两个区域之间复制客户数据,以实现数据冗余或其他操作目的。例如,异地冗余存储将在同一地区内的两个区域之间复制 Blob、文件、队列和表数据,这样在主要数据中心发生灾难时仍然能够使用数据。

未经你的许可,Microsoft 不会在客户指定的地区之外存储或处理客户数据,以下区域性服务除外:

  • Azure 云服务,无论部署区域如何都将 Web 角色和辅助角色软件部署包备份到美国。
  • 语言理解,它可能会基于客户使用的创作区域将活动的学习数据存储在美国、欧洲或澳大利亚。了解详细信息
  • Azure 机器学习,它可能会将客户提供的自由格式文本(例如工作区、资源组、试验、文件和图像的名称)以及试验参数存储在美国。
  • Azure Databricks,它将标识数据和某些表名及对象路径信息存储在美国。
  • Azure Sentinel
  • Azure 串行控制台,它将所有静态客户数据存储在客户选择的地区中,但当通过 Azure 门户使用时,可能会在该地区之外处理控制台命令和响应,这样做的唯一目的是在门户内提供控制台体验。
  • 预览版、Beta 版或其他预发布服务,它们通常将客户数据存储在美国,但也可能存储在全球各地。

客户可以配置以下 Azure 服务、层级或计划,以便仅在单个区域中存储客户数据:

1目前仅在亚太地区的东南亚区域(新加坡)和巴西地区的巴西南部(圣保罗州)区域提供默认的单区域数据驻留。对于其他所有区域,客户数据存储在“地域”中。

2目前仅在亚太地区的东南亚区域(新加坡)提供默认的单区域数据驻留。对于其他所有区域,客户数据存储在“地域”中。

3Single region data residency is provided by default when a new tenant is created in country/region specific datacenter geo.

4目前仅在亚太地区的东南亚区域(新加坡)和巴西地区的巴西南部(圣保罗州)区域提供在单个区域存储客户数据的预览功能。对于其他所有区域,客户数据存储在“地域”中。

5对于 Azure Databricks,标识数据和某些表名及对象路径信息存储在美国。目前在亚太地区的东南亚区域(新加坡)和巴西地区的巴西南部(圣保罗州)区域提供在单个区域存储所有其他客户数据的功能。对于所有其他区域,客户数据存储在“地域”中(上述例外情况除外)。

6ZRS Classic, GRS/RA-GRS, GZRS/RA-GZRS stores data in multiple regions.

非区域性服务的数据存储

某些 Azure 服务不允许客户指定服务的部署区域。除非另行指定,否则这些服务可以在任何 Microsoft 数据中心存储或处理客户数据。

  • Azure 内容分发网络,提供全球缓存服务并将客户数据存储在全球的边缘位置。
  • Azure Active Directory (Azure AD),可在全球各地存储 Azure AD 数据。这不适用于美国和欧洲的 Azure AD 部署,其中美国的部署将 Azure AD 数据仅存储在美国,欧洲的部署将 Azure AD 数据存储在欧洲或美国。了解详细信息
  • Azure 多重身份验证,它在美国存储身份验证数据。了解详细信息
  • Azure 安全中心,可存储从客户资源(如虚拟机或 Azure AD 租户)收集或与之关联的客户安全数据的副本:

    (a) 存储在该资源所属的地区,Microsoft 尚未部署安全中心的地区除外(在这种情况下,此类数据的副本将存储在美国);以及

    (b) 当安全中心使用其他 Microsoft 联机服务来处理此类数据时,它可能会根据该联机服务的地理位置规则来存储此类数据。

  • 提供全球路由功能但无法自行处理或存储客户数据的服务。这包括 Azure 流量管理器和 Azure DNS,前者在不同的区域之间提供负载均衡,后者提供路由到不同区域的域名服务。

有关非区域性服务的完整列表,请查看各区域的服务可用性并选择“非区域性”。