Verwenden von Azure Red Hat OpenShift in der Finanzdienstleistungsbranche

Azure Red Hat OpenShift

In diesem Artikel wird beschrieben, wie Sie eine Azure Red Hat OpenShift Zielzonenarchitektur für die Finanzdienstleistungsbranche (FSI) implementieren. In diesem Leitfaden wird beschrieben, wie Sie alle unterstützten Azure Red Hat OpenShift 4.x-Versionen in einer Hybrid-Cloudumgebung verwenden, um sichere, robuste und kompatible Lösungen zu erstellen, die den gesetzlichen Anforderungen und Sicherheitsstandards von FSI entsprechen.

Lesen Sie vor dem Erstellen einer Produktionsumgebung mithilfe von Azure Red Hat OpenShift die Azure Red Hat OpenShift Landingzone Anleitung im Cloud Adoption Framework für Azure. Erwägen Sie die Überprüfung der neuesten Azure Red Hat OpenShift Serviceupdates und Versionskompatibilitätsmatrix für die Produktionsplanung.

Aufbau

Diagramm, das das FSI-Szenario für die Azure Red Hat OpenShift Hybridarchitektur zeigt.

Laden Sie eine Visio-Datei dieser Architektur herunter.

Datenfluss

In diesem Szenario wird eine Anwendung verwendet, die auf einem Azure Red Hat OpenShift Cluster ausgeführt wird. Die Anwendung stellt eine Verbindung zu lokalen Ressourcen und zu einem virtuellen Hubnetzwerk auf Azure her, das von Azure Firewall geschützt wird.

Der folgende Datenfluss entspricht dem vorherigen Diagramm:

  1. Der Entwickler schreibt Code im Netzwerk des Unternehmens und verschiebt den Code an GitHub Enterprise. Sie können ein beliebiges Coderepository für Ihr Szenario verwenden.

  2. Die Bereitstellungspipeline des Kunden packt den Code in einem Container, der ihn in einer lokalen Containerregistrierung bereitstellt.

  3. Das Image kann dann in einem lokalen OpenShift-Cluster und im Azure Red Hat OpenShift Cluster auf Azure bereitgestellt werden. Das Image wird auch über Azure ExpressRoute für Azure Red Hat OpenShift bereitgestellt, wodurch der Datenverkehr über das virtuelle Azure-Hubnetzwerk an den privaten Azure-Red-Hat-OpenShift-Cluster im virtuellen Spokennetzwerk weitergeleitet wird. Diese beiden Netzwerke sind per Peering verbunden.

  4. Ausgehender Datenverkehr, der aus dem Azure Red Hat OpenShift Cluster stammt, wird zuerst über das virtuelle Peered Hub-Netzwerk und dann über eine Azure Firewall Instanz weitergeleitet.

  5. Um auf die Anwendung zuzugreifen, können Kunden zu einer Webadresse wechseln, die den Datenverkehr über Azure Front Door weiter leitet.

  6. Azure Front Door verwendet Azure Private Link, um eine Verbindung mit dem privaten Azure Red Hat OpenShift Cluster herzustellen.

Komponenten

  • Azure Red Hat OpenShift ist ein Kubernetes-Dienst, der verwaltete, hoch verfügbare OpenShift 4.x-Cluster bei Bedarf mit 99,95% Sla-Verfügbarkeit (Service Level Agreement) bereitstellt. In dieser Architektur dienen diese Cluster als primäre Computeplattform. Microsoft und Red Hat überwachen und betreiben gemeinsam die Cluster, die Unterstützung auf Unternehmensniveau mit automatisierten Updates, Patching und Lebenszyklusverwaltung bieten. Azure Red Hat OpenShift unterstützt OpenShift 4.12 und höher mit regelmäßigen Versionsupdates und erweiterten Supportoptionen.

  • Microsoft Entra ID ist ein cloudbasierter Identitäts- und Zugriffsverwaltungsdienst, der den Zugriff auf Ressourcen in verschiedenen Umgebungen steuert. In dieser Architektur ist Microsoft Entra ID in Azure Rollenbasierte Zugriffssteuerung (Azure RBAC) und OpenShift RBAC integriert. Diese Integration bietet Kunden einen sicheren, präzisen Zugriff auf externe Ressourcen.

  • ExpressRoute ist ein Netzwerkdienst, der in einen Konnektivitätsanbieter integriert werden kann, um lokale Netzwerke über eine private Verbindung in die Microsoft-Cloud zu erweitern. In dieser Architektur bietet ExpressRoute private Verbindungen mit hoher Bandbreite zwischen lokalen Ressourcen und Azure.

  • Azure Key Vault ist eine cloudeigene Schlüsselverwaltungslösung, die geheime Schlüssel, Schlüssel und Zertifikate mit FIPS 140-3 Level 3 validiertes Hardwaresicherheitsmodul (HSMs) speichert und verwaltet. Es entspricht Standards wie Payment Card Industry Data Security Standard (PCI DSS) und Payment Card Industry Three-Domain Secure (PCI 3DS). Für FSI-Szenarien empfiehlt diese Architektur, Key Vault Premium-Stufe anstelle der Standard-SKU zu verwenden, um eine verbesserte Sicherheitscompliance bereitzustellen, einschließlich vom Kunden verwalteter Schlüssel, BYOK-Funktionen (Bring Your Own Key) und dedizierte HSM-Sicherung für Anwendungen, die auf dem privaten Azure Red Hat OpenShift Cluster ausgeführt werden. Key Vault Premium ermöglicht die Einhaltung der FIPS 140-3 Level 3-Standards, wie sie von vielen finanzrechtlichen Vorschriften vorgeschrieben werden. Die Integration mit Azure Red Hat OpenShift umfasst native Unterstützung für Key Vault CSI-Treiber und Microsoft Entra Workload ID. Weitere Informationen zu den verschiedenen Azure Schlüsselverwaltungslösungen finden Sie unter Wählen Sie die richtige Azure Schlüsselverwaltungslösung aus.

  • Azure Bastion ist eine verwaltete Plattform als Dienstlösung (PaaS), die Verbindungen mit virtuellen Computern (VMs) über eine private IP-Adresse ermöglicht. In dieser Architektur stellt Azure Bastion eine Verbindung mit einem Azure virtuellen Computer im privaten Netzwerk her, da in diesem Szenario ein privater Cluster implementiert wird.

  • Azure Firewall ist ein cloudeigener und intelligenter Netzwerkfirewallsicherheitsdienst, der Bedrohungsschutz für Cloudworkloads bereitstellt, die in Azure ausgeführt werden. In dieser Architektur überwacht und filtert Azure Firewall Netzwerkdatenverkehr, der in die Azure Red Hat OpenShift Umgebung ein- und ausgeht.

Alternativen

Sie können Azure Red Hat OpenShift verwenden, um auf das OpenShift-Ökosystem und die cloudeigene Toolkette zuzugreifen. Wenn Sie OpenShift lokal ausführen, gelten die meisten der enthaltenen Plattformdienste für Azure Red Hat OpenShift. Sie können diese Plattformdienste als Alternativen zu einigen der in diesem Artikel erwähnten Azure Dienste verwenden.

Nicht-Microsoft-Alternativen sind verfügbar. Sie können beispielsweise Ihre Containerregistrierung lokal hosten oder OpenShift GitOps anstelle von GitHub Actions verwenden. Sie können auch Nicht-Microsoft-Überwachungslösungen verwenden, die mit Azure Red Hat OpenShift Umgebungen funktionieren. Dieser Artikel konzentriert sich auf Azure Alternativen, die Kunden häufig verwenden, um ihre Lösungen auf Azure Red Hat OpenShift zu erstellen.

Details zum Szenario

FSI und andere regulierte Branchen Azure Red Hat OpenShift Kunden haben häufig strenge Anforderungen für ihre Umgebungen. Diese Architektur enthält Kriterien und Richtlinien, mit denen Finanzinstitute Lösungen entwerfen können, die ihren individuellen Anforderungen entsprechen, wenn sie Azure Red Hat OpenShift in einer Hybrid-Cloudumgebung verwenden.

Dieses Szenario konzentriert sich auf Sicherheitsmaßnahmen. Sie können z. B. private Konnektivität aus lokalen Umgebungen aktivieren, Steuerelemente für die Nutzung privater Verbindungen implementieren, private Registrierungen einrichten, Netzwerktrennung sicherstellen und Verschlüsselung für Ruhedaten und Daten während der Übertragung bereitstellen. Identitäts- und Zugriffsverwaltung und Azure RBAC sorgen für eine sichere Benutzerverwaltung in Azure Red Hat OpenShift Clustern.

Für mehr Resilienz können Sie Ressourcen über Verfügbarkeitszonen hinweg verteilen, um Fehlertoleranz zu erzielen. Complianceverpflichtungen umfassen Nicht-Microsoft-Risikobewertungen, behördliche Einhaltung und Notfallwiederherstellungsprotokolle. Sie erhalten einen besseren Einblick, wenn Sie zur Wahrung der betrieblichen Effizienz und zur Einhaltung gesetzlicher Vorschriften Protokollierungs-, Überwachungs- und Sicherungsmechanismen hinzufügen. Die Richtlinien in diesem Artikel enthalten ein Framework, mit dem Sie Azure Red Hat OpenShift Lösungen bereitstellen und verwalten können, die auf die Anforderungen des FSI zugeschnitten sind.

Mögliche Anwendungsfälle

Dieses Szenario ist für Kunden in regulierten Branchen am relevantesten, z. B. im Finanz- und im Gesundheitswesen. Dieses Szenario trifft auch für Kunden mit erhöhten Sicherheitsanforderungen zu, die z. B. Lösungen mit strengen Datengovernanceanforderungen benötigen.

Überlegungen

Diese Überlegungen implementieren die Säulen des Azure Well-Architected-Frameworks, die eine Reihe von Leitsätzen sind, die Sie verwenden können, um die Qualität einer Arbeitsauslastung zu verbessern. Weitere Informationen finden Sie unter Well-Architected Framework.

Zuverlässigkeit

Zuverlässigkeit trägt dazu bei, dass Ihre Anwendung die Verpflichtungen erfüllen kann, die Sie für Ihre Kunden vornehmen. Weitere Informationen finden Sie unter Prüfliste zur Entwurfsüberprüfung für Zuverlässigkeit.

Resilienz ist für Azure Red Hat OpenShift unerlässlich, um den unterbrechungsfreien Betrieb von unternehmenskritischen Anwendungen aufrechtzuerhalten. Implementieren Sie die folgenden bewährten Methoden für Zuverlässigkeit:

  • Availability zones: Verteile die Steuerungsebene und die Arbeitsknoten über alle verfügbaren Verfügbarkeitszonen innerhalb einer Azure-Region. Dadurch stellen Sie sicher, dass der Steuerungsebenencluster das Quorum aufrechterhält und potenzielle Fehler in allen Verfügbarkeitszonen verringert. Implementieren Sie diese Verteilung standardmäßig.

  • Bereitstellungen in mehreren Regionen: Stellen Sie Azure Red Hat OpenShift-Cluster in mehreren Regionen bereit, um gegen ausfallbedingte regionale Ausfälle geschützt zu sein. Verwenden Sie Azure Front Door Premium für die globale Lastverteilung und Datenverkehrsweiterleitung an diese Cluster, mit Integritätsprüfungen und automatischen Failover-Funktionen für verbesserte Resilienz. Wählen Sie Azure Dienste aus, die Georedundanz unterstützen, und stimmen Sie jedem sekundären Standort mit dem Standort überein, an dem Sie den OpenShift-Cluster bereitstellen.

  • DR: Implementieren Sie strenge DR-Standards, um Kundendaten zu schützen und kontinuierliche Geschäftsvorgänge sicherzustellen. Um diese Standards effektiv zu erfüllen, beachten Sie die DR-Überlegungen.

  • Backup: Um vertrauliche Kundendaten zu schützen und strenge Complianceanforderungen zu erfüllen, implementieren Sie eine robuste Sicherungs- und Wiederherstellungsstrategie für Azure Red Hat OpenShift.

    • Konfigurieren Sie zunächst Azure Red Hat OpenShift Cluster, die standardmäßig an Azure Speicher angefügt werden sollen, und stellen Sie sicher, dass sie nach einem Wiederherstellungsvorgang automatisch erneut angefügt werden. Informationen zu Sicherungen auf Anwendungsebene, die Velero verwenden, finden Sie unter Create an Azure Red Hat OpenShift cluster application backup.

    • Überprüfen Sie Sicherungs- und DR-Workflows, einschließlich geplanter Sicherungen, Replikation von Remote-Objektspeichern und Unterstützung für Datenverschiebung, anhand von Backup und Wiederherstellung für Azure Red Hat OpenShift mithilfe der OpenShift-API für Datenschutz. Verwenden Sie diesen Ansatz für Produktionsumgebungen, die strenge Wiederherstellungszeitziele (RTOs), Wiederherstellungspunktziele (RPOs) und die Einhaltung von Compliancestandards erfordern.

Sicherheit

Sicherheit bietet Sicherheitsmaßnahmen gegen bewusste Angriffe und den Missbrauch Ihrer wertvollen Daten und Systeme. Weitere Informationen finden Sie unter Entwurfsprüfliste für die Sicherheit.

Sicherheit ist in der Finanzbranche von größter Bedeutung. Um vertrauliche Daten zu schützen und die Einhaltung gesetzlicher Bestimmungen zu gewährleisten, benötigen Sie strenge Sicherheitsmaßnahmen.

Netzwerk

  • Private Konnektivität aus einer lokalen Umgebung: Anwendungsfälle in der Finanzbranche erfordern exklusive private Netzwerkkonnektivität ohne öffentlichen Internetzugang.

    • Implementieren Sie Private Link Endpunkte für sichere Konnektivität, und verwenden Sie ExpressRoute für private Konnektivität von lokalen Rechenzentren. Azure Red Hat OpenShift unterstützt private Cluster, die private Eingangscontroller und API-Endpunkte enthalten.

    • Um die Sicherheit zu erhöhen, sollten Sie die Verwendung einer Hub-Spoke-Netzwerktopologie in Betracht ziehen. Weitere Informationen finden Sie unter Create an Azure Red Hat OpenShift private cluster.

    • Verwenden Sie die Vorlage Azure Red Hat OpenShift Landing Zone Accelerator, um die Erstellung eines neuen Clusters zu beschleunigen, der den empfohlenen Methoden von Microsoft folgt.

  • Push-only private Link: Finanzunternehmen schränken häufig Azure Workload-Datenverkehr daran ein, eine Verbindung mit ihren Rechenzentren herzustellen. Konfigurieren Sie Private Link Gateways für eingehenden Zugriff von privaten Rechenzentren auf Azure.

    • Stellen Sie sicher, dass Systemabhängigkeiten in privaten Rechenzentren Daten an Azure übertragen.

    • Verwenden Sie Private Link und Azure Firewall, um Firewallrichtlinienausnahmen auf individueller Basis gemäß den Grundsätzen der geringsten Rechte anzuwenden.

  • Private-Registrierung mit Sicherheitsrisikoüberprüfung: Verwenden Sie die Azure Container Registry Premium-Stufe mit integrierter Sicherheitsüberprüfung, um Sicherheitsrisiken in Bildern zu identifizieren, die in Ihrer Registrierung gehostet werden. Aktivieren Sie dieses Feature auf Abonnementebene mithilfe von Microsoft Defender für Container.

  • Netzwerksegmentierung: Segmentierung der Standardsubnetze für Sicherheit und Netzwerkisolation.

    • Verwenden Sie Azure Networking, um unterschiedliche Subnetze für die Azure Red Hat OpenShift Steuerebene, die Arbeitsebene, die Datenebene, Azure Front Door, Azure Firewall, Azure Bastion und Azure Application Gateway zu erstellen.

    • Erstellen Sie NetworkPolicy-Objekte , um den Datenverkehr zwischen Pods in einem Projekt einzuschränken.

Daten

  • Verschlüsselung ruhender Daten: Verwenden Sie Standardspeicherrichtlinien und -konfigurationen, um die Verschlüsselung ruhender Daten sicherzustellen.

  • Verschlüsselung von Daten im Transit: Verschlüsseln von Verbindungen zwischen Diensten in einem Standard-Cluster in Azure Red Hat OpenShift.

    • Aktivieren Sie Transport Layer Security (TLS) für den Datenverkehr zwischen Diensten.

    • Verwenden Sie Netzwerkrichtlinien, Dienstgitter und Key Vault für den Zertifikatspeicher. Weitere Informationen finden Sie unter Update Azure Red Hat OpenShift Clusterzertifikate.

    • Verwenden Sie Red Hat OpenShift Service Mesh, um die Datenverkehrsverwaltung, Dienstidentität, Sicherheit und Richtlinien durchzusetzen und Telemetriefunktionen zu gewinnen. Weitere Informationen finden Sie in der Einführung in Red Hat OpenShift Service Mesh.

  • Key management service: Verwenden Sie Key Vault als primärer Dienst, um geheime Schlüssel, Schlüssel und Zertifikate sicher zu speichern und zu verwalten.

Authentifizierung und Autorisierung

Kompatibilität

  • Nicht von Microsoft stammende Risikobewertungen: Um die Einhaltung gesetzlicher Vorschriften sicherzustellen, gewährleisten Sie Zugriff mit den geringsten erforderlichen Rechten, beschränken Sie die Dauer eskalierter Berechtigungen und überwachen Sie den Ressourcenzugriff durch Site Reliability Engineers (SRE). Informationen zum SRE-Modell für gemeinsame Verantwortung und verfahren zur Zugriffseskalation finden Sie unter Overview of responsibilities for Azure Red Hat OpenShift and SRE access to Azure Red Hat OpenShift.

  • Regulatory compliance: Verwenden Sie Azure Policy, um verschiedene behördliche Anforderungen im Zusammenhang mit der Compliance in FSI-Szenarien zu erfüllen.

    Verwenden Sie Azure Policy, um Tags auf Ressourcen in der verwalteten Ressourcengruppe eines Azure Red Hat OpenShift-Clusters anzuwenden. Weitere Informationen finden Sie unter Azure Policy und Azure Policy integrierten Initiativdefinitionen.

Operative Exzellenz

„Optimaler Betrieb“ deckt die Betriebsprozesse ab, die für die Bereitstellung einer Anwendung und deren Ausführung in der Produktion sorgen. Weitere Informationen finden Sie in der Checkliste zur Designüberprüfung für operationale Exzellenz.

FSI-Unternehmen können mit robusten Überwachungs-Tools und -Methoden Probleme proaktiv erkennen und beheben und die Ressourcennutzung optimieren. Beachten Sie die Empfehlungen für einen optimalen Betrieb:

  • Implement effektive Protokollierung und Überwachung: Verwenden Sie Azure Monitor und Microsoft Sentinel, um Aktionen nachzuverfolgen und die Systemintegrität in Ihrer Azure Red Hat OpenShift Umgebung sicherzustellen.

    • Ergänzen Sie die Überwachungs- und Monitoringpraktiken durch die Verwendung von nicht-Microsoft-Werkzeugen wie Dynatrace, Datadog und Splunk.

    • Stellen Sie sicher, dass der verwaltete Dienst für Prometheus oder Azure Managed Grafana für Azure Red Hat OpenShift verfügbar ist.

    • Verwenden Sie die Cluster-Protokollierungsweiterleitung, um Protokolle an Azure Monitor und Log Analytics zu senden. Mit dieser Funktion können Sie Ihre Azure Red Hat OpenShift Workloads in Azure Monitor abfragen und anzeigen.

  • Use Azure Arc-enabled Kubernetes: Integrieren sie Azure Arc-fähige Kubernetes in Ihre Azure Red Hat OpenShift Umgebung für erweiterte Protokollierungs- und Überwachungsfunktionen.

  • Deploy Red Hat Advanced Cluster Management (ACM) und OpenShift Data Foundation (ODF) für Azure Red Hat OpenShift DR: Für Szenarien für Geschäftskontinuität und Notfallwiederherstellung (BCDR) sollten Sie einen Hubcluster mit ACM und dem ODF Multicluster Orchestrator ausführen, um primäre und sekundäre Cluster in peered virtuellen Netzwerken zu koordinieren. Weitere Informationen finden Sie unter Deploy ACM and ODF for Azure Red Hat OpenShift DR.

Beitragende

Microsoft verwaltet diesen Artikel. Die folgenden Mitwirkenden haben diesen Artikel geschrieben.

Hauptautoren:

Um nicht-öffentliche LinkedIn-Profile zu sehen, melden Sie sich bei LinkedIn an.

Nächste Schritte

Ressourcen für die Produktionsbereitstellung:

Architektur und bewährte Methoden:

Sicherheit und Compliance: