Microsoft Azure: Von Microsoft betriebene Cloud-Computing-Plattform

Azure wurde im Oktober 2008 angekündigt, gestartet mit dem Codenamen „Project Red Dog“, seit dem 1. Februar 2010 ist die Plattform offiziell verfügbar.

Microsoft Azure
Basisdaten
Entwickler	Microsoft
Erscheinungsjahr	1. Februar 2010
Betriebssystem	Microsoft Windows, Linux, Android, iOS
Kategorie	Cloud-Computing
azure.microsoft.com

Die Nutzer von Microsoft Azure setzen Infrastructure as a Service (IaaS), Platform as a Service (PaaS) und Software as a Service (SaaS) ein.

Microsoft wurde wegen seiner fahrlässigen Cybersicherheitspraktiken scharf kritisiert.

Anbieter des Cloud Computings stellen Anwendungen und Datenbanken zur Verfügung, die netzbasiert genutzt werden können. Auch die eigenen Dateien des Anwenders liegen nicht mehr auf dem eigenen Computer, sondern auf den Servern des Providers. Microsoft möchte sich wesentlich stärker auf internetbasierte Dienste konzentrieren und hofft, so dem Käufertrend zu billigeren und leistungsschwächeren Rechnern wie Netbooks begegnen zu können. Ein für den Hersteller interessanter Nebeneffekt wäre, dass das Problem der Raubkopien stark eingedämmt würde, da keine Software an die Endanwender mehr vertrieben werden muss. Das Angebot soll eine wesentliche Kursänderung bei Microsoft markieren. Es konkurriert dabei gegen vergleichbare Angebote wie Google App Engine oder die Elastic Compute Cloud von Amazon.

Microsoft Azure stellt dabei den großen Teil einer neu entwickelten Plattform, der Microsoft Azure Platform, dar. Diese Plattform bietet den Anwendern neue Dienste, so beispielsweise eine Datenbank und eine neue Version des .NET Frameworks. Darüber hinaus werden Dienste zur Synchronisation von Daten angeboten, die auf dem System der Microsoft Windows SharePoint Services basieren.

Azure ist im März 2020 in 140 Ländern aufgeteilt in 58 Regionen vertreten. Ein Standort repräsentiert die Stadt oder das Gebiet der Azure Region. Jede Region ist mit einer anderen Region innerhalb derselben Geographie gepaart; dies macht sie zu einem regionalen Paar. Zum Beispiel sind Amsterdam und Dublin Orte, die ein regionales Paar bilden. Diese Paarung von Regionen ermöglicht eine zusätzliche Ausfallsicherheit, indem bei Problemen in einer Region automatisch die Partnerregion übernimmt (spezielle Funktion einiger Azure Dienste und mit zusätzlichen Kosten verbunden).
Microsoft ist mit Azure der erste Anbieter von Cloud-Diensten, der sich verpflichtet hat, Einrichtungen auf dem afrikanischen Kontinent zu bauen, wobei sich zwei Regionen in Südafrika befinden.

Deutschland

Im Rahmen einer Daten-Treuhand-Konstruktion wird für Deutschland eine spezielle Cloud-Lösung angeboten, die dem stärkeren Bedürfnis nach Datenschutz in Deutschland genügen soll. Ein deutscher Datentreuhänder, hier die T-Systems, kontrolliert dabei den Zugriff auf die Kundendaten. Im November 2015 hat Microsoft angekündigt, hierfür zwei Rechenzentren in Deutschland zu installieren. Standorte sind Frankfurt am Main und Magdeburg. Damit werden Kundendaten nicht in Rechenzentren außerhalb Deutschlands verteilt. Die deutschen Rechenzentren sind dabei Teil einer globalen Cloud-Infrastruktur, die 54 Regionen in über 140 Ländern umfasst. Am 31. August 2018 gab Microsoft bekannt, dass die Microsoft-Cloud Deutschland nicht mehr für Neukunden zur Verfügung steht und keine neuen Dienste mehr bereitgestellt werden.

Seit Ende 2019 sind zwei neue Rechenzentren in Berlin und Frankfurt (Hattersheim) verfügbar, auf denen Azure, Office365 und künftig auch Dynamics365 verfügbar sind.

2021 wurde bekannt, dass Microsoft mit Regierungen in Europa an einem speziellen Angebot arbeitet, um eine Migration in die eigene Cloud attraktiver zu machen. Bisher setzen Deutsche Behörden zwar auf Microsoft-Software, die proprietär ist und daher Risiken bietet. Da sie in eigenen Rechenzentren läuft, sind die Gefahren für Sicherheit und Datenschutz jedoch im Vergleich zu Cloud-Diensten geringer. Zumal die USA direkt und indirekt nachweisbar deutsche Politiker wie Angela Merkel überwacht haben. Handelsembargos der USA gegen etwa Huawei zeigen zudem weitere politische Gefahren. Die Bundesregierung sieht daher die digitale Souveränität in Gefahr und plante quelloffene Alternativen zu prüfen. Daraufhin kündigte Microsoft an, mit lokalen Dienstleistern zusammenzuarbeiten, um trotzdem gemeinsam Dienste in der Cloud anbieten zu können. Im Folgejahr erschien die Ankündigung, dass diese Cloud 2024 starten soll. Einige Kritikpunkte wie etwa die hohe Abhängigkeit von einem einzelnen Konzern bleiben bestehen.

Schweiz

Seit 2019 unterhält Microsoft zwei Rechenzentren in den Kantonen Genf und Zürich für Microsoft Azure. Im März 2023 kündigte Microsoft einen Ausbau der Schweizer Rechenzentren an.

Microsoft nennt Finanz- und Gesundheitssektor, den öffentlichen Sektor sowie Nichtregierungsorganisationen als primäre Zielgruppen für die Schweizer Rechenzentrum-Standorte. Der Aufbau der Rechenzentren wurde durch einen großen Ankermieter initiiert. Die Schweizer Großbank UBS hat angekündigt, dass sie mittelfristig ein Drittel ihrer Daten in Zusammenarbeit mit Microsoft in die Cloud auslagern möchte. Swisscom ist ein Vertriebspartner von Azure.

 

Folgende Teile scheinen seit 2010 nicht mehr aktuell zu sein:

Dieser Aufbau ist veraltet und war im Grunde zu keiner Zeit richtig.

Bitte hilf uns dabei, die fehlenden Informationen zu recherchieren und einzufügen.

Microsoft Azure ist unterteilt in Compute, Storage, Virtual Network, CDN und Marketplace.

• Compute stellt drei sogenannte Rollen zur Verfügung: Web Role als Container für Webanwendungen, Worker Role für unter anderem nebenläufige oder rechenintensive Aufgaben und die VM Role (beta), die „user-provided Windows Server 2008 R2 image[s]“ in der Cloud hostet.
• Storage erlaubt das Speichern von Daten in BLOBs, Tabellen oder Queues und
• AppFabric stellt Infrastrukturdienste wie einen Service Bus, Access Control, Caching, Integration und Composite App für verteilte Anwendungen zur Verfügung.

Durch die VM Role ermöglicht Microsoft, eigene Windows Server Images in seinen Rechenzentren und damit bisherige On-Premises-Lösungen in der Cloud laufen zu lassen. Allerdings ist man hier auf dieses eine Betriebssystem festgelegt. Die Web Role ermöglicht es, Anwendungen in einer Vielzahl von Programmiersprachen (.NET (C# and Visual Basic), C++, PHP, Ruby, Python, Java) bereitzustellen. Die Microsoft Azure Plattform ist insbesondere abgestimmt auf das .Net-Framework und Visual Studio. Es gibt eine Eclipse-Integration, die sich aber nur unter Windows nutzen lässt.

Microsoft bietet außerdem seine Infrastruktur auch als Appliance an, um sich eine private Azure-Cloud im eigenen Rechenzentrum aufzubauen.

Azure unterstützt die meisten Programmiersprachen und hat ein Rollensystem. Um allerdings eine Java-Webanwendung zu deployen, kann man nicht einfach eine WAR-Datei hochladen, sondern muss die eigene Anwendung inklusive Java-Laufzeitumgebung und Tomcat-Application-Server in eine Worker Role verpacken und deployen.

 

Folgende Teile scheinen seit 2010 nicht mehr aktuell zu sein:

Alle Neuerungen in Microsoft Azure sind nicht aufgeführt (derzeitiger Azure Stand ist mit Azure Stand 2010 überhaupt nicht zu vergleichen).

Bitte hilf uns dabei, die fehlenden Informationen zu recherchieren und einzufügen.

Ray Ozzie hat auf der Professional Developers Conference 2008 in Los Angeles zum ersten Mal Windows Azure offiziell angekündigt und stellte den Teilnehmern der Konferenz den Zugang zu einem Community Technology Preview zur Verfügung. Zuvor war es von Steve Ballmer als Windows Cloud angekündigt worden.

Die Plattform steht seit dem 1. Februar 2010 offiziell zur Verfügung. Andere Software-Hersteller sind damit in der Lage, ihre Software über die Plattform als SaaS-Dienst anzubieten.

Die Funktionalität der Azure-Plattform wurde von Microsoft seit ihrer Erstvorstellung im Herbst 2008 stufenweise ausgebaut. Die nachfolgende Übersicht informiert über wesentliche Erweiterungen der Plattform sowie wichtige Bekanntmachungen zu Microsoft Azure. Dabei änderte sich stetig die Anwendbarkeit der Cloud. Dabei gab es Probleme, sich selbst nicht in Konkurrenz zum eigenen Werken zu stehen.

Azure stellt eine große Anzahl von Diensten bereit, welche auf der Azure-Webseite aufgelistet und beschrieben werden. Zudem existiert ein Marktplatz, über den Dienste von Drittanbietern bereitgestellt und genutzt werden können. Die Dienste können sowohl über ein Portal als auch über PowerShell-Skripte eingerichtet und verwaltet werden.

Microsoft hat erklärt, dass die US-Regierung gemäß dem USA Patriot Act Zugang zu den Daten haben könnte, auch wenn das gehostete Unternehmen nicht amerikanisch ist und die Daten sich außerhalb der USA befinden. Microsoft Azure sei jedoch konform mit der EU-Datenschutzrichtlinie (95/46/EG). Um Datenschutz- und Sicherheitsbedenken auszuräumen, hat Microsoft ein sogenanntes Microsoft Azure Trust Center eingerichtet, und Microsoft Azure verfügt über mehrere Dienste, die mit verschiedenen Compliance-Programmen wie ISO 27001:2005 und HIPAA konform sind.

„OMIGOD“: Vollzugriff für Unbefugte auf Azure-Server durch ungefragt installierten Agenten mit schwerer Root-Lücke

Zum September Patchday 2021 hin korrigierte Microsoft insgesamt vier Sicherheitslücken: CVE-2021-38645, CVE-2021-38647, CVE-2021-38648, und CVE-2021-38649. Alle wurden mit dem Risiko „hoch“ eingestuft. Die Lücken betreffen virtuelle Server mit Linux. Doch die Schwachstelle ist nicht in Linux enthalten, sondern in der Windows Management Infrastruktur (WMI). Diese Software sammelt Daten und Statistiken und kann zur Fernsteuerung über Azure genutzt werden. Sie wird als Agent automatisch auf dem Cloudserver der Kunden installiert, wenn dieser bestimmte Funktionen wie unter anderem z. B. Azure Automation oder Azure Log Analytics aktiviert. Die Schwachstellen ermöglichen es den Angreifern, mit vergleichsweise wenig Aufwand volle Root-Rechte auf den Cloudservern zu erhalten. Hierfür muss lediglich der zur Authentifizierung vorgesehene Header in der Anfrage entfernt werden. Ist der Cloudserver über das Internet erreichbar, ist eine Ausnutzung ohne weitere Einschränkungen möglich. Zwar stellt Microsoft Patche bereit, die Kunden müssen jedoch zunächst davon wissen, dass sie durch den Einsatz bestimmter Azure-Funktionen von diesen Sicherheitsfehlern betroffen sind. Und die Aktualisierung selbst auf ihren Servern einspielen. Microsoft entschied sich dafür, lediglich sechs der insgesamt zu diesem Patchday entdeckten 13 Probleme automatisch für die Nutzer zu beheben.

Dieser Umgang mit den kritischen Schwachstellen verursachte Kritik: Dem Kunde wurde ungefragt spezifische Software installiert, die Verantwortung für dadurch entstandenen Probleme werde jedoch auf den Kunde verlagert, so der Vorwurf. Zudem habe Microsoft selbst noch neue Cloudserver mit dieser Lücke ausgeliefert, obwohl das Update bereits veröffentlicht wurde. Gerade in Cloud-Umgebungen sei entsprechend der angepriesenen Werbung zudem die Erwartungshaltung vieler Nutzer, dass er sich um möglichst wenig kümmern müsse und der Anbieter für eine sichere Umgebung sorge. In diesem Falle trifft das jedoch nicht zu und die Kunden sind erst durch die Cloud verwundbar für diese Sicherheitslücken geworden. Die Sicherheitsforscher, welche die Lücken entdeckt haben, gaben ihnen den Namen „OMIGOD“. Bereits wenige Tage nach Bekanntwerden der Probleme berichten mehrere unabhängige Sicherheitsforscher über laufende Attacken von Kriminellen. Diese schürfen etwa Kryptowährungen mit den erbeuteten Cloudservern.

„ExtraReplica“: Modifikation ermöglicht Zugriff auf die Daten von Azure PostgreSQL Datenbanken anderer Kunden

Im April 2022 wurde eine Reihe an kritischen Sicherheitslücken in Azure Database for PostgreSQL Flexible Server bekannt. Ursache war, dass Microsoft die quelloffene PostgreSQL Datenbank nicht direkt bereitstellt, sondern mit eigenen Anpassungen versehen hat. Diese Anpassungen waren fehlerhaft und ermöglichten eine Rechteausweitung, wodurch man Abfragen als superuser (Administrator mit vollen Rechten) ausführen kann. Bei den Analysen wurden weitere Schwachstellen entdeckt. Beispielsweise waren Verbindungsversuche möglich, die von der Firewall hätten abgewiesen werden sollen. Zudem setzte Azure einen fehlerhaften Regulären Ausdruck ein. Dieser sollte prüfen, ob eine Domain zum Azure-Netzwerk gehört. Da er am Ende einen Platzhalter für beliebige Zeichen enthielt, konnte man ihn umgehen.

„BlueBleed“: Sensible Daten von zehntausenden Kunden durch Fehlkonfiguration öffentlich

Ende 2022 kam es von Microsoft selbst zu einer Fehlkonfiguration bei ihren eigenen Cloud-Produkten in Azure Blob Storages, wodurch sensible Kundendaten öffentlich im Web verfügbar waren. Darunter persönliche Daten wie Name, E-Mail Adresse, aber auch Inhalte aus geschäftlicher Korrespondenz der Kunden mit Microsoft inklusive deren Anhänge. Der Entdecker der Schwachstelle beziffert das Ausmaß auf über 65.000 betroffene Kunden in 111 Ländern. Insgesamt sind es 2,4 Terabyte an Daten aus dem Zeitraum von 2017 bis August 2022. Damit gehöre er zu den größten Vorfällen zwischen Geschäftskunden in den letzten Jahren. Microsoft räumte die Fehlkonfiguration ein, betonte jedoch, dass es sich um keine Sicherheitslücke handle. Außerdem kritisiert der Konzern, die genannten Zahlen zu den Betroffenen seien übertrieben. Allerdings nannte Microsoft auch auf Nachfrage keine „korrekten“ Zahlen. Da der Konzern angab, alle Betroffenen informiert zu haben, müssen ihm diese Informationen vorliegen.

„BingBang“: AAD Fehlkonfiguration und Sicherheitslücken ermöglichen jeden Kunde unbefugt Vollzugriff auf Daten von Kunden und Microsoft sowie die Kompromittierung von Clouddiensten

Azure Active Directory (AAD) ist Microsofts Identitätsdienst in der Cloud, er kann als Cloudvariante des On-Prem Verzeichnisdienstes Active Directory betrachtet werden. In der Cloud nutzt Microsoft einen Tenant (Mieter), um Organisationen abzubilden. Wer AAD in einer Anwendung integrieren möchte, kann in wenigen Schritten einen Identitätsprovider angeben. Es stehen mehrere Kontotypen zur Auswahl, die den Umfang an gültigen Konten abgrenzen. Sie lassen sich auf den eigenen Tenant einschränken, d.H. nur die eigene Organisation kann diese nutzen. Ebenfalls verfügbar ist „Multi-tenant“, womit der Zugriff für jedes AAD Konto freigeschaltet wird. Somit kann sich jeder Kunde von Microsoft mit einem AAD-Konto anmelden (Authentifizierung). Die Verantwortung zur Autorisierung (= ob der Nutzer gewünscht/berechtigt ist), hat Microsoft auf den Entwickler der Anwendung verlagert.

Untersuchungen von „Wiz“ zeigten im März 2023, dass 25 % der Multi-Tenant Anwendungen dies falsch konfigurierten und damit ihre Anwendung für alle Azure-Kunden freigaben. Besondere Brisanz erhielt der Vorfall, da nicht nur Drittanbieter davon betroffen waren, sondern gleich eine ganze Reihe von Microsofts eigenen Diensten:

• Ein interner Administrationsbereich der Suchmaschine Bing, mit deren Vollzugriff sich u. a. die Suchergebnisse manipulieren ließen
• „Mag News“, eine interne Verwaltungsoberfläche, um Newsletter an MSN-Kunden zu senden
• „CNS API“, eine interne Schnittstelle, um Benachrichtigungen an Entwickler von Microsoft zu senden
• „Contact Center“, worüber Microsoft den telefonischen Support abwickelt
• „PoliCheck“, das interne Werkzeug enthält eine Liste von Begriffen, die nicht verwendet werden sollen. Über 100 Sprachen sind verfügbar, neben dem Begriff wird jeweils eine Kategorie (z. B. Geopolitik) angegeben sowie eine Begründung, warum dieser Begriff nicht zur Nutzung freigegeben ist.
• „Power Automate Blog“ ist ein auf einer Subdomain von microsoft.com erreichbarer Blog zur Automatisierung von Abläufen
• „COSMOS“ ist eine Plattform zur Speicherung von Dateien. Verschiedene Abteilungen und Teams speichern dort ihre Daten. Zum Zeitpunkt des Angriffs lagen dort über 4 Exabytes an Informationen.

Es handelt sich jeweils um interne Systeme, auf die nur ausgewählte Mitarbeiter von Microsoft Zugriff haben sollten. Durch den Fehler war es jedoch jedem möglich, dort volle administrative Rechte zu erlangen. Dies ermöglicht weitreichende manipulative Möglichkeiten, wie etwa effektive Phishing-Angriffe oder das Infizieren von Kunden/Nutzern.

Darüber hinaus enthielt die Administrationsoberfläche von Bing eine XSS-Schwachstelle. Da Bing eine Integration in Microsoft/Office 365 enthielt, die berufliche Inhalte anzeigen soll, ließ sich die Schwachstelle dazu verwenden, um unbefugt Zugriff auf umfangreiche Daten aus dem Microsoft/Office 365 Konto des Opfers zu erhalten. Betroffen waren unter anderem Microsoft Outlook Online, Teams, SharePoint, OneDrive und weitere Dienste. Dies wurde in einem Proof of Concept anhand von E-Mails aus Outlook verdeutlicht. Die Schwachstelle erstreckt sich also auf viele weitere Dienste, während Bing das Einfallstor dafür geboten hat.

Dass es zu keinen bekannten Angriffen kam, lag dem Umstand geschuldet, dass die Entdecker ethische Hacker sind, die alle Schwachstellen aus moralischen Gründen an Microsoft gemeldet haben. Alleine Bing erreichte im März 2023 100 Millionen aktive Nutzer pro Tag, die durch entsprechende Manipulation erfolgreich und effektiv angegriffen hätten werden können.

Die Entdecker der Konfigurationsfehler und Sicherheitslücken machen die hohe Komplexität von Identitätsdiensten in der Cloud als Ursache verantwortlich, wodurch leicht Fehlkonfigurationen entstehen. Den Nutzern bzw. Entwicklern sei oft nicht klar, dass sie für die Überprüfung der Benutzerzugriffe auch in der Cloud selbst verantwortlich sind.

Laut Microsoft können die Daten auf verschiedenen Servern redundant gespeichert werden. Eine Verfügbarkeit von 99,9 % (diese Verfügbarkeitsklasse 3 entspricht rechnerisch einer jährlichen Ausfallzeit von 8:46 Stunden, siehe Hochverfügbarkeit) für den Compute-Bereich von Microsoft Azure wird zugesichert, wenn mindestens zwei Instanzen jeder Rolle gleichzeitig in unterschiedlichen Fehler- und Upgrade-Bereichen laufen, um im Falle eines Ausfalls einer Instanz eine zweite Instanz als Rückfallmöglichkeit zu haben.

Auch für den Storage-Bereich von Microsoft Azure wird eine Verfügbarkeit von 99,9 % zugesichert, wenn es sich um korrekt formulierte Anfragen zum Hinzufügen, Bearbeiten, Lesen oder Löschen der Daten handelt.

Folgend eine Liste von relevanten Ausfällen und Serviceunterbrechungen von Microsoft Azure:

• Microsoft Azure