WICHTIG: Ich habe mich dazu entschieden meine alten Blogposts veröffentlicht zu lassen, um die Entwicklung der Deutschen Cloud transparenter zu machen. Also aktuell und gültig ist immer der neuste Blogpost!
Microsoft hat am 11.11.2015 seine deutsche Cloud in Berlin angekündigt und wird in den nächsten zwei Jahren diese vollständig in das bisher erprobte Rechenzentrumskonzept einbinden.
Neben den offiziellen Blogposts und Youtube Videos gibt es kleinere TechNet Blogs wie den von Ralf, die offizielle Neuigkeiten veröffentlichen. Ich sammle euch diese Neuigkeiten zusammen und werde in den nächsten Wochen immer wieder Blogposts veröffentlichen.
Über interne Informationen und Gespräche darf ich aus Geheimhaltungsgründen keine Auskünfte geben! Bitte versteht dies, dies gehört neben der NDA zum gegenseitigen Respekt, den ich den Microsoft Mitarbeitern zolle, die offen, ehrlich und sehr umfassend mit mir als MVP sprechen. Ich kann mein Feedback geben, aber eben nicht alles posten. Sobald Informationen offiziell sind, findet ihr diese dann hier unter den Posts “Neuigkeiten zur deutschen Cloud 1 bis eben z.B. 10.
Vorab möchte ich euch noch auf diesen Artikel von Brad Smith vom 21.01.2015 aufmerksam machen und bittet euch diesen zu lesen: “In the Cloud we Trust”
Also stand der heutigen Informationen im Kurzüberblick:
Rechenzentren in Deutschland:’
1. Frankfurt (Region Deutschland xx-xx) 2. Biere bei Magdeburg (Region Deutschland XX)
Anmerkungen: Rechenzentren werden bei Microsoft in Regionen und nicht nach Städten aufgeteilt.
Vertrag: 3 Teile a) Vertrag mit Microsoft Corp. (+ EU Modelclauses) b) Vertrag mit Dublin ( + ADV) c) Vertrag zur deutschen Cloud
Deutsche Cloud:
Die deutsche Cloud wird ausgestattet sein mit allen Microsoft Azure Diensten/Services und auch den Office 365 Diensten/Services (bis auf Yammer). Diesbezüglich macht Microsoft keinen Unterschied zur Public Cloud gehostet in Dublin (Region West Europe) und Amsterdam (Region Nord Europe).
Wichtig: Es gibt die deutsche Cloud und die public Cloud! Es sind zwei getrennte Systeme!
Anwendungen in der deutschen Cloud, die zu einem bestimmten Prozentsatz teurer wird als die Public Cloud, können nicht mit externen Anwendungen kommunizieren. Es wird bei der deutschen Cloud von einer abgeschotteten Cloud gesprochen, d.h. alle Anwendungen müssen in der deutschen Cloud noch einmal gehostet und betrieben werden oder man muss insgesamt dort hin umziehen. Weiterhin müssen Office 365 Tenants und auch Azure Tenants neu angelegt werden, dann eben mit Standort in einer Region.
Die Azure AD wird innerhalb der beiden oben genannten Regionen laufen können (aus einem technischen Hintergrund sind immer zwei Regionen verpflichtend). Damit verlassen keine Daten das Territorium des deutschen Rechts. Lediglich die Tenant ID, die Domain (z.B. rakoellner.onmicrosoft.com oder rakoellner.com), sowie die Region werden als Index ausgetauscht. Personenbezogene Daten werden, wie jetzt schon, nie weltweit ausgetauscht. Technisch ist es so, dass man sein Login eingibt und dann sofort in das RZ der Region umgeleitet wird und dort seine Verifikation eingibt. (SSL) Personenbezogene Daten werden lediglich zwischen den beiden deutschen Rechenzentren ausgetauscht.
Der Termin: zweite Hälfte 2016
Umziehen der eigenen Tenants: Eine Migration ist möglich, aber ich vermute mal, dass neue EA Verträge zunächst bedient werden.
dedizierte Umgebungen: nein
Zertifizierung: Die Zertifizierung übernimmt D-Trust, eine Tochter der Bundesdruckerei und eben nicht z.B. die deutsche Telekom. Hier könnte man mogeln? Nein, Ralf schreibt: “Microsoft beantragt ein Zertifikat für einen neuen Dienst, der Datentreuhänder überprüft den eingereichten Request und genehmigt ihn, und die D-Trust erstellt das Zertifikat. Auch hier also keine Chance für Mogelei.”
Zukunft:
Microsoft spricht mit allen Landesdatenschützern, dem BSI und auch der EU. Das Ziel ist es, alle Zertifizierungen (27001, 27018) bis hin zum BSI Grundschutz zu erreichen. Weiterhin soll irgendwann auch eine Verbindung zwischen deutscher Cloud und public Cloud verfügbar sein.
T-Systems:
Die T-Systems überwacht und kontrolliert die beiden deutschen RZs, als “Datentreuhänder”. Der Begriff ist etwas unglücklich, ich würde eher von einem Vermieter oder Vermittler sprechen, die an die Microsoft ihre Räumlichkeiten und Mitarbeiter abstellt. Microsoft gibt sozusagen “den Schlüssel an die T-Systems ab” und erhält keinen direkten Zugriff mehr. Den Ansatz beschreibt Ralf sehr schön auf seinem Blog. T-Systems Mitarbeiter übernehmen also die Überwachung und Kontrolle.
Ralf schreibt zum (Support) Prozess:
Wenn Microsofts Mitarbeiter Zugriff auf die Räumlichkeiten physisch oder per Remote haben wollen, dann braucht dies die Genehmigung der T-Systems. Dies gilt auch für den Zugriff auf Kundendaten, den sowohl der Kunde als auch ein T-Systems Mitarbeiter zustimmen müssen. Der Zugriff ist räumlich und zeitlich begrenzt und terminiert automatisch.
“Standardmäßig hat Microsoft keinerlei Rechte in den Kundenbereichen. Erst wenn für einen bestimmten Anlass (Supportanfrage, Updates der Infrastruktur, Einrichtung neuer Services etc.) ein Zugriff benötigt wird, wird er – auf Antrag – dem Mitarbeiter gewährt, aber auch nur für eine bestimmte Zeit (hier kommt noch ein weiteres Feature ins Spiel, JIT, also Just-in-Time) und nur auf den benötigten Bereich. Und genau diese Rechtegewährung nimmt der Datentreuhänder vor, nicht Microsoft. Aus eigenem Antrieb hat Microsoft keine Möglichkeit, sich selbst diese Rechte zuzuweisen. Die Protokollierung dieser Rechtezuweisung findet in einem Bereich statt, auf den Microsoft ebenfalls keinen Zugriff hat, also nix mit Spuren verwischen oder so. Zusätzlich hat der Datentreuhänder die Möglichkeit, sich in die Session aufzuschalten und direkt zu kontrollieren, was der Supportingenieur da so treibt.
Diese Rechtegewährung betrifft übrigens auch den physischen Zugang zu den Rechenzentren: Auch hier ist eine Genehmigung des Datentreuhänders notwendig, und zusätzlich wird ein Mitarbeiter des Datentreuhänders als Begleitung dem Microsoft-Mitarbeiter nicht von der Seite weichen und ihn in die Serverräume begleiten.
Für alle diese Fälle, in denen ein Microsoft-Mitarbeiter in Kontakt mit Kundendaten kommen könnte, bedarf es also eines Anlasses, eines definierten Bereiches, und eines definierten Zeitraumes, um den Zugriff durch den Datentreuhänder freigeschaltet zu bekommen. Fälle, wie sie zum Beispiel in der Vergangenheit bei nahezu allen größeren amerikanischen Providern aufgetreten sind, nämlich dass eine US-Behörde unter Hinweis auf den Patriot Act oder andere US-Gesetze die Herausgabe von Daten angeordnet hatte, obwohl diese außerhalb (zum Beispiel in Europa) der USA gespeichert waren, lassen sich für die “Microsoft Cloud Deutsche Datentreuhand” jetzt recht einfach verhindern, da ja gar kein Zugriff durch Microsoft mehr möglich ist.” (Ralf)
Wer mehr wissen will, der/die sollte auf die Session beim Technical Summit 2015 gehen! Ich werde auch dort sein und direkt bloggen! Naja nicht direkt, denn ich muss dann erstmal meine Session halten, ihr seid alle dazu – mit gültigem Ticket – eingeladen! 16:45 -> Datenschutz und Datensicherheit
Also überlegt euch schon mal: deutsche Cloud oder public Cloud 🙂
+ Ein herzlichen Dank an Ralf! Ein toller Artikel, der viele Fragen klärt!
via: http://blogs.technet.com/b/ralfwi/archive/2015/11/12/microsoft-cloud-deutsche-datentreuhand.aspx
Netterweise wurde ich heute darauf aufmerksam gemacht, dass es bei den immer ausgebuchten eintägigen Veranstaltungen mit dem Thema Microsoft Azure noch freie Plätze gibt und ich einen Blogbeitrag schreiben kann. Dies auch aus diesem Grund, dass Microsoft Azure als erster Dienst in der deutschen Cloud wahrscheinlich gegen Ende 2016 angeboten wird.
Gerade auch für Bildungseinrichtungen wird diese Veranstaltung wahrscheinlich einen sehr großen Schritt nach vorne machen und Fragen über den den Weg in die Cloud, bzw. in die deutsche Cloud klären können.
