Microsoft Sovereign Cloud z nadzorem partnera z UE i AI offline

Co Microsoft ogłosił 20 października

Zapowiedź opisał na oficjalnym blogu firmy Douglas Phillips, prezes i dyrektor technologiczny działu Microsoft Specialized Clouds. Microsoft Sovereign Cloud wystartował w czerwcu 2025 roku i składa się z trzech części. Sovereign Public Cloud to publiczna chmura Azure z dodatkowymi zabezpieczeniami, Sovereign Private Cloud działa w centrach danych klienta, a Sovereign Partner Ecosystem obejmuje chmury prowadzone przez niezależnych operatorów, takich jak francuski Bleu.

Według The Next Web nowości przedstawiono w Paryżu, a Microsoft wymienił 29 partnerów, w tym Mistral, NVIDIĘ, Della i niemiecki Delos Cloud. Tych szczegółów nie ma we wpisie na blogu firmy, więc traktujemy je jako relację tego serwisu.

Data Guardian i rejestr dostępu inżynierów

Data Guardian odpowiada na najczęstsze pytanie europejskich klientów amerykańskich chmur, czyli kto i kiedy może zajrzeć do ich systemów. Usługa dodaje nadzór sprawowany przez zaufanego partnera z UE nad kwalifikującymi się zdalnymi wejściami inżynierów Microsoftu do objętych nią systemów produkcyjnych. Nadzór prowadzą osoby mieszkające w Europie.

Uzupełnieniem jest Production Touch Ledger. To rejestr, który zapisuje każdy taki dostęp i działania wykonane w jego trakcie w sposób pozwalający wykryć późniejszą manipulację. Obie funkcje są wdrażane etapami w UE i EFTA. Działają obok istniejących mechanizmów Just-in-time Access i Customer Lockbox, w których klient sam zatwierdza dostęp do swojego środowiska.

Klucze szyfrowania i panel kontroli suwerenności

Microsoft udostępnił też ogólnie zewnętrzne zarządzanie kluczami w Azure Managed HSM (sprzętowy moduł bezpieczeństwa do przechowywania kluczy). Klient może trzymać klucz główny szyfrowania w sprzęcie, który sam posiada i obsługuje, albo u zaufanej strony trzeciej. Firma obiecała to rok temu.

Sovereign Control Panel wejdzie w publiczną wersję testową na Microsoft Ignite. To widok w portalu Azure, który pokazuje stan zabezpieczeń poszczególnych systemów, wskazuje luki i pomaga ocenić, czy dane obciążenie da się przenieść do innego środowiska. W ograniczonej wersji testowej są też Azure Confidential Clean Rooms do wspólnej analizy wrażliwych danych przez kilka organizacji.

AI i narzędzia programistów bez internetu

Większość nowości dla prywatnej chmury działa na Azure Local, czyli wersji Azure instalowanej w serwerowni klienta. Zmiany w harmonogramie wyglądają tak:

• Foundry Local - ogólna dostępność na Ignite, w trybie połączonym i odłączonym, z katalogiem modeli Microsoftu, partnerów oraz modeli otwartych,
• GitHub Enterprise Local - ogólna dostępność na Ignite jako gotowe urządzenie z GitHub Enterprise Server, z GitHub Copilot korzystającym z modeli uruchomionych lokalnie,
• Microsoft 365 Local z integracją z lokalnymi serwerami SharePoint i Exchange - wersja testowa dla zatwierdzonych klientów,
• przełączanie systemów z trybu połączonego na odłączony - publiczna wersja testowa,
• SQL Server na Azure Local i poufne maszyny wirtualne na Azure Local - już ogólnie dostępne, DocumentDB i Blob Storage - publiczna wersja testowa.

Co to oznacza dla polskich firm i urzędów

Dla polskich klientów najważniejszy jest Data Guardian, bo obejmuje całą UE. Odpowiada na obawy działów prawnych związane z dostępem dostawcy do danych i z amerykańskimi przepisami, które mogą zobowiązać firmy z USA do udostępnienia informacji. Nadzór europejskiego partnera i rejestr dostępu nie zmieniają jednak tego, że Microsoft pozostaje firmą amerykańską. W naszej ocenie to dodatkowa warstwa kontroli i dowodów do audytu, a nie pełne odcięcie od jurysdykcji USA.

Lokalne uruchamianie modeli w Foundry Local i Copilota na własnych modelach może zainteresować jednostki, które z powodu tajemnicy, przepisów sektorowych albo wymogów bezpieczeństwa nie mogą wysyłać danych do chmury publicznej. Przykładem są szpitale, banki, operatorzy infrastruktury krytycznej i administracja. Przy wyborze rozwiązania warto porównać ofertę Microsoftu z chmurami europejskich dostawców oraz z modelami uruchamianymi samodzielnie.

Czego jeszcze nie wiadomo

Microsoft nie podał cen Data Guardian, Foundry Local, GitHub Enterprise Local ani Sovereign Control Panel. Nie wiadomo też, który partner z UE będzie nadzorował dostęp i czy obejmie to wszystkie usługi Azure, czy tylko wybrane systemy. Termin ogólnej dostępności części funkcji to zapowiedź na Ignite, a nie data wdrożenia w konkretnych regionach, w tym w regionie Poland Central. Opis działania usług pochodzi od producenta i nie był niezależnie testowany.