Best Practices zur Sicherung von PaaS-Web- und Mobilanwendungen durch die Nutzung von Azure Storage

Dieser Artikel behandelt eine Sammlung von bewährten Sicherheitspraktiken für Azure Storage zur Sicherung Ihrer Platform-as-a-Service (PaaS) Web- und Mobilanwendungen. Microsoft leitete diese Best Practices aus Erfahrungen mit Azure- und Azure-Kunden ab.

Azure bietet Methoden zum Bereitstellen und Verwenden von Speicher, die lokal nicht möglich sind. Mit Azure Storage können Sie mit relativ wenig Aufwand hohe Skalierbarkeit und Verfügbarkeit erreichen. Azure Storage ist die Grundlage für Windows- und Linux-Azure Virtual Machines und kann auch große verteilte Anwendungen unterstützen.

Azure Storage bietet vier Dienste an: Blob-Speicher, Tabellenspeicher, Warteschlangenspeicher und Dateispeicherung. Weitere Informationen finden Sie unter Einführung in Microsoft Azure Storage.

Dieser Artikel behandelt die folgenden Best Practices:

  • Shared Access Signatures (SAS)
  • Rollenbasierte Zugriffssteuerung von Azure (Azure RBAC)
  • Client-seitige Verschlüsselung für hochwertige Daten
  • Verschlüsselung des Speicherdiensts

Verwenden Sie eine Shared Access Signatur anstelle eines Speicherkontenschlüssels.

Die Zugriffssteuerung ist von wesentlicher Bedeutung. Zur Steuerung des Zugriffs auf Azure Storage erzeugt Azure beim Erstellen eines Speicherkontos zwei 512-Bit-Speicherkontoschlüssel (Storage Account Keys, SAKs). Diese Schlüsselredundanz hilft Ihnen, Serviceunterbrechungen während der routinemäßigen Schlüsselrotation zu vermeiden.

Speicherzugangsschlüssel sind hochprioritäre Geheimnisse und sollten nur für Personen zugänglich sein, die für die Speicherzugriffskontrolle verantwortlich sind. Wenn die falschen Personen Zugriff auf diese Schlüssel bekommen, erhalten sie die vollständige Kontrolle über den Speicher und können Dateien ersetzen, löschen oder hinzufügen. Angreifer können Malware und andere Arten von Inhalten hochladen, die Ihre Organisation oder Ihre Kunden kompromittieren könnten.

Dennoch benötigen Sie ein Verfahren, um Zugriff auf Objekte im Speicher zu gewähren. Um einen detaillierteren Zugriff zu ermöglichen, nutzen Sie die Shared Access Signature (SAS). SAS ermöglicht es, bestimmte Objekte für ein vordefiniertes Zeitintervall und mit bestimmten Berechtigungen im Speicher zu teilen. Mit einer gemeinsamen Zugriffs-Signatur (SAS) können Sie Folgendes definieren:

  • Intervallzeitraum der SAS-Gültigkeit, einschließlich Startzeit und Ablaufzeit.
  • Berechtigungen, die von der SAS gewährt werden. Mit einer SAS auf einem Blob können einem Benutzer beispielsweise Lese- und Schreibberechtigungen für das Blob gewährt werden, aber keine Löschberechtigungen.
  • Eine optionale IP-Adresse oder ein optionaler IP-Adressbereich, für den Azure Storage die SAS akzeptiert. Beispielsweise können Sie einen Bereich mit IP-Adressen angeben, der von Ihrer Organisation genutzt wird. Diese Option bietet eine weitere Sicherheitsmaßnahme für Ihr SAS.
  • Das Protokoll, über das Azure Storage die SAS akzeptiert. Sie können diesen optionalen Parameter nutzen, um den Zugriff auf Clients zu beschränken, die HTTPS verwenden.

Mit SAS können Sie Inhalte auf die gewünschte Weise freigeben, ohne die Speicherkontoschlüssel mitzuteilen. Verwenden Sie immer SAS in Ihrer Anwendung, um Ihre Speicherressourcen sicher zu teilen, ohne Ihre Speicherkontoschlüssel zu kompromittieren.

Weitere Informationen zur Shared-Access-Signatur finden Sie unter Verwendung von Shared-Access-Signaturen.

Verwenden rollenbasierter Zugriffssteuerung in Azure

Die Zugriffsverwaltung kann auch mit rollenbasierter Zugriffssteuerung in Azure (Azure Role-Based Access Control, Azure RBAC) erfolgen. Mit Azure RBAC gewähren Sie Mitarbeitern auf Need-to-Know-Basis und auf Grundlage des Sicherheitsprinzips der geringsten Rechte genau die Berechtigungen, die sie benötigen. Zu viele Berechtigungen können ein Konto zum leichten Angriffsziel machen. Wenn die Berechtigungen nicht ausreichen, können Mitarbeiter nicht effizient arbeiten. Azure RBAC begegnet diesem Problem dadurch, dass eine präzise Zugriffsverwaltung für Azure ermöglicht wird. Eine Zugriffssteuerung ist für Organisationen, die Sicherheitsrichtlinien für den Datenzugriff durchsetzen möchten, zwingend erforderlich.

Sie können integrierte Rollen in Azure verwenden, um Benutzern Berechtigungen zuzuweisen. Verwenden Sie Beispielsweise die Rolle „Speicherkontomitwirkender“ für Cloudoperatoren, die Speicherkonten verwalten müssen, und nutzen Sie die Rolle „Klassischer Speicherkontomitwirkender“, um klassische Speicherkonten zu verwalten. Cloudoperatoren, die VMs verwalten müssen, jedoch nicht das virtuelle Netzwerk oder das Speicherkonto, mit dem sie verbunden sind, können Sie der Rolle „Mitwirkender von virtuellen Computern“ zuweisen.

Organisationen, die die Datenzugriffskontrolle nicht durch Funktionen wie Azure RBAC durchsetzen, könnten den Nutzern mehr Rechte gewähren als nötig. Unnötig viele Berechtigungen können zur Kompromittierung der Daten führen, da einigen Benutzer*innen Zugriff auf Daten gewährt wird, auf die sie normalerweise keinen Zugriff haben sollten.

Für weitere Informationen über Azure RBAC siehe:

Verwenden Sie clientseitige Verschlüsselung für hochwertige Daten

Die clientseitige Verschlüsselung ermöglicht Ihnen das programmgesteuerte Verschlüsseln von Daten während der Übertragung, bevor sie in Azure Storage hochgeladen werden, und das programmgesteuerte Entschlüsseln von Daten beim Abrufen. Durch clientseitige Verschlüsselung können Daten während der Übertragung, aber auch ruhende Daten verschlüsselt werden. Die clientseitige Verschlüsselung ist die sicherste Methode zum Verschlüsseln der Daten, sie erfordert jedoch programmgesteuerte Änderungen an Ihrer Anwendung und die Platzierung von Schlüsselverwaltungsprozessen.

Die clientseitige Verschlüsselung bietet Ihnen außerdem die alleinige Kontrolle über die Verschlüsselungsschlüssel. Sie können eigene Verschlüsselungsschlüssel generieren und verwalten. Dieser Prozess verwendet eine Umschlagtechnik, bei der die Azure-Speicherclient-Bibliothek einen Inhaltsverschlüsselungsschlüssel (CEK) erzeugt und ihn dann mit dem Schlüsselverschlüsselungsschlüssel (KEK) umwickelt (verschlüsselt). Eine Schlüsselkennung kennzeichnet das KEK. Der KEK kann ein asymmetrisches Schlüsselpaar oder ein symmetrischer Schlüssel sein, und man kann ihn lokal verwalten oder in Azure Key Vault speichern.

Die clientseitige Verschlüsselung ist in den Java- und .NET-Speicherclientbibliotheken integriert. Siehe Client-seitige Verschlüsselung für Blobs für Informationen zur Verschlüsselung von Daten innerhalb von Client-Anwendungen sowie zur Erstellung und Verwaltung eigener Verschlüsselungsschlüssel.

Aktivieren Sie die Verschlüsselung von Speicherdiensten für ruhende Daten

Wenn Sie die Verschlüsselung von Storage Services für Dateispeicher aktivieren, verschlüsselt Azure Storage die Daten automatisch mit AES-256-Verschlüsselung. Microsoft behandelt die gesamte Verschlüsselung, Entschlüsselung und Schlüsselverwaltung. Dieses Feature ist für die Redundanztypen LRS und GRS verfügbar.

Nächste Schritte

In diesem Artikel wurde Ihnen eine Sammlung empfohlener Vorgehensweisen in Azure Storage zum Schutz Ihrer webbasierten und mobilen PaaS-Anwendungen vorgestellt. Weitere Informationen zum Schutz Ihrer PaaS-Bereitstellungen finden Sie unter:

  • Last updated on