Grundlegendes zur Sicherheit auf der Datenebene in Azure NetApp Files

Hier finden Sie Informationen zu den verschiedenen Sicherheitsfeatures auf der Datenebene in Azure NetApp Files, um zu verstehen, was Ihnen zur bestmöglichen Erfüllung Ihrer Anforderungen zur Verfügung steht.

Sicherheitskonzepte auf der Datenebene

Das Verständnis der Datenebene ist bei der Arbeit mit Azure NetApp Files von entscheidender Bedeutung. Die Datenebene ist für Datenspeicherungs- und Verwaltungsvorgänge verantwortlich und spielt eine wichtige Rolle bei der Aufrechterhaltung von Sicherheit und Effizienz. Azure NetApp Files bietet eine umfassende Suite von Sicherheitsfeatures für die Datenebene, einschließlich Berechtigungsverwaltung, Datenverschlüsselung (während der Übertragung und im Ruhezustand), LDAP-Verschlüsselung (Lightweight Directory Access Protocol) und Netzwerksicherheit, um eine sichere Datenverarbeitung und -speicherung sicherzustellen.

Berechtigungen verwalten

Azure NetApp Files sichert NAS-Daten (Network Attached Storage) über Berechtigungen, kategorisiert in Network File System (NFS)- und Server Message Block (SMB)-Typen. Die erste Sicherheitsebene ist Freigabezugriff, der auf die erforderlichen Benutzer und Gruppen beschränkt ist. Freigabeberechtigungen, die am wenigsten restriktiv sind, sollten einer Trichterlogik folgen, wodurch breiterer Zugriff auf Freigabeebene und differenziertere Steuerungen für zugrunde liegende Dateien und Ordner ermöglicht werden.

Das Sichern Ihrer NAS-Daten in Azure NetApp Files umfasst die effektive Verwaltung von Berechtigungen. Berechtigungen werden in zwei Haupttypen unterteilt:

  • Freigabezugriffsberechtigungen: Diese Berechtigungen steuern, wer ein NAS-Volume und grundlegende Berechtigungen für Lese-/Schreibzugriff bereitstellen kann.

    • NFS-Exporte: Verwendet IP-Adressen oder Hostnamen, um den Zugriff zu steuern.
    • SMB-Freigaben: Verwendet Benutzer- und Gruppenzugriffssteuerungslisten (ACLs).

  • Dateizugriffsberechtigungen: Diese bestimmen, was Benutzer und Gruppen nach der Bereitstellung eines NAS-Volumes tun können. Es sind:

    • auf einzelne Dateien und Ordner angewendet
    • präziser als Freigabeberechtigungen

Freigabezugriffsberechtigungen

NFS-Exportrichtlinien:

  • Volumes werden für NFS-Clients freigegeben, indem ein Pfad exportiert wird, auf den ein Client oder eine Gruppe von Clients zugreifen kann.
  • Exportrichtlinien steuern den Zugriff. Exportrichtlinien sind Container für eine Reihe von Zugriffsregeln, die in der gewünschten Reihenfolge des Zugriffs aufgeführt sind. Regeln mit höherer Priorität werden zuerst gelesen und angewendet, und nachfolgende Regeln für einen Client werden ignoriert.
  • Regeln verwenden Client-IP-Adressen oder Subnetze, um den Zugriff zu steuern. Wenn ein Client nicht in einer Exportrichtlinienregel aufgeführt ist, kann er den NFS-Export nicht bereitstellen.
  • Exportrichtlinien steuern, wie der Root-Benutzer einem Client angezeigt wird. Wenn der Root-Benutzer „gesquasht“ (Stammzugriff = Aus) ist, wird der Stamm für Clients in dieser Regel in die anonyme UID 65534 aufgelöst.

SMB-Freigaben:

  • Der Zugriff wird über Benutzer- und Gruppen-ACLs gesteuert.
  • Berechtigungen können Lesen, Ändern und volle Kontrolle umfassen.

Weitere Informationen finden Sie unter Grundlegendes zu NAS-Freigabeberechtigungen.

Berechtigungen für den Dateizugriff

SMB-Dateiberechtigungen:

  • Zu den Attributen gehören Lese-, Schreib-, Lösch-, Änderungsberechtigungen und die Besitzrechte sowie detailliertere Berechtigungen, die von Windows unterstützt werden.
  • Berechtigungen können von übergeordneten Ordnern an untergeordnete Objekte vererbt werden.

NFS-Dateiberechtigungen:

  • NFSv3 und NFSv4.x verwenden herkömmliche UNIX-Dateiberechtigungen, die durch Modusbits dargestellt werden.
  • NFSv4.1 unterstützt auch erweiterte Berechtigungen mithilfe von NFSv4.1-ACLs.

Weitere Informationen zu Dateizugriffsberechtigungen finden Sie unter Grundlegendes zu NAS-Dateiberechtigungen und Grundlegendes zu SMB-Dateiberechtigungen.

Berechtigungsvererbung

Die Berechtigungsvererbung ermöglicht es einem übergeordneten Ordner, seine Berechtigungen automatisch auf alle untergeordneten Objekte einschließlich Dateien und Unterverzeichnissen anzuwenden. Wenn Sie Berechtigungen für ein übergeordnetes Verzeichnis festlegen, werden dieselben Berechtigungen auf alle neuen Dateien und Unterverzeichnisse angewendet, die darin erstellt werden.

SMB:

  • Gesteuert in der erweiterten Berechtigungsansicht
  • Vererbungsflags können so festgelegt werden, dass Berechtigungen aus übergeordneten Ordnern an untergeordnete Objekte weitergegeben werden.

NFS:

  • NFSv3 verwendet umask-und setgid-Flags, um Vererbung nachzuahmen.
  • NFSv4.1 verwendet Vererbungsflags für ACLs.

Weitere Informationen zur Berechtigungsvererbung finden Sie unter Grundlegendes zu NAS-Dateiberechtigungen, Grundlegendes zu NFS-Modusbits und Grundlegendes zu NFSv4.x-ACLs.

Überlegungen

  • Restriktivste Berechtigungen gelten: Bei widersprüchlichen Berechtigungen hat die restriktivste Berechtigung Vorrang. Wenn ein Benutzer beispielsweise schreibgeschützten Zugriff auf Freigabeebene, aber Vollzugriff auf Dateiebene hat, hat der Benutzer nur schreibgeschützten Zugriff.
  • Trichterlogik: Freigabeberechtigungen müssen großzügiger sein als Datei- und Ordnerberechtigungen. Wenden Sie präzisere und restriktivere Steuerungen auf Dateiebene an.

Datenverschlüsselung während der Übertragung

Die Verschlüsselung von Azure NetApp Files während der Übertragung bezieht sich auf den Schutz von Daten, während sie zwischen Ihrem Client und dem Azure NetApp Files-Dienst verschoben werden. Die Verschlüsselung sorgt dafür, dass Daten sicher sind und während der Übertragung nicht von unbefugten Parteien abgefangen oder gelesen werden können.

Protokoll- und Verschlüsselungsmethoden

NFSv4.1 unterstützt die Verschlüsselung mithilfe von Kerberos mit AES-256-Verschlüsselung, wodurch sichergestellt wird, dass die zwischen NFS-Clients und Azure NetApp Files übertragenen Daten sicher sind.

  • Kerberos-Modi: Azure NetApp Files unterstützt die Kerberos-Verschlüsselungsmodi krb5, krb5i und krb5p. Diese Modi bieten verschiedene Sicherheitsstufen, wobei krb5p die höchste Schutzebene bietet, indem sowohl die Daten als auch die Integritätsprüfungen verschlüsselt werden.

Weitere Informationen zur NFSv4.1-Verschlüsselung finden Sie unter Grundlegendes zur Datenverschlüsselung und Konfigurieren der NFSv4.1-Kerberos-Verschlüsselung.

SMB3 unterstützt die Verschlüsselung mithilfe von AES-CCM- und AES-GCM-Algorithmen und stellt eine sichere Datenübertragung über das Netzwerk bereit.

  • End-to-End-Verschlüsselung: Die SMB-Verschlüsselung wird End-to-End durchgeführt. Die gesamte SMB-Unterhaltung umfasst alle Datenpakete, die zwischen dem Client und dem Server ausgetauscht werden und ist verschlüsselt.
  • Verschlüsselungsalgorithmen: Azure NetApp Files unterstützt die kryptografischen Suites AES-256-GCM und AES-128-CCM für die SMB-Verschlüsselung. Diese Algorithmen bieten eine robuste Sicherheit für Daten während der Übertragung.
  • Protokollversionen: SMB-Verschlüsselung ist mit SMB 3.x-Protokollversionen verfügbar. Dadurch werden die Kompatibilität mit modernen Verschlüsselungsstandards sichergestellt und erweiterte Sicherheitsfeatures bereitgestellt.

Weitere Informationen zur SMB-Verschlüsselung finden Sie unter Grundlegendes zur Datenverschlüsselung.

Verschlüsselung ruhender Daten

Die Verschlüsselung im Ruhezustand schützt Ihre Daten, während sie auf dem Datenträger gespeichert sind. Selbst wenn Unbefugte auf die physischen Speichermedien zugreifen, bleiben die Daten ohne die richtigen Entschlüsselungscodes unlesbar.

Es gibt zwei Arten von Verschlüsselung im Ruhezustand in Azure NetApp Files:

  • Bei der einfachen Verschlüsselung werden ruhende Daten durch softwarebasierte Verschlüsselung geschützt. Azure NetApp Files verwendet AES-256-Verschlüsselungsschlüssel, die mit dem FIPS-Standard (Federal Information Processing Standards) 140-2 kompatibel sind.

  • Die Mehrfachverschlüsselung bietet zwei Ebenen des Verschlüsselungsschutzes: eine hardwarebasierte Verschlüsselungsebene (verschlüsselte SSD-Laufwerke) und eine softwarebasierte Verschlüsselungsebene. Die hardwarebasierte Verschlüsselungsebene befindet sich auf physischer Speicherebene mit gemäß FIPS 140-2 zertifizierten Laufwerken. Die softwarebasierte Verschlüsselungsebene befindet sich auf Volumeebene und vervollständigt die zweite Ebene des Verschlüsselungsschutzes.

Weitere Informationen zur ruhenden Datenverschlüsselung finden Sie unter Grundlegendes zur Datenverschlüsselung und Mehrfachverschlüsselung im Ruhezustand.

Schlüsselverwaltung

Die Datenebene verwaltet die Verschlüsselungsschlüssel, die zum Verschlüsseln und Entschlüsseln von Daten verwendet werden. Diese Schlüssel können entweder über die Plattform oder vom Kunden verwaltet werden.

  • Plattformverwaltete Schlüssel werden automatisch von Azure verwaltet, wodurch eine sichere Speicherung und Rotation der Schlüssel gewährleistet ist.
  • Kundenverwaltete Schlüssel werden in Azure Key Vault gespeichert, sodass Sie den Lebenszyklus, die Nutzungsberechtigungen und die Überwachung Ihrer Verschlüsselungsschlüssel verwalten können.
  • Kundenseitig verwaltete Schlüssel mit verwaltetem Hardwaresicherheitsmodul (HSM) stellen eine Erweiterung des Features für die Volumeverschlüsselung in Azure NetApp Files mit kundenseitig verwalteten Schlüsseln dar. Diese HSM-Erweiterung ermöglicht Ihnen, Ihre Verschlüsselungsschlüssel in einem sichereren HSM gemäß FIPS 140-2 Level 3 zu speichern anstelle des Diensts gemäß FIPS 140-2 Level 1 oder Level 2, der von Azure Key Vault (AKV) verwendet wird.

Weitere Informationen zur Schlüsselverwaltung von Azure NetApp Files finden Sie unter Wie werden Verschlüsselungsschlüssel verwaltet?, Konfigurieren von kundenseitig verwalteten Schlüsseln und Kundenseitig verwaltete Schlüssel mit verwaltetem HSM.

Lightweight Directory Access-Protokoll (LDAP)-Verschlüsselung

Die LDAP-Verschlüsselung (Lightweight Directory Access Protocol) auf der Datenebene gewährleistet eine sichere Kommunikation zwischen Clients und dem LDAP-Server. LDAP-Verschlüsselung funktioniert in Azure NetApp Files mit

  • Verschlüsselungsmethoden: LDAP-Datenverkehr kann mithilfe von TLS (Transport Layer Security) oder LDAP-Signierung verschlüsselt werden. TLS verschlüsselt die gesamten Kommunikationskanäle, während die LDAP-Signatur die Integrität der Nachrichten durch Hinzufügen einer digitalen Signatur gewährleistet.
  • TLS-Konfiguration: LDAP über StartTLS verwendet Port 389 für die LDAP-Verbindung. Nachdem die erste LDAP-Verbindung hergestellt wurde, wird ein StartTLS-OID ausgetauscht, und Zertifikate werden verglichen. Anschließend wird der gesamte LDAP-Datenverkehr mit TLS verschlüsselt. LDAP-Signatur: Diese Methode fügt eine Sicherheitsebene hinzu, indem LDAP-Nachrichten mit AES-Verschlüsselung signiert werden, wodurch die Echtheit und Integrität der übertragenen Daten überprüft werden.
  • Integration in Active Directory: Azure NetApp Files unterstützt die Integration in Active Directory, die für die Verwendung dieser Verschlüsselungsmethoden zur Sicherung der LDAP-Kommunikation konfiguriert werden kann. Derzeit kann nur Active Directory für LDAP-Dienste verwendet werden.

Weitere Informationen finden Sie unter Grundlegendes zur Verwendung von LDAP.

Netzwerksicherheit

Die Sicherung Ihrer Daten mit Azure NetApp Files umfasst die Verwendung mehrerer Schutzebenen. Die Nutzung von privaten Endpunkten und Netzwerksicherheitsgruppen (NSGs) ist unerlässlich, um sicherzustellen, dass Ihre Daten in Ihrem virtuellen Netzwerk sicher bleiben und nur für autorisierten Datenverkehr zugänglich sind. Dieser kombinierte Ansatz bietet eine umfassende Sicherheitsstrategie, um Ihre Daten vor potenziellen Bedrohungen zu schützen.

Private Endpunkte

Private Endpunkte sind spezielle Netzwerkschnittstellen, die eine sichere und private Verbindung zu Azure-Diensten über Azure Private Link ermöglichen. Sie nutzen eine private IP-Adresse in Ihrem virtuellen Netzwerk und integrieren den Dienst effektiv in die interne Struktur Ihres Netzwerks.

Sicherheitsvorteile

  • Isolation: Private Endpunkte stellen sicher, dass Azure NetApp Files-Datenverkehr innerhalb Ihres virtuellen Netzwerks verbleibt und nicht ins öffentliche Internets gelangt. Diese Isolation minimiert das Risiko einer Gefährdung durch externe Bedrohungen.
  • Zugriffssteuerung: Sie können Zugriffsrichtlinien für Ihre Azure NetApp Files-Volumes erzwingen, indem Sie Netzwerksicherheitsregeln für das dem privaten Endpunkt zugeordnete Subnetz konfigurieren. Mit dieser Steuerung wird sichergestellt, dass nur autorisierter Datenverkehr mit Ihren Daten interagieren kann.
  • Compliance: Private Endpunkte unterstützen die Einhaltung gesetzlicher Vorschriften, indem verhindert wird, dass der Datenverkehr das öffentliche Internet durchläuft, sodass die Anforderungen für die sichere Handhabung vertraulicher Daten erfüllt sind.

Netzwerksicherheitsgruppen (NSGs)

NSGs sind Sammlungen von Sicherheitsregeln, die eingehenden und ausgehenden Datenverkehr an Netzwerkschnittstellen, virtuelle Computer (VMs) und Subnetze in Azure regeln. Diese Regeln sind entscheidend für die Definition der Zugriffssteuerungen und Datenverkehrsmuster innerhalb Ihres Netzwerks. NSGs werden nur unterstützt, wenn Standardnetzwerkfeatures in Azure NetApp Files verwendet werden.

Sicherheitsvorteile

  • Datenverkehrsfilterung: NSGs ermöglichen die Erstellung präziser Datenverkehrsfilterregeln basierend auf Quell- und Ziel-IP-Adressen, Ports und Protokollen. Dadurch wird sichergestellt, dass nur zulässiger Datenverkehr Ihre Azure NetApp Files-Volumes erreichen kann.
  • Segmentierung: Durch die Anwendung von NSGs auf die Subnetze, die Ihre Azure NetApp Files-Volumes enthalten, können Sie den Netzwerkdatenverkehr segmentieren und isolieren. Durch die Segmentierung wird die Angriffsfläche effektiv reduziert und die Gesamtsicherheit verbessert.
  • Überwachung und Protokollierung: NSGs bieten Überwachungs- und Protokollierungsfunktionen über Datenflussprotokolle für Netzwerksicherheitsgruppen. Diese Protokolle sind wichtig für die Nachverfolgung von Datenverkehrsmustern, das Erkennen potenzieller Sicherheitsbedrohungen und die Compliance mit Sicherheitsrichtlinien.

Weitere Informationen finden Sie unter Netzwerksicherheitsgruppen und Was ist ein privater Endpunkt?.

Weitere Informationen

  • Zuletzt aktualisiert um