Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
✔️ Gilt für: Alle Azure-Dateifreigaben
Azure Files verschlüsselt alle Dateifreigabedaten im Ruhezustand. Dieser Artikel beschreibt, wie die Verschlüsselung ruhender Daten funktioniert und welche Entscheidungen Sie treffen sollten, bevor Sie Azure Files bereitstellen: Wer den Schlüssel verwaltet, der Ihre Daten verschlüsselt, und ob Sie eine zweite Verschlüsselungsschicht benötigen. Die Schritte zur Verwendung Ihres eigenen Schlüssels finden Sie unter Konfigurieren der Verschlüsselung im Ruhezustand mit kundenverwalteten Schlüsseln für Azure Files. Informationen zum Schutz von Daten während der Übertragung zwischen Clients und Azure Files finden Sie unter Verschlüsselung während der Übertragung für Azure Files konfigurieren. Für weitere Bereitstellungsentscheidungen siehe Planen einer Azure Files-Bereitstellung.
Die verfügbaren Optionen hängen vom Ressourcenanbieter ab, den du zur Erstellung der Dateifreigabe nutzt. Klassische Dateifreigaben (Microsoft.Storage) unterstützen von Microsoft verwaltete Schlüssel, kundenverwaltete Schlüssel und Infrastrukturverschlüsselung. Dateifreigaben, die mit Microsoft.FileShares erstellt wurden, unterstützen nur von Microsoft verwaltete Schlüssel. Weitere Unterschiede zwischen den Ressourcenanbietern finden Sie unter Azure Files Management Concepts.
| Verschlüsselungsoption | Klassische Dateifreigaben (Microsoft.Storage) | Microsoft.FileShares |
|---|---|---|
| Verschlüsselung im Ruhezustand mit von Microsoft verwalteten Schlüsseln | Unterstützt | Unterstützt |
| Vom Kunden verwaltete Schlüssel | Unterstützt | Nicht unterstützt |
| Infrastrukturverschlüsselung | Unterstützt | Nicht unterstützt |
Wie Verschlüsselung ruhender Daten funktioniert
Azure Files verschlüsselt die Daten, während es die Daten auf die Festplatte schreibt, und entschlüsselt die Daten beim Lesen. Die Verschlüsselung erfolgt unter dem Dateisystem der Dateifreigabe, ähnlich wie BitLocker unter Windows. Da der Dienst die Verschlüsselung übernimmt, benötigen Clients keinen Zugriff auf den Verschlüsselungsschlüssel, und du musst deine Anwendungen oder Client-Konfigurationen nicht ändern. Verschlüsselung ruhender Daten gilt für Dateidaten und Metadaten, unabhängig davon, ob Clients SMB, NFS oder FileREST verwenden.
Die Verschlüsselung im Ruhezustand ist immer aktiviert und kann nicht deaktiviert werden. Es gilt für jede Dateifreigabe, unabhängig von der Medienschicht, dem Abrechnungsmodell oder der Redundanz. Wenn ein Speicherkonto georedundanten Speicher verwendet, werden auch die Daten in der sekundären Region verschlüsselt. Verschlüsselung ruhender Daten führt nicht zu zusätzlichen Kosten auf Ihrer Rechnung.
Azure Files verwendet 256-Bit-AES-GCM, das FIPS 140-2-konform ist. Weitere Informationen zu den kryptografischen Modulen, die Azure Files verwendet, finden Sie unter Cryptography API: Next Generation.
Verschlüsselung ruhender Daten schützt die Daten dort, wo sie gespeichert sind. Es kontrolliert nicht, wer Dateien lesen oder ändern darf; um den Zugriff auf Dateidaten zu steuern, siehe Secure your Azure File Shares.
Verschlüsselungsschlüssel
Azure Files verschlüsselt deine Daten mit einem Schlüssel, und du entscheidest, wer diesen Schlüssel verwaltet. Standardmäßig wird es von Microsoft verwaltet. Bei klassischen Dateifreigaben kannst du den Schlüssel stattdessen selbst verwalten. In beiden Fällen übernimmt Azure Files nahtlos die Verschlüsselung und Entschlüsselung.
| Attribute | Von Microsoft verwaltete Schlüssel | Vom Kunden verwaltete Schlüssel |
|---|---|---|
| Default | Yes | No |
| Verschlüsselungs- und Entschlüsselungsvorgänge | Azure | Azure |
| Schlüsselspeicher | Microsoft-Schlüsselspeicher | Azure Key Vault oder Azure Key Vault Managed HSM |
| Schlüsselrotation | Microsoft | Sie |
| Schlüsselkontrolle | Microsoft | Sie |
Von Microsoft verwaltete Schlüssel
Microsoft-verwaltete Schlüssel benötigen keine Konfiguration. Microsoft speichert und kontrolliert die Schlüssel und wechselt sie regelmäßig entsprechend den Compliance-Vorgaben. Mit Microsoft.FileShares erstellte Dateifreigaben verwenden immer von Microsoft verwaltete Schlüssel. Wenn Sie spezifische Anforderungen für Schlüsselrotation oder Audit haben, verwenden Sie Kunden-Managed Keys, damit Sie die Rotation selbst verwalten und prüfen können.
Vom Kunden verwaltete Schlüssel
Mit vom Kunden verwalteten Schlüsseln verwalten Sie den Schlüssel, der die Daten in einem Speicherkonto schützt. Sie speichern den Schlüssel in Azure Key Vault oder Azure Key Vault Managed HSM, und das Speicherkonto verwendet eine verwaltete Identität, um darauf zuzugreifen. Der Schlüsseltresor kann sich in einer anderen Region oder einem Abonnement als das Speicherkonto befinden. Es kann auch in einem anderen Microsoft Entra-Mandanten liegen, zum Beispiel wenn ein Dienstleister Daten speichert, die vom Schlüssel seines Kunden geschützt werden.
Ein vom Kunden verwalteter Schlüssel gilt für das gesamte Speicherkonto. Ein Schlüssel schützt alle klassischen Dateifreigaben im Speicherkonto, und Sie können nicht für jede Dateifreigabe einen anderen Schlüssel verwenden. Wenn Dateifreigaben unterschiedliche Schlüssel benötigen, speichere sie in verschiedene Speicherkonten.
Wenn man den Schlüssel verwaltet, steuert man auch seinen Lebenszyklus, einschließlich der Schlüsselrotation. Du kannst das Speicherkonto so konfigurieren, dass es automatisch die neueste Version des Schlüssels verwendet. Mit dieser Option beginnt das Speicherkonto innerhalb von 24 Stunden nach der Erstellung eine neue Schlüsselversion zu verwenden. Alternativ kannst du eine Schlüsselversion angeben und dann das Speicherkonto jedes Mal aktualisieren, wenn du den Schlüssel rotierst.
Das Speicherkonto muss auf den Schlüssel zugreifen können, um Daten zu lesen und zu schreiben. Wenn du den Schlüssel deaktivierst oder den Zugriff des Speicherkontos darauf entfernst, können Clients keine Daten im Speicherkonto lesen oder schreiben, bis du den Zugriff wiederherstellst. Du kannst dieses Verhalten nutzen, um den Zugriff absichtlich zurückzuziehen, aber eine versehentliche Änderung des Schlüssels oder seiner Berechtigungen hat denselben Effekt. Um eine versehentliche Änderung zu verhindern, beschränken Sie, wer den Schlüssel deaktivieren oder seine Berechtigungen ändern kann. Kundenverwaltete Schlüssel benötigen einen Löschschutz im Key Vault oder im verwalteten HSM, sodass ein gelöschter Schlüssel bis zum Ende seiner Aufbewahrungsfrist wiederhergestellt werden kann.
Für die Schritte zum Konfigurieren von kundenverwalteten Schlüsseln, zum Rotieren des Schlüssels und zum Widerrufen des Zugriffs siehe Verschlüsselung im Ruhezustand mit kundenverwalteten Schlüsseln für Azure Files konfigurieren.
Infrastrukturverschlüsselung
Infrastrukturverschlüsselung fügt eine zweite Verschlüsselungsschicht unter der ersten hinzu. Mit Infrastrukturverschlüsselung verschlüsselt Azure Files Ihre Daten zweimal: einmal auf Serviceebene mit dem von Ihnen gewählten Schlüssel und einmal auf Infrastrukturebene mit einem separaten, von Microsoft verwalteten Schlüssel. Die beiden Schichten verwenden unterschiedliche Verschlüsselungsalgorithmen und unterschiedliche Schlüssel. Wenn ein Algorithmus oder Schlüssel kompromittiert wird, schützt die andere Schicht weiterhin Ihre Daten.
Die meisten Workloads benötigen keine Infrastruktur-Verschlüsselung, da die Service-Level-Verschlüsselung ausreichend ist. Verwenden Sie Infrastrukturverschlüsselung, wenn Ihre Compliance-Anforderungen eine doppelte Verschlüsselung verlangen.
Planen Sie vor der Bereitstellung eine Infrastrukturverschlüsselung ein, denn Sie können sie nur aktivieren, wenn Sie ein Speicherkonto erstellen. Du kannst es auf einem bestehenden Speicherkonto nicht aktivieren oder deaktivieren. Um Infrastruktur-Verschlüsselung für bereits vorhandene Daten zu verwenden, erstelle ein neues Speicherkonto mit Infrastruktur-Verschlüsselung und migriere die Daten auf eine neue Dateifreigabe. Microsoft. FileShares unterstützt keine Infrastrukturverschlüsselung.
Um ein Speicherkonto mit Infrastrukturverschlüsselung zu erstellen, folgen Sie den Schritten in Erstellen eines Speicherkontos für klassische Dateifreigaben.