Grundlegendes zu den Sicherheitsfunktionen von Azure Storage

Contoso ist auf große Mengen von Daten in Azure Storage stark angewiesen. Ihre Anwendungen verwenden Blobs, unstrukturierten Tabellenspeichern, Azure Data Lake und SMB-basierte (Server Message Block) Dateifreigaben.

Nachdem bei einem Mitbewerber eine Datensicherheitsverletzung festgestellt wurde, weist Contoso den Netzwerkadministrator an, die Datensicherheit der Organisation zu prüfen. Als Datenberater von Contoso versichern Sie dem Netzwerkadministrator, dass Azure-Speicherkonten zahlreiche Funktionen für einen hohen Schutz der Daten in der Cloud bereitstellen:

• Schützen Sie Daten im Ruhezustand
• Schutz von Daten während der Übertragung
• Unterstützung von domänenübergreifendem Browserzugriff
• Steuern, wer auf Daten zugreifen kann
• Überwachen des Speicherzugriffs

Verschlüsselung ruhender Daten

Zuerst werden alle Daten, die in Azure Storage geschrieben werden, mithilfe der Speicherdienstverschlüsselung (SSE) mit einem 256-Bit-AES-Verschlüsselungsverfahren (Advanced Encryption Standard) automatisch verschlüsselt, das FIPS 140-2-konform ist. SSE verschlüsselt Daten automatisch, wenn sie in Azure Storage geschrieben werden. Wenn Sie Daten aus Azure Storage lesen, entschlüsselt Azure Storage die Daten, bevor es sie zurückgibt. Dadurch entstehen keine weiteren Kosten, und die Leistung wird nicht beeinträchtigt. Dieser Vorgang kann nicht deaktiviert werden.

Bei VMs können Sie virtuelle Festplatten (Virtual Hard Disks, VHDs) mit Azure Disk Encryption verschlüsseln. Bei dieser Verschlüsselung wird BitLocker für Windows-Images und dm-crypt für Linux verwendet.

Azure Disk Encryption ist in Azure Key Vault integriert, um die Datenträgerverschlüsselungsschlüssel und Geheimnisse zu steuern und zu verwalten. Das bedeutet, dass ein Angreifer nicht auf die Daten zugreifen kann, auch wenn er Zugriff auf das VHD-Image erhält und dieses herunterlädt.

Verschlüsselung während der Übertragung

Schützen Sie Ihre Daten, indem Sie die Transportsicherheit zwischen Azure und dem Client aktivieren. Verwenden Sie immer HTTPS, um die Kommunikation über das öffentliche Internet zu sichern. Wenn Sie REST-APIs aufrufen, um auf Objekte im Speicherkonto zuzugreifen, können Sie die Verwendung von HTTPS erzwingen, indem Sie die sichere Übertragung für das Speicherkonto erfordern. Wenn eine sichere Übertragung erforderlich ist, lehnt Azure Storage Anforderungen ab, die HTTP verwenden. Verbindungen zu einer Azure-Dateifreigabe über SMB ohne Verschlüsselung schlagen ebenfalls fehl. Die Eigenschaft Sichere Übertragung erforderlich ist standardmäßig aktiviert, wenn Sie ein Speicherkonto erstellen.

Unterstützung für CORS

Contoso speichert verschiedene Websiteressourcentypen in Azure Storage. Dazu gehören z.B. auch Bilder und Videos. Contoso legt GET-Anforderungen auf bestimmte Domänen fest, um Browser-Apps zu schützen.

Azure Storage unterstützt den domänenübergreifenden Zugriff über Cross-Origin Resource Sharing (CORS). CORS verwendet HTTP-Header, damit eine Web-App in einer Domäne auf Ressourcen von einem Server in einer anderen Domäne zugreifen kann. Mithilfe von CORS kann sichergestellt werden, dass Web-Apps nur autorisierte Inhalte von autorisierten Quellen laden.

CORS ist standardmäßig deaktiviert. Um dies zu aktivieren, fügen Sie CORS-Regeln zu den Diensteigenschaften jedes Speicherdiensts (Blob, Datei, Warteschlange oder Tabelle) hinzu, die Sie verfügbar machen möchten. Die Regeln geben die zulässigen Ursprünge, Methoden und Header an.

Rollenbasierte Zugriffssteuerung

Der Client sendet eine Anforderung über HTTP oder HTTPS, um auf Daten in einem Speicherkonto zuzugreifen. Jede an eine gesicherte Ressource gesendete Anforderung muss autorisiert sein. Der Dienst stellt sicher, dass der Client über die nötigen Berechtigungen für den Zugriff auf die Daten verfügt. Sie können sich zwischen verschiedenen Zugriffsoptionen entscheiden. Microsoft empfiehlt den rollenbasierten Zugriff mit Microsoft Entra ID.

Azure Storage unterstützt Microsoft Entra ID und die rollenbasierte Zugriffssteuerung (Role-Based Access Control, RBAC) sowohl für die Ressourcenverwaltung als auch für Datenvorgänge. Sie können Sicherheitsprinzipalen RBAC-Rollen zuweisen, die für das Speicherkonto gelten. Sie können Microsoft Entra ID verwenden, um Ressourcenverwaltungsvorgänge wie die Konfiguration zu autorisieren. Microsoft Entra ID wird für Datenvorgänge im Blob-, Datei-, Warteschlangen- und Tabellenspeicher unterstützt.

Sie können RBAC-Rollen, die für ein Abonnement, eine Ressourcengruppe, ein Speicherkonto, einen einzelnen Container oder eine Warteschlange gelten, einem Sicherheitsprinzipal oder einer verwalteten Identität für Azure-Ressourcen zuweisen.

Überwachen des Zugriffs

Die Überwachung ist ein weiterer Aspekt der Zugriffssteuerung. Sie können den Azure Storage-Zugriff überprüfen, indem Sie Azure Storage-Protokolle in Azure Monitor verwenden. Diese Ressourcenprotokolle erfassen Anfragen an das Speicherkonto, und Sie können sie nach bestimmten Anfragen durchsuchen. Sie können nach Authentifizierungsmethode, dem Erfolg des Vorgang oder der Ressource, auf die zugegriffen wurde, filtern.

Die älteren Storage Analytics Protokolle werden weiterhin unterstützt, aber Microsoft empfiehlt stattdessen Azure Monitor Protokolle.