Información general sobre la protección de datos

En la documentación de Azure Storage, protección de datos trata sobre las estrategias para proteger la cuenta de almacenamiento y los datos que contiene contra la eliminación o modificación, o para restaurar los datos después de eliminarlos o modificarlos. Es importante pensar en la mejor manera de proteger los datos antes de que se produzca un incidente que podría ponerlos en peligro. Esta guía puede ayudarte a decidir de antemano qué funciones de protección de datos requiere tu escenario. Azure Storage también ofrece opciones para recuperación ante desastres, seguridad y redes. Todos estos métodos trabajan juntos para una protección integral de tus datos.

Recomendaciones para la protección de datos básica

Si quieres una cobertura básica de protección de datos para tu cuenta de almacenamiento y los datos que contiene, sigue los siguientes pasos:

  1. Configure un bloqueo de Azure Resource Manager en la cuenta de almacenamiento para protegerla de la eliminación o de los cambios de configuración. Más información...

  2. Habilite la eliminación temporal de contenedores para la cuenta de almacenamiento con el fin de recuperar un contenedor eliminado y su contenido. Más información...

  3. Activa la eliminación suave del blob para que la cuenta de almacenamiento recupere un blob eliminado o sobrscrito. Más información...

La siguiente sección describe estas opciones y otras opciones de protección de datos para otros escenarios con más detalle. Para la protección contra escenarios de pérdida de datos más amplios, como la eliminación accidental de cuentas o ransomware, considere la posibilidad de habilitar Azure Backup además de las características en la cuenta.

Para una introducción a los costos que conllevan estas características, consulte el Resumen de las consideraciones de costos.

Sugerencia

Utiliza Azure Copilot para recibir sugerencias sobre cómo mejorar la estrategia de protección de tu cuenta de almacenamiento. Para más información, consulte Administración y migración de cuentas de almacenamiento mediante Azure Copilot.

Introducción a las opciones de protección de datos

En la tabla siguiente se resumen las opciones disponibles en Azure Storage para los escenarios comunes de protección de datos. Elija los escenarios correspondientes a su situación para obtener más información sobre las opciones disponibles. No todas las características están disponibles en este momento para las cuentas de almacenamiento que tienen habilitado un espacio de nombres jerárquico.

Escenario Opción de protección de datos Recomendaciones Ventaja de protección Disponible para Data Lake Storage
Evitar que se elimine o modifique una cuenta de almacenamiento. Bloqueo de Azure Resource Manager
Más información...		 Bloquee todas las cuentas de almacenamiento con un bloqueo de Azure Resource Manager a fin de impedir su eliminación. Protege la cuenta de almacenamiento contra la eliminación o los cambios de configuración.

No protege los contenedores ni los blobs de la cuenta de su eliminación o sobrescritura.		 Sí
Restaurar un contenedor eliminado en un intervalo específico. Eliminación temporal de contenedores
Más información...		 Habilite la eliminación temporal de contenedores para todas las cuentas de almacenamiento, con un intervalo de retención mínimo de siete días.

Habilita la eliminación temporal de blobs para una protección óptima de los datos de blob.

Almacena contenedores que requieran diferentes períodos de retención en cuentas de almacenamiento independientes.		 Un contenedor eliminado y su contenido pueden restaurarse dentro del periodo de retención.

Solo se pueden restaurar las operaciones de nivel de contenedor (por ejemplo, Eliminar contenedor). La eliminación temporal del contenedor no permite restaurar un blob individual en el contenedor si se elimina ese blob.		 Sí
Restaure una versión de blob o blob eliminada dentro de un intervalo especificado. Eliminación temporal de blobs
Más información...		 Habilite la eliminación temporal de blobs para todas las cuentas de almacenamiento, con un intervalo de retención mínimo de siete días.

Habilita la eliminación temporal de contenedores para una protección óptima de los datos de blob.

Almacene blobs que requieran diferentes períodos de retención en cuentas de almacenamiento independientes.		 Un blob eliminado o una versión de blob puede restaurarse dentro del periodo de retención. Sí
Guardar automáticamente el estado de un blob en una versión anterior cuando se sobrescriba. Control de versiones de blobs
Más información...		 Activa la versión de blob cuando quieras capturar automáticamente los cambios de sobrescritura y metadatos y retener versiones anteriores de los datos hasta que se eliminen explícitamente. Para minimizar costes, utiliza una política de gestión del ciclo de vida o una tarea de acciones de almacenamiento para eliminar automáticamente versiones antiguas.

Habilita la eliminación temporal de blobs para obtener una capa adicional de protección. Más información...

Almacena datos de blobs que no requieran el control de versiones en una cuenta independiente para limitar los costes.		 Cada operación de escritura de blobs crea una versión. Cuando eliminas un blob, la versión actual del blob se convierte en una versión anterior. Las versiones anteriores persisten hasta que se eliminan explícitamente o pueden ser promovidas a la actual. No
Guardar manualmente el estado de un blob en un momento dado. Instantánea de blob
Más información...		 Recomendado para capturas deliberadas en un momento en el tiempo, o como alternativa al versionado por blob en cuentas con espacio de nombres jerárquico, donde el versionado no está disponible. Un blob puede restaurarse a partir de una instantánea si se sobrescribe el blob. Si se elimina el blob, también se eliminan las instantáneas.

Cuando se habilita la eliminación suave del blob, las sobrescrituras provocan la creación de instantáneas con eliminación suave.		 No
Impedir que una versión de blob se elimine durante un intervalo determinado por el usuario. Directiva de inmutabilidad en una versión de blob
Más información...		 Establezca una directiva de inmutabilidad en una versión de blob individual para proteger documentos críticos para la empresa; por ejemplo, con el fin de cumplir los requisitos de cumplimiento normativo o legal. Protege una versión de blob frente a la eliminación y frente a la sobrescritura de sus metadatos. Una operación de sobrescritura crea una nueva versión.

Si al menos un contenedor tiene habilitada la inmutabilidad a nivel de versión, la cuenta de almacenamiento también está protegida contra la eliminación. Se produce un error en la eliminación de contenedores si existe al menos un blob en el contenedor.		 No
Impide que un contenedor y sus blobs se eliminen o modifiquen durante un intervalo determinado por el usuario. Directiva de inmutabilidad de un contenedor
Más información...		 Establezca una directiva de inmutabilidad en un contenedor para proteger documentos críticos para la empresa; por ejemplo, con el fin de cumplir los requisitos de cumplimiento normativo o legal. Protege un contenedor y sus blobs de todas las eliminaciones y sobrescrituras.

Cuando está vigente una suspensión legal o una directiva de retención de duración limitada bloqueada, la cuenta de almacenamiento también está protegida contra la eliminación. Los contenedores para los que no se ha establecido ninguna directiva de inmutabilidad no están protegidos contra la eliminación.		 Sí
Restaurar un conjunto de blobs en bloques a un momento dado anterior. Restauración a un momento dado
Más información...		 Para usar la restauración a un momento dado para revertir a un estado anterior, diseñe la aplicación para eliminar blobs en bloques individuales en lugar de eliminar contenedores. Un conjunto de blobs en bloques se puede revertir a su estado en un punto específico del pasado.

Solo se revierten las operaciones realizadas en blobs en bloques. Las operaciones realizadas en contenedores, blobs en páginas o blobs en anexos no se revierten.		 No
Un blob se puede eliminar o sobrescribir, pero los datos se copian periódicamente en una segunda cuenta de almacenamiento. Copia de seguridad en almacén de Azure Blob
Más información		 Habilita la copia de seguridad en bóveda para disponer de una copia externa de tus datos almacenada en un inquilino de Microsoft sin acceso directo. Proporciona una copia de seguridad selectiva de contenedores esenciales y permite la restauración de contenedores individuales en una cuenta de almacenamiento diferente de la cuenta de almacenamiento de origen. Sí

Se admiten AzCopy y Azure Data Factory.

No se admite la replicación de objetos.
Copia blobs de bloque de forma asíncrona a una cuenta de destino en otra región. Replicación de objetos Aprende más... Activa la replicación de objetos para mantener una copia redundante de blobs de bloque en otra región, de modo que tus datos permanezcan disponibles si la región de origen deja de estar disponible. Almacene blobs en bloques que requieran replicación en cuentas de uso general v2 o cuentas premium de blobs en bloques, porque la replicación de objetos solo admite estos tipos de cuenta. Los blobs de bloque escritos en la cuenta de origen se copian asíncronamente a la cuenta de destino según la política de replicación. Solo se replican los blobs de bloque; no se admiten blobs de anexo y de página, y la replicación de objetos no protege contra la eliminación accidental de un blob individual dentro de una cuenta. Sí

Protección de datos por tipo de recurso

En la tabla siguiente se resumen las opciones de protección de datos de Azure Storage según los recursos protegidos.

Opción de protección de datos Protege una cuenta frente a la eliminación Protege un contenedor frente a la eliminación Protege un objeto frente a la eliminación Protege un objeto frente a la sobrescrituras
Bloqueo de Azure Resource Manager Sí No No No
Eliminación temporal de contenedores No Sí No No
Eliminación temporal de blobs No No Sí Sí
Control de versiones de blobs6 No No Sí Sí
Instantánea de Blob6 No No No Sí
Directiva de inmutabilidad en una versión de blob Sí1 Sí2 Sí Sí3
Directiva de inmutabilidad de un contenedor Sí4 Sí Sí Sí
Restauración a un momento dado5 No No Sí Sí
Copia de seguridad en almacén de Azure Blob No Sí Sí Sí
Replicación de objetos7 No Sí Sí Sí
Solución de creación propia para copiar datos a una segunda cuenta6 No Sí Sí Sí

1 La eliminación de cuentas de almacenamiento falla si hay al menos un contenedor con almacenamiento inmutable a nivel de versión habilitado.
2 La eliminación de contenedores falla si existe al menos un blob en el contenedor, independientemente de si la política está bloqueada o desbloqueada.
3 Sobrescribir el contenido de la versión actual del blob crea una nueva versión. Una directiva de inmutabilidad protege los metadatos de una versión frente a la sobrescritura.
4 Mientras está vigente una suspensión legal o una directiva de retención de duración definida bloqueada en el ámbito de un contenedor, la cuenta de almacenamiento también está protegida contra la eliminación.
5 No se admite actualmente para las cargas de trabajo de Data Lake Storage.
6 AzCopy y Azure Data Factory son opciones compatibles tanto para cargas de trabajo de Blob Storage como de Data Lake Storage. La replicación de objetos solo se admite para las cargas de trabajo de Blob Storage.
7 Se conserva una copia replicada en la cuenta de destino. La replicación de objetos no impide la eliminación del blob en la cuenta de origen, y la replicación es asincrónica, por lo que las escrituras recientes pueden no estar presentes aún en el destino.

Acciones de recuperación de datos basadas en el tipo de recurso

Si necesita recuperar los datos que se han sobrescrito o eliminado, la forma de proceder dependerá de las opciones de protección de datos que haya habilitado y de los recursos afectados. En la tabla siguiente se describen las acciones que puede realizar para recuperar los datos.

Recurso eliminado o sobrescrito Posibles acciones de recuperación Requisitos para la recuperación
Cuenta de almacenamiento Tratar de recuperar la cuenta de almacenamiento eliminada.
Más información...		 La cuenta de almacenamiento se creó originalmente con el modelo de implementación de Azure Resource Manager y se eliminó en los últimos 14 días. No se ha creado una cuenta de almacenamiento con el mismo nombre desde que se eliminó la cuenta original.
Contenedor Recuperación del contenedor eliminado temporalmente y su contenido
Más información...		 La eliminación temporal del contenedor está habilitada y el período de retención de eliminación temporal del contenedor aún no ha expirado.
Contenedores y blobs Restaurar datos a partir de una segunda cuenta de almacenamiento. Todas las operaciones de contenedor y blob se han replicado eficazmente en una segunda cuenta de almacenamiento.
Blob Recuperación de un blob eliminado temporalmente
Más información...		 La eliminación temporal de blobs está habilitada y el intervalo de retención de eliminación temporal no ha expirado.
Conjunto de blobs en bloques Recuperar un conjunto de blobs en bloques al estado en que estaban en un momento anterior en el tiempo1
Más información...		 La restauración a un momento dado está habilitada y el punto de restauración se encuentra en el intervalo de retención. La cuenta de almacenamiento no se ha puesto en peligro ni está dañada.
Instantánea de blob Recuperar una instantánea eliminada temporalmente1
Más información...		 El borrado suave del blob está habilitado, sobrescribiste el blob para crear una instantánea de eliminación suave, y el intervalo de retención de borrado suave no ha expirado. O bien, la eliminación suave de blob estaba activada, borraste una instantánea y el intervalo de retención de eliminación suave no ha expirado.
Versión de blob Recuperar una versión eliminada temporalmente1
Más información...		 La eliminación temporal de blobs está habilitada y el intervalo de retención de eliminación temporal no ha expirado.

1 No se admite actualmente para las cargas de trabajo de Data Lake Storage.

Resumen de las consideraciones de costos

En la tabla siguiente se resumen las consideraciones de costos para las distintas opciones de protección de datos descritas en esta guía. No hay coste por habilitar o configurar las siguientes funciones, pero ten en cuenta los costes que conlleva su comportamiento.

Opción de protección de datos Consideraciones sobre los costos
Bloqueo de Azure Resource Manager para una cuenta de almacenamiento No se cobra por configurar un bloqueo en una cuenta de almacenamiento.
Eliminación temporal de contenedores Los datos en un contenedor con eliminación temporal se facturan a la misma tarifa que los datos activos hasta que el contenedor con eliminación temporal se elimine permanentemente.
Eliminación temporal de blobs Los datos de blob eliminados temporalmente se facturan al mismo ritmo que los datos activos hasta que se eliminan permanentemente.

No se te factura por las transacciones que generan automáticamente instantáneas o versiones cuando un blob se sobrescribe o elimina, pero sí se te factura por las llamadas a la operación Undelete Blob a la tasa de transacción de escritura.

Habilitar la eliminación suave para datos sobrescritos con frecuencia podría aumentar los cargos de capacidad y la latencia de listado. Para medir el impacto, Microsoft recomienda empezar con un periodo mínimo de retención de siete días. Para obtener más información, consulte Precios y facturación.
Control de versiones de blobs Después de activar el control de versiones de blobs, cada escritura en un blob en la cuenta crea una nueva versión, lo que podría llevar a un aumento de los costes de capacidad.

Paga por una versión de blob en función de los bloques o páginas únicos. Por lo tanto, los costos aumentan a medida que el blob base difiere de una versión determinada. Cambiar el nivel de un blob o de una versión de blob podría tener repercusiones en la facturación. Para obtener más información, consulte la sección Precios y facturación.

Utilice la administración del ciclo de vida o las acciones de almacenamiento para eliminar versiones antiguas según sea necesario y controlar los costes.
Instantáneas de blobs Pagas por datos en una instantánea basada en bloques o páginas únicas. Por lo tanto, los costos aumentan a medida que el blob base se diferencia de la instantánea. Cambiar el nivel de un blob o snapshot podría tener un impacto en la facturación. Para obtener más información, consulte la sección Precios y facturación.

Utiliza gestión del ciclo de vida o acciones de almacenamiento para eliminar instantáneas antiguas según sea necesario y así controlar los costes.
Directiva de inmutabilidad en una versión de blob La creación, modificación o eliminación de una directiva de retención basada en tiempo o suspensión legal en una versión de blob da como resultado un cargo por transacción de escritura.
Directiva de inmutabilidad de un contenedor Los datos inmutables tienen el mismo precio que los datos mutables. La facturación persiste hasta que los datos sean modificables y se eliminen.
Restauración a un momento dado Al habilitar la restauración a un momento determinado, también se habilitan el control de versiones de blobs, la eliminación temporal y el feed de cambios, cada uno de los cuales puede dar lugar a otros cargos.

Se le factura la restauración a un momento dado al realizar una operación de restauración. El costo de una operación de restauración depende de la cantidad de datos que se restaurarán. Para obtener más información, consulte la sección Precios y facturación.
Copia de seguridad almacenada En el caso de las copias de seguridad en bóveda, se incurrirá en cargos por almacenamiento de copias de seguridad o tarifas de instancia, así como en el coste del lado de origen (asociado a la replicación de objetos) en la cuenta de origen de la que se realiza la copia de seguridad. Consulte Precios.
Replicación de objetos No hay coste para configurar la replicación de objetos, incluyendo habilitar el change feed y la versión de blobs, así como añadir políticas de replicación. La replicación de objetos requiere el feed de cambios y el control de versiones, cada uno de los cuales puede dar lugar a otros cargos.

Mantener los datos replicados en la cuenta de destino implica costes de capacidad, incluyendo el coste de almacenamiento del blob y de cada versión del blob. Si la cuenta de destino está en una región diferente a la cuenta de origen, replicar los datos también implica cargos de salida.

La replicación de objetos implica costes de transacción: un cargo por transacción de escritura en la cuenta de origen, y cargos de lectura y escritura en la cuenta de destino, incluyendo el coste de leer los registros del feed de cambios. Para obtener más información, vea Facturación.
Copia de datos en una segunda cuenta de almacenamiento El mantenimiento de los datos en una segunda cuenta de almacenamiento generará costos de capacidad y de transacción. Si la segunda cuenta de almacenamiento se encuentra en una región diferente de la cuenta de origen, la copia de datos a esa segunda cuenta también generará en cargos de salida.

Pasos siguientes

  • Se actualizó por última vez el