Nota:
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Este artículo ofrece orientación de seguridad para Azure Files, incluidos los recursos compartidos de archivos clásicos creados con Microsoft.Storage y los recursos compartidos de archivos creados con Microsoft.FileShares. Abarca los recursos que albergan tus recursos compartidos, el acceso de los clientes, la protección de datos y los controles operativos.
Los controles de seguridad dependen del proveedor de recursos y del protocolo. Para una comparación de las características soportadas, véase Azure Files management concepts.
Aislamiento de recursos.
Trata la cuenta de almacenamiento como un límite de confianza: Crear recursos compartidos de archivos clásicos separados en la misma cuenta de almacenamiento no aísla sus reglas de red, la fuente de identidad SMB ni la configuración de la clave de cifrado. Los cambios en estos ajustes a nivel de cuenta afectan a todos los recursos compartidos de la cuenta. Agrupa los recursos compartidos clásicos únicamente cuando puedan compartir estos controles. Microsoft. FileShares evita este límite compartido a nivel de cuenta al proporcionar una configuración independiente de red y seguridad para cada recurso compartido.
Proteger los sistemas clientes: Un cliente con acceso de escritura puede modificar o eliminar datos de archivos. Mantener actualizados los sistemas operativos de los clientes y restringir el acceso administrativo local. Utiliza la protección de endpoint adecuada al entorno cliente. El aislamiento de red y el cifrado no impiden que un cliente autorizado realice cambios destructivos.
Seguridad de red
Acceso entrante y filtrado saliente
Limitar el acceso entrante a los clientes que lo necesiten: Ambos proveedores de recursos soportan endpoints privados y endpoints de servicio con restricciones de red virtual. El acceso a los recursos compartidos de archivos NFS en Azure requiere una de estas rutas. Los clientes clásicos SMB y FileREST también pueden usar endpoints públicos con reglas de dirección IP. Para los pasos de configuración, consulta Configurar puntos finales de red para los recursos compartidos de archivos de Azure.
Desactiva el acceso público cuando no sea necesario: Los endpoints públicos pueden usarse de forma segura con controles de acceso a la red, autenticación y cifrado apropiados para el protocolo. Mantén activado el acceso público cuando tus cargas de trabajo lo requieran y tu modelo de seguridad lo permita, incluyendo conexiones a través de endpoints de servicio. Crear un endpoint privado no desactiva automáticamente el acceso público. En el caso de los recursos compartidos clásicos, revisa cualquier excepción de servicio de confianza o instancia de recurso que pueda seguir vigente tras desactivar el acceso público. Para más información, véase Restringir el acceso a endpoints públicos.
Habilitar el acceso a servicios confiables solo cuando sea necesario: Disponible solo para recursos compartidos de archivos clásicos, la configuración de servicios confiables permite que los servicios de Azure compatibles omitan las reglas de red de la cuenta de almacenamiento. Actívalo solo cuando una integración necesite este acceso. Estos servicios deben estar autorizados para acceder a los datos de tu archivo.
Filtrado opcional para el tráfico de endpoints de servicio: Cuando los clientes usan endpoints de servicio para acceder a recursos compartidos de archivos clásicos, puedes aplicar opcionalmente una política de endpoint de servicio a su subred. La directiva limita a qué cuentas de almacenamiento pueden acceder esos clientes a través de los puntos de conexión del servicio, donde el tráfico elude Azure Firewall y los dispositivos virtuales de red. Solo se aplica al tráfico de endpoints de servicio y no filtra el tráfico de endpoint privado ni otras rutas salientes. Las normas de red y los requisitos de autorización del destino siguen aplicándose. Microsoft.FileShares no admite actualmente estas directivas. Los clientes de una subred con una directiva deben usar un punto de conexión privado para acceder a los recursos compartidos de Microsoft.FileShares. Para más información, consulte directivas del punto de conexión del servicio.
Comprueba la compatibilidad de protocolos antes de usar un perímetro de seguridad de red: Para los recursos compartidos clásicos, la compatibilidad con el perímetro varía según el protocolo y el método de autenticación. En modo enforced, un perímetro niega el acceso a NFS a través del punto de conexión público, incluido el tráfico del punto de conexión de servicio. El tráfico de los puntos de conexión privados queda fuera de la aplicación de la directiva perimetral. Revisa las restricciones para Azure Backup y Azure File Sync antes de aplicar un perímetro. Para más información, consulta Perímetro de Seguridad de Red para Azure Files.
Endurecimiento del protocolo SMB
Estas recomendaciones se aplican a los recursos compartidos de archivos clásicos de SMB.
Requerir cifrado de canal SMB: Utiliza conexiones SMB 3.x cifradas. SMB 2.1 no soporta cifrado de canales. El requisito HTTPS para FileREST no reemplaza la configuración de cifrado SMB. Para más información, consulta la configuración de cifrado y seguridad para SMB.
Limita las versiones y algoritmos de los protocolos a aquellos que necesiten tus clientes: Utiliza el perfil SMB más seguro compatible con tus cargas de trabajo. Verifica el soporte del cliente antes de requerir SMB 3.1.1 o AES-256-GCM, porque los clientes incompatibles no pueden conectarse. El cifrado de canales SMB y el cifrado de tickets Kerberos son controles separados. Para más información, consulte configuración de seguridad de SMB.
Limitar los métodos de autenticación SMB: Utiliza Kerberos para el acceso basado en identidad. Si ningún cliente necesita autenticación por clave de cuenta de almacenamiento a través de SMB, elimina NTLMv2 de los métodos de autenticación SMB permitidos tras las pruebas. Este control se aplica a SMB; no desactiva el acceso FileREST basado en claves.
Mantener las credenciales de AD DS cuando corresponda: Para la autenticación de AD DS, gestiona la contraseña del principal de directorio que representa la cuenta de almacenamiento según la política de tu directorio. Sigue el procedimiento de rotación documentado para mantener sincronizada la contraseña del directorio y la clave Kerberos de la cuenta de almacenamiento. Para más información, consulta Actualizar la contraseña de la identidad de la cuenta de almacenamiento en AD DS.
Recursos compartidos de archivos NFS 4.1
Estas recomendaciones se aplican a los recursos compartidos de archivos NFS con cualquiera de los proveedores de recursos. NFS utiliza autenticación basada en red y permisos POSIX, no autenticación basada en identidad SMB.
Limitar el acceso a redes confiables: Permitir solo las subredes y conexiones privadas necesarias para la carga de trabajo. NFS se basa en las identidades presentadas por el cliente, por lo que controle qué sistemas y administradores pueden usar esas conexiones.
Gestionar permisos POSIX e identidades de clientes: Utiliza IDs de usuario y de grupo consistentes entre clientes. Restringir los permisos de archivos y directorios a los usuarios y grupos que necesiten acceso. Los permisos RBAC de Azure para gestionar el recurso de Azure no conceden acceso a archivos NFS. Para más información, consulte autenticación NFS y acceso a la red.
Configura el root squash donde sea compatible con la carga de trabajo: El root squash mapea las solicitudes desde UID/GID 0 a una identidad anónima. No restringe otras identidades ni hace que un recurso compartido sea solo lectura. Para ajustes y pasos de configuración para ambos proveedores de recursos, consulta Root squashing para recursos compartidos de archivos NFS de Azure.
Requerir cifrado en tránsito: Ambos proveedores de recursos soportan TLS a través del asistente de montaje AZNFS. Microsoft. FileShares requiere cifrado en tránsito por defecto. Los recursos compartidos clásicos tienen configuraciones de cifrado NFS a nivel de cuenta de almacenamiento. Para los valores predeterminados y enlaces de configuración, véase cifrado NFS.
Administración de identidades y acceso
Administración de recursos de Azure
Usa el privilegio mínimo para el acceso de gestión: Concede permisos RBAC de Azure en el menor alcance necesario para crear, configurar o eliminar recursos. En los recursos compartidos clásicos, los permisos a nivel de cuenta pueden afectar a cada recurso compartido de la cuenta. Puedes gestionar los recursos Microsoft.FileShares de forma independiente. Los roles de gestión y los permisos de acceso a datos tienen propósitos diferentes. Para obtener más información, consulte Azure plano de control y plano de datos.
Limitar el acceso administrativo permanente: Utiliza Microsoft Entra Privileged Identity Management cuando sea apropiado para roles de Azure privilegiados. Exige aprobación y autenticación multifactor para la activación administrativa según la política de tu organización. Para más información, consulte Privileged Identity Management.
Autenticación basada en identidad para compartición de archivos SMB
El acceso basado en la identidad de SMB está disponible para recursos compartidos de archivos clásicos. Una clave de cuenta de almacenamiento concede un amplio acceso a los datos en todos los recursos compartidos de una cuenta y no identifica a un usuario concreto.
Utiliza una fuente de identidad soportada por tus clientes: Azure Files soporta AD DS, Microsoft Entra Domain Services y Microsoft Entra Kerberos. Sus requisitos de cliente e identidad difieren. Para escenarios compatibles y guías de configuración, consulta Autenticación basada en identidad para Azure Files.
Utiliza identidades gestionadas para cargas de trabajo de aplicaciones compatibles: Las identidades gestionadas pueden proporcionar acceso mediante SMB sin distribuir claves de cuenta de almacenamiento. Verifica los requisitos previos de cómputo, cliente y autenticación para tu despliegue. Para más información, consulte Acceder a los recursos compartidos SMB utilizando identidades gestionadas.
Proteger las claves de la cuenta cuando sean necesarias: Restringir el permiso para recuperar o regenerar claves. Guarda las claves requeridas en Azure Key Vault y rota las claves después de la exposición o según tu política de credenciales. Planifica la rotación teniendo en cuenta los clientes y las integraciones que aún utilizan las claves. Para obtener más información, consulte Administración de las claves de acceso de la cuenta de almacenamiento.
Permisos a nivel de compartimiento y NTFS
Estos permisos se aplican a los recursos compartidos de archivos SMB clásicos.
Asignar roles de nivel de recurso compartido en el alcance requerido: conceder acceso de lectura, escritura o administración solo a las identidades que lo requieran. Las asignaciones de roles a nivel de recurso compartido evitan conceder acceso a recursos compartidos no relacionados en la misma cuenta de almacenamiento. Para obtener más información, consulte Asignar permisos a nivel de recurso compartido.
Aplicar permisos de directorio y archivo: Utiliza ACLs de Windows, incluso en el directorio raíz del recurso compartido cuando sea necesario, para controlar el acceso dentro del recurso compartido. Usa la herencia para mantener los permisos manejables. Se aplican tanto los permisos a nivel compartido como las ACLs de Windows. Para obtener más información, consulte Configuración de permisos de nivel de directorio y de nivel de archivo.
Restringir la administración de permisos: Limitar los roles elevados y los derechos de modificación de ACL a las identidades responsables de gestionar los permisos. Revisa tanto las asignaciones de roles como las ACLs heredadas cuando cambien los requisitos de acceso.
Acceso FileREST y SAS
El acceso a datos FileREST está disponible para los recursos compartidos clásicos. Microsoft.FileShares actualmente no admite el acceso a datos mediante FileREST.
Utiliza OAuth para el acceso a datos administrativos admitido: Las identidades de Microsoft Entra, incluidas las identidades administradas, pueden acceder a los recursos compartidos clásicos a través de FileREST. Los roles privilegiados usados por este método de acceso pueden eludir permisos de archivos y directorios, así que concédelos solo cuando ese acceso sea necesario. Para más información, consulta Azure Files OAuth sobre REST.
Limitar los permisos y la vida útil del SAS: Cuando una herramienta soportada requiera una firma de acceso compartida (SAS), restringe su alcance, permisos y periodo de validez, y requiere HTTPS. Protege la SAS como credencial. Los tokens SAS no se usan para montar recursos compartidos en SMB o NFS. Para más información, véase Firmas de acceso compartido.
Requerir HTTPS para FileREST: HTTPS protege las solicitudes REST en tránsito. El cifrado de canales SMB y la tunelización TLS de NFS son independientes del requisito de HTTPS. Para conocer los pasos de configuración, consulta Exigir transferencia segura.
Protección de los datos
Entiende el cifrado en reposo: Ambos proveedores de recursos cifran los datos de archivos en reposo con claves gestionadas por Microsoft por defecto. El cifrado en reposo protege los datos almacenados; no impide que los clientes autorizados lean o modifiquen archivos.
Utiliza claves gestionadas por el cliente cuando sea necesario: Los recursos compartidos clásicos admiten claves gestionadas por el cliente en Azure Key Vault o Managed HSM. Microsoft.FileShares actualmente no admite claves gestionadas por el cliente. Protege el almacén de claves, planifica la rotación de las claves y entiende que la pérdida de acceso a las claves puede hacer que los datos no estén disponibles. Para más información, consulta Claves gestionadas por el cliente para Azure Files.
Evalúa el cifrado de infraestructura para despliegues clásicos aplicables: Las cuentas de almacenamiento clásicas pueden tener una capa adicional de cifrado cuando tu política de cumplimiento lo requiera. Esta opción se selecciona al crear la cuenta y no puede cambiarse después. Para los tipos de cuentas compatibles, véase Cifrado de infraestructura.
Utiliza bloqueos de recursos para proteger las operaciones de gestión: Un bloqueo CanNotDelete en el recurso o ámbito parental adecuado de Azure puede evitar la eliminación a través de Azure Resource Manager. Los bloqueos no impiden que los clientes modifiquen o eliminen datos de archivos. Para los recursos compartidos clásicos, tampoco impiden la eliminación mediante las API de plano de datos de FileREST. Para el comportamiento de los bloqueos y los efectos operativos, véase Bloquear recursos de Azure.
Copia de seguridad y recuperación
Tomar instantáneas de comparticiones según las necesidades de recuperación: Ambos proveedores de recursos soportan instantáneas de comparticiones para la recuperación de versiones anteriores de archivos. Establece un calendario y una política de retención que cumplan con tus objetivos de recuperación. Las instantáneas de recurso compartido permanecen asociadas con el recurso compartido de origen, por lo que no proporcionan una copia de seguridad independiente si ese recurso compartido se elimina permanentemente. Para más información, consulta Compartir instantáneas para Azure Files.
Habilitar la eliminación temporal para recursos compartidos clásicos: La eliminación temporal conserva los recursos compartidos eliminados durante un período configurado. No recupera archivos individuales ni instantáneas eliminadas individualmente. Actualmente, Microsoft.FileShares no admite la eliminación temporal. Para obtener más información, consulte Prevenir la eliminación accidental de archivos compartidos de Azure.
Elige una solución de copia de seguridad soportada por el protocolo: Azure Backup soporta comparticiones clásicas SMB, con opciones de copia de seguridad instantánea y de copia de seguridad en bóveda. Actualmente no soporta comparticiones NFS con ninguno de los proveedores de recursos. Para NFS, elige una solución de respaldo que soporte el protocolo y cumpla con tus requisitos de retención y aislamiento. Para la cobertura de Azure Backup, consulta soporte de copia de seguridad de recursos compartidos de archivos de Azure.
Separar la administración de copias de seguridad y la recuperación de prueba: Limitar quién puede eliminar puntos de recuperación o modificar la retención. Prueba la restauración de archivos, permisos y cargas de trabajo completas. Verifica que la recuperación sigue siendo posible si las credenciales de producción o el recurso compartido de origen se ven comprometidos.
Planifica para los fallos de infraestructura por separado de la recuperación de datos: La redundancia mejora la resiliencia ante fallos de infraestructura, pero también replica los cambios de datos. No sustituye a las copias de seguridad frente a cambios no deseados o eliminaciones. Las opciones de redundancia disponibles varían según el nivel de medios y el proveedor de recursos. Para más información, consulte Redundancia de Azure Files.
Registro y supervisión
Auditar los cambios de administración para ambos proveedores de recursos: Utiliza el Registro de actividad de Azure para supervisar la eliminación de recursos, los cambios de configuración y las asignaciones de roles. Revisa los cambios en el acceso público, las reglas de red, los requisitos de cifrado y los controles de recuperación. Para más información, consulte Registro de actividad de Azure.
Recopilar registros de acceso a datos compatibles: Para el acceso clásico a SMB y FileREST, utiliza los registros de recursos de servicios de archivos para revisar llamantes, métodos de autorización, solicitudes fallidas y actividades de eliminación. Recopila los registros requeridos por tu política de retención en Log Analytics u otro destino soportado. No asumas la misma cobertura de registro de solicitudes para NFS o Microsoft.FileShares. Para operaciones y campos soportados, consulta referencia de datos de supervisión de Azure Files.
Correlaciona las alertas con los registros del cliente y de identidad: Investiga el uso inesperado de claves, la autenticación fallida, la eliminación de recursos compartidos y los cambios en la configuración de seguridad. Utiliza los registros del cliente y del directorio cuando ocurra un fallo de autenticación antes de que la solicitud llegue a Azure Files. Envía las alertas al equipo responsable de la carga de trabajo.
Evalúa Defender for Storage para despliegues clásicos: Defender for Storage proporciona detección de amenazas para cuentas de almacenamiento soportadas. Verifica la cobertura de funciones y protocolos para tu despliegue; la protección de la cuenta no implica que cada operación de archivo esté escaneada en busca de malware. Para más información, consulta Microsoft Defender for Storage.
Cumplimiento y gobernanza
Aplica políticas que coincidan con el proveedor de recursos: Utiliza Azure Policy para auditar o hacer cumplir los requisitos de tu organización cuando se admitan el tipo de recurso y las propiedades. Revisa el alcance y los efectos de cada definición. Una política dirigida a cuentas de almacenamiento Microsoft.Storage no evalúa automáticamente recursos Microsoft.FileShares. Para obtener más información, consulta Definiciones de Azure Policy.
Titularidad del registro y requisitos de datos: Utiliza etiquetas de recursos para identificar al equipo responsable, el entorno y la clasificación de datos. En los recursos compartidos clásicos, los controles a nivel de cuenta afectan a todos los recursos compartidos de la cuenta. Registra las excepciones y revísalas cuando cambie la responsabilidad de la carga de trabajo.
Validar el cumplimiento del despliegue: Confirme que el servicio, región, protocolo y características de protección seleccionados cumplen con sus requisitos. Utiliza el benchmark de seguridad en la nube de Microsoft para organizar revisiones de control. Para información sobre certificación, consulte las ofertas de cumplimiento de Azure Storage.
Azure File Sync
Azure File Sync soporta comparticiones SMB clásicas. No soporta NFS ni Microsoft.FileShares. Asegura tanto el recurso compartido en la nube como los endpoints de Windows Server.
Utiliza identidades gestionadas para implementaciones compatibles de File Sync: Sigue la configuración de identidad administrada para el Storage Sync Service y los servidores registrados para eliminar la dependencia de claves compartidas. Para más información, consulta Usar identidades gestionadas con Azure File Sync.
Limitar el acceso administrativo a recursos y servidores de sincronización: Utilizar los roles de Sincronización de Almacenamiento requeridos en el alcance adecuado. Protege los permisos locales de archivos y la administración del servidor porque los cambios realizados a través de un endpoint de servidor pueden sincronizarse con el recurso compartido en la nube. Para más información, consulta Planificar un despliegue de Azure File Sync.