Périmètre de sécurité réseau pour Azure Blob, lac de données, Queue et Table Storage

✔️ S’applique à : Stockage Blob Azure, Azure Data Lake Storage, Stockage File d'attente Azure, Azure Table Storage

✖️ Ne s'applique pas à : Azure Files (Microsoft.Storage ou Microsoft.FileShares)

En utilisant le périmètre de sécurité réseau, vous pouvez définir une frontière logique d’isolation réseau pour les ressources PaaS, telles que Stockage Blob Azure et SQL Database, que vous déployez en dehors de vos réseaux virtuels. Cette fonctionnalité limite l’accès au réseau public aux ressources PaaS en dehors du périmètre. Cependant, vous pouvez exempter un accès en utilisant des règles d’accès explicites pour le trafic public entrant et sortant. Cette fonctionnalité aide à prévenir l’exfiltration non autorisée de données de vos ressources de stockage. Dans un périmètre de sécurité réseau, les ressources membres peuvent communiquer librement entre elles. Les règles de périmètre de sécurité réseau remplacent les propres paramètres de pare-feu du compte de stockage. L'accès à partir du périmètre prend la plus haute priorité sur d'autres restrictions réseau.

Vous trouverez ici la liste des services intégrés au périmètre de sécurité réseau. Si un service n’est pas listé, il n’est pas encore intégré. Pour autoriser l’accès à une ressource spécifique à partir d’un service non intégré, vous pouvez créer une règle basée sur un abonnement pour le périmètre de sécurité réseau. Une règle basée sur un abonnement accorde l’accès à toutes les ressources de cet abonnement. Pour plus de détails sur la manière d’ajouter une règle d’accès basée sur l’abonnement, consultez cette documentation.

Pour Azure Files, voir Périmètre de sécurité réseau dans les considérations de mise en réseau d’Azure Files. Les comptes de stockage contenant des partages de fichiers Azure peuvent utiliser un périmètre de sécurité réseau, mais l’article Azure Files décrit les considérations concernant Azure Files.

Modes d'accès

Lors de l’intégration de comptes de stockage à un périmètre de sécurité réseau, vous pouvez commencer en mode Transition (anciennement mode Apprentissage) ou passer directement en mode Appliqué. Le mode de transition (valeur par défaut) permet au compte de stockage de revenir aux règles de pare-feu existantes ou aux paramètres de « services approuvés » si une règle de périmètre n’autorise pas encore une connexion. Le mode appliqué bloque strictement tout le trafic entrant et sortant public, sauf autorisation explicite par une règle de périmètre de sécurité réseau, garantissant ainsi une protection maximale pour votre compte de stockage. En mode appliqué, même les exceptions « service approuvé » d’Azure ne sont pas respectées. Les ressources Azure pertinentes ou des abonnements spécifiques doivent être explicitement autorisés via des règles de périmètre si nécessaire.

Important

Les comptes de stockage d’exploitation en mode Transition (anciennement Learning) doivent servir uniquement en tant qu’étape de transition. Les acteurs malveillants peuvent exploiter des ressources non sécurisées pour exfiltrer des données. Par conséquent, il est essentiel de passer à une configuration entièrement sécurisée dès que possible avec le mode d’accès défini sur Appliqué.

Priorité réseau

Lorsqu’un compte de stockage fait partie d’un périmètre de sécurité réseau, les règles d’accès du profil pertinentes remplacent les propres paramètres de pare-feu du compte, devenant le gardien de réseau de niveau supérieur. L’accès autorisé ou refusé par le périmètre est prioritaire, et les paramètres « Réseaux autorisés » du compte sont ignorés lorsque le compte de stockage est associé en mode appliqué. La suppression du compte de stockage d’un périmètre de sécurité réseau rétablit le contrôle de son pare-feu habituel. Les périmètres de sécurité réseau n’affectent pas le trafic de point de terminaison privé. Les connexions via une liaison privée réussissent toujours. Pour les services Azure internes (« services approuvés »), seuls les services explicitement intégrés au périmètre de sécurité réseau peuvent être autorisés via des règles d’accès au périmètre. Sinon, leur trafic est bloqué par défaut, même s’il est approuvé sur les règles de pare-feu du compte de stockage. Pour les services non encore intégrés, les alternatives incluent des règles au niveau de l’abonnement pour les noms de domaine entrants et complets (FQDN) pour l’accès sortant ou via des liens privés.

Important

Le trafic d’un point de terminaison privé est considéré comme hautement sécurisé et il n’est donc pas soumis aux règles du périmètre de sécurité réseau. Tout autre trafic, y compris les services approuvés, est soumis aux règles de périmètre de sécurité réseau si le compte de stockage est associé à un périmètre.

Couverture des fonctionnalités sous périmètre de sécurité réseau

Lorsqu’un compte de stockage est associé à un périmètre de sécurité réseau, il prend en charge toutes les opérations standard sur le plan de données pour les blobs, tables et files d’attente, sauf indication contraire aux limitations connues. Vous pouvez restreindre toutes les opérations basées sur HTTPS pour Stockage Blob Azure, Azure Data Lake Storage, Azure Table Storage et Stockage File d'attente Azure en utilisant le périmètre de sécurité réseau.

Limitations

Feature État de la prise en charge Recommendations
Réplication d’objets pour Stockage Blob Azure Non pris en charge. La réplication d’objets entre comptes de stockage échoue si le compte source ou destination est associé à un périmètre de sécurité réseau Ne configurez pas le périmètre de sécurité réseau sur les comptes de stockage qui ont besoin de la réplication d’objets. De même, n’activez pas la réplication d’objets sur les comptes associés au périmètre de sécurité réseau tant que la prise en charge n’est pas disponible. Si la réplication d’objets est déjà activée, vous ne pouvez pas associer de périmètre de sécurité réseau. De même, si un périmètre de sécurité réseau est déjà associé, vous ne pouvez pas activer la réplication des objets. Cette restriction vous empêche de configurer un scénario non pris en charge.
Accès au système de fichiers réseau (NFS) sur Azure Blobs et SSH File Transfer Protocol (SFTP) sur Azure Blobs Tous les protocoles autres que l’accès HTTPS sont bloqués lorsqu’un compte de stockage est associé à un périmètre de sécurité réseau en mode appliqué. Si vous avez besoin d’un de ces protocoles, n’utilisez pas le périmètre de sécurité réseau en mode appliqué. Lors du test ou de la migration vers le périmètre de sécurité réseau à l’aide du mode transition, l’accès réussi peut se produire via le comportement de secours du pare-feu et n’indique pas la prise en charge du protocole par le biais du périmètre de sécurité réseau.
Sauvegarde Azure Non pris en charge. Sauvegarde Azure en tant que service n'est pas encore intégré au périmètre de sécurité réseau. N'associez pas un compte au périmètre de sécurité réseau si vous avez activé les sauvegardes ou si vous prévoyez d'utiliser Sauvegarde Azure. Lorsque Sauvegarde Azure est intégré au périmètre de sécurité réseau, vous pouvez commencer à utiliser ces deux fonctionnalités ensemble.
Disques non managés Les disques non managés ne respectent pas les règles de périmètre de sécurité réseau. Évitez d’utiliser des disques non gérés sur des comptes de stockage protégés par un périmètre de sécurité réseau.
Site web statique Non prise en charge Un site statique, étant de nature ouverte, ne peut pas être utilisé avec un périmètre de sécurité réseau. Si un site web statique est déjà activé, vous ne pouvez pas associer un périmètre de sécurité réseau. De même, si un périmètre de sécurité réseau est déjà associé, vous ne pouvez pas activer un site web statique. Cette restriction vous empêche de configurer un scénario non pris en charge.

Warning

Pour les comptes de stockage associés à un périmètre de sécurité réseau, afin que les scénarios de clés gérées par le client (CMK) fonctionnent, assurez-vous que l’Azure Key Vault est accessible depuis le périmètre auquel le compte de stockage est associé.

Associer un périmètre de sécurité réseau à un compte de stockage

Pour associer un périmètre de sécurité réseau à un compte de stockage, suivez ces instructions communes à toutes les ressources PaaS.

Étapes suivantes

  • Dernière mise à jour :