Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
✔️ S'applique à : Tous les partages de fichiers Azure
Azure Files chiffre toutes les données de partage de fichiers au repos. Cet article décrit comment fonctionne le chiffrement au repos et les décisions à prendre avant de déployer Azure Files : qui gère la clé qui chiffre vos données et si vous avez besoin d’une seconde couche de chiffrement. Pour les étapes permettant d’utiliser votre propre clé, consultez Configurer le chiffrement au repos avec les clés gérées par le client pour Azure Files. Pour protéger les données lors de leur transfert entre les clients et Azure Files, voir Configurer le chiffrement en transit pour Azure Files. Pour d’autres décisions de déploiement, voir Planifier un déploiement Azure Files.
Les options disponibles dépendent du fournisseur de ressources que vous utilisez pour créer le partage de fichiers. Les partages de fichiers classiques (Microsoft.Storage) prennent en charge les clés gérées par Microsoft, les clés gérées par le client et le chiffrement de l’infrastructure. Les partages de fichiers créés avec Microsoft.FileShares ne prennent en charge que les clés gérées par Microsoft. Pour d’autres différences entre les fournisseurs de ressources, voir concepts de gestion Azure Files.
| Option de chiffrement | Partages de fichiers classiques (Microsoft. Stockage) | Microsoft.FileShares |
|---|---|---|
| Chiffrement au repos avec des clés gérées par Microsoft | Supported | Supported |
| Clés gérées par le client | Supported | Non pris en charge |
| Chiffrement d’infrastructure | Supported | Non pris en charge |
Comment fonctionne le chiffrement au repos
Azure Files chiffre les données au fur et à mesure de leur écriture sur le disque et les déchiffre au fur et à mesure de leur lecture. Le chiffrement se fait sous le système de fichiers du partage de fichiers, un peu comme BitLocker fonctionne sous Windows. Parce que le service fait le chiffrement, les clients n’ont pas besoin d’accéder à la clé de chiffrement, et vous n’avez pas besoin de modifier vos applications ou la configuration de vos clients. Le chiffrement au repos s’applique aux données et métadonnées des fichiers, que les clients utilisent SMB, NFS ou FileREST.
Le chiffrement au repos est toujours activé et ne peut pas être désactivé. Elle s’applique à chaque partage de fichiers, quel que soit le niveau média, le modèle de facturation ou la redondance. Si un compte de stockage utilise un stockage géo-redondant, les données dans la région secondaire sont également chiffrées. Le chiffrement au repos n’ajoute pas de frais à votre facture.
Azure Files utilise AES-GCM 256 bits, conforme à FIPS 140-2. Pour plus d’informations sur les modules cryptographiques utilisés par Azure Files, consultez Cryptography API : Next Generation.
Le chiffrement au repos protège les données là où elles sont stockées. Il ne contrôle pas qui peut lire ou modifier les fichiers ; pour contrôler l'accès aux données des fichiers, voir Sécuriser vos partages de fichiers Azure.
Clés de chiffrement
Azure Files chiffre vos données avec une clé, et vous choisissez qui gère cette clé. Par défaut, Microsoft le gère. Pour les partages de fichiers classiques, vous pouvez gérer la clé vous-même à la place. Dans les deux cas, Azure Files gère sans interruption le chiffrement et le déchiffrement.
| Attribute | Clés managées par Microsoft | Clés gérées par le client |
|---|---|---|
| Default | Oui | Non |
| Opérations de chiffrement et de déchiffrement | Azure | Azure |
| Stockage des clés | Magasin de clés Microsoft | Azure Key Vault ou Azure Key Vault Managed HSM |
| Rotation des clés | Microsoft | Vous |
| Contrôle des clés | Microsoft | Vous |
Clés managées par Microsoft
Les clés gérées par Microsoft n’ont pas besoin de configuration. Microsoft stocke et contrôle les clés, et les renouvelle conformément aux exigences de conformité. Les partages de fichiers créés avec Microsoft.FileShares utilisent toujours des clés gérées par Microsoft. Si vous avez des exigences spécifiques pour la rotation ou l’audit des clés, utilisez des clés gérées par le client afin de pouvoir gérer et auditer la rotation vous-même.
Clés gérées par le client
Avec les clés gérées par le client, vous contrôlez la clé qui protège les données dans un compte de stockage. Vous stockez la clé dans Azure Key Vault ou Azure Key Vault Managed HSM, et le compte de stockage utilise une identité gérée pour y accéder. Le coffre de clés peut être dans une région ou un abonnement différent du compte de stockage. Cela peut aussi se trouver dans un autre tenant Microsoft Entra, par exemple lorsqu'un fournisseur de services stocke des données que la clé de son client protège.
Une clé gérée par le client s’applique à l’ensemble du compte de stockage. Une clé protège tous les partages de fichiers classiques dans le compte de stockage, et vous ne pouvez pas utiliser une clé différente pour chaque partage de fichiers. Si les partages de fichiers nécessitent des clés différentes, mettez-les dans des comptes de stockage différents.
Lorsque vous gérez la clé, vous gérez aussi son cycle de vie, y compris la rotation. Vous pouvez configurer le compte de stockage pour utiliser automatiquement la dernière version de la clé. Avec cette option, le compte de stockage commence à utiliser une nouvelle version de clé dans les 24 heures après sa création. Sinon, vous pouvez spécifier une version de clé puis mettre à jour le compte de stockage à chaque rotation de la clé.
Le compte de stockage doit pouvoir accéder à la clé pour lire et écrire les données. Si vous désactivez la clé ou révoquez l’accès du compte de stockage à celle-ci, les clients ne peuvent plus lire ni écrire de données dans le compte de stockage tant que vous n’avez pas rétabli cet accès. Vous pouvez utiliser ce comportement pour révoquer l’accès volontairement, mais un changement accidentel de la clé ou de ses permissions a le même effet. Pour éviter un changement accidentel, limitez qui peut désactiver la clé ou en modifier les permissions. Les clés gérées par le client nécessitent une protection contre la purge sur le coffre de clés ou le HSM géré, de sorte qu’une clé supprimée reste récupérable jusqu’à la fin de sa période de conservation.
Pour les étapes de configuration des clés gérées par le client, de rotation de la clé et de révocation de l’accès, voir Configurer le chiffrement au repos avec les clés gérées par le client pour Azure Files.
Chiffrement d’infrastructure
Le chiffrement de l’infrastructure ajoute une seconde couche de chiffrement sous la première. Avec le chiffrement de l’infrastructure, Azure Files chiffre vos données deux fois : une fois au niveau du service, avec la clé que vous choisissez, et une fois au niveau de l’infrastructure, avec une clé gérée par Microsoft séparée. Les deux couches utilisent des algorithmes de chiffrement différents et des clés différentes. Si un algorithme ou une clé est compromis, l’autre couche continue de protéger vos données.
La plupart des charges de travail n’ont pas besoin de chiffrement d’infrastructure, car le chiffrement au niveau du service est suffisant. Utilisez le chiffrement de l’infrastructure lorsque vos exigences de conformité exigent un double chiffrement.
Prévoyez le chiffrement de l’infrastructure avant de déployer, car vous ne pouvez l’activer que lorsque vous créez un compte de stockage. Vous ne pouvez pas l’activer ou le désactiver sur un compte de stockage existant. Pour utiliser le chiffrement d’infrastructure des données que vous possédez déjà, créez un nouveau compte de stockage avec chiffrement d’infrastructure et migrez les données vers un nouveau partage de fichiers. Microsoft. FileShares ne prend pas en charge le chiffrement de l'infrastructure.
Pour créer un compte de stockage avec chiffrement d’infrastructure, suivez les étapes dans Créer un compte de stockage pour les partages de fichiers classiques.