Sécuriser le stockage de files d’attente Azure

Stockage File d'attente Azure fournit la mise en file d’attente des messages entre les composants applicatifs. Comme les messages transportent souvent des références à des ressources sensibles – identifiants d’objets, URLs de rappel et état de l’application – vous devez sécuriser à la fois l’autorisation de la file d’attente et la gestion du contenu des messages.

Note

Cet article traite des pratiques de sécurité spécifiques à Stockage File d'attente Azure. Pour des conseils de sécurité au niveau du compte, consultez Sécuriser votre compte stockage Azure.

Gestion de l’identité et de l’accès

  • Utilisez Microsoft Entra ID avec des identités gérées pour les producteurs et les consommateurs de files d’attente : attribuez les rôles intégrés Storage Queue Data Message Sender, Storage Queue Data Message Processor et Storage Queue Data Reader à l’identité gérée de chaque service qui interagit avec la file d’attente. Choisissez le rôle qui correspond à l’opération. Un service d’envoi de messages ne devrait pas détenir les droits du processeur. Pour plus d’informations, voir Autoriser l’accès aux files d’attente en utilisant Microsoft Entra ID.

  • Étendre les attributions de rôles de contrôle d’accès basé sur les rôles (RBAC) à la file spécifique : l’étendue au niveau de la file est prise en charge pour les rôles de données intégrés dans la file. Assigner au niveau de la file d’attente plutôt qu’au compte de stockage lorsqu’un service n’a besoin d’accéder qu’à une seule file d’attente dans un compte multi-files.

  • Limitez les jetons SAS à une seule file d’attente et à des opérations spécifiques sur les messages : La signature d’accès partagé (SAS) pour les files d’attente prend en charge séparément les autorisations add, update, process et read. Accordez seulement ce dont l’appelant a besoin. Un récepteur de webhook qui met des événements en file d’attente ne devrait recevoir que add, et non process. Pour plus d’informations, consultez Déléguer l’accès avec une signature d’accès partagé.

Protection de données

Les messages sont protégés au repos et en transit par le chiffrement et les paramètres TLS du compte, mais ils ne sont pas contrôlés individuellement par accès au-delà de l’autorisation au niveau de la file d’attente. Concevez le contenu du message pour éviter de concentrer des données sensibles dans la file d’attente.

  • Ne mettez pas de secrets ou d'identifiants dans les messages de file d'attente : Stockez les secrets dans Azure Key Vault et mettez une référence (identifiant secret) dans le message. Les consommateurs récupèrent le secret au moment du traitement sous leur propre identité. Tout ce qui est placé dans un message est visible par tout principal disposant de process ou de read sur la file d’attente et est consigné dans les journaux de stockage.

  • Chiffrer les charges utiles sensibles des messages au niveau applicatif : Pour les messages qui doivent transporter des données sensibles, chiffrer la charge utile avec une clé de Key Vault avant de mettre en file d’attente. Cela ajoute une couche indépendante du chiffrement côté stockage et limite l’exposition si un consommateur est compromis. Pour plus d’informations, voir Chiffrement côté client pour stockage Azure.

  • Définissez un temps de vie (TTL) raisonnable : Les messages persistent jusqu’à ce qu’ils soient traités, expirent ou que la file d’attente soit vidée. Un long TTL augmente la fenêtre pendant laquelle les données sensibles obsolètes sont récupérables. Associez le TTL à la latence de traitement attendue plus une marge de sécurité.

Enregistrement et surveillance

  • Activez les paramètres de diagnostic pour les opérations de file d’attente : envoyer StorageRead, StorageWrite, et StorageDelete les catégories à Log Analytics afin que les opérations individuelles de file d’attente soient auditables. Méthode d’autorisation de suivi (Entra ID, Clé partagée, SAS, anonyme) pour détecter une mauvaise utilisation. Pour plus d’informations, voir Monitoring Stockage File d'attente Azure.

  • Déplacer les messages incohérents vers une file dédiée : configurez votre consommateur pour détecter les messages dépassant le seuil d’enlèvements de la file d’attente et déplacez-les dans une file d’attente <queue-name>-poison pour une investigation hors ligne. L’accumulation de messages incohérents est un signal de sécurité, pas seulement opérationnel. Pour plus d’informations, voir Gérer les messages de poison dans les fonctions déclenchées par la file d’attente.

  • Alerte sur la croissance de la file de poison : Configurez les alertes Azure Monitor sur le nombre de messages dans chaque file de poison afin que la croissance inattendue déclenche une enquête.

  • Alerter sur des schémas inhabituels de retrait de la file d’attente et de suppression : des rafales d’opérations DeleteMessage provenant d’identités inattendues, ou des volumes élevés d’activité de retrait de la file d’attente sans aucun traitement en aval, peuvent indiquer qu’un attaquant vide une file d’attente pour masquer une activité. Alerter en cas d’écarts par rapport au profil de trafic normal de la file d’attente.

Étapes suivantes

  • Dernière mise à jour :