Migliori pratiche per proteggere applicazioni web e mobili PaaS utilizzando Archiviazione di Azure

Questo articolo discute una raccolta di best practice di sicurezza di Archiviazione di Azure per proteggere le tue applicazioni web e mobile platform as-a-service (PaaS). Microsoft ha ricavato queste best practice dall'esperienza con Azure e i clienti di Azure.

Azure consente di distribuire e usare le risorse di archiviazione in modi che non è facile ottenere in locale. Con Archiviazione di Azure, puoi raggiungere alti livelli di scalabilità e disponibilità con relativamente poco sforzo. Archiviazione di Azure è la base per Windows e Linux Macchine virtuali di Azure, e può anche supportare grandi applicazioni distribuite.

Archiviazione di Azure offre quattro servizi: Blob storage, Tableau storage, Queue storage e File storage. Per altre informazioni, vedere Introduzione ad Archiviazione di Microsoft Azure.

In questo articolo vengono illustrate le seguenti procedure consigliate:

  • Firme di accesso condiviso (SAS)
  • Controllo degli accessi basato sui ruoli Azure
  • Crittografia lato client per dati di alto valore
  • Crittografia del servizio di archiviazione

Usare la firma di accesso condiviso anziché una chiave dell'account di archiviazione

Il controllo di accesso è fondamentale. Per aiutarti a controllare l'accesso ad Archiviazione di Azure, Azure genera due chiavi di 512 bit per l'account di archiviazione quando crei un account di archiviazione. Questa ridondanza delle chiavi ti aiuta a evitare interruzioni del servizio durante la rotazione di routine delle chiavi.

Le chiavi di accesso allo storage sono segreti ad alta priorità e dovrebbero essere accessibili solo a chi si occupa del controllo degli accessi allo storage. Se le persone sbagliate accedono a queste chiavi, ottengono il controllo completo dello spazio di archiviazione e possono sostituire, cancellare o aggiungere file allo storage. Gli attaccanti possono caricare malware e altri tipi di contenuti che potrebbero compromettere la tua organizzazione o i tuoi clienti.

È comunque necessario un modo per fornire l'accesso agli oggetti nella risorsa di archiviazione. Per fornire un accesso più granulare, sfrutta la firma di accesso condivisa (SAS). SAS permette di condividere oggetti specifici in archiviazione per un intervallo di tempo predefinito e con permessi specifici. Una firma di accesso condiviso consente di definire:

  • L'intervallo di validità della firma di accesso condiviso, incluse l'ora di inizio e quella di scadenza.
  • Le autorizzazioni concesse dalla firma di accesso condiviso. Ad esempio, un SAS su un BLOB potrebbe concedere a un utente le autorizzazioni di lettura e di scrittura per quel BLOB, ma non le autorizzazioni di eliminazione.
  • Un indirizzo IP o un intervallo di indirizzi IP facoltativo da cui Archiviazione di Azure accetta la firma di accesso condiviso. Ad esempio, è possibile specificare un intervallo di indirizzi IP appartenenti all'organizzazione. Questa opzione offre un'ulteriore misura di sicurezza per il tuo SAS.
  • Il protocollo tramite cui Archiviazione di Azure accetta la firma di accesso condiviso. Puoi usare questo parametro opzionale per limitare l'accesso ai client che usano HTTPS.

SAS consente di condividere contenuti nel modo desiderato senza dover fornire le chiavi del proprio account di archiviazione. Usa sempre SAS nella tua applicazione per condividere in modo sicuro le risorse di archiviazione senza compromettere le chiavi dei conti di archiviazione.

Per maggiori informazioni sulla firma di accesso condiviso, vedi Utilizzo delle firme di accesso condiviso.

usare il controllo degli accessi in base al ruolo di Azure

Un altro modo per gestire l'accesso consiste nell'usare il controllo degli accessi in base al ruolo di Azure. Con il Controllo degli accessi in base al ruolo di Azure, l'aspetto principale è concedere ai dipendenti esattamente le autorizzazioni di cui necessitano, in base ai principi dei privilegi minimi e del sapere solo quando è necessario. un numero eccessivo di autorizzazioni può esporre un account agli attacchi. Un numero di autorizzazioni insufficiente ostacola l'efficienza del lavoro dei dipendenti. Il Controllo degli accessi in base al ruolo di Azure consente di risolvere questo problema offrendo una gestione granulare degli accessi per Azure. Il controllo di accesso è fondamentale per le organizzazioni che vogliono applicare criteri di sicurezza per l'accesso ai dati.

È possibile usare i ruoli predefiniti di Azure in Azure per assegnare privilegi agli utenti. Si consiglia di usare Collaboratore Account di archiviazione per gli operatori cloud che devono gestire gli account di archiviazione e il ruolo Collaboratore Account di archiviazione classico per gestire gli account di archiviazione classici. Per gli operatori cloud che devono gestire le macchine virtuali ma non la rete virtuale o l'account di archiviazione a cui sono connessi, è possibile aggiungerle al ruolo Collaboratore macchina virtuale.

Le organizzazioni che non applicano il controllo di accesso ai dati utilizzando funzionalità come Azure RBAC potrebbero offrire agli utenti più privilegi del necessario. Più privilegi del necessario possono causare la compromissione dei dati consentendo ad alcuni utenti di accedere ai dati che non dovrebbero avere al primo posto.

Per maggiori informazioni su Azure RBAC, vedi:

Usa la crittografia lato client per dati di alto valore

La crittografia lato client consente di crittografare i dati in transito a livello di codice prima di caricarli in Archiviazione di Azure e decrittografarli a livello di codice quando vengono recuperati. La crittografia lato client fornisce la crittografia dei dati in transito, ma fornisce anche la crittografia dei dati inattivi. La crittografia dei dati lato client è il metodo più sicuro, ma richiede modifiche all'applicazione a livello di codice e l'implementazione della gestione delle chiavi.

La crittografia lato client consente anche il controllo esclusivo delle chiavi di crittografia. È possibile generare e gestire chiavi di crittografia personalizzate. Questo processo utilizza una tecnica dell'involucro in cui la libreria client di Archiviazione di Azure genera una chiave di crittografia del contenuto (CEK) e quindi la protegge (la crittografa) utilizzando la chiave di crittografia della chiave (KEK). Un identificatore chiave identifica il KEK. Il KEK può essere una coppia di chiavi asimmetrica o simmetrica, e puoi gestirlo localmente o memorizzarlo in Azure Key Vault.

La crittografia lato client è incorporata nelle librerie client di archiviazione .NET e Java. Vedi Crittografia lato client per i blob per informazioni su come cifrare i dati all'interno delle applicazioni client e generare e gestire le proprie chiavi di crittografia.

Abilita la crittografia del servizio di archiviazione per i dati a riposo

Quando abiliti la crittografia dei servizi di archiviazione per File, Archiviazione di Azure cripta automaticamente i dati utilizzando la crittografia AES-256. Microsoft gestisce interamente la crittografia, la decrittografia e la gestione delle chiavi. Questa funzionalità è disponibile per i tipi di ridondanza LRS e GRS.

Passaggi successivi

Questo articolo ti ha presentato una raccolta di procedure consigliate per la sicurezza di Archiviazione di Azure, volte a proteggere le tue applicazioni Web e mobili PaaS. Per ulteriori informazioni sulla protezione delle distribuzioni PaaS, vedere:

  • Last updated on