Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
✔️ Si applica a: Tutte le condivisioni file di Azure
File di Azure crittografa tutti i dati delle condivisioni file inattivi. Questo articolo descrive come funziona la crittografia a riposo e le decisioni da prendere prima di distribuire File di Azure: chi gestisce la chiave che cripta i tuoi dati e se è necessario un secondo livello di crittografia. Per i passaggi per utilizzare la propria chiave, vedi Configura la crittografia a riposo con chiavi gestite dal cliente per File di Azure. Per proteggere i dati mentre si spostano tra client e File di Azure, vedi Configurare la crittografia in transito per File di Azure. Per altre decisioni di distribuzione, vedere Pianificare una distribuzione di File di Azure.
Le opzioni disponibili dipendono dal fornitore di risorse che utilizzi per creare la condivisione file. Le condivisioni file classiche (Microsoft. Storage) supportano chiavi gestite da Microsoft, chiavi gestite dal cliente e crittografia dell'infrastruttura. Le condivisioni file create con Microsoft.FileShares supportano solo chiavi gestite da Microsoft. Per altre differenze tra i fornitori di risorse, vedi File di Azure management concepts.
| Opzione di crittografia | Condivisioni file classiche (Microsoft.Storage) | Microsoft.FileShares |
|---|---|---|
| Crittografia a riposo con chiavi gestite da Microsoft | Supported | Supported |
| Chiavi gestite dal cliente | Supported | Non supportato |
| Crittografia dell'infrastruttura | Supported | Non supportato |
Come funziona la crittografia a riposo
File di Azure cifra i dati mentre scrive i dati su disco e li decripta mentre li legge. La crittografia avviene sotto il file system della condivisione file, simile a come funziona BitLocker su Windows. Poiché il servizio si occupa della crittografia, i client non hanno bisogno di accedere alla chiave di crittografia e non è necessario modificare le applicazioni o la configurazione del client. La crittografia a riposo si applica ai dati e ai metadati dei file, indipendentemente dal fatto che i client utilizzino SMB, NFS o FileREST.
La crittografia a riposo è sempre attiva e non può essere disabilitata. Si applica a ogni condivisione file, indipendentemente dal livello del supporto di archiviazione, dal modello di fatturazione o dalla ridondanza. Se un account di archiviazione utilizza memoria geo-ridondante, anche i dati nella regione secondaria vengono criptati. La crittografia dei dati a riposo non aggiunge costi alla fattura.
File di Azure utilizza AES-GCM a 256 bit, conforme a FIPS 140-2. Per maggiori informazioni sui moduli crittografici utilizzati da File di Azure, vedi Cryptography API: Next Generation.
La crittografia a riposo protegge i dati dove sono archiviati. Non controlla chi può leggere o modificare i file; per controllare l'accesso ai dati dei file, vedi Proteggere le condivisioni file Azure.
Chiavi di crittografia
File di Azure cripta i tuoi dati con una chiave, e scegli tu chi gestisce quella chiave. Di default, Microsoft lo gestisce. Per le condivisioni file classiche, puoi gestire la chiave da solo. In entrambi i casi, File di Azure gestisce senza soluzione di continuità la crittografia e la decrittazione.
| Attribute | Chiavi gestite da Microsoft | Chiavi gestite dal cliente |
|---|---|---|
| Default | Yes | No |
| Operazioni di crittografia e decrittografia | Azure | Azure |
| Archiviazione delle chiavi | Microsoft archivio di chiavi | Azure Key Vault o Azure Key Vault Managed HSM |
| Rotazione delle chiavi | Microsoft | Tu |
| Gestione delle chiavi | Microsoft | Tu |
Chiavi gestite da Microsoft
Le chiavi gestite da Microsoft non necessitano di configurazione. Microsoft memorizza e controlla le chiavi e le ruota come previsto dai requisiti di conformità. Le condivisioni file create con Microsoft.FileShares utilizzano sempre chiavi gestite da Microsoft. Se hai requisiti specifici per la rotazione o l'audit delle chiavi, usa chiavi gestite dal cliente così da poter gestire e sottoporre ad audit la rotazione da solo.
Chiavi gestite dal cliente
Con le chiavi gestite dal cliente, controlli la chiave che protegge i dati in un account di archiviazione. Memorizzi la chiave in Azure Key Vault o Azure Key Vault Managed HSM, e l'account di archiviazione usa un'identità gestita per accedervi. Il Key Vault può trovarsi in un'area geografica o in una sottoscrizione diversa rispetto all'account di archiviazione. Può anche essere presente in un altro tenant Microsoft Entra, ad esempio quando un fornitore di servizi memorizza dati che la chiave del cliente protegge.
Una chiave gestita dal cliente si applica all'intero account storage. Una chiave protegge tutte le classiche condivisioni file nell'account di archiviazione, e non puoi usare una chiave diversa per ogni condivisione file. Se le condivisioni file necessitano di chiavi diverse, mettile in account di archiviazione diversi.
Quando gestisci la chiave, gestisci anche il suo ciclo di vita, inclusa la rotazione. Puoi configurare l'account di archiviazione per usare automaticamente l'ultima versione della chiave. Con questa opzione, l'account di archiviazione inizia a usare una nuova versione della chiave entro 24 ore dalla creazione. In alternativa, puoi specificare una versione della chiave e poi aggiornare l'account di archiviazione ogni volta che ruoti la chiave.
L'account di archiviazione deve essere in grado di accedere alla chiave per leggere e scrivere dati. Se disabiliti la chiave o rimuovi l'accesso dell'account di archiviazione alla chiave, i client non possono leggere o scrivere dati nell'account di archiviazione finché non ripristini l'accesso. Puoi usare questo comportamento per revocare l'accesso di proposito, ma un cambiamento accidentale della chiave o dei suoi permessi ha lo stesso effetto. Per evitare un cambiamento accidentale, limita chi può disabilitare la chiave o cambiarne i permessi. Le chiavi gestite dal cliente richiedono protezione contro la purga sul vault delle chiavi o sull'HSM gestito, quindi una chiave eliminata rimane recuperabile fino alla fine del suo periodo di conservazione.
Per i passaggi per configurare le chiavi gestite dal cliente, ruotare la chiave e revocare l'accesso, vedi Configurare crittografia a riposo con chiavi gestite dal cliente per File di Azure.
Crittografia dell'infrastruttura
La crittografia dell'infrastruttura aggiunge un secondo livello di crittografia sotto il primo. Con la crittografia dell'infrastruttura, File di Azure cripta i tuoi dati due volte: una volta a livello di servizio, con la chiave che scegli, e una volta a livello di infrastruttura, con una chiave separata gestita da Microsoft. I due livelli utilizzano algoritmi di crittografia differenti e chiavi differenti. Se un algoritmo o una chiave viene compromesso, l'altro livello continua a proteggere i tuoi dati.
La maggior parte dei carichi di lavoro non necessita di crittografia dell'infrastruttura, perché la crittografia a livello di servizio è sufficiente. Usa la crittografia dell'infrastruttura quando i tuoi requisiti di conformità richiedono la doppia crittografia.
Pianifica la crittografia dell'infrastruttura prima di implementare, perché puoi abilitarla solo quando crei un account di storage. Non puoi abilitarlo o disabilitarlo su un account di archiviazione esistente. Per usare la crittografia dell'infrastruttura per i dati che già possiedi, crea un nuovo account di archiviazione con crittografia dell'infrastruttura e migra i dati in una nuova condivisione file. Microsoft.FileShares non supporta la crittografia dell'infrastruttura.
Per creare un account di archiviazione con crittografia dell'infrastruttura, segui i passaggi in Crea un account di archiviazione per condivisioni file classiche.