Crittografia in Azure

Descrizione del servizio Microsoft Purview

Le misure di sicurezza tecnologiche in Azure, ad esempio le comunicazioni crittografate e i processi operativi, consentono di proteggere i dati. È anche possibile implementare funzionalità di crittografia aggiuntive e gestire le proprie chiavi di crittografia. Indipendentemente dalla configurazione del cliente, Microsoft applica la crittografia per proteggere i dati dei clienti in Azure. Microsoft consente inoltre di controllare i dati ospitati in Azure attraverso una gamma di tecnologie avanzate per crittografare, controllare e gestire le chiavi crittografiche e controllare l'accesso ai dati. Inoltre, Archiviazione di Azure offre un set completo di funzionalità di sicurezza che consentono agli sviluppatori di creare applicazioni sicure.

Azure offre molti meccanismi per proteggere i dati mentre si sposta da una posizione a un'altra. Microsoft usa TLS per proteggere i dati quando viaggiano tra i servizi cloud e i clienti. I data center Microsoft negoziano una connessione TLS con i sistemi client che si connettono ai servizi Azure. Forward Secrecy (FS) protegge le connessioni tra i sistemi client dei clienti e i servizi cloud di Microsoft tramite chiavi univoche. Le connessioni usano anche lunghezze di chiave di crittografia a 2.048 bit basate su RSA. Questa combinazione rende difficile per un utente intercettare e accedere ai dati in transito.

I dati possono essere protetti in transito tra un'applicazione e Azure usando la crittografia lato client, HTTPS o SMB 3.0. È possibile abilitare la crittografia per il traffico tra le proprie macchine virtuali (VM) e gli utenti. Con Azure reti virtuali, è possibile usare il protocollo IPsec standard del settore per crittografare il traffico tra il gateway VPN aziendale e Azure nonché tra le macchine virtuali presenti nel Rete virtuale.

Per i dati inattivi, Azure offre molte opzioni di crittografia, ad esempio il supporto per AES-256, consentendo di scegliere lo scenario di archiviazione dei dati più adatto alle proprie esigenze. I dati possono essere crittografati automaticamente quando scritti in archiviazione Azure tramite crittografia del servizio di archiviazione (SSE) e i dischi dati e del sistema operativo usati dalle macchine virtuali possono essere crittografati. Per altre informazioni, vedere Consigli sulla sicurezza per le macchine virtuali Windows in Azure. Inoltre, l'accesso delegato agli oggetti dati in archiviazione Azure può essere concesso tramite firme di accesso condiviso. Azure fornisce anche la crittografia per i dati inattivi usando Transparent Data Encryption per Azure SQL database e Data Warehouse.

Per altre informazioni sulla crittografia in Azure, vedere panoramica della crittografia Azure e Azure Crittografia dati inattivi.

Crittografia dischi Azure

Azure Crittografia dischi consente di crittografare i dischi delle macchine virtuali Windows e Linux Infrastructure as a Service (IaaS). Azure Crittografia dischi usa la funzionalità BitLocker di Windows e la funzionalità DM-Crypt di Linux per fornire la crittografia a livello di volume per il sistema operativo e i dischi dati. Garantisce inoltre che tutti i dati nei dischi della macchina virtuale vengano crittografati inattivi nell'archiviazione Azure. Azure Crittografia dischi è integrato con Azure Key Vault per controllare, gestire e controllare l'uso delle chiavi e dei segreti di crittografia.

Per altre informazioni, vedere Consigli sulla sicurezza per le macchine virtuali Windows in Azure.

Crittografia del servizio Archiviazione di Azure

Con Azure crittografia del servizio di archiviazione, archiviazione Azure crittografa automaticamente i dati prima di renderli persistenti nell'archiviazione e decrittografa i dati prima del recupero. I processi di crittografia, decrittografia e gestione delle chiavi sono totalmente trasparenti per gli utenti. Azure crittografia del servizio di archiviazione può essere usata per Archiviazione BLOB di Azure e File di Azure. È anche possibile usare chiavi di crittografia gestite da Microsoft con Azure Crittografia del servizio di archiviazione oppure usare chiavi di crittografia personalizzate. Per informazioni sull'uso di chiavi personalizzate, vedere Crittografia del servizio di archiviazione con chiavi gestite dal cliente in Azure Key Vault. Per informazioni sull'uso delle chiavi gestite da Microsoft, vedere Crittografia del servizio di archiviazione per i dati inattivi. È anche possibile automatizzare l'uso della crittografia. Ad esempio, è possibile abilitare o disabilitare a livello di codice Crittografia del servizio di archiviazione in un account di archiviazione usando l'API REST del provider di risorse di archiviazione Azure, la libreria client del provider di risorse di archiviazione per .NET, Azure PowerShell o l'interfaccia della riga di comando Azure.

Alcuni servizi di Microsoft 365 usano Azure per l'archiviazione dei dati. Ad esempio, SharePoint Online e OneDrive for Business archiviano i dati in Azure archiviazione BLOB e Microsoft Teams archivia i dati per il servizio chat in tabelle, BLOB e code. Inoltre, la funzionalità Compliance Manager nel portale di Microsoft Purview archivia i dati immessi dal cliente in formato crittografato in Azure Cosmos DB, un database PaaS (Platform as a Service), distribuito a livello globale e multimodelli. Azure Crittografia del servizio di archiviazione crittografa i dati archiviati in Azure archiviazione BLOB e nelle tabelle e Azure Crittografia dischi crittografa i dati nelle code, nonché i dischi delle macchine virtuali Windows e IaaS per fornire la crittografia del volume per il sistema operativo e il disco dati. La soluzione garantisce che tutti i dati nei dischi delle macchine virtuali siano crittografati inattivi nell'archiviazione Azure. La crittografia inattivi in Azure Cosmos DB viene implementata usando diverse tecnologie di sicurezza, tra cui sistemi di archiviazione delle chiavi sicuri, reti crittografate e API di crittografia.

Azure Key Vault

La gestione sicura delle chiavi non è solo fondamentale per le procedure consigliate di crittografia; è anche essenziale per proteggere i dati nel cloud. Azure Key Vault consente di crittografare chiavi e piccoli segreti, ad esempio le password che usano chiavi archiviate in moduli di sicurezza hardware (HSM). Azure Key Vault è la soluzione consigliata da Microsoft per la gestione e il controllo dell'accesso alle chiavi di crittografia usate dai servizi cloud. Le autorizzazioni per accedere alle chiavi possono essere assegnate ai servizi o agli utenti con account Microsoft Entra. Azure Key Vault evita alle organizzazioni di dover configurare, applicare patch e gestire moduli di protezione hardware e software di gestione delle chiavi. Con Azure Key Vault, Microsoft non vede mai le chiavi e le applicazioni non hanno accesso diretto ad esse, ma si mantiene il controllo. È anche possibile importare o generare chiavi in moduli di protezione hardware. Le organizzazioni che dispongono di una sottoscrizione che include Microsoft Purview Information Protection possono configurare la chiave radice per il servizio Azure Rights Management in modo da usare una chiave gestita dal cliente Bring Your Own Key (BYOK)) e registrarne l'utilizzo.