Esplorare le funzionalità di sicurezza di Archiviazione di Azure

L'attività di Contoso si basa principalmente su grandi quantità di dati in Archiviazione di Azure. Numerose applicazioni usano i BLOB, l'archiviazione tabelle non strutturate, Azure Data Lake e le condivisioni di file basate su SMB (Server Message Block).

Dopo una violazione dei dati subita da un concorrente, Contoso richiede all'amministratore di rete di verificare la sicurezza dei dati dell'organizzazione. Come consulente dati di Contoso, si garantisce all'amministratore di rete che gli account di Archiviazione di Azure offrono diverse opzioni di sicurezza di alto livello per i dati nel cloud:

• Protezione dei dati inattivi
• Protezione dei dati in transito
• Supporto dell'accesso tra domini del browser
• Controllo degli utenti che accedono ai dati
• Controllo dell'accesso alle risorse di archiviazione

Crittografia dei dati a riposo

Tutti i dati scritti in Archiviazione di Azure vengono crittografati automaticamente tramite la funzionalità di crittografia del servizio di archiviazione con crittografia AES (Advanced Encryption Standard) a 256 bit e in modo conforme a FIPS 140-2. SSE crittografa automaticamente i dati durante la scrittura in Archiviazione di Azure. Quando si leggono dati da Archiviazione di Azure, Archiviazione di Azure li decripta prima di restituirli. Questo processo non comporta costi aggiuntivi e non influisce negativamente sulle prestazioni. Non può essere disabilitato.

Per le macchine virtuali, Azure consente di crittografare i dischi rigidi virtuali (VHD) con Crittografia dischi di Azure. Questo tipo di crittografia usa BitLocker per le immagini di Windows e dm-crypt per Linux.

Le chiavi vengono memorizzate automaticamente in Azure Key Vault per consentire il controllo e la gestione dei segreti e delle chiavi di crittografia dei dischi. Quindi, anche se qualcuno riesce ad accedere all'immagine VHD e a scaricarla, non può accedere ai dati contenuti nel VHD.

Crittografia dei dati in transito

Proteggere i dati abilitando la sicurezza a livello di trasporto tra Azure e il client. Usare sempre HTTPS per proteggere le comunicazioni tramite Internet pubblico. Quando si chiamano le API REST per accedere agli oggetti negli account di archiviazione, è possibile applicare l'uso di HTTPS richiedendo il trasferimento sicuro per l'account di archiviazione. Dopo aver abilitato il trasferimento sicuro, le connessioni che usano HTTP verranno rifiutate. Questo flag impone anche il trasferimento sicuro via SMB rendendo obbligatorio l'uso di SMB 3.0 per tutte le condivisioni di file montate.

Supporto CORS

Contoso archivia diversi tipi di asset del sito Web in Archiviazione di Azure. Questi tipi includono immagini e video. Per proteggere le app del browser, Contoso blocca le richieste GET fino a domini specifici.

L'Archiviazione di Azure supporta l'accesso tra domini tramite la condivisione delle risorse tra origini diverse (CORS). CORS usa le intestazioni HTTP per consentire a un'applicazione Web in un dominio di accedere alle risorse da un server di un altro dominio. Usando CORS le app Web caricano solo contenuti autorizzati di origini autorizzate.

Il supporto per CORS è un flag facoltativo che è possibile abilitare negli account di archiviazione. Il flag aggiunge le intestazioni appropriate quando si usano richieste GET HTTP per recuperare le risorse dall'account di archiviazione.

Controllo degli accessi in base al ruolo

Per accedere ai dati in un account di archiviazione, il client effettua una richiesta via HTTP o HTTPS. Tutte le richieste a una risorsa protetta devono essere autorizzate. Il servizio assicura che il client abbia le autorizzazioni necessarie per accedere ai dati. È possibile scegliere tra diverse opzioni di accesso. L'opzione più flessibile è probabilmente l'accesso basato sui ruoli.

Archiviazione di Azure supporta Microsoft Entra ID e il controllo degli accessi basato sui ruoli (RBAC) sia per la gestione delle risorse che per le operazioni sui dati. Per le entità di sicurezza, è possibile assegnare i ruoli Controllo degli accessi in base al ruolo che hanno come ambito l'account di archiviazione. È possibile usare Microsoft Entra ID per autorizzare le operazioni di gestione delle risorse, ad esempio la configurazione. Microsoft Entra ID è supportato per le operazioni sui dati nei servizi di archiviazione Blob, File, Queue e Table.

È possibile assegnare ruoli del controllo degli accessi in base al ruolo a un'entità di sicurezza o un'identità gestita per le risorse di Azure con ambito impostato su una sottoscrizione, un gruppo di risorse, un account di archiviazione o un singolo contenitore o coda.

Controllo dell'accesso

L'audit è un'altra componente del controllo degli accessi. È possibile verificare l'accesso ad Archiviazione di Azure usando il servizio integrato Analisi archiviazione.

Analisi archiviazione registra ogni operazione in tempo reale ed è possibile eseguire ricerche di richieste specifiche nei log di Analisi archiviazione. È possibile filtrare in base al meccanismo di autenticazione, all'esito positivo dell'operazione o alla risorsa cui è stato eseguito l'accesso.