Best practices voor het beveiligen van PaaS-web- en mobiele applicaties door gebruik te maken van Azure Storage

Dit artikel bespreekt een verzameling van Azure Storage beveiligingsbest practices voor het beveiligen van je platform-as-a-service (PaaS) web- en mobiele applicaties. Microsoft heeft deze best practices afgeleid uit ervaring met Azure- en Azure-klanten.

Azure maakt het mogelijk om opslag te implementeren en te gebruiken op manieren die on-premises niet eenvoudig haalbaar zijn. Met Azure Storage kun je met relatief weinig moeite hoge schaalbaarheid en beschikbaarheid bereiken. Azure Storage vormt de basis voor Windows- en Linux Azure Virtuele Machines, en kan ook grote gedistribueerde applicaties ondersteunen.

Azure Storage biedt vier diensten: Blob storage, Table storage, Queue storage en File storage. Zie Inleiding tot Microsoft Azure Storage voor meer informatie.

In dit artikel worden de volgende aanbevolen procedures behandeld:

  • Gedeelde Toegangskenmerken (SAS)
  • op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC)
  • Client-side encryptie voor data met hoge waarde
  • Opslagserviceversleuteling

Een handtekening voor gedeelde toegang gebruiken in plaats van een opslagaccountsleutel

Toegangsbeheer is essentieel. Om u te helpen de toegang tot Azure Storage te beheren, genereert Azure twee 512-bits opslagaccountsleutels (SAK's) wanneer u een opslagaccount maakt. Deze sleutelredundantie helpt u onderbrekingen van de dienstverlening tijdens routinematige sleutelrotatie te voorkomen.

Toegangssleutels voor opslag zijn geheimen met hoge prioriteit en mogen alleen toegankelijk zijn voor mensen die verantwoordelijk zijn voor toegangscontrole tot opslag. Als de verkeerde mensen toegang krijgen tot deze sleutels, krijgen ze volledige controle over de opslag en kunnen ze bestanden vervangen, verwijderen of toevoegen. Aanvallers kunnen malware en andere soorten content uploaden die uw organisatie of uw klanten kunnen compromitteren.

U hebt nog steeds een manier nodig om toegang te bieden tot objecten in de opslag. Om meer gedetailleerde toegang te bieden, maak gebruik van shared access signature (SAS). SAS stelt je in staat om specifieke objecten in opslag te delen voor een vooraf gedefinieerd tijdsinterval en met specifieke permissies. Met een handtekening voor gedeelde toegang kunt u het volgende definiëren:

  • Het interval waarvoor de SAS geldig is, inclusief de begintijd en de verlooptijd.
  • De machtigingen die zijn verleend door de SAS. Bijvoorbeeld, een SAS op een blob kan een gebruiker lees- en schrijfrechten verlenen aan die blob, maar geen verwijderrechten.
  • Een optioneel IP-adres of bereik van IP-adressen waaruit Azure Storage de SAS accepteert. U kunt bijvoorbeeld een bereik opgeven van IP-adressen die deel uitmaken van uw organisatie. Deze optie biedt een extra mate van veiligheid voor je SAS.
  • Het protocol waarmee Azure Storage de SAS accepteert. Je kunt deze optionele parameter gebruiken om de toegang te beperken tot clients die HTTPS gebruiken.

Met SAS kunt u inhoud delen zoals u deze wilt delen zonder uw opslagaccountsleutels weg te geven. Gebruik altijd SAS in je applicatie om je opslagbronnen veilig te delen zonder je opslagaccountsleutels te compromitteren.

Voor meer informatie over shared access-handtekeningen, zie Gebruik shared access-handtekeningen.

Op rollen gebaseerd toegangsbeheer van Azure gebruiken

Een andere manier om toegang te beheren, is door op rollen gebaseerd toegangsbeheer van Azure (Azure RBAC) te gebruiken. Met Azure RBAC richt u zich op het geven van de exacte machtigingen die werknemers nodig hebben, op basis van de noodzaak om beveiligingsprincipes met minimale bevoegdheden te kennen. Te veel machtigingen kunnen een account beschikbaar maken voor aanvallers. Te weinig machtigingen betekent dat werknemers hun werk niet efficiënt kunnen uitvoeren. Azure RBAC helpt dit probleem op te lossen door gedetailleerd toegangsbeheer voor Azure aan te bieden. Toegangsbeheer is essentieel voor organisaties die beveiligingsbeleid willen afdwingen voor gegevenstoegang.

U kunt ingebouwde Azure-rollen in Azure gebruiken om bevoegdheden toe te wijzen aan gebruikers. Gebruik bijvoorbeeld de rol Storage Account Contributor voor cloudoperators die opslagaccounts moeten beheren en de rol Classic Storage Account Contributor om klassieke opslagaccounts te beheren. Voor cloudoperators die VM's moeten beheren, maar niet het virtuele netwerk of opslagaccount waarmee ze zijn verbonden, kunt u ze toevoegen aan de rol Inzender voor virtuele machines.

Organisaties die geen toegangscontrole voor data afdwingen met mogelijkheden zoals Azure RBAC, kunnen gebruikers meer rechten geven dan nodig is. Meer bevoegdheden dan nodig kan leiden tot inbreuk op gegevens doordat sommige gebruikers toegang hebben tot gegevens die ze niet in de eerste plaats mogen hebben.

Voor meer informatie over Azure RBAC, zie:

Gebruik client-side encryptie voor data met hoge waarde

Met versleuteling aan de clientzijde kunt u gegevens die onderweg zijn programmatisch versleutelen voordat u uploadt naar Azure Storage en gegevens programmatisch ontsleutelen bij het ophalen ervan. Versleuteling aan de clientzijde biedt versleuteling van gegevens tijdens overdracht, maar biedt ook versleuteling van gegevens in ruste. Versleuteling aan de clientzijde is de veiligste methode voor het versleutelen van uw gegevens, maar hiervoor moet u programmatische wijzigingen aanbrengen in uw toepassing en sleutelbeheerprocessen uitvoeren.

Met versleuteling aan de clientzijde hebt u ook de enige controle over uw versleutelingssleutels. U kunt uw eigen versleutelingssleutels genereren en beheren. Dit proces maakt gebruik van een envelope-techniek waarbij de Azure Storage-clientbibliotheek een inhoudsversleutelingssleutel (CEK) genereert en deze vervolgens inpakt (versleutelt) met behulp van de sleutelcoderingssleutel (KEK). Een sleutelidentificatie identificeert de KEK. De KEK kan een asymmetrisch sleutelpaar of een symmetrische sleutel zijn, en je kunt het lokaal beheren of opslaan in Azure Key Vault.

Versleuteling aan de clientzijde is ingebouwd in Java en de .NET Storage-clientbibliotheken. Zie Client-side encryptie voor blobs voor informatie over het versleutelen van data binnen clientapplicaties en het genereren en beheren van je eigen encryptiesleutels.

Schakel versleuteling van de Storage-service in voor inactieve gegevens

Wanneer je Storage service-encryptie voor bestandsopslag inschakelt, versleutelt Azure Storage automatisch de data met AES-256-encryptie. Microsoft verwerkt alle versleuteling, ontsleuteling en sleutelbeheer. Deze functie is beschikbaar voor LRS- en GRS-redundantietypen.

Volgende stappen

In dit artikel hebt u kennisgemaakt met een verzameling aanbevolen procedures voor Azure Storage-beveiliging voor het beveiligen van uw PaaS-web- en mobiele toepassingen. Zie voor meer informatie over het beveiligen van uw PaaS-implementaties:

  • Last updated on