Overzicht van gegevensbescherming

In de documentatie van Azure Storage verwijst gegevensbeveiliging naar strategieën voor het beveiligen van het opslagaccount en de gegevens daarin tegen verwijdering of wijziging, of voor het herstellen van gegevens nadat deze zijn verwijderd of gewijzigd. Het is belangrijk om na te denken over hoe u uw gegevens het beste kunt beveiligen voordat er een incident optreedt dat uw gegevens in gevaar kan brengen. Deze gids kan u vooraf helpen beslissen welke gegevensbeschermingsfuncties uw scenario vereist. Azure Storage biedt ook opties voor rampenherstel en beveiliging en netwerken. Al deze methoden werken samen voor een uitgebreide bescherming van uw gegevens.

Aanbevelingen voor basisgegevensbescherming

Als u basisdekking voor gegevensbescherming wilt voor uw opslagaccount en de gegevens die het bevat, neem dan de volgende stappen:

  1. Configureer een Azure Resource Manager-vergrendeling voor het opslagaccount om het account te beschermen tegen verwijdering of configuratiewijzigingen. Meer informatie...

  2. Schakel soft delete voor containers in voor het opslagaccount om een verwijderde container en de inhoud ervan te herstellen. Meer informatie...

  3. Schakel blob soft delete in voor het opslagaccount om een verwijderde of overschreven blob te herstellen. Meer informatie...

De volgende sectie beschrijft deze opties en andere gegevensbeschermingsopties voor andere scenario's in meer detail. Voor bescherming tegen bredere scenario's voor gegevensverlies, zoals onbedoeld verwijderen van accounts of ransomware, kunt u overwegen Azure Backup in te schakelen naast functies in het account.

Zie Samenvatting van kostenoverwegingen voor een overzicht van de kosten die bij deze functies zijn betrokken.

Aanbeveling

Gebruik Azure Copilot om suggesties te krijgen om de beschermingsstrategie van je opslagaccount te verbeteren. Zie voor meer informatie opslagaccounts beheren en migreren met behulp van Azure Copilot.

Overzicht van opties voor gegevensbescherming

De volgende tabel bevat een overzicht van de opties die beschikbaar zijn in Azure Storage voor algemene scenario's voor gegevensbeveiliging. Kies de scenario's die van toepassing zijn op uw situatie voor meer informatie over de beschikbare opties. Niet alle functies zijn op dit moment beschikbaar voor opslagaccounts waarvoor een hiërarchische naamruimte is ingeschakeld.

Scenario Optie voor gegevensbescherming Aanbevelingen Beschermingsvoordeel Beschikbaar voor Data Lake Storage
Voorkomen dat een opslagaccount wordt verwijderd of gewijzigd. Azure Resource Manager-vergrendeling
Meer informatie...		 Vergrendel al uw opslagaccounts met een Azure Resource Manager-vergrendeling om te voorkomen dat het opslagaccount wordt verwijderd. Beveiligt het opslagaccount tegen verwijdering of configuratiewijzigingen.

Beschermt containers of blobs in het account niet tegen verwijderen of overschrijven.		 Ja
Herstel een verwijderde container binnen een opgegeven interval. Container voorlopig verwijderen
Meer informatie...		 Schakel soft delete voor containers in voor alle opslagaccounts, met een minimale bewaarperiode van zeven dagen.

Schakel blob soft delete in voor optimale bescherming van blobgegevens.

Sla containers die verschillende bewaarperioden vereisen op in afzonderlijke opslagaccounts.		 Een verwijderde container en de inhoud ervan kunnen binnen de bewaarperiode worden hersteld.

Alleen bewerkingen op containerniveau (bijvoorbeeld Container verwijderen) kunnen worden hersteld. Met soft delete van containers kunt u geen afzonderlijke blob in de container herstellen als die blob is verwijderd.		 Ja
Herstel een verwijderde blob- of blobversie binnen een opgegeven interval. Blob zacht verwijderen
Meer informatie...		 Schakel blob voorlopig verwijderen in voor alle opslagaccounts, met een minimale bewaarperiode van zeven dagen.

Schakel container soft delete in voor optimale bescherming van blobgegevens.

Sla blobs met verschillende retentieperioden op in afzonderlijke opslagaccounts.		 Een verwijderde blob of blobversie kan binnen de retentieperiode worden hersteld. Ja
Sla de toestand van een blob automatisch op als een vorige versie wanneer deze wordt overschreven. Blob-versiebeheer
Meer informatie...		 Schakel blobversiebeheer in wanneer je automatisch wijzigingen door overschrijven en metadatawijzigingen wilt vastleggen en eerdere versies van gegevens wilt behouden totdat deze expliciet worden verwijderd. Om kosten te minimaliseren, gebruik je een levenscyclusbeheerbeleid of een storage actions-taak om oude versies automatisch te verwijderen.

Schakel blob soft delete in voor een extra beschermingslaag. Meer informatie...

Sla blobgegevens waarvoor geen versiebeheer is vereist op in een afzonderlijk account om de kosten te beperken.		 Elke blob-schrijfbewerking maakt een nieuwe versie. Wanneer je een blob verwijdert, wordt de huidige versie van de blob een eerdere versie. Eerdere versies blijven bestaan totdat ze expliciet worden verwijderd of als huidige versie worden ingesteld. Nee
Sla de toestand van een blob handmatig op een bepaald tijdstip op. Blob-snapshot
Meer informatie...		 Aanbevolen voor opzettelijke vastleggingen op een bepaald tijdstip, of als alternatief voor blobversiebeheer op accounts met hiërarchische naamruimte, waar versiebeheer niet beschikbaar is. Een blob kan worden hersteld uit een snapshot als de blob is overschreven. Als de blob wordt verwijderd, worden ook momentopnamen verwijderd.

Wanneer blob soft delete is ingeschakeld, resulteren overschrijvingen in het creëren van zacht verwijderde snapshots.		 Nee
Voorkom dat een blobversie wordt verwijderd voor een interval dat u bepaalt. Onveranderbaarheidsbeleid voor een blobversie
Meer informatie...		 Stel een onveranderbaarheidsbeleid in voor een afzonderlijke blobversie om bedrijfskritieke documenten te beveiligen, bijvoorbeeld om te voldoen aan wettelijke of regelgevende nalevingsvereisten. Beveiligt een blobversie tegen verwijderen en tegen het overschrijven van de metagegevens ervan. Met een overschrijfbewerking wordt een nieuwe versie gemaakt.

Als ten minste één container onveranderbaarheid op versieniveau heeft ingeschakeld, wordt het opslagaccount ook beschermd tegen verwijdering. Het verwijderen van een container mislukt als er ten minste één blob in de container bestaat.		 Nee
Voorkom dat een container en de bijbehorende blobs worden verwijderd of gewijzigd voor een interval dat u bepaalt. Onwijzigbaarheidsbeleid voor een container
Meer informatie...		 Stel een onveranderbaarheidsbeleid in voor een container om bedrijfskritieke documenten te beveiligen, bijvoorbeeld om te voldoen aan wettelijke of regelgevende nalevingsvereisten. Beschermt een container en de bijbehorende blobs tegen alle verwijderingen en overschrijvingen.

Wanneer een juridische bewaring of een vergrendeld op tijd gebaseerd bewaarbeleid van kracht is, wordt het opslagaccount ook beschermd tegen verwijdering. Containers waarvoor geen beleid voor onveranderbaarheid is ingesteld, worden niet beschermd tegen verwijdering.		 Ja
Herstel een set blok-blobs naar een eerder tijdstip. Herstel naar een bepaald tijdstip
Meer informatie...		 Als u herstel naar een eerder tijdstip wilt gebruiken om terug te keren naar een eerdere toestand, ontwerpt u uw toepassing zo dat afzonderlijke blok-blobs worden verwijderd in plaats van containers. Een set blok-blobs kan worden teruggezet naar hun status op een specifiek moment in het verleden.

Alleen bewerkingen die worden uitgevoerd op blok-blobs, worden ongedaan gemaakt. Bewerkingen die worden uitgevoerd op containers, pagina-blobs of append-blobs, worden niet teruggezet.		 Nee
Een blob kan worden verwijderd of overschreven, maar de gegevens worden regelmatig gekopieerd naar een tweede opslagaccount. Azure Blob-kluisback-up
Meer informatie		 Schakel vaulted backup in zodat een offsite kopie van je gegevens wordt geback-upt naar een Microsoft-tenant zonder rechtstreekse toegang. Biedt selectieve back-ups van essentiële containers en maakt het mogelijk om individuele containers te herstellen naar een opslagaccount dat verschilt van het bronopslagaccount. Ja

AzCopy en Azure Data Factory worden ondersteund.

Objectreplicatie wordt niet ondersteund.
Kopieer blokblobs asynchroon naar een bestemmingsaccount in een andere regio. Objectreplicatie Lees meer... Schakel objectreplicatie in om een redundante kopie van blokblobs in een andere regio te behouden, zodat je data beschikbaar blijft als de bronregio niet meer beschikbaar wordt. Sla blokblobs op die replicatie vereisen in General-purpose v2- of premium block blob-accounts, omdat objectreplicatie alleen deze accounttypes ondersteunt. Blokblobs die naar het bronaccount worden geschreven, worden asynchroon gekopieerd naar het bestemmingsaccount volgens het replicatiebeleid. Alleen blokblobs worden gerepliceerd; append-blobs en page blobs worden niet ondersteund, en objectreplicatie beschermt niet tegen het per ongeluk verwijderen van een individuele blob binnen een account. Ja

Gegevensbeveiliging per resourcetype

De volgende tabel bevat een overzicht van de opties voor gegevensbeveiliging van Azure Storage op basis van de resources die ze beveiligen.

Optie voor gegevensbescherming Beschermt een account tegen verwijdering Beschermt een container tegen verwijdering Beschermt een object tegen verwijdering Beschermt een object tegen overschrijvingen
Azure Resource Manager-vergrendeling Ja Nee Nee Nee
Container zacht verwijderen Nee Ja Nee Nee
Blob voorlopig wissen Nee Nee Ja Ja
Blob-versiebeheer6 Nee Nee Ja Ja
Blob snapshot6 Nee Nee Nee Ja
Onveranderbaarheidsbeleid voor een blobversie Ja1 Ja2 Ja Ja3
Immutabiliteitsbeleid voor een container Ja4 Ja Ja Ja
Herstel naar een bepaald tijdstip5 Nee Nee Ja Ja
Azure Blob-back-up in kluis Nee Ja Ja Ja
Object replicatie7 Nee Ja Ja Ja
Eigen oplossing voor het kopiëren van gegevens naar een tweede account6 Nee Ja Ja Ja

1 Het verwijderen van opslagaccounts mislukt als er ten minste één container is met versie-niveau onveranderlijke opslag ingeschakeld.
2 Containerverwijdering mislukt als er ten minste één blob in de container aanwezig is, ongeacht of het beleid vergrendeld of ontgrendeld is.
3 Het overschrijven van de inhoud van de huidige versie van de blob creëert een nieuwe versie. Een beleid voor onveranderbaarheid beschermt de metagegevens van een versie tegen het overschreven worden.
4 Hoewel een juridische blokkering of een vergrendeld tijdgebaseerd retentiebeleid van kracht is op container-scope, is het opslagaccount ook beschermd tegen verwijdering.
5 Momenteel niet ondersteund voor Data Lake Storage-workloads.
6 AzCopy en Azure Data Factory zijn opties die worden ondersteund voor zowel Blob Storage- als Data Lake Storage-workloads. Objectreplicatie wordt alleen ondersteund voor Blob Storage-workloads.
7 Een gerepliceerde kopie wordt bewaard in het bestemmingsaccount. Objectreplicatie voorkomt niet het verwijderen van de blob in het bronaccount, en replicatie is asynchroon, dus recente schrijfacties zijn mogelijk nog niet aanwezig op de bestemming.

Gegevensherstelacties op basis van het resourcetype

Als u gegevens wilt herstellen die zijn overschreven of verwijderd, hangt het ervan af hoe u te werk gaat welke opties voor gegevensbeveiliging u hebt ingeschakeld en welke resource is beïnvloed. In de volgende tabel worden de acties beschreven die u kunt uitvoeren om gegevens te herstellen.

Verwijderde of overschreven resource Mogelijke herstelacties Vereisten voor herstel
opslagaccount Poging om het verwijderde opslagaccount te herstellen
Meer informatie...		 Het opslagaccount is oorspronkelijk gemaakt met het Azure Resource Manager-implementatiemodel en is in de afgelopen 14 dagen verwijderd. Er is niet opnieuw een opslagaccount met dezelfde naam gemaakt nadat het oorspronkelijke account is verwijderd.
Container De zacht verwijderde container en de inhoud ervan herstellen
Meer informatie...		 Container voorlopig verwijderen is ingeschakeld en de bewaarperiode voor container voorlopig verwijderen is nog niet verlopen.
Containers en blobs Gegevens herstellen vanuit een tweede opslagaccount Alle container- en blobbewerkingen zijn daadwerkelijk gerepliceerd naar een tweede opslagaccount.
Blob Een zacht verwijderde blob herstellen
Meer informatie...		 Soft delete voor blobs is ingeschakeld en het bewaarinterval voor soft delete is niet verlopen.
Set blokblobs Een set blok-blobs herstellen naar hun status op een eerder tijdstip1
Meer informatie...		 Herstel naar een bepaald tijdstip is ingeschakeld en het herstelpunt valt binnen het bewaarinterval. Het opslagaccount is niet gecompromitteerd of beschadigd.
Blob-snapshot Herstel een voorlopig verwijderde snapshot1
Meer informatie...		 Blob soft delete is ingeschakeld, je hebt de blob overschreven om een soft-deleted snapshot te maken, en het soft delete-retentieinterval is nog niet verlopen. Ofwel, soft delete voor blobs was ingeschakeld, je verwijderde een snapshot, en de retentieperiode voor soft delete is nog niet verlopen.
Blob-versie Een zacht verwijderde versie1 herstellen
Meer informatie...		 Blob voorlopig verwijderen is ingeschakeld en het bewaarinterval voor voorlopig verwijderen is niet verlopen.

1 Momenteel niet ondersteund voor Data Lake Storage-workloads.

Overzicht van kostenoverwegingen

De volgende tabel bevat een overzicht van de kostenoverwegingen voor de verschillende opties voor gegevensbescherming die in deze handleiding worden beschreven. Het inschakelen of configureren van de volgende functies is gratis, maar houd rekening met de kosten die hun gedrag met zich meebrengt.

Optie voor gegevensbescherming Kostenoverwegingen
Azure Resource Manager-vergrendeling voor een opslagaccount Er worden geen kosten in rekening gebracht voor het configureren van een vergrendeling voor een opslagaccount.
Container voorlopig wissen Gegevens in een container die voorlopig is verwijderd, worden tegen hetzelfde tarief gefactureerd als actieve gegevens totdat de container die voorlopig is verwijderd permanent is verwijderd.
Blob tijdelijk verwijderen Voorlopig verwijderde blobdata wordt tegen hetzelfde tarief gefactureerd als actieve data totdat deze permanent wordt verwijderd.

Je wordt niet gefactureerd voor transacties die automatisch snapshots of versies genereren wanneer een blob wordt overschreven of verwijderd, maar je wordt wel gefactureerd voor aanroepen naar de Undelete Blob-operatie tegen het schrijf-transactietarief.

Het inschakelen van soft delete voor vaak overschreven data kan de capaciteitskosten en de latentie bij het weergeven van lijsten verhogen. Om de impact te meten, raadt Microsoft aan te beginnen met een minimale retentieperiode van zeven dagen. Voor meer informatie, zie Prijzen en facturering.
Blob-versiebeheer Nadat je blob-versiebeheer hebt ingeschakeld, maakt elke schrijfbewerking op een blob in het account een nieuwe versie, wat kan leiden tot hogere capaciteitskosten.

Je betaalt voor een blobversie gebaseerd op unieke blokken of pagina's. De kosten nemen daarom toe naarmate de basisblob afwijkt van een bepaalde versie. Het wijzigen van de tier van een blob of blobversie kan een factureringseffect hebben. Zie Prijzen en facturering voor meer informatie.

Gebruik levenscyclusbeheer of opslagacties om oudere versies indien nodig te verwijderen om kosten te beheersen.
Blob-momentopnamen Je betaalt voor data in een snapshot gebaseerd op unieke blokken of pagina's. De kosten nemen daarom toe naarmate de base blob afwijkt van de snapshot. Het wijzigen van de tier van een blob of snapshot kan een factureringseffect hebben. Zie Prijzen en facturering voor meer informatie.

Gebruik levenscyclusbeheer of opslagacties om oudere snapshots te verwijderen indien nodig om de kosten te beheersen.
Onveranderbaarheidsbeleid voor een blobversie Het maken, wijzigen of verwijderen van een bewaarbeleid op basis van tijd of juridische bewaring op een blobversie resulteert in schrijftransactiekosten.
Onveranderlijkheidsbeleid voor een container Onveranderlijke data wordt geprijsd tegen hetzelfde tarief als veranderlijke data. Facturering blijft bestaan totdat de gegevens nog wijzigbaar zijn en worden verwijderd.
Herstellen naar een bepaald tijdstip Het inschakelen van point-in-time herstel maakt ook blobversiebeheer, soft delete en change feed mogelijk, die elk kunnen leiden tot andere kosten.

U wordt gefactureerd voor herstel naar een specifiek tijdstip wanneer u een herstelbewerking uitvoert. De kosten van een herstelbewerking zijn afhankelijk van de hoeveelheid gegevens die wordt hersteld. Zie Prijzen en facturering voor meer informatie.
Gearchiveerde back-up Voor Vaulted Backup zijn er back-upopslagkosten of instantiekosten, en de bronkosten (geassocieerd met objectreplicatie) op de bronaccount waarvan een back-up is gemaakt. Zie Prijzen.
Object Replication Het configureren van objectreplicatie is gratis, inclusief het inschakelen van wijzigingsfeed, blobversiebeheer en het toevoegen van replicatiebeleid. Objectreplicatie vereist wijzigingsfeed en versiebeheer, die elk kunnen resulteren in andere charges.

Het bijhouden van gerepliceerde data in het bestemmingsaccount brengt capaciteitskosten met zich mee, waaronder de opslagkosten van de blob en elke blobversie. Als het bestemmingsaccount zich in een andere regio dan de bron bevindt, brengt het repliceren van data ook egresskosten met zich mee.

Objectreplicatie brengt transactiekosten met zich mee: een schrijf-transactiekost op het bronaccount en lees- en schrijftransactiekosten op het doelaccount, inclusief de kosten voor het lezen van wijzigingsfeedrecords. Zie Facturering voor meer informatie.
Gegevens kopiëren naar een tweede opslagaccount Voor het onderhouden van gegevens in een tweede opslagaccount worden capaciteits- en transactiekosten in rekening gebracht. Als het tweede opslagaccount zich in een andere regio bevindt dan het bronaccount, worden er bij het kopiëren van gegevens naar dat tweede account bovendien egresskosten in rekening gebracht.

Volgende stappen

  • Laatst bijgewerkt om