Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Clients die aanvragen indienen voor Azure Blob Storage, kunnen een AES-256-versleutelingssleutel bieden om die blob te versleutelen tijdens een schrijfbewerking. Volgende verzoeken voor lezen of schrijven naar de blob moeten dezelfde sleutel bevatten. Het opnemen van de versleutelingssleutel in de aanvraag biedt gedetailleerde controle over versleutelingsinstellingen voor blobopslagbewerkingen. Door de klant verstrekte sleutels kunnen worden opgeslagen in Azure Key Vault of in een andere sleutelopslag.
Lees- en schrijfbewerkingen versleutelen
Wanneer een clienttoepassing in de aanvraag een versleutelingssleutel opgeeft, voert Azure Storage op transparante wijze versleuteling en ontsleuteling uit tijdens het lezen en schrijven van blobgegevens. Azure Storage schrijft een SHA-256-hash van de versleutelingssleutel naast de inhoud van de blob. De hash wordt gebruikt om te controleren of alle volgende bewerkingen voor de blob dezelfde versleutelingssleutel gebruiken.
Azure Storage slaat de versleutelingssleutel die de client met de aanvraag verzendt, niet op of beheert deze. De sleutel wordt veilig verwijderd zodra het versleutelings- of ontsleutelingsporces is voltooid.
Wanneer een client een blob maakt of bijwerkt met behulp van een door de klant verstrekte sleutel in de aanvraag, moeten volgende lees- en schrijfaanvragen voor die blob ook de sleutel opgeven. Als de sleutel niet is opgegeven in een aanvraag voor een blob die al is versleuteld met een door de klant geleverde sleutel, mislukt de aanvraag met foutcode 409 (Conflict).
Als de clienttoepassing een versleutelingssleutel op de aanvraag verzendt en het opslagaccount ook wordt versleuteld met een door Microsoft beheerde sleutel of een door de klant beheerde sleutel, gebruikt Azure Storage de sleutel die is opgegeven in de aanvraag voor versleuteling en ontsleuteling.
Als u de versleutelingssleutel als onderdeel van de aanvraag wilt verzenden, moet een client een beveiligde verbinding met Azure Storage tot stand brengen met behulp van HTTPS.
Elke blob-momentopname of blobversie kan een eigen versleutelingssleutel hebben.
Objectreplicatie wordt niet ondersteund voor blobs in het bronaccount die zijn versleuteld met een door de klant geleverde sleutel.
Aanvraagheaders voor het opgeven van door de klant aangeleverde sleutels
Voor REST-aanroepen kunnen clients de volgende headers gebruiken om informatie over de versleutelingssleutel veilig door te geven met een aanvraag naar Blob Storage:
| Request-header | Beschrijving |
|---|---|
x-ms-encryption-key |
Vereist voor zowel schrijf- als leesaanvragen. Een met Base64 gecodeerde AES-256-versleutelingssleutelwaarde. |
x-ms-encryption-key-sha256 |
Vereist voor zowel schrijf- als leesaanvragen. De Base64-gecodeerde SHA256 van de versleutelingssleutel. |
x-ms-encryption-algorithm |
Vereist voor schrijfaanvragen, optioneel voor leesaanvragen. Hiermee geeft u het algoritme op dat moet worden gebruikt bij het versleutelen van gegevens met behulp van de opgegeven sleutel. De waarde van deze header moet zijn AES256. |
Het opgeven van versleutelingssleutels in de aanvraag is optioneel. Als u echter een van de bovenstaande headers opgeeft voor een schrijfbewerking, moet u deze allemaal opgeven.
Als je een gebruikersdelegatie-SAS gebruikt en de signedVersion (sv) is ingesteld op 2026-04-06 of later, kun je de srh- en srq-queryparameters gebruiken om specifieke headers en queryparameters te vereisen voor elk verzoek dat de SAS gebruikt, waarbij Azure Storage hun waarden valideert tegen de gecanonicaliseerde strings die in de string-to-sign zijn opgenomen. Zie Een SAS voor gebruikersdelegatie maken voor meer informatie.
Blob Storage-bewerkingen die door de klant verstrekte sleutels ondersteunen
De volgende Blob Storage-bewerkingen ondersteunen het verzenden van door de klant verstrekte versleutelingssleutels op een aanvraag:
- Blob plaatsen
- PUT-blokkeringslijst
- Blok plaatsen
- Blok vanaf URL invoegen
- Pagina invoegen
- Pagina uit URL plaatsen
- Blok toevoegen
- Blobmetagegevens instellen
- Blob ophalen
- Get Blob Properties
- Blobmetagegevens ophalen
- Snapshot-blob
Door klant verstrekte sleutels rouleren
Als u een versleutelingssleutel wilt roteren die is gebruikt om een blob te versleutelen, downloadt u de blob en uploadt u deze vervolgens opnieuw met de nieuwe versleutelingssleutel.
Belangrijk
Azure Portal kan niet worden gebruikt om te lezen van of te schrijven naar een container of blob die is versleuteld met een sleutel die in het verzoek is meegeleverd.
Zorg ervoor dat u de versleutelingssleutel beveiligt die u opgeeft in een aanvraag aan Blob Storage in een beveiligd sleutelarchief, zoals Azure Key Vault. Als u een schrijfbewerking probeert uit te voeren op een container of blob zonder de versleutelingssleutel, mislukt de bewerking en verliest u de toegang tot het object.
Ondersteuning van functies
Ondersteuning voor deze functie kan worden beïnvloed door het inschakelen van Data Lake Storage Gen2, het NFS-protocol (Network File System) 3.0 of het SSH File Transfer Protocol (SFTP). Als u een van deze mogelijkheden hebt ingeschakeld, raadpleegt u ondersteuning voor Blob Storage-functies in Azure Storage-accounts om ondersteuning voor deze functie te beoordelen.