Netwerkbeveiligingsperimeter voor Azure Blob, Data Lake, Queue en Table Storage

✔️ Van toepassing op: Azure Blob Storage, Azure Data Lake Storage, Azure Queue Storage, Azure-tabelopslag

✖️ Niet van toepassing op: Azure Files (Microsoft.Storage of Microsoft.FileShares)

Door gebruik te maken van de netwerkbeveiligingsperimeter kun je een logische netwerkisolatiegrens definiëren voor PaaS-bronnen, zoals Azure Blob Storage en SQL Database, die je buiten je virtuele netwerken uitrolt. Met deze functie wordt de toegang tot openbare netwerken beperkt tot PaaS-resources buiten de perimeter. U kunt echter toegang uitsluiten met behulp van expliciete toegangsregels voor openbaar binnenkomend en uitgaand verkeer. Deze functie helpt ongewenste data-exfiltratie uit je opslagbronnen te voorkomen. Binnen een netwerkbeveiligingsperimeter kunnen lidbronnen vrij communiceren met elkaar. Perimeterregels voor netwerkbeveiliging overschrijven de eigen firewallinstellingen van het opslagaccount. Toegang vanuit de perimeter heeft de hoogste prioriteit boven andere netwerkbeperkingen.

Hier vindt u de lijst met services die zijn toegevoegd aan de netwerkbeveiligingsperimeter. Als een dienst niet vermeld staat, is deze nog niet geïnboardd. Als u toegang wilt verlenen tot een specifieke resource vanuit een niet-geïntegreerde service, kunt u een regel op basis van abonnement maken voor de netwerkbeveiligingsperimeter. Een regel op basis van een abonnement verleent toegang tot alle resources binnen dat abonnement. Voor details over hoe je een abonnementsgebaseerde toegangsregel toevoegt, zie deze documentatie.

Voor Azure Files, zie Netwerkbeveiligingsperimeter in netwerkoverwegingen voor Azure Files. Opslagaccounts die Azure-bestandsdelingen bevatten, kunnen een netwerkbeveiligingsperimeter gebruiken, maar het artikel van Azure Files beschrijft overwegingen voor Azure Files.

Toegangsmodi

Wanneer u opslagaccounts onboardt naar een netwerkbeveiligingsperimeter, kunt u beginnen in de overgangsmodus (voorheen leermodus) of rechtstreeks naar de modus Afgedwongen gaan. Met de overgangsmodus (de standaardinstelling) kan het opslagaccount terugvallen op de bestaande firewallregels of instellingen voor vertrouwde services als een perimeterregel nog geen verbinding toestaat. De afgedwongen modus blokkeert strikt alle openbare inkomende en uitgaande verkeer, tenzij dit expliciet is toegestaan door een netwerkbeveiligingsperimeterregel, waardoor maximale beveiliging voor uw opslagaccount wordt gegarandeerd. In de afgedwongen modus worden zelfs de uitzonderingen voor vertrouwde services van Azure niet nageleefd. Relevante Azure-resources of specifieke abonnementen moeten indien nodig expliciet worden toegestaan via perimeterregels.

Important

Het uitvoeren van opslagaccounts in de overgangsmodus (voorheen Learning) moet alleen dienen als een overgangsstap. Kwaadwillende actoren kunnen onbeveiligde resources misbruiken om gegevens te exfiltreren. Daarom is het van cruciaal belang om zo snel mogelijk over te stappen op een volledig beveiligde configuratie met de toegangsmodus die is ingesteld op Afgedwongen.

Netwerkprioriteit

Wanneer een opslagaccount deel uitmaakt van een netwerkbeveiligingsperimeter, overschrijven de toegangsregels van het relevante profiel de eigen firewallinstellingen van het account en worden ze de netwerkgatekeeper op het hoogste niveau. Toegang die door de perimeter is toegestaan of geweigerd, heeft voorrang en de instellingen 'Toegestane netwerken' van het account worden overgeslagen wanneer het opslagaccount is gekoppeld in de afgedwongen modus. Als u het opslagaccount van een netwerkbeveiligingsperimeter verwijdert, wordt de controle teruggezet naar de normale firewall. Netwerkbeveiligingsperimeters hebben geen invloed op privé-eindpuntverkeer. Verbindingen via private link slagen altijd. Voor interne Azure-services ('vertrouwde services') kunnen alleen services die expliciet worden toegevoegd aan de perimeterbeveiligingsperimeter , worden toegestaan via perimetertoegangsregels. Anders wordt het verkeer standaard geblokkeerd, zelfs wanneer deze als betrouwbaar worden beschouwd volgens de firewall-instellingen van het opslagaccount. Voor services die nog niet zijn ingebouwd, zijn alternatieven regels op het niveau van het abonnement voor binnenkomende toegang en FQDN's (Fully Qualified Domain Names) voor uitgaande toegang, of via privékoppelingen.

Important

Privé-eindpuntverkeer wordt beschouwd als zeer veilig en is daarom niet onderworpen aan regels voor netwerkbeveiligingsperimeter. Al het andere verkeer, inclusief vertrouwde services, is onderhevig aan perimeterregels voor netwerkbeveiliging als het opslagaccount is gekoppeld aan een perimeter.

Functiedekking onder netwerkbeveiligingsperimeter

Wanneer een opslagaccount is gekoppeld aan een netwerkbeveiligingsperimeter, ondersteunt het alle standaard dataplane-operaties voor blobs, tabellen en wachtrijen, tenzij gespecificeerd onder de bekende beperkingen. Je kunt alle HTTPS-gebaseerde bewerkingen voor Azure Blob Storage, Azure Data Lake Storage, Azure-tabelopslag en Azure Queue Storage beperken door gebruik te maken van network security perimeter.

Limitations

Feature Ondersteuningsstatus Recommendations
Objectreplicatie voor Azure Blob Storage Wordt niet ondersteund. Objectreplicatie tussen opslagaccounts faalt als het bron- of het bestemmingsaccount is gekoppeld aan een netwerkbeveiligingsperimeter Configureer geen netwerkbeveiligingsperimeter voor opslagaccounts die objectreplicatie nodig hebben. Schakel op dezelfde manier geen objectreplicatie in voor accounts die zijn gekoppeld aan de netwerkbeveiligingsperimeter totdat ondersteuning beschikbaar is. Als objectreplicatie al is ingeschakeld, kun je geen netwerkbeveiligingsperimeter koppelen. Evenzo, als er al een netwerkbeveiligingsperimeter is gekoppeld, kun je objectreplicatie niet inschakelen. Deze beperking voorkomt dat u een niet-ondersteund scenario configureert.
Network file system (NFS) toegang via Azure Blobs en SSH File Transfer Protocol (SFTP) over Azure Blobs Alle andere protocollen dan https-toegang worden geblokkeerd wanneer een opslagaccount is gekoppeld aan een netwerkbeveiligingsperimeter in de modus Afgedwongen. Als u een van deze protocollen nodig hebt, gebruikt u geen netwerkbeveiligingsperimeter in de modus Afgedwongen. Wanneer u test of migreert naar een netwerkbeveiligingsperimeter met de overgangsmodus, kan toegang toch slagen via het fallbackgedrag van de firewall en duidt dit niet op protocolondersteuning via de netwerkbeveiligingsperimeter.
Azure Backup Wordt niet ondersteund. Azure Backup als service is nog niet aan de netwerkbeveiligingsperimeter gekoppeld. Koppel een account niet aan de netwerkbeveiligingsperimeter als je back-ups hebt ingeschakeld of als je van plan bent Azure Backup te gebruiken. Wanneer Azure Backup wordt opgenomen in de netwerkbeveiligingsperimeter, kun je beide functies samen gaan gebruiken.
Niet-beheerde schijven Niet-beheerde schijven respecteren geen regels voor netwerkbeveiligingsperimeter. Vermijd het gebruik van niet-beheerde schijven op opslagaccounts die beschermd zijn door de netwerkbeveiligingsperimeter.
Statische website Niet ondersteund Een statische website, die open van aard is, kan niet worden gebruikt met een netwerkbeveiligingsperimeter. Als een statische website al is ingeschakeld, kun je geen netwerkbeveiligingsperimeter koppelen. Evenzo, als er al een netwerkbeveiligingsperimeter is gekoppeld, kun je geen statische website inschakelen. Deze beperking voorkomt dat u een niet-ondersteund scenario configureert.

Warning

Voor opslagaccounts die gekoppeld zijn aan een netwerkbeveiligingsperimeter, om customer managed keys (CMK)-scenario's te laten werken, zorg ervoor dat de Azure Key Vault toegankelijk is vanuit de perimeter waaraan het opslagaccount is gekoppeld.

Een netwerkbeveiligingsperimeter koppelen aan een opslagaccount

Als u een netwerkbeveiligingsperimeter wilt koppelen aan een opslagaccount, volgt u deze algemene instructies voor alle PaaS-resources.

Volgende stappen

  • Laatst bijgewerkt om