Versleuteling tijdens overdracht configureren voor Azure Files

Dit artikel legt uit hoe je versleuteling tijdens transport kunt vereisen en gebruiken voor Azure Files. Ieder protocol heeft zijn eigen encryptiemechanisme en instellingen:

• SMB: SMB 3.x kanaalencryptie. Zie SMB.
• NFS: TLS-encryptie via de AzNFS-mounthulp. Zie NFS.
• FileREST: HTTPS met TLS. Zie FileREST.

Voor een overzicht van encryptie tijdens transport voor elk protocol, zie Azure Files netwerkoverwegingen. Voor Microsoft. FileShares-bestandsdelingen stel je de encryptie-in-transit-vereiste in op elke bestandsdeling. Zie Maak een bestandsdeling aan en Wijzig een bestandsdeling. Microsoft. FileShares ondersteunt FileREST niet.

Instellingen voor versleuteling tijdens transport

Klassieke bestandsdelingen hebben een aparte encryptie-in-transit-instelling voor elk protocol. Beveiligde overdracht vereist was de oorspronkelijke instelling voor alle drie de protocollen. Voor achterwaartse compatibiliteit beheert het nog steeds SMB- en NFS-encryptie totdat je de instelling voor dat protocol configureert.

De SMB- en NFS-instellingen beginnen als Niet geselecteerd voor:

• Bestaande opslagaccounts.
• Opslagaccounts die worden aangemaakt met Azure PowerShell, Azure CLI, of de Azure Storage resource provider REST API.

Voor opslagaccounts die zijn aangemaakt met het Azure-portaal zijn beide instellingen standaard ingeschakeld.

Nadat je de SMB- of NFS-instelling hebt geconfigureerd, krijgt deze voorrang boven Secure transfer required voor dat protocol. Je kunt de instelling wijzigen tussen Ingeschakeld en Uitgeschakeld, maar je kunt de instelling niet terugzetten naar Niet geselecteerd.

SMB

Azure Files versleutelt SMB-verkeer door gebruik te maken van SMB 3.x kanaalencryptie. De instelling 'Require Encryption in Transit for SMB' bepaalt of Azure Files versleuteling vereist voor SMB-toegang tot de bestandsdelingen in een opslagaccount. Wanneer deze instelling is ingeschakeld, staat Azure Files alleen SMB 3.x-mounts toe die kanaalversleuteling gebruiken. Azure Files wijst mounts af van clients die SMB 3.x met kanaalencryptie niet ondersteunen. SMB 2.1 ondersteunt geen encryptie, dus Azure Files weigert alle SMB 2.1-mounts. Voor de standaardwaarde en hoe deze instelling werkt met Beveiligde overdracht vereist, zie Versleuteling tijdens overdracht.

Voor de ondersteunde SMB-kanaalencryptie-algoritmen en de andere SMB-beveiligingsinstellingen, zie SMB-beveiligingsinstellingen.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    SmbEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-smb-encryption-in-transit true

NFS

Azure Files NFSv4.1 file shares ondersteunen encryptie tijdens transport via een TLS-tunnel. TLS beschermt data in transit tegen onderschepping, inclusief man-in-the-middle-aanvallen. Om de AzNFS mount helper te installeren en een bestandsdeling met versleuteling tijdens transport te mounten, zie Mount NFS Azure file shares op Linux.

Hoe encryptie tijdens transit werkt

Azure Files gebruikt stunnel, een open-source TLS-wrapper, om de TCP-verbinding tussen de NFS-client en Azure Files te versleutelen. Met de AzNFS mount helper gebruikt de verbinding TLS 1.2 of TLS 1.3 met AES-256-GCM-encryptie. Je hebt geen Kerberos of een extern authenticatiesysteem zoals Active Directory nodig.

Het AzNFS mount-helperpakket installeert en configureert stunnel op de client. AzNFS is beschikbaar bij packages.microsoft.com. Het creëert een lokaal eindpunt dat NFS-clientverzoeken doorstuurt via een versleutelde verbinding. AzNFS heeft deze componenten:

• AzNFS mount helper: Mountt NFSv4.1 bestandsshares via een TLS-tunnel.

• Stunnelproces: Eén proces voor elk opslagaccount. Het luistert naar NFS-clientverkeer op een lokale poort en stuurt het verkeer via TLS door naar Azure Files.

• AzNFS-watchdog: Een achtergrondservice die stunnelprocessen draaiende houdt, beëindigde tunnels opnieuw start en ongebruikte processen verwijdert nadat alle bijbehorende NFS-mounts zijn ontkoppeld.

Versleuteling in transit afdwingen

De instelling 'Require Encryption in Transit for NFS' bepaalt of Azure Files versleuteling vereist voor NFS-toegang tot de bestandsdelingen in een opslagaccount. Om zowel TLS- als niet-TLS-mounts op hetzelfde opslagaccount toe te staan, schakel de instelling uit. Voor de standaardwaarde en hoe deze instelling werkt met Secure transfer vereist, zie Versleuteling in transitinstellingen.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    NfsEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-nfs-encryption-in-transit true

FileREST

FileREST-verzoeken gebruiken HTTPS om data tijdens het verzenden te versleutelen. Twee opslagaccountinstellingen regelen FileREST-encryptie voor klassieke bestandsdelingen:

• Veilige overdracht vereist: Wanneer deze instelling is ingeschakeld, wijst het opslagaccount FileREST-verzoeken via HTTP af. Nieuwe opslagaccounts hebben deze instelling standaard ingeschakeld. Houd het ingeschakeld. De optie om het uit te schakelen bestaat voor achterwaartse compatibiliteit met oudere applicaties die HTTP gebruiken om toegang te krijgen tot andere gegevens in het opslagaccount. Voordat de SMB- en NFS-instellingen bestonden, was het uitschakelen van Secure transfer required ook de enige manier om onversleutelde SMB- of NFS-toegang toe te staan. Om nu ongecodeerde SMB- of NFS-toegang toe te staan, schakel dan de instelling voor het betreffende protocol uit. Zie Instellingen voor versleuteling tijdens transport.
• Minimale TLS-versie: Azure Files accepteert TLS 1.2 en TLS 1.3 voor HTTPS. Azure Storage accepteert TLS 1.0 of TLS 1.1 niet langer voor HTTPS-verzoeken, dus TLS 1.2 is de laagste minimumversie die je kunt instellen. Je kunt TLS 1.3 niet als minimum instellen. Een FileREST-verzoek dat een eerdere TLS-versie dan het minimum gebruikt, faalt met HTTP-statuscode 400 (Bad Request). Klanten gebruiken TLS 1.3 wanneer ze dit ondersteunen.

Azure Policy heeft ingebouwde beleidsdefinities die deze instellingen auditen of vereisen voor opslagaccounts. Zie het Storage-gedeelte in Azure Policy ingebouwde beleidsdefinities.

Huidige versies van de Azure Storage client libraries, Azure PowerShell en Azure CLI gebruiken TLS 1.2 of later. Als een applicatie die zich richt op een oudere versie van .NET Framework niet kan verbinden, zie dan Transport Layer Security (TLS) best practices met .NET Framework.

Configureer de FileREST-encryptie-instellingen

De volgende stappen vereisen veilige overdracht en stellen de minimale TLS-versie in op TLS 1.2 voor een opslagaccount.

$params = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    EnableHttpsTrafficOnly = $true
    MinimumTlsVersion = "TLS1_2"
}
Set-AzStorageAccount @params

az storage account update \
    --resource-group <resource-group> \
    --name <storage-account-name> \
    --https-only true \
    --min-tls-version TLS1_2

Verwante onderwerpen

• Azure Files networking considerations (Aandachtspunten voor Azure Files-netwerken)
• Azure Storage-versleuteling voor inactieve gegevens