Beveilig uw Azure-tabelopslag

Azure-tabelopslag biedt een NoSQL sleutelwaardeopslag voor gestructureerde, niet-relationele data. Table Security deelt de fundamenten met de andere Azure Storage-dataservices, maar heeft een paar specifieke kenmerken - waaronder een eigen Microsoft Entra ID-autorisatieoppervlak en een overlap met de Azure Cosmos DB voor Table API - die aandacht verdienen.

Note

Dit artikel behandelt beveiligingspraktijken specifiek voor Azure-tabelopslag. Voor beveiligingsrichtlijnen op accountniveau, zie Secure your Azure Storage account.

Servicespecifieke beveiliging

Zowel Azure-tabelopslag als de Azure Cosmos DB for Table API bieden een vergelijkbaar tabeldatamodel, maar hun beveiligingsmogelijkheden verschillen aanzienlijk. Kies het platform dat aan uw beveiligingseisen voldoet bij de start van het project. Datamigratie tussen hen is niet triviaal.

  • Gebruik Azure Cosmos DB voor Table wanneer je dedicated throughput, globale distributie of fijnmazigere netwerkisolatie per table workload nodig hebt: De Cosmos DB for Table API is een aparte bron met eigen privé-endpoints, firewall en IAM-configuratie, onafhankelijk van een opslagaccount. Dit geeft je een geïsoleerde explosieradius wanneer de Table workload andere netwerk- of governance-eisen heeft dan de workloads die je algemene opslagaccount delen. Voor meer informatie, zie Inleiding tot Azure Cosmos DB voor Table.

  • Gebruik Azure-tabelopslag wanneer je account-level co-locatie nodig hebt met blobs, bestanden en queues: Table Storage bevindt zich in een algemeen opslagaccount, dus een enkele set netwerkregels, private endpoints en identiteitsbeleid geldt voor alle vier de dataservices. Cosmos DB for Table is een aparte bron met een onafhankelijke beveiligingsconfiguratie.

Identiteits- en toegangsbeheer

  • Gebruik Microsoft Entra ID om tabelgegevensbewerkingen te autoriseren: Entra ID-autorisatie verwijdert de noodzaak voor accountsleutels in applicatiecode en biedt identiteitsgebaseerde auditsporen. Wijs waar mogelijk de ingebouwde rollen Storage Table Data Reader of Storage Table Data Contributor toe op tabelniveau. Voor meer informatie, zie Toegang autoriseren tot tabellen met Microsoft Entra ID.

  • Scope-roltoewijzingen aan specifieke tabellen: Tabelniveau scope wordt ondersteund voor de ingebouwde tabeldatarollen. Wanneer een dienst toegang nodig heeft tot slechts één tabel, wijs je de rol toe aan de tabelresource in plaats van aan het account.

  • Scope SAS-tokens voor specifieke partitie- en rijsleutelbereiken: Table SAS ondersteunt partitiesleutel- en rijsleutelbereikbeperkingen. Gebruik ze om een token te beperken tot de rijen van één tenant in een multi-tenant tabel, of tot een specifieke dataslice. Zie Beperkte toegang verlenen tot Azure Storage-resources met sas (Shared Access Signatures) voor meer informatie.

  • Verleen alleen de specifieke tabelbewerkingen die nodig zijn: Table SAS ondersteunt query, add, update, en delete permissies apart. Een readerachtige aanroeper mag alleen query vasthouden, nooit update of delete.

Gegevensbeveiliging

Table Storage slaat entiteiten op als platte verzamelingen eigenschappen, zonder ACL’s op entiteitsniveau. Houd rekening met veiligheid in je partitioneringsstrategie in plaats van te proberen toegangscontrole achteraf in te passen.

  • Partitietabellen om af te stemmen op toegangsgrenzen: Wanneer een tabel meerdere tenants of classificatieniveaus bedient, kies je een partitiesleutel die entiteiten groepeert per tenant of classificatie. Combineer dit met SAS-beperkingen voor partitiesleutelbereik om tenant-isolatie af te dwingen zonder een aparte tabel per tenant.

  • Sla geen geheimen of onnodige persoonlijke gegevens op in entiteitseigenschappen: entiteiten zijn zichtbaar voor elke principal met query of read toegang tot de tabel of partitie. Sla geheimen op in Azure Key Vault met referenties in de entiteit, en minimaliseer de hoeveelheid persoonlijke gegevens die je in opzoekbare eigenschappen plaatst.

  • Versleutel gevoelige eigendomswaarden op de applicatielaag: Voor eigendomswaarden die vertrouwelijk moeten blijven, versleutel de waarde in de client met een sleutel uit Key Vault vóór het invoegen of updaten. Deze encryptie is onafhankelijk van de opslagzijde encryptie die op de hele tabel wordt toegepast. Zie Over sleutels voor meer informatie.

Logboekregistratie en bewaking

  • Schakel diagnostische instellingen in voor tabeloperaties: Stuur StorageRead, StorageWrite, en StorageDelete categorieën naar Log Analytics. Waarschuwing voor onverwachte autorisatiemethoden, met name toegang tot gedeelde sleutels op accounts waar deze uitgeschakeld zou moeten zijn. Voor meer informatie, zie Monitoring Azure-tabelopslag.

  • Waarschuwing bij grote hoeveelheden verwijderings- of updatebewerkingen: Bulk DeleteEntity of UpdateEntity activiteit die afwijkt van de basislijn van de tabel kan wijzen op gegevensvernietiging of manipulatie. Stel een basislijn vast en waarschuw voor afwijkingen.

Volgende stappen 

  • Laatst bijgewerkt om