Omówienie ochrony danych

W dokumentacji usługi Azure Storage ochrona danych odnosi się do strategii ochrony konta magazynu i danych w nim przed usunięciem lub zmodyfikowaniem lub do przywracania danych po ich usunięciu lub zmodyfikowaniu. Ważne jest, aby zastanowić się, jak najlepiej chronić dane przed wystąpieniem incydentu, który może je naruszyć. Ten przewodnik pomoże Ci z wyprzedzeniem zdecydować, których funkcji ochrony danych wymaga Twój scenariusz. Azure Storage oferuje także opcje odzyskiwania po awarii oraz bezpieczeństwa i sieci. Wszystkie te metody współdziałają, aby zapewnić kompleksową ochronę Twoich danych.

Zalecenia dotyczące podstawowej ochrony danych

Jeśli chcesz podstawowej ochrony danych dla swojego konta przechowywania i zawartych w nim danych, wykonaj następujące kroki:

  1. Skonfiguruj blokadę usługi Azure Resource Manager na koncie magazynu, aby chronić konto przed usunięciem lub zmianami konfiguracji. Dowiedz się więcej...

  2. Włącz usuwanie nietrwałe kontenera dla konta magazynu, aby odzyskać usunięty kontener i jego zawartość. Dowiedz się więcej...

  3. Włącz miękkie usuwanie blobów dla konta pamięci masowej, aby odzyskać usunięty lub nadpisany blob. Dowiedz się więcej...

Poniższa sekcja opisuje te opcje oraz inne opcje ochrony danych w innych sytuacjach bardziej szczegółowo. Aby zapewnić ochronę przed szerszymi scenariuszami utraty danych, takimi jak przypadkowe usunięcie konta lub oprogramowanie wymuszające okup, rozważ włączenie Azure Backup oprócz funkcji kont.

Aby zapoznać się z omówieniem kosztów związanych z tymi funkcjami, zobacz Podsumowanie kwestii dotyczących kosztów.

Wskazówka

Skorzystaj z Azure Copilot, aby uzyskać wskazówki dotyczące ulepszenia strategii ochrony swojego konta magazynu. Aby uzyskać więcej informacji, zobacz Manage and migrate storage accounts using Azure Copilot (Zarządzanie kontami magazynu i migrowanie ich przy użyciu rozwiązania Azure Copilot).

Omówienie opcji ochrony danych

Poniższa tabela zawiera podsumowanie opcji dostępnych w usłudze Azure Storage dla typowych scenariuszy ochrony danych. Wybierz scenariusze, które mają zastosowanie do Twojej sytuacji, aby dowiedzieć się więcej o dostępnych opcjach. Nie wszystkie funkcje są obecnie dostępne dla kont magazynu z włączoną hierarchiczną przestrzenią nazw.

Scenariusz Opcja ochrony danych Zalecenia Korzyść z ochrony Dostępne dla usługi Data Lake Storage
Uniemożliwianie usunięcia lub zmodyfikowania konta magazynu. Blokada Azure Resource Manager
Dowiedz się więcej...		 Zablokuj wszystkie konta magazynu za pomocą blokady usługi Azure Resource Manager, aby zapobiec usunięciu konta magazynu. Chroni konto usługi Storage przed usunięciem lub zmianami konfiguracji.

Nie chroni kontenerów ani obiektów blob na koncie przed usunięciem ani zastąpieniem.		 Tak
Przywróć usunięty kontener w określonym przedziale czasu. Usunięcie miękkie kontenera
Dowiedz się więcej...		 Włącz usuwanie programowe kontenera dla wszystkich kont magazynu danych z minimalnym interwałem przechowywania wynoszącym siedem dni.

Włącz z funkcją usuwania nietrwałego obiektów blob, aby zapewnić optymalną ochronę danych blob.

Przechowuj kontenery, które wymagają różnych okresów przechowywania, na oddzielnych kontach magazynowych.		 Usunięty kontener i jego zawartość mogą zostać przywrócone w trakcie okresu przechowywania.

Można przywrócić tylko operacje na poziomie kontenera (na przykład Usuń kontener). Usuwanie nietrwałe kontenera nie umożliwia przywrócenia pojedynczego obiektu blob w kontenerze, jeśli ten obiekt blob zostanie usunięty.		 Tak
Przywróć usunięty obiekt blob lub wersję obiektu blob w określonym interwale. Usuwanie miękkie obiektów blob
Dowiedz się więcej...		 Włącz usuwanie nietrwałe obiektów blob dla wszystkich kont magazynowych z minimalnym interwałem przechowywania wynoszącym siedem dni.

Włącz funkcję soft delete kontenerów dla optymalnej ochrony danych blob.

Przechowuj obiekty blob, które wymagają różnych okresów przechowywania, na oddzielnych kontach usługi Storage.		 Usunięty blob lub wersja blob może zostać przywrócona w okresie retencyjnym. Tak
Automatycznie zapisuje stan obiektu blob w poprzedniej wersji, gdy zostanie nadpisany. Przechowywanie wersji obiektów blob
Dowiedz się więcej...		 Włącz wersjonowanie blobów, gdy chcesz automatycznie rejestrować zmiany wynikające z nadpisania i zmiany metadanych oraz przechowywać poprzednie wersje danych do momentu ich wyraźnego usunięcia. Aby zminimalizować koszty, użyj zasad zarządzania cyklem życia lub zadania akcji magazynu, aby automatycznie usuwać stare wersje.

Włącz funkcję miękkiego usuwania obiektów blob, aby uzyskać dodatkową warstwę ochrony. Dowiedz się więcej...

Przechowuj dane obiektów blob, które nie wymagają przechowywania wersji, na osobnym koncie, aby ograniczyć koszty.		 Każda operacja zapisu obiektów blob tworzy nową wersję. Gdy usuniesz blob, obecna wersja blobu staje się poprzednią. Poprzednie wersje pozostają do momentu ich jawnego usunięcia lub mogą zostać ustawione jako bieżące. Nie.
Ręcznie zapisz stan obiektu blob w danym punkcie w czasie. Migawka blobu
Dowiedz się więcej...		 Zalecane do celowych, punktowych przechwytów lub jako alternatywa dla wersjonowania blob na kontach z hierarchiczną przestrzenią nazw, gdzie wersjonowanie nie jest dostępne. Blob może zostać przywrócony z migawki, jeśli został nadpisany. Jeśli obiekt blob zostanie usunięty, migawki zostaną również usunięte.

Gdy miękkie usuwanie blobów jest włączone, nadpisania skutkują tworzeniem miękko usuniętych migawek.		 Nie.
Zapobiegaj usuwaniu wersji obiektu blob przez okres, który kontrolujesz. Zasada niezmienności w wersji obiektu blob
Dowiedz się więcej...		 Ustaw zasady niezmienności dla pojedynczej wersji obiektu blob, aby chronić dokumenty krytyczne dla działania firmy, na przykład w celu spełnienia wymagań prawnych lub prawnych dotyczących zgodności. Chroni wersję obiektu blob przed usunięciem, a metadane tej wersji przed zastąpieniem. Operacja zastępowania tworzy nową wersję.

Jeśli co najmniej jeden kontener ma włączoną niezmienność na poziomie wersji, konto magazynu jest również chronione przed usunięciem. Usuwanie kontenera kończy się niepowodzeniem, jeśli w kontenerze istnieje co najmniej jeden obiekt blob.		 Nie.
Zapobiegaj usuwaniu lub modyfikowaniu kontenera i jego obiektów blob przez okres, który ustalasz. Polityka niezmienności kontenera
Dowiedz się więcej...		 Ustaw zasady niezmienności w kontenerze, aby chronić dokumenty o krytycznym znaczeniu dla firmy, na przykład w celu spełnienia wymagań zgodności z przepisami prawa lub regulacjami. Chroni kontener i jego bloby przed wszystkimi usunięciami i nadpisaniami.

Gdy obowiązuje blokada prawna lub zablokowane zasady przechowywania oparte na czasie, konto magazynu jest również chronione przed usunięciem. Kontenery, dla których nie ustawiono żadnych zasad niezmienności, nie są chronione przed usunięciem.		 Tak
Przywróć zestaw blokowych obiektów blob do poprzedniego punktu w czasie. Przywracanie do punktu w czasie
Dowiedz się więcej...		 Aby użyć przywracania do punktu w czasie w celu przywrócenia wcześniejszego stanu, zaprojektuj aplikację w celu usunięcia pojedynczych blokowych obiektów blob zamiast usuwania kontenerów. Zestaw blokowych obiektów blob może zostać przywrócony do swojego stanu w określonym momencie w przeszłości.

Przywracane są tylko operacje wykonywane na blokowych obiektach blob. Żadne operacje wykonywane na kontenerach, stronicowych obiektach blob lub obiektach blob dołączania nie są cofane.		 Nie.
Obiekt blob można usunąć lub zastąpić, ale dane są regularnie kopiowane na drugie konto magazynu. Kopia zapasowa Azure Blob magazynowana w magazynie usługi Recovery Services
Dowiedz się więcej		 Włącz kopię zapasową w sejfcie, aby kopia danych poza miejscem była zarchiwizowana do dzierżawcy Microsoft bez bezpośredniego dostępu. Zapewnia selektywne tworzenie kopii zapasowych kluczowych kontenerów i umożliwia przywracanie poszczególnych kontenerów do konta magazynu innego niż źródłowe konto magazynu. Tak

Obsługiwane są narzędzia AzCopy i usługa Azure Data Factory.

Replikacja obiektów nie jest obsługiwana.
Asynchronicznie kopiuj blokowe bloby na konto docelowe w innym regionie. Replikacja obiektów Dowiedz się więcej... Włącz replikację obiektów, aby utrzymać redundantną kopię blobów bloków w innym regionie, tak aby Twoje dane pozostały dostępne, jeśli region źródłowy stanie się niedostępny. Przechowuj blokowe obiekty blob wymagające replikacji na kontach ogólnego przeznaczenia w wersji 2 lub na kontach premium dla blokowych obiektów blob, ponieważ replikacja obiektów obsługuje tylko te typy kont. Blokowe obiekty blob zapisane na koncie źródłowym są asynchronicznie kopiowane do konta docelowego zgodnie z zasadami replikacji. Replikowane są tylko blokowe obiekty blob; obiekty blob dołączania i stronicowania nie są obsługiwane, a replikacja obiektów nie chroni przed przypadkowym usunięciem pojedynczego obiektu blob w ramach konta. Tak

Ochrona danych według typu zasobu

Poniższa tabela zawiera podsumowanie opcji ochrony danych usługi Azure Storage zgodnie z chronionymi zasobami.

Opcja ochrony danych Chroni konto przed usunięciem Chroni kontener przed usunięciem Chroni obiekt przed usunięciem Chroni obiekt przed nadpisaniem
Blokada w usłudze Azure Resource Manager Tak Nie. Nie. Nie.
Usuwanie nietrwałe kontenerów Nie. Tak Nie. Nie.
Usuwanie nietrwałe obiektów blob Nie. Nie. Tak Tak
Wersjonowanie obiektów blob6 Nie. Nie. Tak Tak
Migawka obiektu blob6 Nie. Nie. Nie. Tak
Zasada niezmienności w wersji obiektu blob Yes1 Tak2 Tak Tak3
Polityka niezmienności kontenera Tak4 Tak Tak Tak
Przywracanie do określonego momentu w czasie5 Nie. Nie. Tak Tak
Kopia zapasowa Azure Blob magazynowana w magazynie odzyskiwania Nie. Tak Tak Tak
Replikacja obiektów7 Nie. Tak Tak Tak
Rozwiązanie typu roll-your-own do kopiowania danych na drugie konto6 Nie. Tak Tak Tak

1 Usunięcie konta pamięci nie działa, jeśli przynajmniej jeden kontener ma włączoną niezmienną pamięć na poziomie wersji.
2 Usunięcie kontenera nie udaje się, jeśli w kontenerze istnieje przynajmniej jeden blob, niezależnie od tego, czy polityka jest zablokowana czy odblokowana.
3 Nadpisanie zawartości aktualnej wersji blobu tworzy nową wersję. Polityka niezmienności chroni metadane wersji przed nadpisaniem.
4 Chociaż w zakresie kontenera obowiązuje blokada prawna lub zablokowane zasady przechowywania oparte na czasie, konto magazynu również jest chronione przed usunięciem.
5 Obecnie nie obsługiwane dla obciążeń Data Lake Storage.
6 AzCopy i Azure Data Factory to opcje obsługiwane zarówno w przypadku obciążeń Blob Storage, jak i Data Lake Storage. Replikacja obiektów jest obsługiwana tylko w przypadku obciążeń usługi Blob Storage.
7 Kopia zreplikowana jest zachowywana na koncie docelowym. Replikacja obiektów nie zapobiega usunięciu blobu w koncie źródłowym, a replikacja jest asynchroniczna, więc ostatnie zapisy mogą jeszcze nie być obecne w miejscu docelowym.

Działania odzyskiwania danych oparte na typie zasobu

Jeśli musisz odzyskać dane, które zostały nadpisane lub usunięte, sposób kontynuowania zależy od opcji ochrony danych, które zostały włączone i którego zasobu dotyczy problem. W poniższej tabeli opisano akcje, które można wykonać w celu odzyskania danych.

Usunięty lub zastąpiony zasób Możliwe działania naprawcze Wymagania dotyczące odzyskiwania
Konto magazynowe Próba odzyskania usuniętego konta magazynowego
Dowiedz się więcej...		 konto magazynu zostało pierwotnie utworzone przy użyciu modelu wdrażania usługi Azure Resource Manager i zostało usunięte w ciągu ostatnich 14 dni. Nowe konto magazynu danych o tej samej nazwie nie zostało utworzone od czasu usunięcia oryginalnego konta.
Kontener Odzyskaj kontener usunięty nietrwale i jego zawartość
Dowiedz się więcej...		 Usuwanie nietrwałe kontenera jest włączone, a okres przechowywania usuwania nietrwałego kontenera nie wygasł jeszcze.
Kontenery i bloby Przywracanie danych z drugiego konta magazynowania Wszystkie operacje kontenerów i obiektów blob zostały skutecznie zreplikowane na drugie konto magazynu.
Blob Odzyskiwanie miękko usuniętego obiektu blob
Dowiedz się więcej...		 Usuwanie programowe obiektu blob jest włączone, a okres przechowywania dla usuwania programowego jeszcze nie upłynął.
Zestaw blokowych blobów Odzyskiwanie zestawu blokowych obiektów blob do ich stanu we wcześniejszym punkcie w czasie1
Dowiedz się więcej...		 Przywracanie do określonego momentu jest włączone, a punkt przywracania znajduje się w okresie retencji. Konto magazynowe nie zostało naruszone ani uszkodzone.
Migawka blobu Odzyskaj nietrwale usuniętą migawkę1
Dowiedz się więcej...		 Miękkie usuwanie blobów jest włączone, nadpisałeś blob, tworząc migawkę z miękkim usunięciem, a interwał przechowywania miękkiego usuwania nie wygasł. Lub włączono funkcję miękkiego usuwania obiektów blob, usunięto migawkę, a interwał przechowywania usuniętych elementów jeszcze nie upłynął.
Wersja blobu Odzyskaj usuniętą nietrwale wersję1
Dowiedz się więcej...		 Usuwanie miękkie obiektu blob jest włączone, a okres przechowywania dla usuwania miękkiego jeszcze nie wygasł.

1 Nieobsługiwane obecnie w przypadku obciążeń usługi Data Lake Storage.

Podsumowanie zagadnień dotyczących kosztów

Poniższa tabela zawiera podsumowanie zagadnień dotyczących kosztów dotyczących różnych opcji ochrony danych opisanych w tym przewodniku. Włączenie lub skonfigurowanie poniższych funkcji jest bezpłatne, ale weź pod uwagę koszty wynikające z ich działania.

Opcja ochrony danych Kwestie związane z kosztami
Blokada usługi Azure Resource Manager dla konta magazynu/Storage account Brak opłat za skonfigurowanie blokady zasobu na koncie magazynowym.
Miękkie usuwanie kontenerów Dane w kontenerze miękko usuniętym są rozliczane w tej samej wysokości co dane aktywne, dopóki kontener miękko usunięty nie zostanie trwale usunięty.
Miękkie usuwanie obiektów blob Miękko usunięte dane blob są rozliczane w tej samej wysokości co dane aktywne, dopóki nie zostaną trwale usunięte.

Nie jesteś rozliczany za transakcje, które automatycznie generują migawki lub wersje po nadpisaniu lub usunięciu bloba, ale za wywołania operacji Undelete Blob jesteś rozliczany według stawki za transakcje zapisu.

Włączanie miękkiego usuwania dla często nadpisywanych danych może zwiększyć opłaty za pojemność i opóźnienia operacji listowania. Aby ocenić wpływ, Microsoft zaleca rozpoczęcie od minimalnego okresu retencji wynoszącego siedem dni. Więcej informacji można znaleźć w sekcji Ceny i rozliczenia.
Wersjonowanie obiektów blob Po włączeniu wersji blobów, każdy zapis na blobie na koncie tworzy nową wersję, co może prowadzić do wzrostu kosztów pojemności.

Płacisz za wersję blob na podstawie unikalnych bloków lub stron. W związku z tym koszty rosną, ponieważ podstawowy obiekt blob coraz bardziej odbiega od określonej wersji. Zmiana poziomu blobu lub wersji blobu może mieć wpływ na rozliczenia. Aby uzyskać więcej informacji, zobacz Cennik i rozliczenia.

Używaj zarządzania cyklem życia lub akcji magazynu, aby usuwać starsze wersje w razie potrzeby i kontrolować koszty.
Migawki blobów Płacisz za dane w migawce na podstawie unikalnych bloków lub stron. W związku z tym koszty rosną, ponieważ bazowy blob coraz bardziej odbiega od migawki. Zmiana poziomu bloba lub snapshota może mieć wpływ na rozliczenie. Aby uzyskać więcej informacji, zobacz Cennik i rozliczenia.

Używaj zarządzania cyklem życia lub działań związanych z przechowywaniem, aby usuwać starsze migawki w razie potrzeby i kontrolować koszty.
Zasada niezmienności w wersji obiektu blob Tworzenie, modyfikowanie lub usuwanie zasad przechowywania na podstawie czasu lub blokady prawnej dla wersji obiektu blob powoduje naliczanie opłaty za transakcję zapisu.
Zasada niezmienności w kontenerze Dane niezmienne są wyceniane w tej samej stawce co dane zmienne. Rozliczenia trwają do momentu, gdy dane zostaną zmodyfikowane i usunięte.
Przywracanie do punktu w czasie Włączenie przywracania do punktu w czasie powoduje również włączenie wersjonowania obiektów blob, usuwania nietrwałego i kanału informacyjnego zmian, a każda z tych funkcji może wiązać się z dodatkowymi opłatami.

Opłaty są naliczane za przywracanie do punktu w czasie podczas wykonywania operacji przywracania. Koszt operacji przywracania zależy od ilości przywracanych danych. Aby uzyskać więcej informacji, zobacz Cennik i rozliczenia.
Kopia zapasowa w sejfie W przypadku Vaulted Backup ponosisz opłaty za przechowywanie kopii zapasowej lub opłaty instancyjne oraz koszt po stronie źródła (związany z replikacją obiektów) na koncie źródłowym objętym kopią zapasową. Zobacz Cennik.
Replikacja obiektów Konfiguracja replikacji obiektów jest bezpłatna, w tym włączanie kanału informacyjnego zmian i wersji blobów oraz dodawanie zasad replikacji. Replikacja obiektów wymaga przepływu zmian i wersjonowania, z których każde może skutkować innymi opłatami.

Utrzymywanie replikowanych danych na koncie docelowym wiąże się z kosztami pojemności magazynowej, w tym kosztem przechowywania bloba i każdej wersji bloba. Jeśli konto docelowe znajduje się w innym regionie niż konto źródłowe, replikacja danych również wiąże się z opłatami za transfer wychodzący.

Replikacja obiektów wiąże się z kosztami transakcyjnymi: opłatą za transakcję zapisu na koncie źródłowym oraz opłatami za transakcje odczytu i zapisu na koncie docelowym, w tym kosztem odczytu rekordów kanału informacyjnego zmian. Aby uzyskać więcej informacji, zobacz Rozliczenia.
Kopiowanie danych na drugie konto magazynu danych Utrzymywanie danych na drugim koncie magazynu danych spowoduje naliczenie kosztów pojemności i transakcji. Jeśli drugie konto magazynu danych znajduje się w innym regionie niż konto źródłowe, kopiowanie danych na to drugie konto spowoduje dodatkowe naliczanie opłat za ruch wychodzący.

Następne kroki

  • Ostatnia aktualizacja o