Obwód zabezpieczeń sieciowych dla Azure Blob, Data Lake, Queue i Table Storage

✔️ Dotyczy do: Azure Blob Storage, Azure Data Lake Storage, Azure Queue Storage, Azure Table Storage

✖️ Nie dotyczy to: Azure Files (Microsoft.Storage lub Microsoft.FileShares)

Korzystając z perymetru zabezpieczeń sieci, możesz zdefiniować logiczną granicę izolacji sieci dla zasobów PaaS, takich jak Azure Blob Storage czy SQL Database, które wdrażasz poza swoimi sieciami wirtualnymi. Ta funkcja ogranicza dostęp do sieci publicznej do zasobów PaaS spoza obwodu. Można jednak wykluczyć dostęp przy użyciu jawnych reguł dostępu dla publicznego ruchu przychodzącego i wychodzącego. Ta funkcja pomaga zapobiegać niechcianemu wydostawaniu danych z zasobów pamięci masowej. W ramach obwodu zabezpieczeń sieci zasoby członkowskie mogą swobodnie komunikować się ze sobą. Reguły perimetru zabezpieczeń sieci zastępują własne ustawienia zapory konta magazynowego. Dostęp z poziomu obwodu ma najwyższy priorytet przed innymi ograniczeniami sieci.

Listę usług dołączonych do obwodu zabezpieczeń sieci można znaleźć tutaj. Jeśli usługa nie jest wymieniona, to znaczy, że nie została jeszcze dodana. Aby umożliwić dostęp do określonego zasobu z usługi, która nie została dodana do systemu, możesz utworzyć regułę bazującą na subskrypcji dla granicy zabezpieczeń sieciowych. Reguła oparta na subskrypcji udziela dostępu do wszystkich zasobów w ramach tej subskrypcji. Szczegóły dotyczące dodania reguły dostępu opartej na subskrypcji znajdziesz w tej dokumentacji.

W przypadku Azure Files zobacz Obwód zabezpieczeń sieciowych w zagadnieniach dotyczących sieci w Azure Files. Konta pamięci masowej zawierające udziały plików platformy Azure mogą korzystać z granicy zabezpieczeń sieci, ale artykuł o Azure Files opisuje kwestie dotyczące Azure Files.

Tryby dostępu

Podczas dołączania kont magazynu do obwodu zabezpieczeń sieci można uruchomić tryb przejścia (dawniej tryb uczenia) lub przejść bezpośrednio do trybu Wymuszone. Tryb przejścia (ustawienie domyślne) umożliwia kontu magazynu powrót do istniejących reguł zapory lub ustawień "zaufanych usług" , jeśli reguła obwodowa nie zezwala jeszcze na połączenie. Tryb wymuszony ściśle blokuje cały publiczny ruch przychodzący i wychodzący, chyba że jawnie dozwolony przez zasadę ochrony obwodowej sieci, zapewniając maksymalną ochronę konta magazynowego. W trybie wymuszonym nawet wyjątki "zaufanej usługi" platformy Azure nie są uznawane. Odpowiednie zasoby platformy Azure lub określone subskrypcje muszą być jawnie dozwolone za pośrednictwem reguł obwodowych w razie potrzeby.

Important

Konta pamięci operacyjnej w trybie przejścia (dawniej Uczenie) powinny służyć wyłącznie jako krok przejściowy. Złośliwi aktorzy mogą wykorzystywać niezabezpieczone zasoby do eksfiltrowania danych. W związku z tym niezwykle ważne jest, aby przejść do w pełni bezpiecznej konfiguracji tak szybko, jak to możliwe, przy użyciu trybu dostępu ustawionego na Wymuszone.

Priorytet sieci

Gdy konto magazynu jest częścią obwodu zabezpieczeń sieci, reguły dostępu odpowiedniego profilu zastępują własne ustawienia zapory konta, stając się strażnikiem sieci najwyższego poziomu. Dostęp dozwolony lub zablokowany przez system obwodowy ma pierwszeństwo, a ustawienia "Dozwolone sieci" konta są pomijane, gdy konto usługi magazynującej jest skojarzone w trybie wymuszonym. Usunięcie konta magazynu z obwodu zabezpieczeń sieci przywraca kontrolę do swojej standardowej zapory. Obwody zabezpieczeń sieci nie wpływają na ruch prywatnego punktu końcowego. Połączenia za pośrednictwem łącza prywatnego zawsze kończą się powodzeniem. W przypadku wewnętrznych usług platformy Azure ("zaufane usługi"), tylko usługi jawnie dołączone do obwodu zabezpieczeń sieci mogą być dozwolone za pośrednictwem reguł dostępu obwodowego. W przeciwnym razie ruch jest domyślnie blokowany, nawet jeśli jest dodany jako zaufany w regułach zapory konta magazynowego. W przypadku usług, które nie zostały jeszcze dołączone, alternatywy obejmują reguły na poziomie subskrypcji dla ruchu przychodzącego oraz w pełni kwalifikowane nazwy domen (FQDN) dla dostępu wychodzącego lub przez linki prywatne.

Important

Ruch prywatnego punktu końcowego jest uważany za wysoce bezpieczny i dlatego nie podlega regułom obwodowym zabezpieczeń sieci. Cały inny ruch, w tym zaufane usługi, podlega regułom perymetru zabezpieczeń sieciowego, jeśli konto magazynowe jest skojarzone z perymetrem.

Pokrycie funkcji w ramach perymetru zabezpieczeń sieci

Gdy konto pamięci masowej jest powiązane z perymetrem zabezpieczeń sieci, obsługuje wszystkie standardowe operacje na płaszczyźnie danych dla blobów, tabel i kolejek, chyba że jest to określone w znanych ograniczeniach. Możesz ograniczyć wszystkie operacje oparte na protokole HTTPS dla Azure Blob Storage, Azure Data Lake Storage, Azure Table Storage oraz Azure Queue Storage przy użyciu obrębu zabezpieczeń sieci.

Limitations

Feature Status pomocy Recommendations
Replikacja obiektów dla usługi Azure Blob Storage Niewspierane. Replikacja obiektów między kontami magazynu zawodzi, jeśli konto źródłowe lub docelowe jest powiązane z sieciowym obwodem zabezpieczeń Nie konfiguruj perymetru zabezpieczeń sieciowych na kontach magazynu, które wymagają replikacji obiektów. Podobnie nie włączaj replikacji obiektów na kontach skojarzonych z obwodem zabezpieczeń sieci, dopóki nie będzie dostępna obsługa. Jeśli replikacja obiektów jest już włączona, nie możesz przypisać strefy zabezpieczeń sieciowych. Podobnie, jeśli perymetr bezpieczeństwa sieciowego jest już powiązany, nie można włączyć replikacji obiektów. To ograniczenie uniemożliwia skonfigurowanie nieobsługiwanego scenariusza.
Dostęp do systemu plików sieciowych (NFS) przez Azure Blobs oraz SSH File Transfer Protocol (SFTP) przez Azure Blobs Wszystkie protokoły inne niż dostęp oparty na protokole HTTPS są blokowane, gdy konto magazynu jest skojarzone z obwodem zabezpieczeń sieci w trybie wymuszonym. Jeśli potrzebujesz dowolnego z tych protokołów, nie używaj obwodu zabezpieczeń sieci w trybie wymuszonym. Podczas testowania lub migracji do obwodu zabezpieczeń sieci przy użyciu trybu przejścia może wystąpić pomyślny dostęp przez zachowanie rezerwowe zapory i nie wskazuje obsługi protokołu za pośrednictwem obwodu zabezpieczeń sieci.
Azure Backup Niewspierane. Azure Backup jako usługa nie została jeszcze wdrożona do obwodu granicznego zabezpieczeń sieci. Nie kojarz konta z perymetrem zabezpieczeń sieci, jeśli masz włączone kopie zapasowe lub planujesz korzystać z Azure Backup. Gdy Azure Backup zostanie włączony do obwodu zabezpieczeń sieciowych, możesz zacząć korzystać z obu tych funkcji razem.
dyski niezarządzane Dyski niezarządzane nie przestrzegają reguł obwodu zabezpieczeń sieci. Unikaj używania dysków niezarządzanych na kontach magazynu chronionych przez perymetr zabezpieczeń sieciowych.
Statyczna witryna internetowa Niewspierane Statyczna strona internetowa, jako otwarta z natury, nie może być używana z perymetrem bezpieczeństwa sieci. Jeśli statyczna strona jest już włączona, nie możesz przypisać perymetru bezpieczeństwa sieci. Podobnie, jeśli obwód bezpieczeństwa sieciowego jest już skojarzony, nie możesz włączyć statycznej strony internetowej. To ograniczenie uniemożliwia skonfigurowanie nieobsługiwanego scenariusza.

Warning

W przypadku kont pamięci masowej powiązanych z perymetrem zabezpieczeń sieciowych, aby scenariusze kluczy zarządzanych przez klienta (CMK) działały, upewnij się, że usługa Azure Key Vault jest dostępna w obrębie perymetru, z którym jest skojarzone konto pamięci masowej.

Powiąż perymetr bezpieczeństwa sieciowego z kontem magazynu danych

Aby skojarzyć obwód zabezpieczeń sieci z kontem magazynu, postępuj zgodnie z tymi typowymi instrukcjami dotyczącymi wszystkich zasobów PaaS.

Dalsze kroki

  • Ostatnia aktualizacja o