Konfigurowanie protokołu Transport Layer Security (TLS) dla aplikacji klienckiej

✔️ Dotyczy: Azure Blob Storage, Azure Data Lake Storage, Azure Queue Storage, Azure Table Storage

✖️ Nie dotyczy to: Azure Files (Microsoft.Storage lub Microsoft.FileShares)

Ze względów bezpieczeństwa konto Azure Storage może wymagać, aby klienci używali minimalnej wersji Transport Layer Security (TLS) do wysyłania żądań. Wywołania do Azure Storage nie powiodą się, jeśli klient używa wersji TLS niższej niż minimalnie wymagana wersja. Na przykład, jeśli konto pamięci masowej wymaga protokołu TLS 1.2, żądanie wysłane przez klienta korzystającego z protokołu TLS 1.1 kończy się niepowodzeniem.

W tym artykule opisano sposób konfigurowania aplikacji klienckiej do używania określonej wersji protokołu TLS. Aby uzyskać informacje na temat konfigurowania minimalnej wymaganej wersji protokołu TLS dla konta usługi Azure Storage, zobacz Konfigurowanie minimalnej wymaganej wersji protokołu Transport Layer Security (TLS) dla konta magazynu.

W przypadku Azure Files, zobacz FileREST encryption in transit. Konta pamięci masowej zawierające udziały plików platformy Azure korzystają z tych samych wymagań TLS, ale artykuł Azure Files opisuje kwestie dotyczące usługi Azure Files.

Konfigurowanie wersji protokołu TLS klienta

Aby wysłać żądanie z daną wersją TLS, system operacyjny musi obsługiwać tę wersję.

W poniższych przykładach pokazano, jak ustawić wersję protokołu TLS klienta na 1.2 z programu PowerShell lub platformy .NET. Program .NET Framework używany przez klienta musi obsługiwać protokół TLS 1.2. Aby uzyskać więcej informacji, zobacz Obsługa protokołu TLS 1.2.

# Set the TLS version used by the PowerShell client to TLS 1.2.
[System.Net.ServicePointManager]::SecurityProtocol = [System.Net.SecurityProtocolType]::Tls12;

# Create a new container.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
New-AzStorageContainer -Name "sample-container" -Context $ctx

public static async Task ConfigureTls12()
{
    // Enable TLS 1.2 before connecting to Azure Storage
    System.Net.ServicePointManager.SecurityProtocol = System.Net.SecurityProtocolType.Tls12;

    // Add your connection string here.
    string connectionString = "";

    // Create a new container with Shared Key authorization.
    BlobContainerClient containerClient = new BlobContainerClient(connectionString, "sample-container");
    await containerClient.CreateIfNotExistsAsync();
}

Weryfikowanie wersji protokołu TLS używanej przez klienta

Aby zweryfikować, czy klient użył określonej wersji TLS do wysłania żądania, użyj narzędzia Fiddler lub podobnego. Otwórz Fiddlera, aby rozpocząć przechwytywanie ruchu sieciowego klienta, a następnie wykonaj jeden z przykładów z poprzedniej sekcji. Przyjrzyj się śladowi programu Fiddler, aby potwierdzić, że poprawna wersja protokołu TLS została użyta do wysłania żądania, jak pokazano na poniższej ilustracji.

Następne kroki

• Konfigurowanie minimalnej wymaganej wersji protokołu Transport Layer Security (TLS) dla konta magazynu
• Zalecenia dotyczące zabezpieczeń usługi Blob Storage