Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
✔️ Dotyczy: Wszystkich udziałów plikowych Azure
Azure Files szyfruje wszystkie dane w udziałach plików w spoczynku. Ten artykuł opisuje, jak działa szyfrowanie w spoczynku oraz jakie decyzje należy podjąć przed wdrożeniem Azure Files: kto zarządza kluczem szyfrującym Twoje dane oraz czy potrzebujesz drugiej warstwy szyfrowania. Aby uzyskać kroki dotyczące użycia własnego klucza, zobacz Configure encryption at rest with customer managed keys for Azure Files. Aby chronić dane podczas przesyłania między klientami a Azure Files, zobacz Configure encryption in transit for Azure Files. Inne decyzje dotyczące wdrożenia znajdziesz w artykule Planowanie wdrożenia usługi Azure Files.
Dostępne opcje zależą od dostawcy zasobów, którego użyjesz do utworzenia udziału plików. Klasyczne udziały plików (Microsoft.Storage) obsługują klucze zarządzane przez Microsoft, klucze zarządzane przez klientów oraz szyfrowanie infrastruktury. Udziały plików utworzone za pomocą Microsoft.FileShares obsługują tylko klucze zarządzane przez firmę Microsoft. Inne różnice między dostawcami zasobów znajdziesz w koncepcjach zarządzania Azure Files.
| Opcja szyfrowania | Klasyczne zasoby plików (Microsoft.Storage) | Microsoft.FileShares |
|---|---|---|
| Szyfrowanie w spoczynku za pomocą kluczy zarządzanych przez Microsoft | Supported | Supported |
| Klucze zarządzane przez klienta | Supported | Nieobsługiwane |
| Szyfrowanie infrastruktury | Supported | Nieobsługiwane |
Jak działa szyfrowanie w spoczynku
Azure Files szyfruje dane podczas zapisu na dysku i odszyfrowuje je podczas odczytu. Szyfrowanie odbywa się pod systemem plików udziału plików, podobnie jak BitLocker działa w systemie Windows. Ponieważ to usługa wykonuje szyfrowanie, klienci nie potrzebują dostępu do klucza szyfrowania i nie musisz zmieniać aplikacji ani konfiguracji klienta. Szyfrowanie w spoczynku dotyczy danych i metadanych plików, niezależnie od tego, czy klienci korzystają z SMB, NFS czy FileREST.
Szyfrowanie w spoczynku jest zawsze włączone i nie da się go wyłączyć. Dotyczy to każdego udziału plików, niezależnie od poziomu nośnika, modelu rozliczeń czy redundancji. Jeśli konto magazynu korzysta z magazynu geograficznie nadmiarowego, dane w regionie drugorzędnym również są szyfrowane. Szyfrowanie danych w spoczynku nie dodaje opłat do rachunku.
Azure Files używa 256-bitowego AES-GCM, który jest zgodny z FIPS 140-2. Więcej informacji o modułach kryptograficznych używanych przez Azure Files można znaleźć w artykule Cryptography API: Next Generation.
Szyfrowanie w spoczynku chroni dane tam, gdzie są przechowywane. Nie kontroluje, kto może czytać lub zmieniać pliki; aby kontrolować dostęp do danych plików, zobacz Zabezpiecz swoje udziały plików platformy Azure.
Klucze szyfrowania
Azure Files szyfruje Twoje dane kluczem, a ty wybierasz, kto zarządza tym kluczem. Domyślnie zarządza nią Microsoft. W przypadku klasycznych udostępnień plików możesz samodzielnie zarządzać kluczem. W obu przypadkach Azure Files bezproblemowo obsługuje szyfrowanie i odszyfrowanie.
| Attribute | Klucze zarządzane przez firmę Microsoft | Klucze zarządzane przez klienta |
|---|---|---|
| Default | Yes | No |
| Operacje szyfrowania i odszyfrowywania | Azure | Azure |
| Przechowywanie kluczy | magazyn kluczy Microsoft | Azure Key Vault lub Azure Key Vault Managed HSM |
| Rotacja klucza | Microsoft | Ty |
| Kontrolka klucza | Microsoft | Ty |
Klucze zarządzane przez firmę Microsoft
Klucze zarządzane przez Microsoft nie wymagają konfiguracji. Microsoft przechowuje i kontroluje klucze oraz rotuje je zgodnie z wymaganiami zgodności. Udziały plików utworzone przy użyciu Microsoft.FileShares zawsze korzystają z kluczy zarządzanych przez firmę Microsoft. Jeśli masz konkretne wymagania dotyczące rotacji kluczy lub audytu, używaj kluczy zarządzanych przez klienta, aby samodzielnie zarządzać rotacją i ją audytować.
Klucze zarządzane przez klienta
Dzięki kluczom zarządzanym przez klienta kontrolujesz klucz, który chroni dane na koncie pamięci. Klucz przechowujesz w Azure Key Vault lub Azure Key Vault Managed HSM, a konto magazynowe korzysta z zarządzanej tożsamości do uzyskania do niego dostępu. Magazyn kluczy może znajdować się w innym regionie lub subskrypcji niż konto magazynu. Może też znajdować się w innym dzierżawcy Microsoft Entra, na przykład gdy dostawca usług przechowuje dane, które chroni klucz klienta.
Klucz zarządzany przez klienta dotyczy całego konta magazynowego. Jeden klucz chroni wszystkie klasyczne udziały plików na koncie pamięci i nie możesz używać innego klucza dla każdego udziału plików. Jeśli udziały plików potrzebują różnych kluczy, umieść je w różnych kontach magazynu.
Zarządzając kluczem, zarządzasz także jego cyklem życia, w tym rotacją. Możesz skonfigurować konto pamięci masowej tak, aby automatycznie korzystało z najnowszej wersji klucza. Dzięki tej opcji konto magazynu zacznie używać nowej wersji klucza w ciągu 24 godzin po jego utworzeniu. Alternatywnie możesz określić wersję klucza i aktualizować konto magazynu za każdym razem, gdy obracasz klucz.
Konto magazynu musi mieć dostęp do klucza do odczytu i zapisu danych. Jeśli wyłączysz klucz lub usuniesz kontu magazynu dostęp do niego, klienci nie będą mogli odczytywać ani zapisywać danych na koncie magazynu, dopóki nie przywrócisz dostępu. Możesz użyć tego zachowania, aby celowo cofnąć dostęp, ale przypadkowa zmiana klucza lub jego uprawnień ma ten sam efekt. Aby zapobiec przypadkowej zmianie, ogranicz, kto może wyłączyć klucz lub zmienić jego uprawnienia. Klucze zarządzane przez klienta wymagają ochrony przed czyszczeniem w magazynie kluczy lub zarządzanym HSM, więc usunięty klucz pozostaje możliwy do odzyskania aż do końca okresu przechowywania.
Aby dowiedzieć się o krokach konfigurowania kluczy zarządzanych przez klienta, obrócenia klucza i cofnięcia dostępu, zobacz Konfiguruj szyfrowanie w spoczynku z kluczami zarządzanymi przez klienta dla Azure Files.
Szyfrowanie infrastruktury
Szyfrowanie infrastruktury dodaje drugą warstwę szyfrowania pod pierwszą. Dzięki szyfrowaniu infrastruktury Azure Files szyfruje Twoje dane dwukrotnie: raz na poziomie usługi, z wybranym przez Ciebie kluczem, oraz raz na poziomie infrastruktury, z osobnym kluczem zarządzanym przez Microsoft. Obie warstwy wykorzystują różne algorytmy szyfrowania i różne klucze. Jeśli jeden algorytm lub klucz zostanie skompromitowany, druga warstwa nadal chroni Twoje dane.
Większość obciążeń nie wymaga szyfrowania infrastruktury, ponieważ szyfrowanie na poziomie usług wystarcza. Używaj szyfrowania infrastruktury, gdy wymagania dotyczące zgodności wymagają podwójnego szyfrowania.
Zaplanuj szyfrowanie infrastruktury przed wdrożeniem, ponieważ możesz je włączyć tylko podczas tworzenia konta magazynu. Nie możesz go włączyć ani wyłączyć na istniejącym koncie magazynu. Aby użyć szyfrowania infrastruktury dla danych, które już posiadasz, stwórz nowe konto pamięci z szyfrowaniem infrastruktury i przenieś dane do nowego udziału plików. Microsoft.FileShares nie obsługuje szyfrowania infrastruktury.
Aby utworzyć konto magazynu z szyfrowaniem infrastruktury, postępuj zgodnie z instrukcjami w dokumencie Tworzenie konta magazynu dla klasycznych udziałów plików.