Wymagaj bezpiecznego transferu, aby zapewnić bezpieczne połączenia

✔️ Dotyczy do: Azure Blob Storage, Azure Data Lake Storage, Azure Queue Storage, Azure Table Storage

✖️ Nie dotyczy to: Azure Files (Microsoft.Storage lub Microsoft.FileShares)

Konto przechowywania można skonfigurować tak, aby akceptowało żądania tylko z bezpiecznych połączeń, ustawiając właściwość Wymagany bezpieczny transfer dla konta przechowywania. W przypadku wymagania bezpiecznego transferu wszystkie żądania pochodzące z niezabezpieczonego połączenia zostaną odrzucone. Wymagaj bezpiecznego transferu dla wszystkich swoich kont magazynu.

Jeśli wymagany jest bezpieczny transfer, należy wykonać wywołanie operacji interfejsu API REST Azure Storage za pośrednictwem protokołu HTTPS. Wszystkie żądania przesyłane za pośrednictwem protokołu HTTP są odrzucane. Domyślnie właściwość Wymagany bezpieczny transfer zostaje włączona podczas tworzenia konta magazynowego.

Azure Policy zapewnia wbudowaną politykę, która zapewnia, że bezpieczny transfer jest wymagany dla kont magazynowych. Aby uzyskać więcej informacji, zobacz sekcję Storage w wbudowane definicje reguł Azure Policy.

W przypadku Azure Files zobacz Konfigurowanie szyfrowania podczas przesyłania dla usługi Azure Files. Konta pamięci masowej zawierające udziały plików platformy Azure korzystają z tego samego ustawienia, ale wchodzą one w interakcję z ustawieniami szyfrowania SMB i NFS. Artykuł o Azure Files opisuje kwestie dotyczące Azure Files.

Wymaganie bezpiecznego transferu w portalu Azure

Możesz włączyć właściwość Secure transfer required podczas tworzenia konta przechowywania w portalu Azure. Można ją również włączyć dla istniejących kont przechowywania.

Wymaganie bezpiecznego transferu dla nowego konta magazynowego

  1. Zaloguj się do portalu Azure i przejdź do Konta magazynowe. Wybierz + Utwórz.

  2. Na karcie Zaawansowane w obszarze Zabezpieczenia zaznacz pole wyboru Wymagaj bezpiecznego transferu dla operacji interfejsu API REST .

    Zaawansowana karta tworzenia konta magazynowego

Wymaganie bezpiecznego transferu dla istniejącego konta magazynu

  1. Wybierz istniejące konto magazynowe w portalu Azure.
  2. Z menu usługi w obszarze Ustawienia wybierz pozycję Konfiguracja.
  3. W obszarze Wymagany bezpieczny transfer wybierz pozycję Włączone.
  4. Wybierz opcję Zapisz.

Wymagaj bezpiecznego transferu z kodu

Aby programowo wymagać bezpiecznego transferu, ustaw właściwość enableHttpsTrafficOnly na True na koncie magazynowym. Tę właściwość można ustawić przy użyciu interfejsu API REST dostawcy zasobów magazynu, bibliotek klienckich lub narzędzi:

Wymagaj bezpiecznego transferu za pomocą programu PowerShell

Uwaga / Notatka

Zalecamy użycie modułu Azure Az programu PowerShell do interakcji z Azure. Aby rozpocząć, zobacz Install Azure PowerShell. Aby dowiedzieć się, jak przeprowadzić migrację do modułu Az programu PowerShell, zobacz Migrate Azure PowerShell z modułu AzureRM do modułu Az.

Ten przykład wymaga modułu Azure PowerShell Az w wersji 0.7 lub nowszej. Uruchom Get-Module -ListAvailable Az, aby znaleźć wersję. Jeśli musisz zainstalować lub uaktualnić, zobacz Install Azure PowerShell module.

Uruchom Connect-AzAccount, aby utworzyć połączenie z Azure.

Użyj następującego wiersza polecenia, aby sprawdzić ustawienie:

Get-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}"
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : False
...

Użyj następującego wiersza polecenia, aby włączyć ustawienie:

Set-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}" -EnableHttpsTrafficOnly $True
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : True
...

Wymaganie bezpiecznego transferu przy użyciu Azure CLI

Aby uruchomić ten przykład, zainstaluj najnowszą wersję Azure CLI. Aby rozpocząć, uruchom polecenie az login, aby utworzyć połączenie z Azure.

Przykłady dla Azure CLI są pisane dla powłoki bash. Aby uruchomić ten przykład w Windows programie PowerShell lub wierszu polecenia, może być konieczne zmianę elementów skryptu.

Jeśli nie masz konta Azure, przed rozpoczęciem utwórz konto free.

Użyj następującego polecenia, aby sprawdzić ustawienie:

az storage account show -g {ResourceGroupName} -n {StorageAccountName}
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": false,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Użyj następującego polecenia, aby włączyć ustawienie:

az storage account update -g {ResourceGroupName} -n {StorageAccountName} --https-only true
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": true,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Dalsze kroki

Zalecenia dotyczące zabezpieczeń usługi Blob Storage

  • Ostatnia aktualizacja o