Poznawanie funkcji zabezpieczeń usługi Azure Storage

Działalność firmy Contoso w znacznym stopniu zależy od ogromnych ilości danych w usłudze Azure Storage. Wiele jej aplikacji korzysta z obiektów blob, magazynu tabel bez struktury, usługi Azure Data Lake oraz udziałów plików opartych na protokole SMB (Server Message Block).

Po tym, jak u konkurenta firmy Contoso doszło do wykradzenia danych, firma Contoso zleciła administratorowi sieci sprawdzenie bezpieczeństwa danych w organizacji. Jako konsultant ds. danych firmy Contoso możesz zapewnić administratora sieci, że konta usługi Azure Storage oferują kilka funkcji zabezpieczeń wysokiego poziomu dla danych w chmurze:

• Chroń przechowywane dane
• Ochrona przesyłanych danych
• Obsługa dostępu między domenami w przeglądarce
• Kontrolowanie, kto ma dostęp do danych
• Przeprowadzanie inspekcji dostępu do magazynu

Szyfrowanie w spoczynku

Wszystkie dane zapisywane w usłudze Azure Storage są automatycznie szyfrowane przy użyciu funkcji szyfrowania usługi Storage (Storage Service Encryption, SSE) korzystającej z 256-bitowego szyfru AES (Advanced Encryption Standard) i są zgodne ze standardem FIPS 140-2. Funkcja SSE automatycznie szyfruje dane zapisywane w usłudze Azure Storage. Podczas odczytywania danych z usługi Azure Storage usługa ta odszyfrowuje dane przed ich zwróceniem. Ten proces nie powoduje naliczania żadnych dodatkowych opłat i nie obniża wydajności. Nie można go wyłączyć.

W przypadku maszyn wirtualnych platforma Azure umożliwia szyfrowanie wirtualnych dysków twardych (VHD) przy użyciu usługi Azure Disk Encryption. To szyfrowanie używa funkcji BitLocker dla obrazów systemu Windows i używa narzędzia dm-crypt dla systemu Linux.

Azure Disk Encryption integruje się z Azure Key Vault, aby ułatwić kontrolowanie kluczy i wpisów tajnych szyfrowania dysków oraz zarządzanie nimi. Dlatego nawet jeśli ktoś uzyska dostęp do obrazu wirtualnego dysku twardego i pobierze go, nie dostanie się do danych zapisanych na tym dysku.

Szyfrowanie podczas transferu

Bezpieczeństwo danych można zapewnić, włączając zabezpieczenia na poziomie transportu między platformą Azure a klientem. Zawsze używaj protokołu HTTPS do zabezpieczania komunikacji przez publiczny Internet. Podczas wywoływania interfejsów API REST w celu uzyskania dostępu do obiektów na kontach magazynu można wymusić używanie protokołu HTTPS, żądając bezpiecznego transferu dla konta magazynu. Gdy wymagany jest bezpieczny transfer, Azure Storage odrzuca żądania korzystające z protokołu HTTP. Połączenia z udziałem plików Azure za pośrednictwem protokołu SMB bez szyfrowania również kończą się niepowodzeniem. Właściwość Wymuś bezpieczny transfer jest domyślnie włączona podczas tworzenia konta magazynu.

Obsługa mechanizmu CORS

Firma Contoso przechowuje kilka typów zawartości witryn internetowych w usłudze Azure Storage. Te typy obejmują obrazy i wideo. Aby zapewnić bezpieczeństwo aplikacji przeglądarki, firma Contoso ogranicza żądania GET do określonych domen.

Usługa Azure Storage obsługuje dostęp między domenami za pośrednictwem mechanizmu współużytkowania zasobów między źródłami (CORS). Mechanizm CORS korzysta z nagłówków HTTP, umożliwiając aplikacji internetowej z jednej domeny dostęp do zasobów serwera z innej domeny. Użycie mechanizmu CORS gwarantuje, że aplikacje internetowe ładują tylko zawartość z autoryzowanych źródeł.

Mechanizm CORS jest domyślnie wyłączony. Aby ją włączyć, dodaj reguły CORS do właściwości usług każdej usługi magazynu, którą chcesz uwidocznić (obiektów blob, plików, kolejek lub tabel). Reguły określają dozwolone źródła, metody i nagłówki.

Kontrola dostępu oparta na rolach

Aby uzyskać dostęp do danych na koncie magazynu, klient wysyła żądanie za pośrednictwem protokołu HTTP lub HTTPS. Każde żądanie kierowane do bezpiecznego zasobu musi być autoryzowane. Usługa zapewnia, że klient ma uprawnienia wymagane do uzyskania dostępu do danych. Do wyboru jest kilka opcji dostępu. Microsoft zaleca dostęp oparty na rolach za pomocą Microsoft Entra ID.

Usługa Azure Storage obsługuje funkcję Microsoft Entra ID i kontroli dostępu opartej na rolach (RBAC) na potrzeby zarządzania zasobami i operacji na danych. Podmiotom zabezpieczeń można przypisać role RBAC o zakresie ograniczonym do konta magazynowego. Za pomocą Microsoft Entra ID można autoryzować operacje zarządzania zasobami, takie jak konfiguracja. Microsoft Entra ID jest obsługiwana w przypadku operacji na danych w usłudze Blob, File, Queue i Table Storage.

Role RBAC można przypisać do podmiotu zabezpieczeń lub tożsamości zarządzanej dla zasobów platformy Azure, które są ograniczone do subskrypcji, grupy zasobów, konta magazynu lub pojedynczego kontenera lub kolejki.

Inspekcje dostępu

Inspekcja jest innym elementem kontroli dostępu. Możesz przeprowadzić inspekcję dostępu do Azure Storage przy użyciu dzienników Azure Storage w Azure Monitor. Te dzienniki zasobów rejestrują żądania do konta magazynu/pamięci masowej i można je wyszukiwać pod kątem określonych żądań. Można filtrować na podstawie mechanizmu uwierzytelniania, powodzenia operacji lub zasobu, do którego uzyskiwano dostęp.

Starsze dzienniki analityka magazynu są nadal obsługiwane, ale Microsoft zaleca zamiast tego dzienniki Azure Monitor.