Visão geral da proteção de dados

Na documentação do Armazenamento do Azure, a proteção de dados refere-se a estratégias de proteção da conta de armazenamento e dos dados dentro dela contra exclusão ou modificação ou para restaurar dados depois que eles forem excluídos ou modificados. É importante pensar na melhor forma de proteger seus dados antes que ocorra um incidente que possa comprometa-los. Este guia pode ajudar você a decidir antecipadamente quais recursos de proteção de dados seu caso exige. O Armazenamento do Azure também oferece opções para recuperação de desastres, segurança e redes. Todos esses métodos trabalham juntos para a proteção completa dos seus dados.

Recomendações para proteção básica de dados

Se você deseja cobertura básica de proteção de dados para sua conta de armazenamento e os dados que ela contém, siga os seguintes passos:

  1. Configure um bloqueio do Azure Resource Manager na conta de armazenamento a fim de proteger a conta contra alterações de exclusão ou configuração. Saiba mais...

  2. Habilite a exclusão temporária de contêineres para a conta de armazenamento a fim de recuperar um contêiner excluído e seu conteúdo. Saiba mais...

  3. Ative a exclusão reversível de blob para recuperar um blob excluído ou substituído. Saiba mais...

A seção a seguir descreve essas opções e outras opções de proteção de dados para outros cenários com mais detalhes. Para proteção contra cenários mais amplos de perda de dados, como exclusão acidental de conta ou ransomware, considere habilitar Backup do Azure além de recursos na conta.

Para obter uma visão geral dos custos envolvidos nesses recursos, consulte Resumo das considerações de custos.

Dica

Use o Azure Copilot para obter sugestões sobre como aprimorar a estratégia de proteção da sua conta de armazenamento. Para obter mais informações, confira Gerenciar e migrar contas de armazenamento usando o Azure Copilot.

Visão geral das opções de proteção de dados

A tabela a seguir resume as opções disponíveis no Armazenamento do Azure para cenários comuns de proteção de dados. Escolha os cenários que se aplicam à sua situação para saber mais sobre as opções disponíveis. Nem todos os recursos estão disponíveis no momento para contas de armazenamento com um namespace hierárquico habilitado.

Cenário Opções de proteção de dados Recomendações Benefício de proteção Disponível para Data Lake Storage
Impedir que uma conta de armazenamento seja excluída ou modificada. Bloqueio do Azure Resource Manager
Saiba mais...		 Bloqueie todas as suas contas de armazenamento com um bloqueio do Azure Resource Manager a fim de impedir a exclusão da conta de armazenamento. Protege a conta de armazenamento contra alterações de configuração ou exclusão.

Não protege contêineres ou blobs na conta contra exclusão ou substituição.		 Sim
Restaurar um contêiner excluído dentro de um intervalo especificado. Exclusão temporária de contêineres
Saiba mais...		 Habilite a exclusão temporária de contêineres para todas as contas de armazenamento, com um intervalo de retenção mínimo de sete dias.

Habilite o soft delete de blob para proteção ideal dos dados de blob.

Armazene contêineres que requeiram períodos de retenção diferentes em contas de armazenamento separadas.		 Um contêiner excluído e seu conteúdo podem ser restaurados dentro do período de retenção.

Somente operações no nível de contêiner (por exemplo, Excluir contêiner) podem ser restauradas. A exclusão temporária de contêineres não permite a restauração de um blob individual no contêiner se este blob for excluído.		 Sim
Restaurar um blob ou uma versão de blob excluída dentro de um intervalo especificado. Exclusão temporária de blobs
Saiba mais...		 Habilite a exclusão temporária de blobs para todas as contas de armazenamento, com um intervalo de retenção mínimo de sete dias.

Habilite a exclusão temporária de contêineres para proteção ideal dos dados de blob.

Armazene blobs que requeiram períodos de retenção diferentes em contas de armazenamento separadas.		 Um blob excluído ou uma versão de blob pode ser restaurado dentro do período de retenção. Sim
Salve automaticamente o estado de um blob em uma versão anterior quando ele for substituído. Controle de versão de blobs
Saiba mais...		 Ative o controle de versão de blob quando quiser capturar automaticamente alterações de sobrescrita e metadados e manter as versões anteriores dos dados até serem explicitamente excluídas. Para minimizar custos, use uma política de gerenciamento do ciclo de vida ou uma tarefa de ações de armazenamento para excluir automaticamente versões antigas.

Ative com o blob soft delete para uma camada adicional de proteção. Saiba mais...

Armazene dados de blobs que não requeiram controle de versão em uma conta separada para limitar os custos.		 Cada operação de gravação de blob cria uma versão. Quando você exclui um blob, a versão atual do blob se torna uma versão anterior. Versões anteriores persistem até serem explicitamente excluídas ou podem ser promovidas a versão atual. Não
Salve manualmente o estado de um blob em um determinado momento. Instantâneo de blobs
Saiba mais...		 Recomendado para capturas deliberadas e pontuais, ou como alternativa ao controle de versão de blob em contas com namespace hierárquico, onde o controle de versão não está disponível. Um blob pode ser restaurado a partir de um snapshot se o blob for sobrescrevido. Se o blob for excluído, os instantâneos também serão excluídos.

Quando a exclusão suave do blob é ativada, as sobrescritas resultam na criação de snapshots excluídos temporariamente.		 Não
Evite a exclusão de uma versão de blob em um intervalo controlado por você. Política de imutabilidade em uma versão de blob
Saiba mais...		 Defina uma política de imutabilidade em uma versão de blob individual para proteger documentos críticos ao negócio, por exemplo, para atender a requisitos legais ou regulatórios de conformidade. Evita a exclusão de uma versão de blob e a substituição dos metadados dela. Uma operação de substituição cria uma nova versão.

Se pelo menos um contêiner tiver a imutabilidade de nível de versão habilitada, a conta de armazenamento também será protegida contra exclusão. A exclusão do contêiner falhará se houver pelo menos um blob no contêiner.		 Não
Impeça que um contêiner e seus blobs sejam excluídos ou modificados para um intervalo que você controla. Política de imutabilidade em um contêiner
Saiba mais...		 Defina uma política de imutabilidade em um contêiner a fim de proteger documentos críticos para o negócio, por exemplo, para atender a requisitos de conformidade legais ou regulatórios. Protege um contêiner e seus blobs contra todas as exclusões e substituições.

Quando um controle legal ou uma política bloqueada de retenção baseada no tempo está em vigor, a conta de armazenamento também é protegida contra exclusão. Os contêineres para os quais nenhuma política de imutabilidade foi definida não estão protegidos contra exclusão.		 Sim
Restaure um conjunto de blobs de blocos para um ponto anterior no tempo. Restauração em um momento determinado
Saiba mais...		 Para usar a restauração pontual a fim de reverter para um estado anterior, crie seu aplicativo para excluir blobs de blocos individuais em vez de excluir contêineres. Um conjunto de blobs de blocos pode ser revertido para seu estado em um ponto específico no passado.

Somente as operações executadas em blobs de blocos são revertidas. Quaisquer operações executadas em contêineres, blobs de páginas ou blobs de acréscimo não são revertidas.		 Não
Um blob pode ser excluído ou substituído, mas os dados são copiados regularmente para uma segunda conta de armazenamento. Backup de Blobs do Azure armazenado no cofre
Saiba mais		 Ative o backup no vault para que uma cópia externa dos seus dados seja armazenada em backup em um tenant da Microsoft sem acesso direto. Fornece backup seletivo dos contêineres essenciais e possibilita a restauração de contêineres individuais em uma conta de armazenamento diferente da conta de armazenamento de origem. Sim

Há suporte para o AzCopy e o Azure Data Factory.

Não há suporte para replicação de objetos.
Copie de forma assíncrona blobs de bloco para uma conta de destino em outra região. Replicação de objetos Saiba mais... Ative a replicação de objetos para manter uma cópia redundante dos blobs de bloco em outra região, para que seus dados permaneçam disponíveis caso a região de origem fique indisponível. Armazene blobs de bloco que exigem replicação em contas de blob de bloco v2 de uso geral ou premium, porque a replicação de objetos suporta apenas esses tipos de conta. Blobs de bloco escritos na conta de origem são copiados assíncronamente para a conta de destino de acordo com a política de replicação. Apenas blobs de bloco são replicados; blobs de anexação e blobs de página não são suportados, e a replicação de objetos não protege contra a exclusão acidental de um blob individual dentro de uma conta. Sim

Proteção de dados por tipo de recurso

A tabela a seguir resume as opções de proteção de dados do Armazenamento do Azure de acordo com os recursos que elas protegem.

Opções de proteção de dados Protege uma conta contra exclusão Protege um contêiner contra exclusão Protege um objeto contra exclusão Protege um objeto contra substituições
Bloqueio do Azure Resource Manager Sim Não Não Não
Exclusão temporária de contêineres Não Sim Não Não
Exclusão temporária de blobs Não Não Sim Sim
Controle de versão de blob6 Não Não Sim Sim
Snapshot de blob6 Não Não Não Sim
Política de imutabilidade em uma versão de blob Yes1 Sim2 Sim Sim3
Política de imutabilidade em um contêiner Sim4 Sim Sim Sim
Restauração para um ponto no tempo5 Não Não Sim Sim
Backup de Blobs do Azure armazenado no cofre Não Sim Sim Sim
Replicação de Objetos7 Não Sim Sim Sim
Solução personalizada para copiar dados para uma segunda conta6 Não Sim Sim Sim

1 A exclusão da conta de armazenamento falha se houver pelo menos um contêiner com armazenamento imutável em nível de versão ativado.
2 A exclusão do contêiner falha se pelo menos um blob existir no contêiner, independentemente de a política estar bloqueada ou desbloqueada.
3 Sobrescrever o conteúdo da versão atual do blob cria uma nova versão. Uma política de imutabilidade protege os metadados de uma versão contra substituição.
4 Embora uma retenção legal ou uma política de retenção baseada em tempo bloqueada esteja em vigor no escopo do contêiner, a conta de armazenamento também está protegida contra exclusão.
5 Atualmente não é suportado para cargas de trabalho do Data Lake Storage.
6 AzCopy e Azure Data Factory são opções suportadas tanto para cargas de trabalho Armazenamento de Blobs quanto Data Lake Storage. A replicação de objetos tem suporte apenas para cargas de trabalho de armazenamento de blobs.
7 Uma cópia replicada é mantida na conta de destino. A replicação de objetos não impede a exclusão do blob na conta de origem, e a replicação é assíncrona, então gravações recentes podem ainda não estar presentes no destino.

Ações de recuperação de dados baseadas no tipo de recurso

Caso precise recuperar dados substituídos ou excluídos, a maneira como proceder depende de quais opções de proteção de dados foram habilitadas e qual recurso foi afetado. A tabela a seguir descreve as ações que você pode executar para recuperar dados.

Recurso excluído ou substituído Possíveis ações de recuperação Requisitos para recuperação
Conta de armazenamento Tentativa de recuperação da conta de armazenamento excluída
Saiba mais...		 A conta de armazenamento foi criada originalmente com o modelo de implantação do Azure Resource Manager e foi excluída nos últimos 14 dias. Uma nova conta de armazenamento com o mesmo nome não foi criada desde que a conta original foi excluída.
Contêiner Recuperar o contêiner de exclusão temporária e seu conteúdo
Saiba mais...		 A exclusão temporária de contêineres está habilitada e o período de retenção de exclusão temporária do contêiner ainda não expirou.
Contêineres e blobs Restaurar dados de uma segunda conta de armazenamento Todas as operações de contêiner e blob foram efetivamente replicadas para uma segunda conta de armazenamento.
Blob Recuperação de um blob excluído temporariamente
Saiba mais...		 A exclusão temporária de blobs está habilitada e o intervalo de retenção de exclusão temporária não expirou.
Conjunto de blobs de blocos Recuperar um conjunto de blobs de blocos para seu estado em um ponto anterior no tempo1
Saiba mais...		 A restauração pontual está habilitada e o ponto de restauração está dentro do intervalo de retenção. A conta de armazenamento não foi comprometida ou está corrompida.
Instantâneo de blobs Recuperar um snapshot excluído temporariamente1
Saiba mais...		 A exclusão suave do blob está ativada, você sobrescreveu o blob para criar um snapshot de deleção suave, e o intervalo de retenção da soft delete não expirou. Ou, a exclusão suave do blob foi ativada, você deletou um snapshot, e o intervalo de retenção da soft delete não expirou.
Versão do blob Recuperar uma versão excluída temporariamente1
Saiba mais...		 A exclusão temporária de blobs está habilitada e o intervalo de retenção de exclusão temporária não expirou.

1 No momento, não há suporte para cargas de trabalho do Data Lake Storage.

Resumo das considerações de custos

A tabela a seguir resume as considerações de custos para as várias opções de proteção de dados descritas neste guia. Não há custo para ativar ou configurar os seguintes recursos, mas considere os custos que o comportamento deles acarreta.

Opções de proteção de dados Considerações de custo
Bloqueio do Azure Resource Manager para uma conta de armazenamento Nenhum encargo para configurar um bloqueio em uma conta de armazenamento.
Exclusão temporária de contêineres Os dados em um contêiner com exclusão reversível são faturados na mesma taxa que os dados ativos até que o contêiner com exclusão reversível seja excluído permanentemente.
Exclusão temporária de blobs Os dados de blob excluídos temporariamente são faturados à mesma taxa que os dados ativos até serem excluídos permanentemente.

Você não é cobrado pelas transações que geram automaticamente snapshots ou versões quando um blob é sobrescrito ou excluído, mas é cobrado pelas chamadas para a operação Undelete Blob na taxa de escrita-transação.

Ativar a exclusão suave para dados frequentemente sobrescritos pode aumentar as cobranças de capacidade e a latência de listagem. Para avaliar o impacto, a Microsoft recomenda começar com um período mínimo de retenção de sete dias. Para mais informações, veja Preços e cobrança.
Controle de versão de blobs Depois que você ativa o controle de versão de blob, cada gravação em um blob na conta cria uma nova versão, o que pode levar a um aumento nos custos de capacidade.

Você paga por uma versão de blob baseada em blocos ou páginas únicas. Portanto, os custos aumentam à medida que o blob de base diverge de uma versão específica. Mudar o nível de um blob ou da versão de um blob pode ter impacto no faturamento. Para obter mais informações, consulte Preço e cobrança.

Use gerenciamento do ciclo de vida ou ações de armazenamento para deletar versões antigas conforme necessário para controlar custos.
Instantâneos de blobs Você paga por dados em um snapshot, com base em blocos ou páginas únicos. Portanto, os custos aumentam à medida que o blob de base diverge do instantâneo. Mudar o nível de um blob ou snapshot pode ter impacto no faturamento. Para obter mais informações, consulte Preço e cobrança.

Use gerenciamento do ciclo de vida ou ações de armazenamento para excluir snapshots antigos conforme necessário para controlar custos.
Política de imutabilidade em uma versão de blob Criar, modificar ou excluir uma política de retenção baseada em tempo ou uma retenção legal em uma versão de blob gera um encargo de transação de gravação.
Política de imutabilidade em um contêiner Dados imutáveis têm preço igual ao dos dados mutáveis. A cobrança persiste até que os dados sejam mutáveis e excluídos.
Restauração em um momento determinado Ativar a restauração em ponto no tempo também possibilita o versionamento de blob, a exclusão suave e o feed de alterações, cada um dos quais pode resultar em outras cobranças.

Você será cobrado pela restauração pontual ao executar uma operação de restauração. O custo de uma operação de restauração depende da quantidade de dados que estão sendo restaurados. Para obter mais informações, consulte Preço e cobrança.
Backup em cofre Para o Vaulted Backup, você incorre em taxas de armazenamento de backup ou de instância, além do custo do lado da origem (associado à replicação de objetos) na conta de origem submetida a backup. Veja Preço.
Replicação de Objetos Sem custo para configurar a replicação de objetos, incluindo habilitar o feed de alterações e o versionamento de blobs, além de adicionar políticas de replicação. A replicação de objetos requer feed de alterações e versionamento, cada um dos quais pode resultar em outras cobranças.

Manter dados replicados na conta de destino gera custos de capacidade, incluindo o custo de armazenamento do blob e de cada versão do blob. Se a conta de destino estiver em uma região diferente da conta de origem, replicar dados também gera cobranças de saída.

A replicação de objetos gera custos de transação: uma taxa de transação de gravação na conta de origem e cobranças de transação de leitura e gravação na conta de destino, incluindo o custo para ler registros do feed de alterações. Para obter mais informações, confira Cobrança.
Copiar dados para uma segunda conta de armazenamento A manutenção de dados em uma segunda conta de armazenamento incorrerá custos de capacidade e transação. Se a segunda conta de armazenamento estiver localizada em uma região diferente da conta de origem, a cópia de dados para essa segunda conta também incorrerá encargos de saída.

Próximas etapas

  • Última atualização em