Criptografia em repouso para Arquivos do Azure

✔️ Aplica-se a: Todos os compartilhamentos de arquivos do Azure

Arquivos do Azure criptografa todos os dados de compartilhamento de arquivos em repouso. Este artigo descreve como funciona a criptografia em repouso e as decisões a serem tomadas antes de implantar o Arquivos do Azure: quem gerencia a chave que criptografa seus dados e se você precisa de uma segunda camada de criptografia. Para os passos para usar sua própria chave, veja Configurar criptografia em repouso com chaves gerenciadas pelo cliente para Arquivos do Azure. Para proteger os dados enquanto eles se movem entre clientes e Arquivos do Azure, veja Configurar criptografia em trânsito para Arquivos do Azure. Para outras decisões de implantação, veja Planeje uma implantação no Arquivos do Azure.

As opções disponíveis dependem do provedor de recursos que você usa para criar o compartilhamento de arquivos. Compartilhamentos de arquivos clássicos (Microsoft. Storage) suportam chaves gerenciadas pela Microsoft, chaves gerenciadas pelo cliente e criptografia de infraestrutura. Compartilhamentos de arquivos criados com Microsoft.FileShares suportam apenas chaves gerenciadas pela Microsoft. Para outras diferenças entre os provedores de recursos, veja conceitos de gerenciamento do Arquivos do Azure.

Como funciona a criptografia em repouso

O Arquivos do Azure criptografa os dados enquanto grava os dados no disco e descriptografa os dados conforme os lê. A criptografia ocorre sob o sistema de arquivos do compartilhamento de arquivos, de forma semelhante a como o BitLocker funciona no Windows. Como o serviço faz a criptografia, os clientes não precisam de acesso à chave de criptografia, e você não precisa mudar suas aplicações ou configuração do cliente. A criptografia em repouso aplica-se a dados e metadados de arquivos, independentemente de os clientes usarem SMB, NFS ou FileREST.

A criptografia em repouso está sempre ativada e não pode ser desativada. Ele se aplica a todo compartilhamento de arquivos, independentemente do nível de mídia, modelo de faturamento ou redundância. Se uma conta de armazenamento usa armazenamento geo-redundante, os dados na região secundária também são criptografados. A criptografia em repouso não adiciona encargos à sua fatura.

Arquivos do Azure usa AES-GCM de 256 bits, que está em conformidade com FIPS 140-2. Para mais informações sobre os módulos criptográficos que o Arquivos do Azure utiliza, veja Cryptography API: Next Generation.

A criptografia em repouso protege os dados onde estão armazenados. Não controla quem pode ler ou alterar arquivos; para controlar o acesso aos dados dos arquivos, veja Proteger seus compartilhamentos de arquivos no Azure.

Chaves de criptografia

O Arquivos do Azure criptografa seus dados com uma chave, e você escolhe quem gerencia essa chave. Por padrão, a Microsoft gerencia isso. Para compartilhamentos de arquivos clássicos, você pode gerenciar a chave sozinho. Em ambos os casos, o Arquivos do Azure lida perfeitamente com a criptografia e a descriptografia.

chaves gerenciadas por Microsoft

Chaves gerenciadas pela Microsoft não precisam de configuração. A Microsoft armazena e controla as chaves e as rotaciona conforme os requisitos de conformidade especificados. Compartilhamentos de arquivos criados com Microsoft.FileShares sempre usam chaves gerenciadas pela Microsoft. Se você tem requisitos específicos para rotação de chaves ou auditoria, use chaves gerenciadas pelo cliente para poder gerenciar e auditar a rotação por conta própria.

Chaves gerenciadas pelo cliente

Com chaves gerenciadas pelo cliente, você controla a chave que protege os dados em uma conta de armazenamento. Você armazena a chave no Azure Key Vault ou Azure Key Vault Managed HSM, e a conta de armazenamento usa uma identidade gerenciada para acessá-la. O cofre de chaves pode estar em uma região ou assinatura diferente da conta de armazenamento. Também pode estar em outro locatário do Microsoft Entra, por exemplo, quando um provedor de serviço armazena dados que a chave do cliente protege.

Uma chave gerenciada pelo cliente se aplica a toda a conta de armazenamento. Uma chave protege todos os compartilhamentos clássicos de arquivos na conta de armazenamento, e você não pode usar uma chave diferente para cada compartilhamento de arquivo. Se compartilhamentos de arquivos precisarem de chaves diferentes, coloque-as em contas de armazenamento diferentes.

Quando você gerencia a chave, também gerencia seu ciclo de vida, incluindo o rotacionamento. Você pode configurar a conta de armazenamento para usar automaticamente a versão mais recente da chave. Com essa opção, a conta de armazenamento começa a usar uma nova versão da chave dentro de 24 horas após você criá-la. Alternativamente, você pode especificar uma versão da chave e então atualizar a conta de armazenamento toda vez que rotacionar a chave.

A conta de armazenamento deve ser capaz de acessar a chave para ler e gravar dados. Se você desativar a chave ou remover o acesso da conta de armazenamento a ela, os clientes não podem ler ou gravar dados na conta de armazenamento até que você restaure o acesso. Você pode usar esse comportamento para revogar o acesso de propósito, mas uma alteração acidental na chave ou em suas permissões tem o mesmo efeito. Para evitar uma mudança acidental, limite quem pode desabilitar a chave ou alterar suas permissões. Chaves gerenciadas pelo cliente exigem proteção contra purga no cofre de chaves ou HSM gerenciado, então uma chave excluída permanece recuperável até o fim do seu período de retenção.

Para saber como configurar chaves gerenciadas pelo cliente, girar a chave e revogar o acesso, veja Configurar criptografia em repouso com chaves gerenciadas pelo cliente para Arquivos do Azure.

Criptografia de infraestrutura

A criptografia de infraestrutura adiciona uma segunda camada de criptografia abaixo da primeira. Com criptografia de infraestrutura, o Arquivos do Azure criptografa seus dados duas vezes: uma vez no nível de serviço, com a chave que você escolher, e outra no nível de infraestrutura, com uma chave separada gerenciada pela Microsoft. As duas camadas usam algoritmos de criptografia diferentes e chaves diferentes. Se um algoritmo ou chave for comprometido, a outra camada continua protegendo seus dados.

A maioria das cargas de trabalho não precisa de criptografia de infraestrutura, porque a criptografia em nível de serviço é suficiente. Use a criptografia de infraestrutura quando seus requisitos de conformidade exigirem dupla criptografia.

Planeje a criptografia da infraestrutura antes de implantar, porque você só pode habilitá-la ao criar uma conta de armazenamento. Você não pode ativar ou desativar isso em uma conta de armazenamento existente. Para usar criptografia de infraestrutura para dados que você já tem, crie uma nova conta de armazenamento com criptografia de infraestrutura e migre os dados para um novo compartilhamento de arquivos. Microsoft.FileShares não suporta criptografia de infraestrutura.

Para criar uma conta de armazenamento com criptografia de infraestrutura, siga os passos em Criar uma conta de armazenamento para compartilhamentos clássicos de arquivos.

Conteúdo relacionado

• Configure a criptografia em repouso com chaves gerenciadas pelo cliente para Arquivos do Azure
• Configurar criptografia em trânsito para Arquivos do Azure
• Proteja seus compartilhamentos de arquivos do Azure