Configurar criptografia em trânsito para Arquivos do Azure

Este artigo explica como exigir e usar criptografia em trânsito para o Arquivos do Azure. Cada protocolo possui seu próprio mecanismo e configurações de criptografia:

• SMB: Criptografia de canal SMB 3.x. Veja SMB.
• NFS: Criptografia TLS por meio do auxiliar de montagem AzNFS. Veja NFS.
• FileREST: HTTPS com TLS. Veja FileREST.

Para uma visão geral da criptografia em trânsito para cada protocolo, veja Considerações de rede do Arquivos do Azure. Para compartilhamentos de arquivos da Microsoft.FileShares, você define o requisito de criptografia em trânsito para cada compartilhamento de arquivos. Veja Criar um compartilhamento de arquivos e Modificar um compartilhamento de arquivos. Microsoft. FileShares não suporta FileREST.

Configurações da criptografia em trânsito

Compartilhamentos de arquivos clássicos possuem uma configuração separada de criptografia em trânsito para cada protocolo. Transferência segura necessária era a configuração original para os três protocolos. Para compatibilidade retroativa, ele ainda controla criptografia SMB e NFS até você configurar a configuração para esse protocolo.

As configurações SMB e NFS começam como Não selecionadas para:

• Contas de armazenamento existentes.
• Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API REST do provedor de recursos do Armazenamento do Azure.

Para contas de armazenamento criadas usando o portal Azure, ambas as configurações estão ativadas por padrão.

Depois que você configura a configuração SMB ou NFS, ela tem prioridade sobre Transferência segura obrigatória para esse protocolo. Você pode mudar a configuração entre Ativado e Desativado, mas não pode voltar para Não selecionado.

SMB

Arquivos do Azure criptografa o tráfego SMB usando criptografia de canal SMB 3.x. A configuração Exigir Criptografia em Trânsito para SMB controla se o Arquivos do Azure exige criptografia para acesso SMB aos compartilhamentos de arquivos em uma conta de armazenamento. Quando essa configuração está ativada, o Arquivos do Azure permite apenas montagens SMB 3.x que usam criptografia de canal. O Arquivos do Azure rejeita montagens de clientes que não suportam SMB 3.x com criptografia de canal. SMB 2.1 não suporta criptografia, então o Arquivos do Azure rejeita todas as montagens SMB 2.1. Para o valor padrão e como essa configuração funciona com Transferência segura obrigatória, veja configurações de criptografia em trânsito.

Para os algoritmos de criptografia de canais SMB suportados e outras configurações de segurança SMB, veja configurações de segurança SMB.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    SmbEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-smb-encryption-in-transit true

NFS

Compartilhamentos de arquivos Arquivos do Azure NFSv4.1 suportam criptografia durante o trânsito por um túnel TLS. O TLS protege dados em trânsito contra interceptações, incluindo ataques man-in-the-middle. Para instalar o ajudante de montagem do AzNFS e montar um compartilhamento de arquivos com criptografia em trânsito, veja Mount NFS Azure file shares no Linux.

Como funciona a criptografia durante o trânsito

O Arquivos do Azure usa stunnel, um wrapper TLS de código aberto, para criptografar a conexão TCP entre o cliente NFS e o Arquivos do Azure. Com o assistente de montagem AzNFS, a conexão usa TLS 1.2 ou TLS 1.3 com criptografia AES-256-GCM. Você não precisa do Kerberos nem de um sistema de autenticação externo como o Active Directory.

O pacote ajudante de montagem do AzNFS instala e configura o stunnel no cliente. AzNFS está disponível em packages.microsoft.com. Ele cria um endpoint local que encaminha as requisições do cliente NFS por meio de uma conexão criptografada. O AzNFS possui os seguintes componentes:

• helper de montagem AzNFS: Monta compartilhamentos de arquivos NFSv4.1 através de um túnel TLS.

• Processo de stunnel: Um processo para cada conta de armazenamento. Ele escuta o tráfego do cliente NFS em uma porta local e encaminha o tráfego pelo TLS para o Arquivos do Azure.

• watchdog do AzNFS: Um serviço em segundo plano que mantém processos de stunnel em funcionamento, reinicia túneis terminados e remove processos não utilizados após todas as montagens NFS associadas serem desmontadas.

Impor criptografia em trânsito

A configuração Exigir Criptografia em Trânsito para NFS controla se o Arquivos do Azure requer criptografia para acesso NFS aos compartilhamentos de arquivos em uma conta de armazenamento. Para permitir montagens TLS e não-TLS na mesma conta de armazenamento, desative essa configuração. Para o valor padrão e como essa configuração funciona com Transferência segura obrigatória, veja configurações de criptografia em trânsito.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    NfsEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-nfs-encryption-in-transit true

FileREST

Solicitações FileREST usam HTTPS para criptografar dados em trânsito. Duas configurações de conta de armazenamento controlam a criptografia FileREST para compartilhamentos clássicos de arquivos:

• Transferência segura necessária: Quando essa configuração é ativada, a conta de armazenamento rejeita solicitações FileREST feitas via HTTP. Novas contas de armazenamento têm essa configuração ativada por padrão. Mantenha ativado. A opção de desativá-la existe para compatibilidade retroativa com aplicativos antigos que usam HTTP para acessar outros dados na conta de armazenamento. Antes das configurações SMB e NFS existirem, desabilitar Exigir transferência segura também era a única forma de permitir acesso SMB ou NFS não criptografado. Para permitir acesso não criptografado a SMB ou NFS agora, desative a configuração do protocolo correspondente. Veja as configurações de criptografia em trânsito.
• Versão mínima do TLS: Arquivos do Azure aceita TLS 1.2 e TLS 1.3 para HTTPS. O Armazenamento do Azure não aceita mais TLS 1.0 ou TLS 1.1 para requisições HTTPS, então TLS 1.2 é a versão mínima mais baixa que você pode configurar. Você não pode definir o TLS 1.3 como mínimo. Uma requisição FileREST que usa uma versão TLS anterior ao mínimo falha com o código de status HTTP 400 (Bad Request). Os clientes negociam o TLS 1.3 quando dão suporte a ele.

O Azure Policy possui definições de políticas integradas que auditam ou exigem essas configurações para contas de armazenamento. Veja a seção Armazenamento nas definições de políticas integradas do Azure Policy.

As versões atuais das bibliotecas clientes do Armazenamento do Azure, Azure PowerShell e CLI do Azure utilizam TLS 1.2 ou versões posteriores. Se uma aplicação que mira uma versão mais antiga do .NET Framework não conseguir se conectar, veja as melhores práticas de Segurança da Camada de Transporte (TLS) com o .NET Framework.

Configurar configurações de criptografia FileREST

Os passos a seguir exigem transferência segura e definem a versão mínima do TLS para TLS 1.2 para uma conta de armazenamento.

$params = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    EnableHttpsTrafficOnly = $true
    MinimumTlsVersion = "TLS1_2"
}
Set-AzStorageAccount @params

az storage account update \
    --resource-group <resource-group> \
    --name <storage-account-name> \
    --https-only true \
    --min-tls-version TLS1_2

Conteúdo relacionado

• Considerações de rede dos Arquivos do Azure
• Criptografia em repouso para o Arquivos do Azure