Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Este artigo fornece orientações de segurança para Arquivos do Azure, incluindo compartilhamentos clássicos criados com Microsoft.Storage e compartilhamentos de arquivos criados com Microsoft.FileShares. Ela cobre os recursos que mantêm seus compartilhamentos, acesso dos clientes, proteção de dados e controles operacionais.
Os controles de segurança dependem do fornecedor de recursos e do protocolo. Para uma comparação dos recursos suportados, veja conceitos de gerenciamento do Arquivos do Azure.
Isolamento de recursos
Trate a conta de armazenamento como um limite de confiança: Criar compartilhamentos de arquivos clássicos separados na mesma conta de armazenamento não isola as regras de rede, a fonte de identidade da SMB ou a configuração da chave de criptografia. Mudanças nessas configurações em nível de conta afetam todos os compartilhamentos na conta. Agrupe compartilhamentos clássicos somente quando eles puderem compartilhar esses controles. Microsoft.FileShares evita esse limite compartilhado em nível de conta ao fornecer configuração independente de rede e segurança para cada compartilhamento.
Proteger sistemas clientes: Um cliente com acesso de gravação pode modificar ou excluir dados de arquivos. Mantenha os sistemas operacionais dos clientes atualizados e restrinja o acesso administrativo local. Use a proteção de ponto de extremidade adequada ao ambiente do cliente. Isolamento de rede e criptografia não impedem um cliente autorizado de fazer mudanças destrutivas.
Segurança de rede
Tráfego de entrada e filtragem de saída
Limite o acesso de entrada aos clientes que precisam dele: Ambos os provedores de recursos suportam endpoints privados e endpoints de serviço com restrições de rede virtual. O acesso a compartilhamentos de arquivos do NFS Azure requer um desses caminhos. Clientes clássicos SMB e FileREST também podem usar endpoints públicos com regras de endereço IP. Para as etapas de configuração, veja Configurar endpoints de rede para compartilhamentos de arquivos do Azure.
Desative o acesso público quando não for necessário: Endpoints públicos podem ser usados de forma segura com controles de acesso à rede, autenticação e criptografia adequadas ao protocolo. Mantenha o acesso público ativado quando suas cargas de trabalho exigirem e seu modelo de segurança permitir, inclusive para conexões através de endpoints de serviço. Criar um endpoint privado não desativa automaticamente o acesso público. Para compartilhamentos clássicos, revise quaisquer exceções de serviços confiáveis ou instância de recurso que possam permanecer eficazes depois que o acesso público for desabilitado. Para mais informações, veja Restringir acesso a endpoints públicos.
Ative o acesso a serviços confiáveis somente quando necessário: Disponível apenas para compartilhamentos clássicos de arquivos, a configuração de serviços confiáveis permite que os serviços Azure suportados burlem as regras de rede da conta de armazenamento. Ative-o somente quando uma integração precisar desse acesso. Esses serviços ainda precisam estar autorizados a acessar seus dados de arquivo.
Filtragem opcional para tráfego de endpoints de serviço: Quando clientes usam endpoints de serviço para acessar compartilhamentos clássicos de arquivos, você pode opcionalmente aplicar uma política de endpoint de serviço à sub-rede deles. A política limita quais contas de armazenamento esses clientes podem acessar por meio de endpoints de serviço, por meio dos quais o tráfego contorna o Firewall do Azure e appliances virtuais de rede. Ele se aplica apenas ao tráfego de endpoints de serviço e não filtra tráfego de endpoints privados ou outros caminhos de saída. As regras de rede e os requisitos de autorização do destino ainda se aplicam. O Microsoft.FileShares atualmente não oferece suporte a essas políticas. Clientes em uma sub-rede com uma política devem usar um endpoint privado para acessar os compartilhamentos do Microsoft.FileShares. Para mais informações, veja políticas de endpoint de serviço.
Verifique o suporte ao protocolo antes de usar um perímetro de segurança de rede: Para compartilhamentos clássicos, o suporte ao perímetro difere conforme o protocolo e o método de autenticação. No modo Enforced, um perímetro nega o acesso ao NFS através do endpoint público, incluindo o tráfego do endpoint de serviço. O tráfego de pontos de extremidade privados está fora da aplicação do perímetro. Verifique as restrições para Backup do Azure e Sincronização de Arquivos do Azure antes de aplicar um perímetro. Para obter mais informações, consulte Perímetro de segurança de rede para Arquivos do Azure.
Endurecimento do protocolo SMB
Essas recomendações se aplicam aos clássicos compartilhamentos de arquivos SMB.
Exigir criptografia de canal SMB: Use conexões SMB 3.x criptografadas. SMB 2.1 não suporta criptografia de canais. O requisito HTTPS para FileREST não substitui a configuração de criptografia SMB. Para mais informações, veja criptografia SMB e configurações de segurança.
Restringa versões e algoritmos de protocolo aos que seus clientes precisam: Use o perfil SMB mais seguro compatível com suas cargas de trabalho. Verifique o suporte ao cliente antes de exigir SMB 3.1.1 ou AES-256-GCM, porque clientes incompatíveis não conseguem se conectar. A criptografia de canais SMB e a criptografia de tickets Kerberos são controles separados. Para mais informações, consulte as configurações de segurança da SMB.
Limitar métodos de autenticação SMB: Use o Kerberos para acesso baseado em identidade. Se nenhum cliente precisar de autenticação por chave de conta de armazenamento via SMB, remova o NTLMv2 dos métodos de autenticação SMB permitidos após os testes. Esse controle se aplica ao SMB; ele não desativa o acesso FileREST baseado em chaves.
Mantenha credenciais AD DS quando aplicável: Para autenticação AD DS, gerencie a senha do principal do diretório que representa a conta de armazenamento de acordo com sua política de diretório. Siga o procedimento de rotação documentado para manter a senha do diretório e a chave Kerberos da conta de armazenamento sincronizadas. Para mais informações, veja Atualizar a senha da identidade da conta de armazenamento no AD DS.
Compartilhamentos de arquivos NFS 4.1
Essas recomendações se aplicam a compartilhamentos de arquivos NFS qualquer um dos provedores de recursos. O NFS utiliza autenticação de rede e permissões POSIX, não autenticação baseada em identidade do SMB.
Limite o acesso a redes confiáveis: Permita apenas as sub-redes e conexões privadas necessárias para a carga de trabalho. O NFS depende das identidades apresentadas pelo cliente, portanto, controle quais sistemas e administradores podem usar essas conexões.
Gerencie permissões POSIX e identidades de clientes: Use IDs de usuário e de grupo consistentes entre os clientes. Restringa permissões de arquivos e diretórios para usuários e grupos que precisam de acesso. As permissões do Azure RBAC para gerenciar o recurso Azure não concedem acesso a arquivos NFS. Para mais informações, veja autenticação NFS e acesso à rede.
Configure root squash quando compatível com a carga de trabalho: Root squash mapeia requisições do UID/GID 0 para uma identidade anônima. Não restringe outras identidades nem torna um compartilhamento somente leitura. Para configurações e etapas de configuração de ambos os provedores de recursos, consulte Squashing raiz para compartilhamentos de arquivos de arquivo NFS do Azure.
Exija criptografia em trânsito: ambos os provedores de recursos oferecem suporte a TLS por meio do auxiliar de montagem AZNFS. Microsoft. FileShares exige criptografia em trânsito por padrão. Compartilhamentos clássicos possuem configurações de criptografia NFS no nível da conta de armazenamento. Para valores padrão e links de configuração, veja criptografia NFS.
Gerenciamento de identidade e acesso
Gerenciamento de recursos do Azure
Use o privilégio mínimo para acesso de gerenciamento: conceda permissões RBAC do Azure no menor escopo necessário para criar, configurar ou excluir recursos. Para compartilhamentos clássicos, permissões em nível de conta podem afetar todos os compartilhamentos da conta. Você pode gerenciar recursos Microsoft.FileShares de forma independente. Funções gerenciais e permissões de acesso a dados têm propósitos diferentes. Para obter mais informações, consulte Painel de controle e plano de dados do Azure.
Limite o acesso administrativo contínuo: use Privileged Identity Management do Microsoft Entra quando apropriado para funções privilegiadas do Azure. Exija aprovação e autenticação multifator para ativação administrativa de acordo com a política da sua organização. Para obter mais informações, consulte Privileged Identity Management.
Autenticação baseada em identidade para compartilhamentos de arquivos SMB
O acesso baseado em identidade para SMB está disponível para compartilhamentos clássicos de arquivos. Uma chave de conta de armazenamento concede amplo acesso aos dados em todos os compartilhamentos de uma conta e não identifica um usuário individual.
Use uma origem de identidade com suporte de seus clientes: o Arquivos do Azure oferece suporte ao AD DS, ao Microsoft Entra Domain Services e ao Microsoft Entra Kerberos. Os requisitos de cliente e identidade deles são diferentes. Para cenários suportados e guias de configuração, veja Autenticação baseada em identidade para Arquivos do Azure.
Use identidades gerenciadas para cargas de trabalho de aplicativos com suporte: identidades gerenciadas podem fornecer acesso SMB sem precisar distribuir chaves da conta de armazenamento. Verifique os pré-requisitos de computação, cliente e autenticação para sua implantação. Para mais informações, veja Acessar ações SMB usando identidades gerenciadas.
Proteja as chaves de conta quando necessário: restrinja a permissão para recuperar ou regenerar chaves. Armazene as chaves necessárias no Azure Key Vault e faça a rotação delas após a exposição ou conforme sua política de credenciais. Planeje a rotação para clientes e integrações que ainda usam as chaves. Para obter mais informações, confira Gerenciar chaves de acesso da conta de armazenamento.
Permissões de nível de compartilhamento e NTFS
Essas permissões se aplicam a compartilhamentos clássicos de arquivos SMB.
Atribua funções no nível do compartilhamento no escopo exigido: conceda acesso de leitura, gravação ou administrativo apenas às identidades que precisam desse acesso. Atribuições de funções em nível de compartilhamento evitam conceder acesso a compartilhamentos não relacionados na mesma conta de armazenamento. Para obter mais informações, consulte Atribuir permissões de nível de compartilhamento.
Aplicar permissões de diretório e arquivo: Use ACLs do Windows, inclusive no diretório raiz do compartilhamento quando necessário, para controlar o acesso dentro do compartilhamento. Use a herança para manter as permissões gerenciáveis. Tanto permissões em nível de compartilhamento quanto ACLs do Windows são aplicadas. Para obter mais informações, consulte Configurar permissões no nível do diretório e no nível do arquivo.
Restrinja a administração de permissões: limite cargos elevados e direitos de modificação de ACL a identidades responsáveis pelo gerenciamento de permissões. Revise tanto as atribuições de funções quanto as ACLs herdadas quando os requisitos de acesso mudarem.
Acesso ao FileREST e ao SAS
O acesso a dados FileREST está disponível para compartilhamentos clássicos. Microsoft.FileShares atualmente não suporta acesso a dados FileREST.
Use o OAuth para acesso a dados administrativos suportados: Identidades Microsoft Entra, incluindo identidades gerenciadas, podem acessar compartilhamentos clássicos via FileREST. Os papéis privilegiados usados por esse método de acesso podem burlar permissões de arquivos e diretórios, então conceda-os apenas quando esse acesso é necessário. Para mais informações, veja Arquivos do Azure OAuth over REST.
Limite permissões e tempo de vida do SAS: Quando uma ferramenta suportada exigir uma assinatura de acesso compartilhada (SAS), restrinja seu escopo, permissões e período de validade, e exija HTTPS. Proteja o SAS como uma credencial. Tokens SAS não são usados para montar compartilhamentos em SMB ou NFS. Para mais informações, consulte Assinaturas de acesso compartilhado.
Exigir HTTPS para FileREST: HTTPS protege as requisições REST em trânsito. A criptografia do canal SMB e o túnel TLS do NFS são independentes do requisito de HTTPS. Para ver as etapas de configuração, consulte Exigir transferência segura.
Proteção de dados
Entenda criptografia em repouso: Ambos os provedores de recursos criptografam os dados de arquivos em repouso com chaves gerenciadas pela Microsoft por padrão. A criptografia em repouso protege os dados armazenados; ela não impede que clientes autorizados leiam ou alterem arquivos.
Use chaves gerenciadas pelo cliente quando necessário: compartilhamentos clássicos oferecem suporte a chaves gerenciadas pelo cliente no Azure Key Vault ou no HSM Gerenciado. Microsoft. FileShares atualmente não suporta chaves gerenciadas pelo cliente. Proteja o armazenamento de chaves, planeje a rotação de chaves e entenda que a perda de acesso às chaves pode tornar os dados indisponíveis. Para mais informações, veja Chaves gerenciadas pelo cliente para Arquivos do Azure.
Avalie a criptografia da infraestrutura para implantações clássicas aplicáveis: Contas de armazenamento clássica podem ter uma camada adicional de criptografia quando exigido pela sua política de conformidade. Essa opção é selecionada na criação da conta e não pode ser alterada depois. Para os tipos de conta suportados, consulte Criptografia de infraestrutura.
Use os bloqueios de recursos para proteger operações de gerenciamento: um bloqueio CanNotDelete no recurso do Azure apropriado ou no escopo pai pode evitar a exclusão pelo Azure Resource Manager. Bloqueios não impedem os clientes de modificar ou excluir dados de arquivos. Para compartilhamentos clássicos, eles também não impedem a exclusão por meio das APIs do plano de dados FileREST. Para comportamento de bloqueio e efeitos operacionais, veja Bloquear recursos do Azure.
Backup e recuperação
Faça snapshots de compartilhamento de acordo com as necessidades de recuperação: Ambos os provedores de recursos suportam snapshots de compartilhamento para recuperação de versões anteriores de arquivos. Estabeleça um cronograma e uma política de retenção que atendam aos seus objetivos de recuperação. Os snapshots de compartilhamento permanecem associados ao compartilhamento de origem, então eles não fornecem um backup independente se esse compartilhamento for deletado permanentemente. Para mais informações, veja Compartilhar snapshots para Arquivos do Azure.
Ativar a exclusão suave para compartilhamentos clássicos: A exclusão suave mantém as compartilhamentos excluídos por um período configurado. Ele não recupera arquivos individuais nem snapshots excluídos individualmente. Microsoft. FileShares atualmente não suporta soft delete. Para obter mais informações, consulte Prevenir a exclusão acidental de compartilhamentos de arquivos do Azure.
Escolha uma solução de backup suportada pelo protocolo: o Backup do Azure suporta compartilhamentos clássicos de SMB, com opções de backup snapshot e vaulted. Atualmente, ele não suporta compartilhamentos NFS com nenhum dos provedores de recursos. Para o NFS, escolha uma solução de backup que suporte o protocolo e atenda aos seus requisitos de retenção e isolamento. Para cobertura do Backup do Azure, veja suporte a backup de compartilhamento de arquivos do Azure.
Administração separada de backup e recuperação de teste: Limite quem pode deletar pontos de recuperação ou alterar a retenção. Teste restaurações de arquivos, permissões e cargas de trabalho completas. Verifique se a recuperação permanece possível caso as credenciais de produção ou o compartilhamento de origem sejam comprometidos.
Planeje para falhas de infraestrutura separadamente da recuperação de dados: A redundância melhora a resiliência contra falhas de infraestrutura, mas também replica as mudanças de dados. Ele não substitui backups para alterações indesejadas ou exclusões. As opções de redundância disponíveis variam conforme o nível de mídia e o provedor de recursos. Para mais informações, consulte Redundância dos Arquivos do Azure.
Registro e monitoramento
Auditar alterações de gerenciamento para ambos os provedores de recursos: Use o Registro de Atividades do Azure para monitorar a exclusão de recursos, alterações de configuração e atribuições de funções. Analise as alterações no acesso público, regras de rede, requisitos de criptografia e controles de recuperação. Para obter mais informações, consulte o Log de Atividades do Azure.
Colete registros de acesso a dados suportados: Para acesso clássico SMB e FileREST, use registros de recursos de serviços de arquivos para revisar chamadores, métodos de autorização, requisições falhadas e atividades de exclusão. Colete os logs exigidos pela sua política de retenção no Log Analytics ou em outro destino suportado. Não assuma a mesma cobertura de registro de solicitações para NFS ou Microsoft.FileShares. Para operações e campos suportados, veja referência de dados de monitoramento do Arquivos do Azure.
Correlacione alertas com logs do cliente e de identidade: Investigue uso inesperado de chaves, falha na autenticação, exclusão de compartilhamento e alterações na configuração de segurança. Use logs de clientes e diretórios quando ocorrer uma falha de autenticação antes da solicitação chegar ao Arquivos do Azure. Direcione os alertas para a equipe responsável pela carga de trabalho.
Avalie o Defender for Storage para implantações clássicas: O Defender for Storage fornece detecção de ameaças para contas de armazenamento suportadas. Verifique a cobertura de recursos e protocolos para sua implantação; a proteção da conta não implica que toda operação de arquivo seja escaneada em busca de malware. Para mais informações, veja Microsoft Defender for Storage.
Conformidade e governança
Aplique políticas que correspondam ao provedor de recursos: Use o Azure Policy para auditar ou fazer cumprir os requisitos da sua organização onde o tipo de recurso e as propriedades são suportados. Verifique o escopo e os efeitos de cada definição. Uma política voltada para contas de armazenamento Microsoft.Storage não avalia automaticamente recursos Microsoft.FileShares. Para obter mais informações, consulte Definições do Azure Policy.
Propriedade de registros e requisitos de dados: Use etiquetas de recursos para identificar a equipe responsável, o ambiente e a classificação dos dados. Para compartilhamentos clássicos, os controles em nível de conta afetam todos os compartilhamentos na conta. Registre exceções e revise-as quando a responsabilidade da carga de trabalho mudar.
Valide a conformidade para a implantação: Confirme que o serviço selecionado, a região, o protocolo e os recursos de proteção atendem aos seus requisitos. Use o benchmark de segurança em nuvem da Microsoft para organizar revisões de controle. Para informações sobre certificação, veja as ofertas de conformidade do Armazenamento do Azure.
Sincronização de Arquivos do Azure
Sincronização de Arquivos do Azure suporta compartilhamentos clássicos SMB. Não suporta NFS nem Microsoft.FileShares. Proteja tanto o compartilhamento da nuvem quanto os endpoints do Windows Server.
Use identidades gerenciadas para implantações com suporte da Sincronização de Arquivos: siga a configuração de identidade gerenciada para o Serviço de Sincronização de Armazenamento e os servidores registrados para remover a dependência de chaves compartilhadas. Para mais informações, veja Use identidades gerenciadas com Sincronização de Arquivos do Azure.
Limite o acesso administrativo a recursos e servidores de sincronização: Use as funções de Sincronização de Armazenamento exigidas no escopo apropriado. Proteja permissões locais de arquivos e administração de servidores, pois as alterações feitas através de um endpoint de servidor podem ser sincronizadas com o compartilhamento na nuvem. Para mais informações, veja Planeje uma implantação do Sincronização de Arquivos do Azure.