Descrição geral da proteção de dados

Na documentação do Armazenamento do Azure, a proteção de dados refere-se a estratégias para proteger a conta de armazenamento e os dados dentro dela de serem excluídos ou modificados, ou para restaurar dados depois de terem sido excluídos ou modificados. É importante pensar na melhor forma de proteger os seus dados antes que ocorra um incidente que possa comprometê-los. Este guia pode ajudá-lo a decidir antecipadamente quais as funcionalidades de proteção de dados que o seu cenário necessita. O Armazenamento do Azure também oferece opções para recuperação de desastres, segurança e redes. Todos estes métodos trabalham em conjunto para uma proteção abrangente dos seus dados.

Recomendações para a proteção básica de dados

Se pretende uma cobertura básica de proteção de dados para a sua conta de armazenamento e os dados que ela contém, siga os seguintes passos:

  1. Configure um bloqueio do Azure Resource Manager no storage account para proteger a conta contra a eliminação ou alterações de configuração. Saiba mais...

  2. Habilite a exclusão suave de contêiner para recuperar um contêiner excluído e o respetivo conteúdo. Saiba mais...

  3. Ative a eliminação recuperável do blob para recuperar um blob apagado ou sobrescrito. Saiba mais...

A secção seguinte descreve estas opções e outras opções de proteção de dados para outros cenários com mais detalhe. Para proteção contra cenários mais amplos de perda de dados, como eliminação acidental de contas ou ransomware, considere ativar o Azure Backup além das funcionalidades dentro da conta.

Para obter uma visão geral dos custos envolvidos com estes recursos, consulte Resumo das considerações de custo.

Sugestão

Utilize o Azure Copilot para obter sugestões sobre como melhorar a estratégia de proteção da sua conta de armazenamento. Para mais informações, consulte Gerir e migrar contas de armazenamento usando o Azure Copilot.

Visão geral das opções de proteção de dados

A tabela a seguir resume as opções disponíveis no Armazenamento do Azure para cenários comuns de proteção de dados. Escolha os cenários aplicáveis à sua situação para saber mais sobre as opções disponíveis. Nem todos os recursos estão disponíveis no momento para contas de armazenamento com um namespace hierárquico habilitado.

Cenário Opção de proteção de dados Recomendações Benefício de proteção Disponível para Armazenamento Data Lake
Impedir que uma conta de armazenamento seja excluída ou modificada. Bloqueio do Azure Resource Manager
Saiba mais...		 Bloqueie todas as suas contas de armazenamento com um bloqueio do Azure Resource Manager para impedir a exclusão da conta de armazenamento. Protege a conta de armazenamento contra exclusão ou alterações de configuração.

Não protege contêineres ou blobs na conta de serem excluídos ou substituídos.		 Sim
Restaure um contêiner excluído dentro de um intervalo especificado. eliminação recuperável do contentor
Saiba mais...		 Habilite a exclusão suave de contêiner para todas as contas de armazenamento, com um intervalo mínimo de retenção de sete dias.

Ative a eliminação recuperável de blobs para uma proteção ideal dos dados de blobs.

Armazene contêineres que exigem períodos de retenção diferentes em contas de armazenamento separadas.		 Um contentor eliminado e o seu conteúdo podem ser restaurados dentro do período de retenção.

Apenas as operações ao nível do contentor (por exemplo, Eliminar contentor) podem ser restauradas. A exclusão suave de contêiner não lhe permite restaurar um blob individual no contêiner se esse blob for excluído.		 Sim
Restaure um blob eliminado ou uma versão de blob dentro de um intervalo especificado. Eliminação recuperável de blobs
Saiba mais...		 Habilite a exclusão suave de blob para todas as contas de armazenamento, com um intervalo mínimo de retenção de sete dias.

Ative a eliminação recuperável do contentor para uma proteção ideal dos dados do blob.

Armazene blobs que exigem períodos de retenção diferentes em contas de armazenamento separadas.		 Um blob eliminado ou uma versão de blob eliminada pode ser restaurado dentro do período de retenção. Sim
Salve automaticamente o estado de um blob numa versão anterior quando este for substituído. Controlo de versões de blob
Saiba mais...		 Ativa o controlo de versões de blobs quando quiseres capturar automaticamente alterações por sobrescrita e de metadados e mantém versões anteriores dos dados até serem explicitamente eliminadas. Para minimizar custos, utilize uma política de gestão do ciclo de vida ou uma tarefa de ações de armazenamento para eliminar automaticamente versões antigas.

Ative o blob soft delete para uma camada adicional de proteção. Saiba mais...

Armazene dados de blob que não exigem controle de versão em uma conta separada para limitar os custos.		 Cada operação de gravação de blob cria uma nova versão. Quando apagas um blob, a versão atual do blob torna-se uma versão anterior. As versões anteriores persistem até serem explicitamente eliminadas ou podem ser promovidas a atuais. Não
Salve manualmente o estado de um blob em um determinado momento. Instantâneo de blob
Saiba mais...		 Recomendado para capturas deliberadas, num determinado momento, ou como alternativa ao controlo de versões de blobs em contas com namespace hierárquico, onde o controlo de versões não está disponível. Um blob pode ser restaurado a partir de um snapshot se o blob for sobrescrito. Se o blob for excluído, os instantâneos também serão excluídos.

Quando a eliminação suave do blob é ativada, as substituições resultam na criação de instantâneos com eliminação suave.		 Não
Impedir que uma versão de blob seja excluída por um intervalo controlado por si. Política de imutabilidade numa versão de blob
Saiba mais...		 Defina uma política de imutabilidade numa versão individual de blob para proteger documentos críticos para a empresa, por exemplo, a fim de cumprir os requisitos de conformidade legal ou regulamentar. Protege uma versão de blob de ser excluída e os respetivos metadados de serem substituídos. Uma operação de substituição cria uma nova versão.

Se pelo menos um contêiner tiver a imutabilidade no nível da versão habilitada, a conta de armazenamento também estará protegida contra exclusão. A exclusão do contêiner falhará se pelo menos um blob existir no contêiner.		 Não
Impedir que um contentor e os respetivos blobs sejam eliminados ou modificados durante um intervalo que controla. Política de imutabilidade num contentor
Saiba mais...		 Defina uma política de imutabilidade em um contentor para proteger documentos críticos para os negócios, por exemplo, a fim de atender aos requisitos de conformidade legal ou regulamentar. Protege um contêiner e os respetivos blobs de todas as eliminações e sobrescritas.

Quando uma retenção legal ou uma política de retenção baseada no tempo bloqueada está em vigor, a conta de armazenamento também é protegida contra exclusão. Os contêineres para os quais nenhuma política de imutabilidade foi definida não são protegidos contra exclusão.		 Sim
Restaure um conjunto de blobs de bloco para um ponto anterior no tempo. Restauro pontual
Saiba mais...		 Para usar o restauro point-in-time para reverter para um estado anterior, conceba a sua aplicação para eliminar blobs de bloco individuais em vez de eliminar contentores. Um conjunto de blobs de bloco pode ser revertido para o seu estado num determinado momento no passado.

Somente as operações executadas em blobs de bloco são revertidas. Quaisquer operações executadas em contêineres, blobs de página ou blobs de anexação não são revertidas.		 Não
Um blob pode ser excluído ou substituído, mas os dados são copiados regularmente para uma segunda conta de armazenamento. Cópia de segurança em cofre de Blob do Azure
Mais informações		 Ative o backup no vault para que uma cópia externa dos seus dados seja feita para um tenant da Microsoft de acesso não direto. Fornece backup seletivo dos contentores essenciais e permite a restauração de contentores individuais para uma conta de armazenamento diferente da conta de armazenamento de origem. Sim

AzCopy e Azure Data Factory são suportados.

Não há suporte para replicação de objetos.
Copie assíncronamente blobs de bloco para uma conta de destino noutra região. Replicação de objetos Saiba mais... Ative a replicação de objetos para manter uma cópia redundante dos blobs de bloco noutra região, para que os seus dados fiquem disponíveis caso a região de origem se torne indisponível. Armazene blobs de blocos que requerem replicação em contas de blobs de bloco v2 ou premium, porque a replicação de objetos só suporta estes tipos de conta. Os blobs de bloco escritos para a conta de origem são copiados assíncronamente para a conta de destino de acordo com a política de replicação. Apenas blobs de bloco são replicados; blobs de anexação e blobs de página não são suportados, e a replicação de objetos não protege contra a eliminação acidental de um blob individual dentro de uma conta. Sim

Proteção de dados por tipo de recurso

A tabela a seguir resume as opções de proteção de dados do Armazenamento do Azure de acordo com os recursos que elas protegem.

Opção de proteção de dados Protege uma conta contra exclusão Protege um contentor contra eliminação Protege um objeto contra exclusão Protege um objeto contra sobrescritas
Bloqueio do Azure Resource Manager Sim Não Não Não
Eliminação lógica do container Não Sim Não Não
Eliminação recuperável de blobs Não Não Sim Sim
Controlo de versões de Blob6 Não Não Sim Sim
Snapshot de blob6 Não Não Não Sim
Política de imutabilidade numa versão de blob Yes1 Sim2 Sim Sim3
Política de imutabilidade num contentor Sim4 Yes Sim Sim
Restauro para um ponto no tempo5 Não Não Sim Sim
Cópia de segurança em cofre do Azure Blob Não Sim Sim Sim
Replicação de Objetos7 Não Sim Sim Sim
Solução personalizada para copiar dados para uma segunda conta6 Não Sim Sim Sim

1 A eliminação da conta de armazenamento falha se houver pelo menos um contentor com armazenamento imutável ao nível da versão ativado.
2 A eliminação do contentor falha se existir pelo menos um blob no contentor, independentemente de a política estar bloqueada ou desbloqueada.
3 Sobrescrever o conteúdo da versão atual do blob cria uma nova versão. Uma política de imutabilidade protege os metadados de uma versão de serem sobrescritos.
4 Embora uma retenção legal ou uma política de retenção baseada em tempo bloqueada esteja em vigor no âmbito do contentor, a conta de armazenamento também está protegida contra eliminação.
5 Atualmente, não é suportado para cargas de trabalho do Data Lake Storage.
6 AzCopy e Azure Data Factory são opções suportadas tanto para cargas de trabalho Armazenamento de Blobs como Data Lake Storage. A replicação de objetos é suportada apenas para cargas de trabalho de Armazenamento de Blobs.
7 Uma cópia replicada é mantida na conta de destino. A replicação de objetos não impede a eliminação do blob na conta de origem, e a replicação é assíncrona, pelo que as escritas recentes podem ainda não estar presentes no destino.

Ações de recuperação de dados baseadas no tipo de recurso

Se você precisar recuperar dados que foram substituídos ou excluídos, a forma como proceder depende de quais opções de proteção de dados você habilitou e qual recurso foi afetado. A tabela a seguir descreve as ações que pode tomar para recuperar dados.

Recurso excluído ou substituído Possíveis ações de recuperação Requisitos para recuperação
Conta de armazenamento Tentar recuperar a conta de armazenamento excluída
Saiba mais...		 A conta de armazenamento foi originalmente criada com o modelo de implantação do Azure Resource Manager e foi excluída nos últimos 14 dias. Uma nova conta de armazenamento com o mesmo nome não foi criada desde que a conta original foi excluída.
Contentor Recupere o recipiente soft-deleted e seu conteúdo
Saiba mais...		 A exclusão suave de contêiner está habilitada e o período de retenção de exclusão suave de contêiner ainda não expirou.
contentores e blobs Restaurar dados de uma segunda conta de armazenamento Todas as operações de contêiner e blob foram efetivamente replicadas para uma segunda conta de armazenamento.
Blob Recuperar um blob eliminado com exclusão recuperável
Saiba mais...		 A exclusão suave de blob está habilitada e o intervalo de retenção de exclusão suave não expirou.
Conjunto de blobs de bloco Recuperar um conjunto de blobs de bloco ao seu estado num dado momento anterior1
Saiba mais...		 A restauração pontual está habilitada e o ponto de restauração está dentro do intervalo de retenção. A conta de armazenamento não foi comprometida ou corrompida.
Instantâneo do Blob Recuperar um instantâneo eliminado temporariamente1
Saiba mais...		 O soft delete do blob está ativado, sobrescreveste o blob para criar um snapshot soft delete, e o intervalo de retenção do soft delete ainda não expirou. Ou, a eliminação suave do blob foi ativada, eliminou um snapshot e o intervalo de retenção da eliminação suave não expirou.
Versão Blob Recuperar uma versão eliminada de forma recuperável1
Saiba mais...		 A exclusão suave de blob está habilitada e o intervalo de retenção de exclusão suave não expirou.

1 Atualmente não há suporte para cargas de trabalho do Armazenamento Data Lake.

Resumo das considerações relativas aos custos

A tabela a seguir resume as considerações de custo para as várias opções de proteção de dados descritas neste guia. Não há custos para ativar ou configurar as seguintes funcionalidades, mas considere os custos que o seu comportamento acarreta.

Opção de proteção de dados Considerações de custos
Bloqueio do Azure Resource Manager para uma conta de armazenamento Sem custos para configurar um bloqueio numa conta de armazenamento.
Eliminação recuperável do container Os dados num contentor eliminado de forma recuperável são faturados à mesma taxa que os dados ativos até que o contentor eliminado de forma recuperável seja permanentemente eliminado.
Eliminação recuperável de blobs Os dados de blob com eliminação suave são faturados à mesma taxa que os dados ativos até serem eliminados permanentemente.

Não lhe é cobrado pelas transações que geram automaticamente snapshots ou versões quando um blob é sobrescrito ou eliminado, mas é-lhe cobrado pelas chamadas para a operação Undelete Blob à taxa de transação de escrita.

Ativar a eliminação suave para dados frequentemente sobrescritos pode aumentar as taxas de capacidade e a latência da listagem. Para avaliar o impacto, a Microsoft recomenda começar com um período mínimo de retenção de sete dias. Para mais informações, consulte Preços e faturação.
Controlo de versões de blob Depois de ativar o controlo de versões de blobs, cada escrita num blob na conta cria uma nova versão, o que pode levar a custos de capacidade aumentados.

Pagas por uma versão blob com base em blocos ou páginas únicas. Os custos, portanto, aumentam à medida que o blob base diverge de uma versão específica. Alterar o nível de um blob ou da versão de um blob pode ter impacto na faturação. Para obter mais informações, consulte Preços e faturação.

Use gestão do ciclo de vida ou ações de armazenamento para eliminar versões antigas conforme necessário para controlar os custos.
Instantâneos de blobs Paga-se por dados num snapshot com base em blocos ou páginas únicas. Os custos, portanto, aumentam à medida que o blob base diverge do snapshot. Mudar o nível de um blob ou snapshot pode ter impacto na faturação. Para obter mais informações, consulte Preços e faturação.

Use gestão do ciclo de vida ou ações de armazenamento para eliminar snapshots antigos conforme necessário para controlar custos.
Política de imutabilidade numa versão de blob A criação, modificação ou eliminação de uma política de retenção baseada no tempo ou de uma retenção legal numa versão de blob resulta numa cobrança de transação de gravação.
Política de imutabilidade num contentor Os dados imutáveis têm o mesmo preço que os dados mutáveis. A faturação persiste até que os dados sejam modificáveis e eliminados.
Restauro para um ponto anterior Ativar o restauro para um ponto no tempo também ativa o controlo de versões de blobs, a eliminação suave e o feed de alterações, cada um dos quais pode resultar noutras cobranças.

É-lhe cobrada a restauração point-in-time quando executa uma operação de restauração. O custo de uma operação de restauração depende da quantidade de dados a restaurar. Para obter mais informações, consulte Preço e cobrança.
Backup em vault Para o Vaulted Backup, há custos de armazenamento de backups ou taxas de instância, e o custo do lado da origem (associado à replicação de objetos) na conta de origem com backup. Consulte Preços.
Replicação de Objetos Sem custos para configurar a replicação de objetos, incluindo ativar o feed de alterações e o versionamento de blobs, bem como a adição de políticas de replicação. A replicação de objetos requer feed de alterações e controlo de versões, cada um dos quais pode resultar em outros custos.

Manter os dados replicados na conta de destino implica custos de capacidade, incluindo o custo de armazenamento do blob e de cada versão do blob. Se a conta de destino estiver numa região diferente da conta de origem, replicar dados também acarreta custos de egresso.

A replicação de objetos implica custos de transação: um encargo de transação de escrita na conta de origem e encargos de transação de leitura e de escrita na conta de destino, incluindo o custo de leitura dos registos do feed de alterações. Para mais informações, veja Facturação.
Copiar dados para uma segunda conta de armazenamento A manutenção de dados numa segunda conta de armazenamento incorrerá em custos de capacidade e transação. Se a segunda conta de armazenamento estiver localizada numa região diferente da conta de origem, a cópia de dados para essa segunda conta incorrerá também em custos de saída.

Próximos passos

  • Última atualização a