Proteja o Armazenamento de Tabelas do Azure

O Armazenamento de Tabelas do Azure fornece um armazenamento chave-valor NoSQL para dados estruturados e não relacionais. A segurança de tabelas partilha fundamentos com os outros serviços de dados do Armazenamento do Azure, mas tem alguns detalhes específicos – incluindo uma superfície de autorização distinta do Microsoft Entra ID e uma sobreposição com a API do Azure Cosmos DB for Table – que merecem atenção.

Note

Este artigo aborda práticas de segurança específicas do Armazenamento de Tabelas do Azure. Para orientações de segurança ao nível da conta, consulte Secure your Armazenamento do Azure account.

Segurança específica do serviço

Tanto o Armazenamento de Tabelas do Azure como o Azure Cosmos DB for Table API expõem um modelo de dados de tabela semelhante, mas as suas capacidades de segurança diferem significativamente. Escolha a plataforma que cumpra os seus requisitos de segurança no início do projeto. A migração de dados entre eles não é trivial.

  • Use o Azure Cosmos DB para Table quando precisar de throughput dedicado, distribuição global ou isolamento de rede mais detalhado por carga de trabalho de tabela: O Cosmos DB for Table API é um recurso distinto com os seus próprios endpoints privados, firewall e configuração IAM, independente de qualquer conta de armazenamento. Isto proporciona-lhe um âmbito de impacto isolado quando a carga de trabalho do Table tem requisitos de rede ou de governação diferentes dos das cargas de trabalho que partilham a sua conta de armazenamento de fins gerais. Para mais informações, consulte Introdução ao Azure Cosmos DB para a Tabela.

  • Use o Armazenamento de Tabelas do Azure quando precisar de co-localização ao nível da conta com blobs, ficheiros e filas: O Table Storage está dentro de uma conta de armazenamento de uso geral, pelo que um único conjunto de regras de rede, endpoints privados e políticas de identidade se aplica em todos os quatro serviços de dados. O Cosmos DB for Table é um recurso separado com configuração de segurança independente.

Gestão de identidade e acesso

  • Use o Microsoft Entra ID para autorizar operações de dados de tabelas: A autorização do Entra ID elimina a necessidade de chaves de conta no código da aplicação e fornece registos de auditoria baseados em identidade. Atribua as funções incorporadas Leitor de Dados da Tabela de Armazenamento ou Contribuidor de Dados da Tabela de Armazenamento ao nível da tabela, sempre que possível. Para mais informações, consulte Autorizar acesso a tabelas usando o Microsoft Entra ID.

  • Atribuição de papéis de âmbito a tabelas específicas: O âmbito ao nível da tabela é suportado para os papéis de dados de tabela incorporados. Quando um serviço precisar de acesso a apenas uma tabela, atribua a função ao nível do recurso da tabela, em vez de ao nível da conta.

  • Limitar os tokens SAS a intervalos específicos de chaves de partição e de chaves de linha: O SAS de Tabela suporta restrições de intervalo de chaves de partição e de chaves de linha. Use-os para limitar um token às linhas de um único inquilino numa tabela multi-inquilino, ou a uma fatia de dados específica. Para obter mais informações, consulte Conceder acesso limitado aos recursos do Armazenamento do Azure usando assinaturas de acesso compartilhado (SAS).

  • Conceda apenas as operações específicas de tabela necessárias: O SAS da tabela suporta query, add, update, e delete permissões separadamente. Um chamador do tipo leitor deve conter apenas query, nunca update ou delete.

Proteção de dados

O Table Storage armazena entidades como conjuntos simples de propriedades, sem ACLs por entidade. Considere a segurança na sua estratégia de particionamento em vez de tentar adaptar o controlo de acesso.

  • Tabelas de partição para alinhar com os limites de acesso: Quando uma tabela serve múltiplos inquilinos ou níveis de classificação, escolha uma chave de partição que agrupe as entidades por inquilino ou classificação. Combine isto com as restrições do intervalo de chaves de partição SAS para impor o isolamento do inquilino sem uma tabela separada por inquilino.

  • Não armazene segredos ou dados pessoais desnecessários nas propriedades da entidade: As entidades são visíveis para qualquer principal com query ou read acesso à tabela ou partição. Armazene segredos no Azure Key Vault com referências na entidade e minimize os dados pessoais que coloca nas propriedades consultáveis.

  • Encriptar valores de propriedades sensíveis na camada de aplicação: Para valores de propriedade que devem permanecer confidenciais, encripte o valor no cliente com uma chave do Key Vault antes de inserir ou atualizar. Esta encriptação é independente da encriptação do lado do armazenamento aplicada a toda a tabela. Para obter mais informações, consulte Sobre chaves.

Registo e monitorização

  • Ative as definições de diagnóstico para operações de tabela: Enviar StorageRead, StorageWrite, e StorageDelete categorias para o Log Analytics. Alerta sobre métodos de autorização inesperados, particularmente o acesso a Chave Partilhada em contas onde deveria estar desativado. Para mais informações, consulte Monitorização do Armazenamento de Tabelas do Azure.

  • Alerta em operações de eliminação ou atualização de alto volume: Atividades em massa DeleteEntity ou UpdateEntity que se desviem da linha base da tabela podem indicar destruição ou manipulação de dados. Estabeleça uma linha de base e alerte sobre desvios.

Passos seguintes

  • Última atualização a