Impedir a autorização de Chave Partilhada para uma Conta de Armazenamento do Azure

Todos os pedidos seguros feitos a uma conta de Armazenamento do Azure têm de ser autorizados. Por padrão, as solicitações podem ser autorizadas com credenciais do Microsoft Entra ou usando a chave de acesso da conta para autorização de Chave Compartilhada. Desses dois tipos de autorização, o Microsoft Entra ID oferece segurança superior e facilidade de uso em relação à Chave Compartilhada e é recomendado pela Microsoft. Para exigir que os clientes usem a ID do Microsoft Entra para autorizar solicitações, você pode não permitir solicitações para a conta de armazenamento autorizadas com a Chave Compartilhada.

Quando você não permite a autorização de Chave Compartilhada para uma conta de armazenamento, o Armazenamento do Azure rejeita todas as solicitações subsequentes a essa conta que são autorizadas com as chaves de acesso da conta. Apenas pedidos seguros autorizados com Microsoft Entra ID têm sucesso. Para obter mais informações sobre como usar o Microsoft Entra ID, consulte Autorizar o acesso a dados no Armazenamento do Azure.

A propriedade AllowSharedKeyAccess de uma conta de armazenamento não é definida por padrão e não retorna um valor até que você o defina explicitamente. A conta de armazenamento permite solicitações autorizadas com Chave Compartilhada quando o valor da propriedade é nulo ou quando é verdadeiro.

Este artigo descreve como usar uma estrutura DRAG (Detection-Remediation-Audit-Governance) para gerenciar continuamente a autorização de chave compartilhada para sua conta de armazenamento.

Pré-requisitos

Antes de proibir o acesso à Chave Partilhada em qualquer uma das suas contas de armazenamento:

• Entenda como a desativação da Chave Compartilhada afeta os tokens SAS
• Considere a compatibilidade com outras ferramentas e serviços do Azure
• Considere a necessidade de não permitir a autorização de Chave Compartilhada para usar o Acesso Condicional do Microsoft Entra
• Autorizar o acesso a dados de arquivo ou fazer a transição de cargas de trabalho do Ficheiros do Azure

Entenda como a desativação da Chave Compartilhada afeta os tokens SAS

Quando desativa o acesso com Chave Partilhada para a conta de armazenamento, o Armazenamento do Azure processa os tokens SAS com base no tipo de SAS e no serviço ao qual o pedido se destina. A tabela seguinte mostra como cada tipo de SAS é autorizado e como o Armazenamento do Azure gere esse SAS quando a propriedade AllowSharedKeyAccess para a conta de armazenamento é falsa.

As métricas do Azure e o registo no Azure Monitor não distinguem entre diferentes tipos de assinaturas de acesso partilhado. O filtro SAS no Azure Metrics Explorer e o campo SAS no registo do Armazenamento do Azure no Azure Monitor relatam ambas as solicitações que são autorizadas por qualquer tipo de SAS. No entanto, diferentes tipos de assinaturas de acesso compartilhado são autorizados de forma diferente e se comportam de forma diferente quando o acesso à Chave Compartilhada não é permitido:

• Um token SAS de serviço ou um token SAS de conta é autorizado com Chave Partilhada e não é permitido num pedido ao Armazenamento de Blobs quando a propriedade AllowSharedKeyAccess está definida como falsa.
• Uma delegação de utilizador SAS é autorizada com Microsoft Entra ID e é permitida num pedido ao Armazenamento de Blobs quando a propriedade AllowSharedKeyAccess está definida como falsa.

Quando avalia o tráfego para a sua conta de armazenamento, as métricas e os registos, conforme descrito em Detetar o tipo de autorização utilizado pelas aplicações cliente, podem incluir pedidos feitos com um SAS de delegação de utilizador.

Para obter mais informações sobre assinaturas de acesso compartilhado, consulte Conceder acesso limitado aos recursos do Armazenamento do Azure usando assinaturas de acesso compartilhado (SAS).

Considere a compatibilidade com outras ferramentas e serviços do Azure

Vários serviços do Azure utilizam a autorização de Chave Partilhada para comunicar com o Armazenamento do Azure. Se não permitir a autorização de Chave Partilhada para uma conta de armazenamento, estes serviços não conseguem aceder a dados dessa conta, e as suas aplicações podem deixar de funcionar.

Algumas ferramentas do Azure oferecem a opção de usar a autorização do Microsoft Entra para acessar o Armazenamento do Azure. A tabela a seguir lista algumas ferramentas populares do Azure e observa se elas podem usar a ID do Microsoft Entra para autorizar solicitações ao Armazenamento do Azure.

Não permitir autorização de Chave Compartilhada para usar o Acesso Condicional do Microsoft Entra

Para proteger uma conta de Armazenamento do Azure com políticas de Acesso Condicional do Microsoft Entra, você deve não permitir a autorização de Chave Compartilhada para a conta de armazenamento.

Autorizar o acesso a dados de arquivo ou fazer a transição de cargas de trabalho do Ficheiros do Azure

O Armazenamento do Azure suporta a autorização do Microsoft Entra para solicitações ao Ficheiros do Azure, Armazenamento de Bloco, Armazenamento de Filas e Armazenamento de Tabelas. No entanto, por padrão, o portal do Azure usa a autorização de Chave Compartilhada para acessar compartilhamentos de arquivos do Azure. Se não permitir a autorização de Chave Partilhada para uma conta de armazenamento que não está configurada com as atribuições RBAC adequadas, os pedidos ao Ficheiros do Azure falham e não consegue aceder a partilhas de ficheiros Azure no portal Azure.

Para atenuar esta situação, recomendamos a adoção de uma de três abordagens:

1. Siga estes passos para autorizar o acesso aos dados dos ficheiros utilizando a sua conta Microsoft Entra.
2. Migrar quaisquer dados dos Arquivos do Azure para uma conta de armazenamento separada antes de impedir o acesso a uma conta por meio da Chave Compartilhada ou
3. Não aplique essa configuração a contas de armazenamento que dão suporte a cargas de trabalho do Arquivos do Azure.

Identificar contas de armazenamento que permitem o acesso à Chave Compartilhada

Há duas maneiras de identificar contas de armazenamento que permitem o acesso à Chave Compartilhada:

• Verifique a configuração de acesso à Chave Compartilhada para várias contas
• Configurar a Política do Azure para acesso à Chave Compartilhada no modo de auditoria

Verifique a configuração de acesso à Chave Compartilhada para várias contas

Para verificar a configuração de acesso à Chave Compartilhada em um conjunto de contas de armazenamento com desempenho ideal, você pode usar o Gerenciador do Gráfico de Recursos do Azure no portal do Azure. Para saber mais sobre como usar o Gerenciador de Gráficos de Recursos, consulte Guia de início rápido: executar sua primeira consulta do Gráfico de Recursos usando o Azure Resource Graph Explorer.

A execução da seguinte consulta no Resource Graph Explorer retorna uma lista de contas de armazenamento e exibe a configuração de acesso à Chave Compartilhada para cada conta:

resources
| where type =~ 'Microsoft.Storage/storageAccounts'
| extend allowSharedKeyAccess = parse_json(properties).allowSharedKeyAccess
| project subscriptionId, resourceGroup, name, allowSharedKeyAccess

Configurar a Política do Azure para acesso à Chave Compartilhada no modo de auditoria

A Política do Azure As contas de armazenamento devem impedir o acesso por chave compartilhada impede que os utilizadores com permissões apropriadas configurem novas ou existentes contas de armazenamento para permitir a autorização de chave compartilhada. Configure essa política no modo de auditoria para identificar contas de armazenamento onde a autorização de Chave Compartilhada é permitida. Depois de alterar os aplicativos para usar o Microsoft Entra em vez da Chave Compartilhada para autorização, você pode atualizar a política para impedir que seja permitido o acesso à Chave Compartilhada.

Para obter mais informações sobre a política interna, consulte Contas de armazenamento devem impedir o acesso de chave compartilhada em Lista de definições de política internas.

Atribuir a política incorporada para um âmbito de recurso

Siga estes passos para atribuir a política incorporada para o escopo apropriado no Portal do Azure:

1. No portal do Azure, procure Política para exibir o painel Política do Azure.

2. Na seção Autoria, selecione Atribuições.

3. Escolha Atribuir política.

4. Na guia Noções básicas da página Atribuir política, na seção Escopo, especifique o escopo da atribuição de política. Selecione o botão Mais (...) para escolher a subscrição e o grupo de recursos opcionais.

5. Para o campo Definição de Política, selecione o botão Mais (...) e insira acesso à chave compartilhada no campo Pesquisar. Selecione a definição de política chamada Contas de armazenamento devem impedir o acesso à chave compartilhada.

   

6. Selecione Rever + criar.

7. No separador Rever + criar, reveja a atribuição de política e, em seguida, selecione Criar para atribuir a definição de política ao âmbito especificado.

Monitorar a conformidade com a política

Para monitorar suas contas de armazenamento quanto à conformidade com a política de acesso de chave compartilhada, siga estas etapas:

1. No painel Política do Azure, em Criação, selecione Atribuições.

2. Localize e selecione a atribuição de política que você criou na seção anterior.

3. Selecione a guia Exibir conformidade .

4. Todas as contas de armazenamento dentro do escopo da atribuição de política que não atendem aos requisitos da política aparecem no relatório de conformidade.

   

Para obter mais informações sobre por que uma conta de armazenamento não está em conformidade, selecione Detalhes em Motivo de conformidade.

Detetar o tipo de autorização usado por aplicativos cliente

Para compreender como a proibição da autorização de Chave Partilhada pode afetar as aplicações clientes, ative registos e métricas para a conta de armazenamento. Depois, pode analisar padrões de pedidos para a sua conta ao longo do tempo para determinar como os pedidos estão a ser autorizados. A deteção utiliza duas ferramentas independentes: métricas Azure Monitor para contagens agregadas de pedidos e registos de recursos Azure Monitor para detalhes por cliente. Os registos de recursos requerem uma configuração de diagnóstico na conta de armazenamento.

Use métricas para determinar quantas solicitações a conta de armazenamento está recebendo que são autorizadas com Chave Compartilhada ou uma assinatura de acesso compartilhado (SAS). Utilize logs para determinar quais clientes estão enviando essas solicitações.

Uma SAS pode ser autorizada com Chave Compartilhada ou ID do Microsoft Entra. Para obter mais informações sobre como interpretar solicitações feitas com uma assinatura de acesso compartilhado, consulte Entender como a desativação da Chave Compartilhada afeta os tokens SAS.

Determinar o número e a frequência de solicitações autorizadas com a Chave Compartilhada

Para controlar como as solicitações para uma conta de armazenamento estão sendo autorizadas, use o Azure Metrics Explorer no portal do Azure. Para obter mais informações sobre o Metrics Explorer, consulte Analisar métricas com o explorador de métricas do Azure Monitor.

Siga estas etapas para criar uma métrica que rastreie solicitações feitas com Chave Compartilhada ou SAS:

1. Navegue para a sua conta de armazenamento no portal do Azure. Na secção Monitorização, selecione Métricas.

2. A nova caixa métrica deve aparecer:

   

   Caso contrário, selecione Adicionar métrica.

3. Na caixa de diálogo Métrica, especifique os seguintes valores:

   1. Deixe o campo Escopo definido como o nome da conta de armazenamento.
   2. Defina o namespace da métrica como Account. Esta métrica reporta todos os pedidos contra a conta de armazenamento.
   3. Defina o campo Métrica como Transações.
   4. Defina o campo Agregação como Soma.

   A nova métrica mostra a soma do número de transações contra a conta de armazenamento num dado intervalo de tempo. A métrica resultante aparece como mostrado na imagem a seguir:

   

4. Em seguida, selecione o botão Adicionar filtro para criar um filtro na métrica para o tipo de autorização.

5. Na caixa de diálogo Filtro, especifique os seguintes valores:

   1. Defina o valor Property como Authentication.
   2. Defina o campo Operador como o sinal de igual (=).
   3. No campo Valores, selecione Chave de Conta e SAS.

6. No canto superior direito, selecione o intervalo de tempo para o qual você deseja exibir a métrica. Você também pode indicar o quão granular deve ser a agregação de solicitações, especificando intervalos de 1 minuto a 1 mês. Por exemplo, defina o intervalo de tempo como 30 dias e a granularidade de tempo como 1 dia para ver as solicitações agregadas por dia nos últimos 30 dias.

Depois de configurar a métrica, os pedidos para a sua conta de armazenamento aparecem no gráfico. A imagem a seguir mostra solicitações que foram autorizadas com a Chave Compartilhada ou feitas com um token SAS. As solicitações são agregadas por dia ao longo dos últimos 30 dias.

Você também pode configurar uma regra de alerta para notificá-lo quando um determinado número de solicitações autorizadas com a Chave Compartilhada for feito em relação à sua conta de armazenamento. Para obter mais informações, consulte Criar, exibir e gerenciar alertas métricos usando o Azure Monitor.

Analise logs para identificar clientes que estão autorizando solicitações com Chave Compartilhada ou SAS

Os logs do Armazenamento do Azure capturam detalhes sobre solicitações feitas na conta de armazenamento, incluindo como uma solicitação foi autorizada. Você pode analisar os logs para determinar quais clientes estão autorizando solicitações com Chave Compartilhada ou um token SAS.

Para registrar solicitações em sua conta de Armazenamento do Azure para avaliar como elas são autorizadas, você pode usar o log do Armazenamento do Azure no Azure Monitor. Para obter mais informações, consulte Monitorar o Armazenamento do Azure.

O login do Armazenamento do Azure no Azure Monitor suporta consultas de registo para analisar dados de registo. Para consultar logs, utilize um espaço de trabalho do Azure Log Analytics. Para saber mais sobre consultas de log, consulte Tutorial: Introdução às consultas do Log Analytics.

Criar uma configuração de diagnóstico no portal do Azure

Para registar dados do Armazenamento do Azure com o Azure Monitor e analisá-los com o Azure Log Analytics, primeiro tem de criar uma definição de diagnóstico que indique quais os tipos de pedidos e para quais serviços de armazenamento pretende registar os dados. Depois de configurar o registo para a sua conta de armazenamento, os registos ficam disponíveis na área de trabalho do Log Analytics. Para criar um espaço de trabalho, consulte Criar um espaço de trabalho do Log Analytics no portal do Azure.

Para saber como criar uma configuração de diagnóstico no portal do Azure, consulte Criar configurações de diagnóstico no Azure Monitor.

Para obter uma referência de campos disponíveis nos logs de Armazenamento do Azure no Azure Monitor, consulte Logs de recursos.

Logs de consulta para solicitações feitas com Chave Compartilhada ou SAS

Os logs do Armazenamento do Azure no Azure Monitor incluem o tipo de autorização que foi usado para fazer uma solicitação a uma conta de armazenamento. Para recuperar logs de solicitações feitas nos últimos sete dias que foram autorizadas com Chave Compartilhada ou SAS, abra seu espaço de trabalho do Log Analytics. Em seguida, cole a consulta a seguir em uma nova consulta de log e execute-a. Esta consulta apresenta os dez endereços IP que enviaram pedidos mais frequentemente autorizados com Chave Partilhada ou SAS:

StorageBlobLogs
| where AuthenticationType in ("AccountKey", "SAS") and TimeGenerated > ago(7d)
| summarize count() by CallerIpAddress, UserAgentHeader, AccountName
| top 10 by count_ desc

Você também pode configurar uma regra de alerta com base nessa consulta para notificá-lo sobre solicitações autorizadas com Chave Compartilhada ou SAS. Para obter mais informações, consulte Criar, exibir e gerenciar alertas de log usando o Azure Monitor.

Remediar a autorização via chave partilhada

Depois de analisar como as solicitações para sua conta de armazenamento estão sendo autorizadas, você pode tomar medidas para impedir o acesso por meio da Chave Compartilhada. Mas primeiro, você precisa atualizar todos os aplicativos que estão usando a autorização de Chave Compartilhada para usar o Microsoft Entra ID. Você pode monitorar logs e métricas conforme descrito em Detetar o tipo de autorização usado por aplicativos cliente para acompanhar a transição. Para obter mais informações sobre como usar a ID do Microsoft Entra para acessar dados em uma conta de armazenamento, consulte Autorizar o acesso a dados no Armazenamento do Azure.

Quando tiver certeza de que pode rejeitar com segurança solicitações autorizadas com Chave Compartilhada, você poderá definir a propriedade AllowSharedKeyAccess da conta de armazenamento como false.

Permissões para permitir ou não o acesso à Chave Compartilhada

Para definir a propriedade AllowSharedKeyAccess para a conta de armazenamento, um usuário deve ter permissões para criar e gerenciar contas de armazenamento. As funções de controle de acesso baseado em função do Azure (Azure RBAC) que fornecem essas permissões incluem a ação Microsoft.Storage/storageAccounts/write ou Microsoft.Storage/storageAccounts/* . As funções incorporadas com esta ação incluem:

• A função de Proprietário do Azure Resource Manager
• A função de Contribuidor do Azure Resource Manager
• A função de Contribuidor de Conta de Armazenamento

Essas funções não fornecem acesso a dados em uma conta de armazenamento por meio do Microsoft Entra ID. No entanto, eles incluem o Microsoft.Storage/storageAccounts/listkeys/action, que concede acesso às chaves de acesso da conta. Com essa permissão, um usuário pode usar as chaves de acesso da conta para acessar todos os dados em uma conta de armazenamento.

As atribuições de função devem ter o escopo definido no nível da conta de armazenamento ou superior para permitir que um usuário permita ou não o acesso à Chave Compartilhada para a conta de armazenamento. Para obter mais informações sobre o escopo da função, consulte Entender o escopo do RBAC do Azure.

Tenha cuidado para restringir a atribuição dessas funções apenas àqueles que exigem a capacidade de criar uma conta de armazenamento ou atualizar suas propriedades. Use o princípio do menor privilégio para garantir que os usuários tenham o menor número de permissões de que precisam para realizar suas tarefas. Para obter mais informações sobre como gerenciar o acesso com o RBAC do Azure, consulte Práticas recomendadas para o RBAC do Azure.

Desativar autorização de chave compartilhada

Ao usar uma conta que tenha as permissões necessárias, desative a autorização de Chave Partilhada no portal Azure, com o PowerShell ou utilizando a CLI do Azure.

Set-AzStorageAccount -ResourceGroupName <resource-group> `
    -AccountName <storage-account> `
    -AllowSharedKeyAccess $false

az storage account update \
    --name <storage-account> \
    --resource-group <resource-group> \
    --allow-shared-key-access false

"allowSharedKeyAccess": false

Depois de desautorizar a autorização de Chave Partilhada, um pedido à conta de armazenamento usando a autorização de Chave Partilhada falha com o código de erro 403 (Proibido). O Armazenamento do Azure devolve um erro indicando que a autorização baseada em chaves não é permitida na conta de armazenamento.

A propriedade AllowSharedKeyAccess tem suporte para contas de armazenamento que usam apenas o modelo de implantação do Azure Resource Manager. Para obter informações sobre quais contas de armazenamento usam o modelo de implantação do Azure Resource Manager, consulte Tipos de contas de armazenamento.

Para confirmar que a autorização da Chave Partilhada está desativada, consulte Verificar que o acesso à Chave Partilhada não é permitido.

Verifique se o acesso à Chave Compartilhada não é permitido

A propriedade allowSharedKeyAccess só devolve "false" depois de desativar a autorização de Chave Partilhada para a conta de armazenamento. Para verificar se a autorização de Chave Partilhada já não é permitida, consulte as definições da Conta do Armazenamento do Azure usando o seguinte comando. Substitua os valores nos espaços reservados entre colchetes pelos seus próprios valores.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group-name> \
    --query "allowSharedKeyAccess"

O comando retornará false se a autorização de Chave Compartilhada não for permitida para a conta de armazenamento.

Monitorar a Política do Azure para fins de conformidade

Depois de não permitir o acesso à Chave Compartilhada nas contas de armazenamento desejadas, continue monitorando a política criada anteriormente para conformidade contínua. Com base nos resultados do monitoramento, tome as medidas apropriadas conforme necessário, incluindo alterar o escopo da política, impedir o acesso à Chave Compartilhada em mais contas ou permitir isso para contas em que seja necessário mais tempo para correção.

Atualizar a Política do Azure para impedir que seja permitido o acesso à Chave Partilhada

Para começar a aplicar a atribuição de Política do Azure que você criou anteriormente para a política As contas de armazenamento devem impedir o acesso à chave compartilhada, altere o Efeito da atribuição de política para Negar para impedir que usuários autorizados permitam o acesso à Chave Compartilhada em contas de armazenamento. Para alterar o efeito da política, execute as seguintes etapas:

1. No painel Política do Azure, localize e selecione a atribuição de política que você criou anteriormente.

2. Selecione Editar atribuição.

3. Vá para o separador Parâmetros.

4. Desmarque a caixa de seleção Mostrar apenas parâmetros que precisam de entrada ou revisão .

5. Na lista suspensa Efeito, altere Auditoria para Negar e selecione Revisar + salvar.

6. No separador Rever + Guardar, reveja as alterações e, em seguida, selecione Guardar.

Próximos passos

• Autorizar o acesso aos dados no Armazenamento do Microsoft Azure
• Autorizar com a Chave Partilhada