Nätverkssäkerhetsperimeter för Azure Blob, Data Lake, Queue och Table Storage

✔️ Gäller för: Azure Blob Storage, Azure Data Lake Storage, Azure Queue Storage, Azure Table Storage

✖️ Gäller inte: Azure Files (Microsoft.Storage eller Microsoft.FileShares)

Genom att använda nätverkssäkerhetsperimetern kan du definiera en logisk nätverksisoleringsgräns för PaaS-resurser, såsom Azure Blob Storage och SQL Database, som du distribuerar utanför dina virtuella nätverk. Den här funktionen begränsar åtkomsten till paaS-resurser utanför perimetern. Du kan dock undanta åtkomst med hjälp av explicita åtkomstregler för offentlig inkommande och utgående trafik. Denna funktion hjälper till att förhindra oönskad dataexfiltration från dina lagringsresurser. Inom en nätverkssäkerhetsperimeter kan medlemsresurser fritt kommunicera med varandra. Regler för nätverkssäkerhetsperimeter åsidosätter lagringskontots egna brandväggsinställningar. Åtkomst inifrån perimetern har högsta prioritet jämfört med andra nätverksbegränsningar.

Du hittar listan över tjänster som är registrerade i nätverkssäkerhetsperimetern här. Om en tjänst inte är listad är den ännu inte aktiverad. Om du vill tillåta åtkomst till en specifik resurs från en icke-registrerad tjänst kan du skapa en prenumerationsbaserad regel för nätverkssäkerhetsperimetern. En prenumerationsbaserad regel ger åtkomst till alla resurser i den prenumerationen. För detaljer om hur man lägger till en prenumerationsbaserad åtkomstregel, se denna dokumentation.

För Azure Files, se Network security perimeter i Azure Files nätverksöverväganden. Lagringskonton som innehåller Azure-fildelningar kan använda en nätverkssäkerhetsperimeter, men artikeln i Azure Files beskriver överväganden för Azure Files.

Åtkomstlägen

När du ansluter lagringskonton till en nätverkssäkerhetsperimeter kan du starta i övergångsläge (tidigare inlärningsläge) eller gå direkt till Tvingat läge. Övergångsläge (standard) gör att lagringskontot kan återgå till sina befintliga brandväggsregler eller inställningar för "betrodda tjänster" om en perimeterregel ännu inte tillåter en anslutning. Framtvingat läge blockerar strikt all offentlig inkommande och utgående trafik om det inte uttryckligen tillåts av en regel för nätverkssäkerhetsperimeter, vilket säkerställer maximalt skydd för ditt lagringskonto. I framtvingat läge respekteras inte ens Azures "betrodda tjänst"-undantag. Relevanta Azure-resurser eller specifika prenumerationer måste uttryckligen tillåtas via perimeterregler om det behövs.

Important

Drift av lagringskonton i övergångsläge (tidigare Learning) bör endast fungera som ett övergångssteg. Skadliga aktörer kan utnyttja oskyddade resurser för att exfiltrera data. Därför är det viktigt att övergå till en helt säker konfiguration så snart som möjligt med åtkomstläget inställt på Framtvingat.

Nätverksprioritet

När ett lagringskonto ingår i en nätverkssäkerhetsperimeter, åsidosätter den relevanta profilens åtkomstregler kontots egna brandväggsinställningar och blir den främsta nätverkskontrollanten. Åtkomst som tillåts eller nekas av perimetern har företräde och kontots inställningar för "Tillåtna nätverk" kringgås när lagringskontot är associerat i framtvingat läge. Om du tar bort lagringskontot från en nätverkssäkerhetsperimeter återgår kontrollen till den vanliga brandväggen. Nätverkssäkerhetsperimeter påverkar inte privat slutpunktstrafik. Anslutningar via privat länk lyckas alltid. För interna Azure-tjänster ("betrodda tjänster" kan endast tjänster som uttryckligen registreras i nätverkssäkerhetsperimeter tillåtas via regler för perimeteråtkomst. Annars blockeras deras trafik som standardinställning, även om de är betrodda enligt brandväggsreglerna för lagringskontot. För tjänster som ännu inte har registrerats inkluderar alternativen regler på prenumerationsnivå för inkommande och fullständigt kvalificerade domännamn (FQDN) för utgående åtkomst eller via privata länkar.

Important

Privat slutpunktstrafik anses vara mycket säker och omfattas därför inte av regler för nätverkssäkerhetsperimeter. All annan trafik, inklusive betrodda tjänster, omfattas av regler för nätverkssäkerhetsperimeter om lagringskontot är associerat med en perimeter.

Funktionstäckning under nätverkssäkerhetsperimeter

När ett lagringskonto är kopplat till en nätverkssäkerhetsperimeter stöder det alla standardoperationer i dataplanet för blobs, tabeller och köer om inte annat anges under de kända begränsningarna. Du kan begränsa alla HTTPS-baserade operationer för Azure Blob Storage, Azure Data Lake Storage, Azure Table Storage och Azure Queue Storage genom att använda en nätverkssäkerhetsperimeter.

Limitations

Feature Supportstatus Recommendations
Objektreplikering för Azure Blob Storage Stöds inte. Objektreplikering mellan lagringskonton misslyckas om antingen käll- eller destinationskontot är kopplat till en nätverkssäkerhetsperimeter Konfigurera inte nätverkssäkerhetsperimeter på lagringskonton som behöver objektreplikering. På samma sätt aktiverar du inte objektreplikering på konton som är associerade med nätverkssäkerhetsperimetern förrän stöd är tillgängligt. Om objektreplikering redan är aktiverad kan du inte associera en nätverkssäkerhetsperimeter. På samma sätt, om en nätverkssäkerhetsperimeter redan är kopplad, kan du inte aktivera objektreplikering. Den här begränsningen hindrar dig från att konfigurera ett scenario som inte stöds.
Network file system (NFS) åtkomst över Azure Blobs och SSH File Transfer Protocol (SFTP) över Azure Blobs Alla andra protokoll än HTTPS-baserad åtkomst blockeras när ett lagringskonto är associerat med en nätverkssäkerhetsperimeter i framtvingat läge. Om du behöver något av dessa protokoll ska du inte använda nätverkssäkerhetsperimetern i framtvingat läge. Vid testning eller migrering till nätverkssäkerhetsperimeter med övergångsläge kan lyckad åtkomst ske genom brandväggens återställningsbeteende och indikerar inte protokollstöd via nätverkssäkerhetsperimeter.
Azure Backup Stöds inte. Azure Backup as a Service är ännu inte onboardat till nätverkssäkerhetsperimetern. Koppla inte ett konto till Network Security Perimeter om du har backuper aktiverade eller om du planerar att använda Azure Backup. När Azure Backup är integrerad i nätverkssäkerhetsperimetern kan du börja använda båda dessa funktioner tillsammans.
Ohanterade diskar Ohanterade diskar uppfyller inte reglerna för nätverkssäkerhetsperimeter. Undvik att använda ohanterade diskar på lagringskonton som skyddas av nätverkssäkerhetsperimetern.
Statisk webbplats Stöds inte Statisk webbplats, som är öppen till sin natur, kan inte användas med nätverkets säkerhetsperimeter. Om statisk webbplats redan är aktiverad kan du inte koppla till en nätverkssäkerhetsperimeter. På samma sätt, om en nätverkssäkerhetsperimeter redan är kopplad, kan du inte aktivera statisk webbplats. Den här begränsningen hindrar dig från att konfigurera ett scenario som inte stöds.

Warning

För lagringskonton som är kopplade till en nätverkssäkerhetsperimeter, för att få scenarier med kundhanterade nycklar (CMK) att fungera, se till att Azure Key Vault är tillgängligt från inom den perimeter som lagringskontot är kopplat till.

Associera en nätverkssäkerhetsperimeter med ett lagringskonto

Följ dessa vanliga instruktioner för alla PaaS-resurser om du vill associera en nätverkssäkerhetsperimeter med ett lagringskonto.

Nästa steg

  • Uppdaterades senast