Kryptering av data i vila för Azure Files

✔️ Gäller för: Alla Azure-filresurser

Azure Files krypterar all fildelningsdata i vila. Den här artikeln beskriver hur kryptering i vila fungerar och vilka beslut du bör fatta innan du distribuerar Azure Files: vem hanterar nyckeln som krypterar din data och om du behöver ett andra krypteringslager. För stegen för att använda din egen nyckel, se Konfigurera kryptering i vila med kundhanterade nycklar för Azure Files. För att skydda data när data överförs mellan klienter och Azure Files, se Konfigurera kryptering under överföring för Azure Files. För andra driftsättningsbeslut, se Planera en driftsättning av Azure Files.

De tillgängliga alternativen beror på vilken resursleverantör du använder för att skapa fildelningen. Klassiska fildelningar (Microsoft. Storage) stödjer Microsoft-hanterade nycklar, kundhanterade nycklar och infrastrukturkryptering. Fildelningar skapade med Microsoft.FileShares stöder endast Microsoft-hanterade nycklar. För andra skillnader mellan resursleverantörerna, se Azure Files management concepts.

Så fungerar kryptering av data i vila

Azure Files krypterar data när data skrivs till disk och dekrypterar data när data läses. Kryptering sker under filsystemet på fildelningen, liknande hur BitLocker fungerar på Windows. Eftersom tjänsten gör krypteringen behöver klienterna inte åtkomst till krypteringsnyckeln, och du behöver inte ändra dina applikationer eller klientkonfiguration. Kryptering av vilande data gäller fildata och metadata, oavsett om klienterna använder SMB, NFS eller FileREST.

Kryptering i vila är alltid aktiverad och kan inte inaktiveras. Det gäller för varje fildelning, oavsett medienivå, faktureringsmodell eller redundans. Om ett lagringskonto använder georedundant lagring krypteras även datan i den sekundära regionen. Kryptering av lagrade data lägger inte till några avgifter på din räkning.

Azure Files använder 256-bitars AES-GCM, som är FIPS 140-2-kompatibel. Mer information om de kryptografiska moduler som Azure Files använder finns i Cryptography API: Next Generation.

Kryptering av lagrad data skyddar data där den lagras. Den kontrollerar inte vem som kan läsa eller ändra filer; för att kontrollera åtkomst till fildata, se Säkra dina Azure-fildelningar.

Krypteringsnycklar

Azure Files krypterar din data med en nyckel, och du väljer vem som hanterar nyckeln. Microsoft hanterar det som standard. För klassiska fildelningar kan du hantera nyckeln själv istället. I båda dessa fall hanterar Azure Files smidigt krypteringen och dekrypteringen.

Microsoft-hanterade nycklar

Microsoft-hanterade nycklar behöver ingen konfiguration. Microsoft lagrar och kontrollerar nycklarna och byter ut dem regelbundet enligt efterlevnadskraven. Fildelningar som skapats med Microsoft.FileShares använder alltid Microsoft-hanterade nycklar. Om du har specifika krav för nyckelrotation eller granskning, använd kundhanterade nycklar så att du själv kan hantera och granska rotationen.

Kundstyrda nycklar

Med kundhanterade nycklar kontrollerar du nyckeln som skyddar datan i ett lagringskonto. Du lagrar nyckeln i Azure Key Vault eller Azure Key Vault Managed HSM, och lagringskontot använder en hanterad identitet för att komma åt den. Nyckelvalvet kan vara i en annan region eller prenumeration än lagringskontot. Det kan också vara i en annan Microsoft Entra-tenant, till exempel när en tjänsteleverantör lagrar data som kundens nyckel skyddar.

En kundhanterad nyckel gäller hela lagringskontot. En nyckel gäller för alla klassiska fildelningar i lagringskontot, och du kan inte använda en separat nyckel för varje fildel. Om fildelningar behöver olika nycklar, lägg dem i olika lagringskonton.

När du hanterar nyckeln hanterar du också dess livscykel, inklusive rotation. Du kan konfigurera lagringskontot att automatiskt använda den senaste versionen av nyckeln. Med detta alternativ börjar lagringskontot använda en ny nyckelversion inom 24 timmar efter att du skapat det. Alternativt kan du ange en nyckelversion och sedan uppdatera lagringskontot varje gång du roterar nyckeln.

Lagringskontot måste kunna komma åt nyckeln för att läsa och skriva data. Om du inaktiverar nyckeln eller tar bort lagringskontots åtkomst till den kan klienter inte läsa eller skriva data i lagringskontot förrän du återställer åtkomsten. Du kan använda detta beteende för att medvetet återkalla åtkomst, men en oavsiktlig ändring av nyckeln eller dess behörigheter har samma effekt. För att förhindra en oavsiktlig ändring, begränsa vem som kan inaktivera nyckeln eller ändra dess behörigheter. Kundhanterade nycklar kräver raderingsskydd på nyckelvalvet eller den hanterade HSM:n, så en raderad nyckel kan återställas tills dess kvarhållningsperiod är över.

För stegen för att konfigurera kundhanterade nycklar, rotera nyckeln och återkalla åtkomst, se Konfigurera kryptering i vila med kundhanterade nycklar för Azure Files.

Infrastrukturkryptering

Infrastrukturkryptering lägger till ett andra lager av kryptering under det första lagret. Med infrastrukturkryptering krypterar Azure Files dina data två gånger: en gång på tjänstenivå, med den nyckel du väljer, och en gång på infrastrukturnivå, med en separat nyckel som Microsoft hanterar. De två lagren använder olika krypteringsalgoritmer och olika nycklar. Om en algoritm eller nyckel komprometteras fortsätter det andra lagret att skydda dina uppgifter.

De flesta arbetsbelastningar behöver inte infrastrukturkryptering, eftersom servicenivåkrypteringen är tillräcklig. Använd infrastrukturkryptering när dina efterlevnadskrav kräver dubbel kryptering.

Planera för infrastrukturkryptering innan du distribuerar, eftersom du bara kan aktivera det när du skapar ett lagringskonto. Du kan inte aktivera eller inaktivera det på ett befintligt lagringskonto. För att använda infrastrukturkryptering för data som du redan har, skapa ett nytt lagringskonto med infrastrukturkryptering och migrera data till en ny fildelning. Microsoft. FileShares stöder inte infrastrukturkryptering.

För att skapa ett lagringskonto med infrastrukturkryptering, följ stegen i Skapa ett lagringskonto för klassiska fildelningar.

Relaterat innehåll

• Konfigurera kryptering i vila med kundhanterade nycklar för Azure Files
• Konfigurera kryptering under överföring för Azure Files
• Säkra dina Azure-fildelningar