Konfigurera kryptering under överföring för Azure Files

Den här artikeln förklarar hur man kräver och använder kryptering under överföring för Azure Files. Varje protokoll har sin egen krypteringsmekanism och inställningar:

• SMB: SMB 3.x kanalkryptering. Se SMB.
• NFS: TLS-kryptering via AzNFS-monteringshjälparen. Se NFS.
• FileREST: HTTPS med TLS. Se FileREST.

För en översikt av kryptering under överföring för varje protokoll, se Azure Files nätverksöverväganden. För Microsoft.FileShares-fildelningar anger du kravet på kryptering under överföring för varje fildelning. Se Skapa en fildelning och Ändra en fildelning. Microsoft. FileShares stöder inte FileREST.

Inställningar för kryptering under överföring

Klassiska fildelningar har en separat krypteringsinställning under överföring för varje protokoll. Kräver säker överföring var den ursprungliga inställningen för alla tre protokoll. För bakåtkompatibilitet kontrollerar den fortfarande SMB- och NFS-kryptering tills du konfigurerar inställningen för det protokollet.

SMB- och NFS-inställningarna är initialt Ej valda för:

• Befintliga lagringskonton.
• Lagringskonton skapade med Azure PowerShell, Azure CLI eller Azure Storage resource provider REST API.

För lagringskonton som skapas med Azure-portalen är båda inställningarna aktiverade som standard.

Efter att du konfigurerat SMB- eller NFS-inställningen får den företräde framför Kräv säker överföring för det protokollet. Du kan ändra inställningen mellan Aktiverad och Avstängd, men du kan inte återställa den till Ej vald.

SMB

Azure Files krypterar SMB-trafik genom att använda SMB 3.x kanalkryptering. Inställningen Require Encryption in Transit for SMB styr om Azure Files kräver kryptering för SMB-åtkomst till fildelningarna i ett lagringskonto. När denna inställning är aktiverad tillåter Azure Files endast SMB 3.x-mounts som använder kanalkryptering. Azure Files avvisar mounts från klienter som inte stödjer SMB 3.x med kanalkryptering. SMB 2.1 stöder inte kryptering, så Azure Files avvisar alla SMB 2.1-mounts. För standardvärdet och hur denna inställning fungerar med Säker överföring krävs, se Kryptering i transitinställningarna.

För de stödda SMB-kanalkrypteringsalgoritmerna och de andra SMB-säkerhetsinställningarna, se SMB-säkerhetsinställningar.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    SmbEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-smb-encryption-in-transit true

NFS

Azure Files NFSv4.1-fildelningar stödjer kryptering under överföring genom en TLS-tunnel. TLS skyddar data under överföring från avlyssning, inklusive man-in-the-middle-attacker. För att installera AzNFS mount helper och montera en fildelning med kryptering under överföring, se Mount NFS Azure file shares på Linux.

Hur kryptering under överföring fungerar

Azure Files använder stunnel, en öppen källkods TLS-wrapper, för att kryptera TCP-anslutningen mellan NFS-klienten och Azure Files. Med AzNFS-monteringshjälparen används TLS 1.2 eller TLS 1.3 med AES-256-GCM-kryptering för anslutningen. Du behöver inte Kerberos eller ett externt autentiseringssystem som služba Active Directory.

AzNFS mount-hjälppaket installerar och konfigurerar stunnel på klienten. AzNFS finns tillgängligt från packages.microsoft.com. Den skapar en lokal slutpunkt som vidarebefordrar NFS-klientförfrågningar över en krypterad anslutning. AzNFS har dessa komponenter:

• AzNFS-monteringshjälp: Monterar NFSv4.1-fildelningar genom en TLS-tunnel.

• Stunnelprocess: En process för varje lagringskonto. Den lyssnar efter NFS-klienttrafik på en lokal port och vidarebefordrar trafiken över TLS till Azure Files.

• AzNFS-vakthund: En bakgrundstjänst som håller stunnelprocesser igång, startar om avslutade tunnlar och tar bort oanvända processer efter att alla associerade NFS-mounts har avmonterats.

Framtvinga kryptering under överföring

Inställningen Require Encryption in Transit for NFS styr om Azure Files kräver kryptering för NFS-åtkomst till fildelningarna i ett lagringskonto. För att tillåta både TLS- och icke-TLS-mounts på samma lagringskonto, inaktivera inställningen. För standardvärdet och hur denna inställning fungerar med Säker överföring krävs, se Kryptering i transitinställningarna.

$params = @{
    ResourceGroupName = "<resource-group>"
    StorageAccountName = "<storage-account-name>"
    NfsEncryptionInTransitRequired = $true
}
Update-AzStorageFileServiceProperty @params

az storage account file-service-properties update \
    --resource-group <resource-group> \
    --account-name <storage-account-name> \
    --require-nfs-encryption-in-transit true

FileREST

FileREST-förfrågningar använder HTTPS för att kryptera data under överföring. Två lagringskontoinställningar styr FileREST-kryptering för klassiska fildelningar:

• Säker överföring krävs: När denna inställning är aktiverad avvisar lagringskontot FileREST-förfrågningar som görs över HTTP. Nya lagringskonton har denna inställning aktiverad som standard. Ha det aktiverat. Alternativet att inaktivera det finns för bakåtkompatibilitet med äldre applikationer som använder HTTP för att komma åt annan data i lagringskontot. Innan SMB- och NFS-inställningarna fanns var det enda sättet att tillåta okrypterad SMB- eller NFS-åtkomst också att inaktivera Secure Transfer Required . För att nu tillåta okrypterad SMB- eller NFS-åtkomst, inaktivera inställningen för det protokollet istället. Se Inställningar för kryptering under överföring.
• Minsta TLS-version: Azure Files accepterar TLS 1.2 och TLS 1.3 för HTTPS. Azure Storage accepterar inte längre TLS 1.0 eller TLS 1.1 för HTTPS-förfrågningar, så TLS 1.2 är den lägsta minimiversionen du kan ange. Du kan inte sätta TLS 1.3 som minimum. En FileREST-förfrågan som använder en tidigare TLS-version än minimum misslyckas med HTTP-statuskod 400 (Bad Request). Kunder förhandlar om TLS 1.3 när de stödjer det.

Azure Policy har inbyggda policydefinitioner som granskar eller kräver dessa inställningar för lagringskonton. Se avsnittet Lagring i Azure Policy inbyggda policydefinitioner.

Nuvarande versioner av Azure Storage-klientbiblioteken, Azure PowerShell och Azure CLI använder TLS 1.2 eller senare. Om en applikation som riktar sig mot en äldre version av .NET Framework inte kan ansluta sig, se Transport Layer Security (TLS) bästa praxis med .NET Framework.

Konfigurera FileREST-krypteringsinställningar

Kräv säker överföring och ange den lägsta TLS-versionen till TLS 1.2 för ett lagringskonto.

$params = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    EnableHttpsTrafficOnly = $true
    MinimumTlsVersion = "TLS1_2"
}
Set-AzStorageAccount @params

az storage account update \
    --resource-group <resource-group> \
    --name <storage-account-name> \
    --https-only true \
    --min-tls-version TLS1_2

Relaterat innehåll

• Nätverksöverväganden för Azure Files
• Kryptering i vila för Azure Files