在 Azure 儲存體說明文件中，資料保護指的是保護儲存體帳戶和其中的資料免於遭到刪除或修改，或在資料遭到刪除或修改後還原資料的策略。 請務必考慮如何在發生可能危及資料的事件之前妥善保護您的資料。 本指南能幫助您事先決定情境所需的資料保護功能。 Azure 儲存體 也提供災難復原、安全與網路的選項。 所有這些方法共同作用，全面保護您的資料。
基本資料保護的建議
如果您希望為您的儲存帳戶及其所含資料提供基本的資料保護，請採取以下步驟：
設定儲存體帳戶的 Azure Resource Manager 鎖定，以防止帳戶遭到刪除或設定變更。 深入了解...
啟用儲存體帳戶的容器虛刪除來復原已刪除的容器及其內容。 深入了解...
啟用儲存帳號的 blob 軟刪除，以恢復被刪除或覆寫的 blob。 深入了解...
以下章節將更詳細說明這些選項及其他情境的資料保護選項。 為了防範更廣泛的資料遺失情境，如帳號意外刪除或勒索軟體，建議除了帳號內功能外，還應啟用 Azure 備份。
如需這些功能的相關成本概觀，請參閱成本考量摘要。
小提示
利用Azure Copilot獲得提升儲存帳戶保護策略的建議。 更多資訊請參閱 使用 Azure Copilot 管理與遷移儲存帳號。
資料保護選項的概觀
下表摘要說明針對常見資料保護案例 Azure 儲存體中的可用選項。 選擇適用於您情況的情境，以深入瞭解您可以使用的選項。 目前，並非所有功能都適用於已啟用階層命名空間的儲存體帳戶。
| 情境 | 資料保護選項 | 建議 | 保護效益 | 適用於 Data Lake Storage |
|---|---|---|---|---|
| 防止儲存體帳戶遭到刪除或修改。 | Azure Resource Manager 鎖定功能 深入了解... |
使用 Azure Resource Manager 鎖定來鎖定所有儲存體帳戶，以防止刪除儲存體帳戶。 | 保護儲存體帳戶免於刪除或設定變更。 不會保護帳戶中的容器或 Blob 不遭到刪除或覆寫。 |
Yes |
| 在指定的間隔內還原已刪除的容器。 | 容器軟刪除 深入了解... |
針對所有儲存體帳戶啟用容器虛刪除，最小保留間隔為 7 天。 啟用 blob 軟刪除為 blob 資料提供最佳保護。 將需要不同保留期限的容器儲存在不同的儲存體帳戶中。 |
刪除的容器及其內容可在保留期間內恢復。 只能還原容器層級的作業 (例如，刪除容器)。 如果刪除了容器中的個別 Blob，則容器虛刪除無法還原該 Blob。 |
是 |
| 在指定的間隔內還原已刪除的 Blob 或 Blob 版本。 | Blob 虛刪除 深入了解... |
對所有儲存體帳戶啟用 Blob 虛刪除，最小保留間隔為 7 天。 啟用容器軟刪除，以為 Blob 資料提供最佳保護。 將需要不同保留期間的 Blob 儲存在不同的儲存體帳戶中。 |
刪除的 blob 或 blob 版本可以在保留期內還原。 | Yes |
| 在覆寫 Blob 時，自動將 Blob 的狀態儲存在先前版本中。 | Blob 版本控制 深入了解... |
當你想自動擷取覆寫和中繼資料變更，並保留先前版本的資料直到明確將其刪除為止時，請啟用 blob 版本控制。 為降低成本，可使用生命週期管理政策或儲存行動任務自動刪除舊版本。 啟用 blob 軟刪除以增加保護層。 深入了解... 將不需要版本設定的 Blob 資料儲存在個別帳戶中，以降低成本。 |
每個 Blob 寫入作業會建立新版本。 當你刪除一個 blob 時，該 blob 目前的版本會變成之前的版本。 先前版本會持續存在，直到明確刪除或可設為目前版本。 | 否 |
| 在指定的時間點手動儲存 Blob 的狀態。 | Blob 快照 深入了解... |
建議用於有意識的時間點擷取，或作為具有階層命名空間且無法使用版本控制的帳戶中 blob 版本控制的替代方案。 | 如果 blob 被覆寫，則可從快照還原該 blob。 如果刪除 Blob，也會刪除快照集。 啟用 blob 軟刪除時，覆寫會導致已軟刪除快照的建立。 |
No |
| 防止在您所控制的期間內刪除 Blob 版本。 | Blob 版本的不可變性原則 深入了解... |
在個別 Blob 版本上設定不變性原則，以保護業務關鍵性文件，例如，為了符合法律或法規合規性需求。 | 保護 Blob 版本免於遭到刪除，並防止其中繼資料遭到覆寫。 覆寫作業會建立新版本。 如果至少有一個容器已啟用版本層級不變性，儲存體帳戶也會受到保護以避免刪除。 如果容器中至少存在一個 Blob，容器刪除就會失敗。 |
否 |
| 防止容器及其 Blob 在您控制的一段時間內被刪除或修改。 | 容器的不可變性原則 深入了解... |
在容器上設定不變性原則，以保護業務關鍵性文件，例如，為了符合法律或法規合規性需求。 | 保護容器及其 Blob，防止被刪除或覆寫。 當法律保留或鎖定的時間型保留原則生效時，儲存體帳戶也會受到保護以避免刪除。 未設定不變性原則的容器不會受到刪除保護。 |
是 |
| 將一組區塊 Blob 還原至先前的時間點。 | 時間點還原 深入了解... |
若要使用時間點還原還原為先前的狀態，請設計您的應用程式來刪除個別區塊 Blob，而不是刪除容器。 | 一組區塊 Blob 可能會還原至過去某個特定時間點的狀態。 僅會復原對區塊 Blob 執行的作業。 不會還原在容器、分頁 Blob 或附加 Blob 上執行的任何作業。 |
否 |
| Blob 可以刪除或覆寫，但資料會定期複製到第二個儲存體帳戶。 | Azure Blob 備份保存庫備份 深入了解 |
啟用保險庫備份，將資料的異地副本備份到無法直接存取的 Microsoft 租用戶中。 | 提供關鍵容器的選擇性備份，並允許將個別容器還原到與來源儲存帳戶不同的儲存帳戶。 | Yes 支援 AzCopy 和 Azure Data Factory。 不支持物件複寫。 |
| 非同步地將區塊 Blob 複製到另一個區域的目的地帳戶。 | 物件複寫 了解更多…… | 啟用物件複寫，以維護另一個區域中區塊 Blob 的冗餘副本，這樣即使來源區域無法使用，你的資料仍能保持可用。 將需要複製的區塊 blob 儲存在通用的 v2 或高級區塊 blob 帳號中，因為物件複製只支援這些帳號類型。 | 寫入來源帳號的區塊 Blob 會依複寫原則非同步複製至目的帳號。 只有區塊 blob 會被複製;不支援附加 blob 和頁面 blobs，且物件複製無法防止帳號內單一 blob 的意外刪除。 | 是 |
依資源類型的資料保護
下表摘要說明根據所保護資源的 Azure 儲存體資料保護選項。
| 資料保護選項 | 保護帳戶免遭刪除 | 保護容器免遭刪除 | 保護物件免遭刪除 | 保護物件不遭覆寫 |
|---|---|---|---|---|
| Azure Resource Manager 鎖定 | 是 | 否 | 否 | 否 |
| 容器軟刪除 | 否 | 是 | 否 | 否 |
| Blob 虛刪除 | 否 | 否 | 是 | Yes |
| Blob 版本控制6 | 否 | No | 是 | 是 |
| Blob 快照6 | 否 | 否 | 否 | 是 |
| Blob 版本的不可變性原則 | Yes1 | 是2 | 是 | 是的3 |
| 容器上的不可變性原則設定 | 是4 | 是 | 是 | Yes |
| 時間點還原5 | 否 | 否 | Yes | 是 |
| Azure Blob 保存庫備份 | 否 | 是 | 是 | 是 |
| 物件複製7 | No | Yes | 是 | Yes |
| 將資料複製到第二個帳號的自建方案6 | 否 | Yes | 是 | Yes |
1 如果至少有一個容器啟用了版本層級的不可變儲存，則無法刪除儲存帳號。
2 容器刪除失敗，只要容器中至少存在一個 blob，不論政策是鎖定還是解鎖。
3 覆寫當前版本 blob 的內容會產生新版本。 不可變更政策可防止版本的中繼資料遭到覆寫。
4 當容器範圍處於法定保留或鎖定的時間型保留原則生效時，儲存帳戶同樣受到保護，免於遭到刪除。
5 目前不支援 Data Lake Storage 工作負載。
6 AzCopy 和 Azure Data Factory 是支援 Blob 儲存體 和 Data Lake Storage 工作負載的選項。 只有 Blob 儲存體工作負載支援物件複寫。
7 複製的副本會保留在目的帳戶中。 物件複製無法防止刪除來源帳號中的 blob，且複製是非同步的，因此最近寫入的資料可能尚未出現在目的地帳號中。
基於資源類型的資料復原動作
如果您需要復原已覆寫或刪除的資料，您要如何繼續進行取決於您已啟用的資料保護選項以及受影響的資源。 下表說明您在復原資料時可以採取的動作。
| 已刪除或覆寫的資源 | 可能的復原操作 | 復原需求 |
|---|---|---|
| 儲存體帳戶 | 嘗試復原已刪除的儲存體帳戶 深入了解... |
儲存體帳戶最初是使用 Azure Resource Manager 部署模型所建立，且已在過去 14 天內刪除。 自原始帳戶刪除之後，尚未建立具有相同名稱的新儲存體帳戶。 |
| 容器 | 復原已虛刪除的容器及其內容 深入了解... |
已啟用容器虛刪除，且容器虛刪除保留期間尚未過期。 |
| 容器和 Blob 物件 | 從第二個儲存體帳戶還原資料 | 所有容器和 Blob 作業都已有效地複寫至第二個儲存體帳戶。 |
| Blob | 復原已虛刪除的 Blob 深入了解... |
已啟用 Blob 虛刪除，且虛刪除保留間隔未過期。 |
| 一組區塊 blobs | 將一組區塊 Blob 復原至其較早時間點的狀態1 深入了解... |
時間點還原已啟用，且還原點在保留間隔內。 儲存體帳戶尚未遭盜用或損毀。 |
| Blob 快照 | 復原已軟刪除的快照1 深入了解... |
Blob 軟刪除已啟用，你已覆蓋 blob 以建立軟刪除快照，且軟刪除的保留間隔還沒過。 或者，blob 軟刪除是啟用的，你刪除了快照，但軟刪除的保留間隔還沒過。 |
| Blob 版本 | 復原軟刪除的版本1 深入了解... |
已啟用 Blob 虛刪除，且虛刪除保留間隔未過期。 |
1 目前不支援 Data Lake Storage 工作負載。
成本考量摘要
下表摘要說明本指南中所述的各種資料保護選項的成本考量。 啟用或設定以下功能不收費，但請考慮這些功能所帶來的成本。
| 資料保護選項 | 成本考量 |
|---|---|
| 適用於儲存體帳戶的 Azure Resource Manager 鎖定 | 設定儲存體帳戶的鎖定無須付費。 |
| 容器軟刪除 | 軟刪除容器中的資料會以與活躍資料相同的費率計費，直到軟刪除容器被永久刪除為止。 |
| Blob 虛刪除 | 軟刪除的 blob 資料在永久刪除前，會以與活躍資料相同的收費率計費。 當 blob 被覆寫或刪除時，自動產生快照或版本的交易不會向你收費，但你要按寫入交易速率計算呼叫 Undelete Blob 操作的費用。 啟用對經常被覆寫的資料進行軟刪除，可能會增加容量費用和清單延遲。 為了評估影響，Microsoft 建議先從至少七天的保留期間開始。 欲了解更多資訊，請參閱 定價與帳單。 |
| Blob 版本控制 | 啟用 blob 版本控制後，帳號中每次寫入 blob 都會產生新版本，這可能會導致容量成本增加。 blob 版本按獨特區塊或頁面計費。 因此，成本會隨著基礎 Blob 與特定版本的差異擴大而增加。 更改 blob 或 blob 版本的等級可能會影響帳單。 如需詳細資訊，請參閱價格和帳單。 使用 生命週期管理 或儲存操作，必要時刪除舊版本以控制成本。 |
| Blob 快照 | 您是根據快照中的獨特區塊或頁面，為資料付費。 因此，成本會隨著基礎 Blob 與快照集逐漸偏離而增加。 更改 blob 或快照的層級可能會影響帳單。 如需詳細資訊，請參閱價格和帳單。 使用 生命週期管理 或儲存操作，必要時刪除舊快照以控制成本。 |
| Blob 版本的不變性原則 | 在 Blob 版本上建立、修改或刪除限時保留原則或法務保存措施時，會產生一筆寫入交易費用。 |
| 容器的不可變性原則 | 不可變資料的價格與可變資料相同。 帳單會持續，直到資料可變更並被刪除為止。 |
| 時間點還原 | 啟用時間點還原同時也會啟用 blob 版本設定、軟刪除和變更摘要，這些都可能產生其他費用。 當您執行還原作業時，需要支付時間點還原的費用。 還原作業的成本取決於所要還原的資料量。 如需詳細資訊，請參閱價格和帳單。 |
| 封存備份 | 對於 Vault 備份，你會在備份的來源帳號上產生備份儲存費用或實例費用，以及與物件複製相關的來源端成本。 請參閱定價。 |
| 物件複製 | 設定物件複製免費，包括啟用變更摘要、blob 版本管理及新增複製政策。 物件複製需要變更串流和版本控制，這兩者都可能導致其他收費。 在目的帳號中維護複製資料會產生容量成本，包括 blob 的儲存成本及每個 blob 版本的儲存成本。 如果目的帳號位於與來源不同區域，複製資料也會產生出口費用。 物件複製會產生交易成本：來源帳戶需負擔寫入交易費用，目標帳戶則需支付讀寫交易費用，包括讀取變更資料記錄的成本。 如需詳細資訊，請參閱帳單。 |
| 將資料複製到第二個儲存體帳戶 | 維護第二個儲存體帳戶中的資料時，將會產生容量和交易費用。 如果第二個儲存體帳戶位於與來源帳戶不同的區域，則將資料複製到該第二個帳戶時將會額外產生輸出費用。 |
下一步
使用 Azure 內建原則，大規模啟用資料保護功能。 已有政策用於啟用軟刪除、版本控制及物件複製。
有關災難復原功能的指引與建議，請參見 災難復原。
關於網路安全與驗證的指引，請參見 安全性與網路功能。