Vyžadovat zabezpečený přenos, aby se zajistila zabezpečená připojení

Účet úložiště můžete nakonfigurovat tak, aby přijímal požadavky ze zabezpečených připojení pouze nastavením požadované vlastnosti zabezpečeného přenosu pro účet úložiště. Pokud požadujete zabezpečený přenos, všechny požadavky pocházející z nezabezpečeného připojení budou odmítnuty. Doporučujeme vyžadovat zabezpečený přenos pro všechny účty úložiště.

Pokud je vyžadován zabezpečený přenos, musí být volání operace rozhraní REST API Azure Storage provedena přes PROTOKOL HTTPS. Jakýkoli požadavek provedený přes PROTOKOL HTTP se odmítne. Ve výchozím nastavení je při vytváření účtu úložiště povolená požadovaná vlastnost Zabezpečený přenos.

Azure Policy poskytuje předdefinované zásady, které zajistí, že se pro účty úložiště vyžaduje zabezpečený přenos. Další informace najdete v části Storage ve vestavěných definicích zásad Azure Policy.

Pro Azure Files teď můžete řídit požadavky na šifrování SMB a NFS nezávisle pomocí příslušných nastavení zabezpečení jednotlivých protokolů. Pokud je povoleno Požadování šifrování během přenosu, vlastnost Požadovaný zabezpečený přenos se vztahuje pouze na provoz REST/HTTPS pro sdílené složky Azure. Pro nové účty úložiště vytvořené pomocí portálu Azure Požádka šifrování při přenosu je ve výchozím nastavení povolené pro protokol SMB i systém souborů NFS. Účty úložiště vytvořené pomocí Azure PowerShell, Azure CLI nebo rozhraní FileREST API zpočátku nastavily tyto hodnoty jako Not selected k zajištění zpětné kompatibility.

Připojení ke sdílené složce Azure přes protokol SMB bez šifrování selže, pokud je pro účet úložiště vyžadován zabezpečený přenos. Příklady nezabezpečených připojení zahrnují ty, které jsou vytvořené přes protokol SMB 2.1 nebo SMB 3.x bez šifrování.

Vyžadovat zabezpečený přenos na portálu Azure

Vlastnost Secure transfer required můžete zapnout při vytváření účtu úložiště na portálu Azure. Můžete ho také povolit pro existující účty úložiště.

Vyžadovat zabezpečený přenos pro nový účet úložiště

  1. Přihlaste se k portálu Azure a přejděte na účty Storage. Vyberte + Vytvořit.

  2. Na kartě Upřesnit v části Zabezpečení zaškrtněte políčko Vyžadovat zabezpečený přenos pro operace rozhraní REST API .

    Karta pokročilých nastavení vytvoření účtu úložiště

Vyžadovat zabezpečený přenos pro existující účet úložiště

  1. Na portálu Azure vyberte existující účet úložiště.
  2. V nabídce služby v části Nastavení vyberte Konfigurace.
  3. V části Vyžadovat zabezpečený přenos vyberte Povoleno.
  4. Vyberte Uložit.

Požadovat zabezpečený přenos z kódu

Pokud chcete vyžadovat zabezpečený přenos prostřednictvím kódu programu, nastavte u účtu úložiště vlastnost enableHttpsTrafficOnly na hodnotu True . Tuto vlastnost můžete nastavit pomocí rozhraní REST API poskytovatele prostředků úložiště, klientských knihoven nebo nástrojů:

Vyžadování zabezpečeného přenosu pomocí PowerShellu

Poznámka:

K interakci s Azure doporučujeme použít modul Azure Az PowerShell. Pokud chcete začít, přečtěte si téma Install Azure PowerShell. Informace o migraci do modulu Az PowerShell najdete v tématu Migrace Azure PowerShell z AzureRM do Az.

Tato ukázka vyžaduje modul az Azure PowerShell verze 0.7 nebo novější. Verzi zjistíte spuštěním příkazu Get-Module -ListAvailable Az. Pokud potřebujete nainstalovat nebo upgradovat, přečtěte si téma Instalace modulu Azure PowerShell.

Spuštěním příkazu Connect-AzAccount vytvořte připojení k Azure.

Pomocí následujícího příkazového řádku zkontrolujte nastavení:

Get-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}"
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : False
...

K povolení nastavení použijte následující příkazový řádek:

Set-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}" -EnableHttpsTrafficOnly $True
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : True
...

Vyžadování zabezpečeného přenosu pomocí Azure CLI

Pokud chcete spustit tuto ukázku, nainstalujte nejnovější verzi Azure CLI. Spuštěním příkazu az login vytvořte připojení k Azure.

Ukázky pro Azure CLI jsou napsané pro prostředí bash. Pokud chcete tuto ukázku spustit v Windows PowerShellu nebo příkazovém řádku, možná budete muset změnit prvky skriptu.

Pokud účet Azure nemáte, vytvořte si účet free než začnete.

Pomocí následujícího příkazu zkontrolujte nastavení:

az storage account show -g {ResourceGroupName} -n {StorageAccountName}
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": false,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

K povolení nastavení použijte následující příkaz:

az storage account update -g {ResourceGroupName} -n {StorageAccountName} --https-only true
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": true,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Další kroky

Doporučení zabezpečení pro Blob storage

  • Last updated on