Azure Storage šifrování neaktivních uložených dat

Azure Storage používá šifrování na straně služby (SSE) k automatickému šifrování vašich dat, když se data přenechají do cloudu. Azure Storage šifrování chrání vaše data a pomáhá splnit závazky organizace týkající se zabezpečení a dodržování předpisů.

Microsoft doporučuje používat šifrování na straně služby k ochraně dat ve většině scénářů. Klientské knihovny Azure Storage pro Blob Storage a Queue Storage ale také poskytují šifrování na straně klienta zákazníkům, kteří potřebují šifrovat data v klientovi. Další informace najdete v tématu Šifrování na straně klienta pro objekty blob a fronty.

Informace o šifrování na straně služby Azure Storage

Data v Azure Storage jsou šifrovana a dešifrována transparentně pomocí 256bitového AES šifrování, což je jedna z nejsilnějších blokových šifer dostupných a splňuje FIPS 140-2. Azure Storage šifrování se podobá šifrování BitLockeru na Windows.

Azure Storage šifrování na straně služby používá 256bitový AES Galois/Counter Mode (AES-GCM) k šifrování nahraných objektů. Šifrování Azure Storage je povoleno pro všechny úložné účty. Nemůžete deaktivovat šifrování Azure Storage. Vzhledem k tomu, že jsou vaše data ve výchozím nastavení zabezpečená, nemusíte upravovat kód ani aplikace, abyste mohli využívat Azure Storage šifrování.

Data v úložném účtu jsou šifrována bez ohledu na výkonnostní úroveň (standardní nebo prémiovou) nebo přístupovou úroveň (horká nebo studená). Všechny nové a existující blokové blob objekty, blob objekty pro připojení a stránkové blob objekty jsou šifrovány, včetně blob objektů v archivační vrstvě. Všechny možnosti redundance Azure Storage podporují šifrování a všechna data v primární i sekundární oblasti se šifrují, když je povolená geografická replikace. Všechny Azure Storage prostředky jsou šifrované, včetně objektů blob, disků, souborů, front a tabulek. Šifrují se také všechna metadata objektů.

Za šifrování Azure Storage nejsou žádné další náklady.

Další informace o kryptografických modulech, které jsou základem šifrování Azure Storage, najdete v tématu Kryptografické rozhraní API: Další generace.

Informace o šifrování a správě klíčů pro spravované disky Azure najdete v tématu Šifrování Azure spravovaných disků na straně serveru.

Správa šifrovacích klíčů

Data v novém účtu úložiště se ve výchozím nastavení šifrují pomocí klíčů spravovaných Microsoft. Při šifrování dat můžete dál spoléhat na klíče spravované Microsoft nebo můžete spravovat šifrování pomocí vlastních klíčů. Pokud se rozhodnete spravovat šifrování pomocí vlastních klíčů, máte dvě možnosti. Můžete použít buď typ správy klíčů, nebo obojí:

  • Můžete zadat klíč spravovaný zákazníkem pro šifrování a dešifrování dat v Blob Storage a v Azure Files.1,2 Klíče spravované zákazníkem musí být uloženy v Azure Key Vault nebo ve spravovaném hardwarovém bezpečnostním modulu (HSM) Azure Key Vault. Další informace o klíčích spravovaných zákazníkem najdete v tématu Použití klíčů spravovaných zákazníkem pro šifrování Azure Storage.
  • V operacích Blob Storage můžete zadat klíč poskytnutý zákazníkem. Klient provádějící požadavek na čtení nebo zápis proti Blob Storage může do požadavku zahrnout šifrovací klíč, který umožňuje podrobnou kontrolu nad šifrováním a dešifrováním dat objektů blob. Další informace o klíčích poskytovaných zákazníkem najdete v tématu Poskytněte šifrovací klíč při žádosti o úložiště Blob.

Ve výchozím nastavení se účet úložiště šifruje klíčem, který je vymezený na celý účet úložiště. Rozsahy šifrování umožňují spravovat šifrování pomocí klíče, který je vymezený na kontejner nebo jednotlivý objekt blob. Obory šifrování můžete použít k vytvoření zabezpečených hranic mezi daty, která se nacházejí ve stejném účtu úložiště, ale patří různým zákazníkům. Obory šifrování můžou používat klíče spravované Microsoft nebo klíče spravované zákazníkem. Další informace o oborech šifrování najdete v tématu Obory šifrování pro úložiště objektů blob.

Následující tabulka porovnává možnosti správy klíčů pro šifrování Azure Storage.

Parametr správy klíčů klíče spravované Microsoft Klíče spravované zákazníkem Klíče poskytnuté zákazníkem
Operace šifrování/dešifrování Azure Azure Azure
podporované Azure Storage služby Všechny Blob Storage, Azure Files 1,2 Blob Storage
Úložiště klíčů úložiště klíčů Microsoft Azure Key Vault nebo Key Vault HSM Úložiště vlastních klíčů zákazníka
Odpovědnost za rotaci klíčů Microsoft Zákazník Zákazník
Klíčová kontrola Microsoft Zákazník Zákazník
Hlavní rozsah Účet (výchozí), kontejner nebo blob Účet (výchozí), kontejner nebo blob –

1 Informace o vytvoření účtu, který podporuje použití klíčů spravovaných zákazníkem se službou Queue Storage, najdete v tématu Vytvoření účtu, který podporuje klíče spravované zákazníkem pro fronty.
2 Informace o vytvoření účtu, který podporuje použití klíčů spravovaných zákazníkem se službou Table Storage, najdete v tématu Vytvoření účtu, který podporuje klíče spravované zákazníkem pro tabulky.

Poznámka:

Microsoft spravované klíče se odpovídajícím způsobem obměňují podle požadavků na dodržování předpisů. Pokud máte specifické požadavky na obměnu klíčů, Microsoft doporučuje přejít na klíče spravované zákazníkem, abyste mohli spravovat a auditovat rotaci sami.

Dvakrát zašifrujte data pomocí infrastrukturního šifrování

Pokud potřebujete vysokou úroveň jistoty, že vaše data jsou bezpečná, můžete také povolit 256bitové AES šifrování na úrovni infrastruktury Azure Storage. Když povolíte šifrování infrastruktury, vaše data v úložném účtu jsou zašifrována dvakrát – jednou na úrovni služeb a jednou na úrovni infrastruktury – dvěma různými šifrovacími algoritmy a dvěma různými klíči. Dvojité šifrování dat Azure Storage chrání před situací, kdy je některý ze šifrovacích algoritmů nebo klíčů kompromitován. V tomto případě další vrstva šifrování nadále chrání vaše data.

Šifrování na úrovni služby podporuje použití klíčů spravovaných Microsoft nebo klíčů spravovaných zákazníkem s Azure Key Vault. Šifrování na úrovni infrastruktury závisí na Microsoft spravovaných klíčích a vždy používá samostatný klíč.

Další informace o tom, jak vytvořit účet úložiště, který umožňuje šifrování infrastruktury, najdete v tématu Vytvoření účtu úložiště s povoleným šifrováním infrastruktury pro dvojité šifrování dat.

Šifrování na straně klienta pro objekty blob a fronty

Klientské knihovny Azure Blob Storage pro .NET, Java a Python podporují šifrování dat v klientských aplikacích před nahráním do Azure Storage a dešifrováním dat při stahování do klienta. Klientské knihovny Queue Storage pro .NET a Python také podporují šifrování na straně klienta.

Poznámka:

Zvažte použití funkcí šifrování na straně služby poskytovaných Azure Storage k ochraně dat místo šifrování na straně klienta.

Klientské knihovny Blob Storage a Queue Storage používají AES k šifrování uživatelských dat. V klientských knihovnách jsou k dispozici dvě verze šifrování na straně klienta:

Upozornění

Použití šifrování na straně klienta verze 1 se už nedoporučuje kvůli ohrožení zabezpečení v implementaci režimu CBC klientské knihovny. Další informace o tomto ohrožení zabezpečení najdete v tématu Azure Storage aktualizace šifrování na straně klienta v sadě SDK za účelem řešení ohrožení zabezpečení. Pokud aktuálně používáte verzi 1, aktualizujte svou aplikaci na šifrování na straně klienta v2 a migrujte svá data.

Sada Azure Table Storage SDK podporuje pouze šifrování na straně klienta v1. Použití šifrování na straně klienta se službou Table Storage se nedoporučuje.

Následující tabulka ukazuje, které klientské knihovny podporují verze šifrování na straně klienta a poskytují pokyny pro migraci na šifrování na straně klienta v2.

Klientská knihovna Podporovaná verze šifrování na straně klienta Doporučená migrace Další doprovodné materiály
Blob Storage klientské knihovny pro .NET (verze 12.13.0 a novější), Java (verze 12.18.0 a novější) a Python (verze 12.13.0 a vyšší) 2.0

1.0 (pouze kvůli zpětné kompatibilitě)		 Aktualizujte kód tak, aby používal šifrování na straně klienta v2.

Stáhněte si všechna šifrovaná data, abyste je dešifrovali, a pak je znovu zašifrujte pomocí šifrování na straně klienta v2.		 Šifrování na straně klienta pro objekty blob
Blob Storage klientské knihovny pro .NET (verze 12.12.0 a novější), Java (verze 12.17.0 a novější) a Python (verze 12.12.0 a novější) 1.0 (nedoporučuje se) Aktualizujte aplikaci tak, aby používala verzi sady BLOB STORAGE SDK, která podporuje šifrování na straně klienta v2. Podrobnosti najdete v matici podpory sady SDK pro šifrování na straně klienta.

Aktualizujte kód tak, aby používal šifrování na straně klienta v2.

Stáhněte si všechna šifrovaná data, abyste je dešifrovali, a pak je znovu zašifrujte pomocí šifrování na straně klienta v2.		 Šifrování na straně klienta pro objekty blob
Klientská knihovna Queue Storage pro .NET (verze 12.11.0 a novější) a Python (verze 12.4 a vyšší) 2.0

1.0 (pouze kvůli zpětné kompatibilitě)		 Aktualizujte kód tak, aby používal šifrování na straně klienta v2. Šifrování na straně klienta pro fronty
Klientská knihovna Queue Storage pro .NET (verze 12.10.0 a novější) a Python (verze 12.3.0 a novější) 1.0 (nedoporučuje se) Aktualizujte aplikaci tak, aby používala verzi sady Sdk služby Queue Storage, která podporuje šifrování na straně klienta v2. Viz matice podpory sady SDK pro šifrování na straně klienta

Aktualizujte kód tak, aby používal šifrování na straně klienta v2.		 Šifrování na straně klienta pro fronty
Klientská knihovna Table Storage pro .NET, Java a Python 1.0 (nedoporučuje se) Není k dispozici. –

Další kroky

  • Last updated on