Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
✔️ Platí pro: Všechny sdílené složky Azure
Azure Files šifruje všechna data sdílené složky v klidu. Tento článek popisuje, jak šifrování v klidu funguje a jaká rozhodnutí je třeba učinit před nasazením Azure Files: kdo spravuje klíč, který šifruje vaše data, a zda potřebujete druhou vrstvu šifrování. Pro kroky, jak použít vlastní klíč, viz Konfigurace šifrování v klidu pomocí klientem spravovaných klíčů pro Azure Files. Pro ochranu dat při jejich přesunu mezi klienty a Azure Files viz Konfigurace šifrování přenášených dat pro Azure Files. Pro další rozhodnutí o nasazení viz Plán nasazení Azure Files.
Dostupné možnosti závisí na poskytovateli zdrojů, kterého používáte k vytvoření sdílené složky. Klasické sdílení souborů (Microsoft.Storage) podporuje klíče spravované Microsoftem, klíče spravované zákazníky a šifrování infrastruktury. Sdílené složky vytvořené pomocí Microsoft.FileShares podporují pouze klíče spravované Microsoftem. Pro další rozdíly mezi poskytovateli prostředků viz koncepty správy Azure Files.
| Možnost šifrování | Klasické sdílené složky (Microsoft.Storage) | Microsoft.FileShares |
|---|---|---|
| Šifrování v klidu pomocí klíčů spravovaných Microsoftem | Podporováno | Podporováno |
| Klíče spravované zákazníkem | Podporováno | Nepodporováno |
| Šifrování infrastruktury | Podporováno | Nepodporováno |
Jak funguje šifrování v klidu
Azure Files šifruje data při zápisu na disk a dešifruje je při čtení. Šifrování probíhá pod souborovým systémem sdílené složky, podobně jako BitLocker funguje ve Windows. Protože služba šifruje, klienti nepotřebují přístup ke šifrovacímu klíči a nemusíte měnit své aplikace ani konfiguraci klienta. Šifrování v klidu se vztahuje na data a metadata souborů, bez ohledu na to, zda klienti používají SMB, NFS nebo FileREST.
Šifrování v klidu je vždy zapnuté a nelze ho vypnout. Platí to pro každé sdílení souborů bez ohledu na vrstvu média, fakturační model nebo redundanci. Pokud úložný účet používá geo-redundantní úložiště, jsou také data v sekundární oblasti šifrována. Šifrování v klidu nepřidává poplatky k vašemu vyúčtování.
Azure Files používá AES-GCM se 256bitovým klíčem, který je kompatibilní s FIPS 140-2. Pro více informací o kryptografických modulech, které Azure Files používá, viz Cryptography API: Next Generation.
Šifrování v klidu chrání data tam, kde jsou uložena. Nekontroluje, kdo může číst nebo měnit soubory; pro kontrolu přístupu k datům souborů viz Zabezpečení sdílených složek Azure Files.
Šifrovací klíče
Azure Files šifruje vaše data pomocí klíče a vy si vybíráte, kdo tento klíč spravuje. Ve výchozím nastavení to spravuje Microsoft. U klasických sdílení souborů můžete místo toho klíč spravovat sami. V obou případech se Azure Files bezproblémově postará o šifrování a dešifrování.
| Vlastnost | Klíče spravované Microsoftem | Klíče spravované zákazníkem |
|---|---|---|
| Default | Yes | No |
| Operace šifrování a dešifrování | Azure | Azure |
| Úložiště klíčů | Úložiště klíčů Microsoftu | Azure Key Vault nebo Azure Key Vault Managed HSM |
| Rotace klíčů | Microsoft | Vy |
| Klíčová kontrola | Microsoft | Vy |
Klíče spravované Microsoftem
Klíče spravované Microsoft nepotřebují žádnou konfiguraci. Microsoft klíče ukládá a spravuje a rotuje je podle požadavků na dodržování předpisů. Sdílené složky vytvořené pomocí Microsoft.FileShares vždy používají klíče spravované společností Microsoft. Pokud máte specifické požadavky na rotaci klíčů nebo audit, používejte klíče spravované zákazníkem, abyste mohli rotaci sami spravovat i auditovat.
Klíče spravované zákazníkem
U klíčů spravovaných zákazníkem ovládáte klíč, který chrání data v úložném účtu. Klíč ukládáte v Azure Key Vault nebo Azure Key Vault Managed HSM a úložný účet používá spravovanou identitu k přístupu k němu. Trezor klíčů může být v jiné oblasti nebo v jiném předplatném než účet úložiště. Může být také v jiném tenantovi Microsoft Entra, například když poskytovatel služeb ukládá data, která chrání klíč jeho zákazníka.
Zákaznicky spravovaný klíč se vztahuje na celý úložný účet. Jeden klíč chrání všechna klasická sdílení souborů v úložném účtu a pro každé sdílení souborů nelze použít jiný klíč. Pokud sdílené složky potřebují různé klíče, dejte je do různých úložných účtů.
Když spravujete klíč, řídíte také jeho životní cyklus včetně rotace. Můžete nastavit úložný účet tak, aby automaticky používal nejnovější verzi klíče. S touto možností začne úložný účet používat novou verzi klíče do 24 hodin po jeho vytvoření. Alternativně můžete určit verzi klíče a pak aktualizovat účet úložiště pokaždé, když klíč otočíte.
Úložný účet musí být schopen přistupovat ke klíči pro čtení a zápis dat. Pokud klíč deaktivujete nebo úložnému účtu odeberete přístup ke klíči, klienti nemohou číst ani zapisovat data v úložném účtu, dokud přístup neobnovíte. Toto chování můžete použít k úmyslnému odebrání přístupu, ale náhodná změna klíče nebo jeho oprávnění má stejný efekt. Aby se zabránilo nechtěné změně, omezte, kdo může klíč deaktivovat nebo měnit jeho oprávnění. Klíče spravované zákazníkem vyžadují ochranu proti vymazání na trezoru klíčů nebo spravovaném HSM, takže smazaný klíč zůstává obnovitelný až do uplynutí jeho doby uchovávání.
Pro kroky ke konfiguraci klíčů spravovaných zákazníkem, rotaci klíče a odebrání přístupu viz Konfigurace šifrování v klidu s klíči spravovanými zákazníkem pro Azure Files.
Šifrování infrastruktury
Šifrování infrastruktury přidává druhou vrstvu šifrování pod první. Při šifrování infrastruktury Azure Files šifruje vaše data dvakrát: jednou na úrovni služby, s klíčem, který si zvolíte, a jednou na úrovni infrastruktury, s odděleným klíčem spravovaným Microsoft. Obě vrstvy používají odlišné šifrovací algoritmy a různé klíče. Pokud je jeden algoritmus nebo klíč kompromitován, druhá vrstva nadále chrání vaše data.
Většina pracovních zátěží nepotřebuje šifrování infrastruktury, protože šifrování na úrovni služeb je dostačující. Používejte šifrování infrastruktury, když vaše požadavky na dodržování vyžadují dvojité šifrování.
Naplánujte šifrování infrastruktury před nasazením, protože ho můžete povolit pouze při vytvoření úložného účtu. Na existujícím účtu úložiště ho nemůžete povolit ani zakázat. Pro použití šifrování infrastruktury pro data, která už máte, vytvořte nový úložný účet s infrastrukturním šifrováním a migrujte data do nové sdílené složky. Microsoft. FileShares nepodporuje šifrování infrastruktury.
Pro vytvoření úložného účtu s infrastrukturním šifrováním postupujte podle kroků v části Vytvořit úložný účet pro klasická sdílení souborů.