Speichern unternehmenskritischer Blobdaten mit unveränderlichem Speicher

Unveränderlicher Speicher für Azure Blob Storage ermöglicht es Benutzern, unternehmenskritische Daten in einem WORM-Zustand (Write Once, Read Many) zu speichern. Im WORM-Zustand können Daten für einen vom Benutzer angegebenen Zeitraum nicht geändert oder gelöscht werden. Durch Konfigurieren von Unveränderlichkeitsrichtlinien für Blobdaten können Sie Ihre Daten vor Überschreibungen und Löschungen schützen.

Unveränderlicher Speicher für Azure Blob Storage unterstützt zwei Arten von Unveränderlichkeitsrichtlinien:

  • Zeitbasierte Aufbewahrungsrichtlinien: Mit einer zeitbasierten Aufbewahrungsrichtlinie können Benutzer Richtlinien zum Speichern von Daten für ein angegebenes Intervall festlegen. Wenn eine zeitbasierte Aufbewahrungsrichtlinie festgelegt wird, können Objekte erstellt und gelesen, aber nicht geändert oder gelöscht werden. Nach Ablauf des Aufbewahrungszeitraums können Objekte gelöscht, aber nicht überschrieben werden. Weitere Informationen zu zeitbasierten Aufbewahrungsrichtlinien finden Sie unter Zeitbasierte Aufbewahrungsrichtlinien für unveränderliche Blobdaten.

  • Richtlinien zur Aufbewahrung für juristische Zwecke: Ist die Aufbewahrung für juristische Zwecke festgelegt, werden unveränderliche Daten so lange gespeichert, bis die Richtlinie explizit gelöscht wird. Wenn eine Richtlinie zur Aufbewahrung für juristische Zwecke definiert ist, können Objekte erstellt und gelesen, aber nicht geändert oder gelöscht werden. Weitere Informationen zu Richtlinien zur Aufbewahrung für juristische Zwecke finden Sie unter Legal holds for immutable blob data (Aufbewahrung für juristische Zwecke für unveränderliche Blobdaten).

Das folgende Diagramm zeigt, wie zeitbasierte Aufbewahrungsrichtlinien und gesetzliche Aufbewahrungspflichten Schreib-und Löschvorgänge verhindern, solange sie in Kraft sind.

Diagramm, das zeigt, wie zeitbasierte Aufbewahrungsrichtlinien und gesetzliche Aufbewahrungspflichten Schreib-und Löschvorgänge verhindern

Informationen zu unveränderlichem Speicher für Blobs

Unveränderlicher Speicher unterstützt Organisationen aus dem Gesundheitswesen, Finanzwesen und verwandten Branchen – insbesondere Broker-Organisationen – dabei, Daten sicher zu speichern. Unveränderlicher Speicher kann in allen Szenarios verwendet werden, in denen kritische Daten vor Änderungen oder Löschvorgängen geschützt werden sollen.

Beispiele für typische Anwendungen:

  • Einhaltung gesetzlicher Bestimmungen: Unveränderlicher Speicher für Azure-Blobspeicher unterstützt Organisationen dabei, SEC 17a-4(f), CFTC 1.31(d), FINRA und andere Bestimmungen einzuhalten.

  • Sichere Dokumentaufbewahrung: Mit unveränderlichem Speicher für Blobs wird sichergestellt, dass Daten selbst dann nicht von Benutzern geändert oder gelöscht werden können, wenn diese über Administratorrechte für ein Konto verfügen.

  • Aufbewahrung für juristische Zwecke: Mit unveränderlichem Speicher für Blobs können Benutzer vertrauliche Informationen, die für Rechtsstreitigkeiten oder die geschäftliche Nutzung wichtig sind, für den gewünschten Zeitraum in einem manipulationsgeschützten Zustand speichern, bis die Aufbewahrungspflicht nicht mehr gilt. Dieses Feature ist nicht allein auf rechtliche Anwendungsfälle beschränkt, sondern kann auch als ereignisbasierter Aufbewahrungsvorgang oder Unternehmenssperre angesehen werden, wenn Daten basierend auf Ereignisauslösern oder Unternehmensrichtlinien geschützt werden müssen.

Compliance

Microsoft hat Cohasset Associates, ein führendes, auf Datensatzverwaltung und Information Governance spezialisiertes Unternehmen für unabhängige Bewertungen, damit beauftragt, unveränderlichen Speicher für Blobs und dessen Konformität mit den spezifischen Anforderungen der Finanzdienstleistungsbranche zu bewerten. Cohasset hat bestätigt, dass die Verwendung von unveränderlichem Speicher für Blobs im WORM-Zustand die relevanten Speicheranforderungen der CFTC-Regel 1.31(c)-(d), der FINRA-Regel 4511 und der SEC-Regel 17a-4(f) erfüllt. Microsoft hat die Einhaltung dieser Regeln angestrebt, da sie die weltweit striktesten Richtlinien zur Aufbewahrung von Datensätzen für Finanzinstitute darstellen.

Der Cohasset-Bericht ist im Microsoft Service Trust Center verfügbar. Ausführliche Informationen zu den Compliancezertifizierungen von Microsoft finden Sie im Azure Trust Center. Wenden Sie sich an den Azure-Support, um einen Nachweis der WORM-Unveränderlichkeitskonformität von Microsoft anzufordern.

Geltungsbereich von Unveränderlichkeitsrichtlinien

Unveränderlichkeitsrichtlinien können für eine Blobversion oder einen Container festgelegt werden. Das Verhalten eines Objekts im Rahmen einer Unveränderlichkeitsrichtlinie hängt vom Geltungsbereich der Richtlinie ab. Weitere Informationen zum Geltungsbereich der einzelnen Typen von Unveränderlichkeitsrichtlinien finden Sie in den folgenden Abschnitten:

Sie können je nach Bereich sowohl eine Richtlinie für die zeitbasierte Aufbewahrung als auch eine Richtlinie zur Aufbewahrung für juristische Zwecke für eine Ressource (Container oder Blobversion) konfigurieren.

Geltungsbereich auf Versionsebene

Um eine Unveränderlichkeitsrichtlinie zu konfigurieren, die auf eine Blobversion begrenzt ist, müssen Sie die Unterstützung der Unveränderlichkeit auf Versionsebene für das Speicherkonto oder einen Container aktivieren. Nachdem Sie die Unterstützung der Unveränderlichkeit auf Versionsebene für ein Speicherkonto aktiviert haben, können Sie eine Standardrichtlinie auf Kontoebene konfigurieren, die für alle anschließend im Speicherkonto erstellten Objekte gilt. Wenn Sie die Unterstützung der Unveränderlichkeit auf Versionsebene für einen einzelnen Container aktivieren, können Sie eine Standardrichtlinie für diesen Container konfigurieren, die für alle anschließend im Container erstellten Objekte gilt.

In der folgenden Tabelle sind die Unveränderlichkeitsrichtlinien aufgeführt, die für die einzelnen Ressourcenbereiche unterstützt werden:

Ressource Aktivieren von Unveränderlichkeitsrichtlinien auf Versionsebene Richtlinienunterstützung
Konto Ja, nur bei der Kontoerstellung Unterstützt eine Standardunveränderlichkeitsrichtlinie auf Versionsebene. Die Standardrichtlinie gilt für alle neuen Blobversionen, die nach dem Konfigurieren der Richtlinie im Konto erstellt werden.

Unterstützt keine Aufbewahrung für juristische Zwecke.
Container Ja, bei der Containererstellung. Vorhandene Container müssen migriert werden, um Unveränderlichkeitsrichtlinien auf Versionsebene zu unterstützen. Unterstützt eine Standardunveränderlichkeitsrichtlinie auf Versionsebene. Die Standardrichtlinie gilt für alle neuen Blobversionen, die nach dem Konfigurieren der Richtlinie im Container erstellt werden.

Unterstützt keine Aufbewahrung für juristische Zwecke.
Blobversion Unterstützt eine Unveränderlichkeitsrichtlinie auf Versionsebene und eine Richtlinie zur Aufbewahrung für juristische Zwecke. Eine Richtlinie für eine Blobversion kann eine im Konto oder Container angegebene Standardrichtlinie überschreiben.

Geltungsbereich auf Containerebene

Wenn für ein Speicherkonto oder einen Container keine Unterstützung der Unveränderlichkeitsrichtlinien auf Versionsebene aktiviert wurde, sind alle Unveränderlichkeitsrichtlinien auf den Container begrenzt. Ein Container unterstützt eine Unveränderlichkeitsrichtlinie und eine Richtlinie zur Aufbewahrung für juristische Zwecke. Richtlinien gelten für alle Objekte innerhalb des Containers.

Übersicht über Unveränderlichkeitsszenarios

Welchen Schutz eine Unveränderlichkeitsrichtlinie bietet, hängt vom Geltungsbereich der Richtlinie sowie bei einer zeitbasierten Aufbewahrungsrichtlinie davon ab, ob sie gesperrt oder entsperrt und ob sie aktiv oder abgelaufen ist.

Szenarios mit Geltungsbereich auf Versionsebene

In der folgenden Tabelle sind die Schutzmaßnahmen zusammengefasst, die Unveränderlichkeitsrichtlinien auf Versionsebene bieten.

Szenario Unzulässige Vorgänge Blobschutz Containerschutz Kontoschutz
Eine Blobversion wird durch eine aktive Aufbewahrungsrichtlinie und/oder eine Richtlinie zur Aufbewahrung für juristische Zwecke geschützt Delete Blob, Set Blob Metadata, Put Page und Append Block1 Die Blobversion kann nicht gelöscht werden. Benutzermetadaten können nicht geschrieben werden.

Beim Überschreiben eines Blobs mit Put Blob, Put Block List oder Copy Blob wird eine neue Version erstellt.2
Beim Löschen des Containers tritt ein Fehler auf, wenn mindestens ein Blob im Container vorhanden ist (unabhängig davon, ob die Richtlinie gesperrt ist oder nicht). Beim Löschen des Speicherkontos tritt ein Fehler auf, wenn mindestens ein Container mit aktiviertem unveränderlichem Speicher auf Versionsebene vorhanden ist oder wenn unveränderlicher Speicher für das Konto aktiviert ist.
Eine Blobversion wird durch eine abgelaufene Aufbewahrungsrichtlinie geschützt, und es ist keine Richtlinie zur Aufbewahrung für juristische Zwecke in Kraft Set Blob Metadata, Put Page und Append Block1 Die Blobversion kann gelöscht werden. Benutzermetadaten können nicht geschrieben werden.

Beim Überschreiben eines Blobs mit Put Blob, Put Block List oder Copy Blob wird eine neue Version erstellt2.
Beim Löschen des Containers tritt ein Fehler auf, wenn mindestens ein Blob im Container vorhanden ist (unabhängig davon, ob die Richtlinie gesperrt ist oder nicht). Beim Löschen eines Speicherkontos tritt ein Fehler auf, wenn mindestens ein Container vorhanden ist, der eine Blobversion mit einer gesperrten zeitbasierten Aufbewahrungsrichtlinie aufweist.

Entsperrte Richtlinien bieten keinen Schutz vor Löschvorgängen.

1 Der Vorgang Append Block ist nur für Richtlinien zulässig, bei denen die Eigenschaft allowProtectedAppendWrites oder allowProtectedAppendWritesAll aktiviert wurde. Weitere Informationen finden Sie unter Zulassen von Schreibvorgängen in geschützten Anfügeblobs. 2 Blobversionen sind für Inhalte immer unveränderlich. Wenn die Versionsverwaltung für das Speicherkonto aktiviert ist, wird durch einen Schreibvorgang in einen Blockblob eine neue Version erstellt. Die einzige Ausnahme ist der Vorgang Put Block.

Szenarios mit Geltungsbereich auf Containerebene

In der folgenden Tabelle sind die Schutzmaßnahmen zusammengefasst, die Unveränderlichkeitsrichtlinien auf Containerebene bieten.

Szenario Unzulässige Vorgänge Blobschutz Containerschutz Kontoschutz
Ein Container wird durch eine aktive zeitbasierte Aufbewahrungsrichtlinie mit Geltungsbereich auf Containerebene geschützt, und/oder eine Richtlinie zur Aufbewahrung für juristische Zwecke ist in Kraft Delete Blob, Put Blob1, Set Blob Metadata, Put Page, Set Blob Properties, Snapshot Blob, Incremental Copy Blob, Append Block2 Alle Blobs im Container sind für Inhalte und Benutzermetadaten unveränderlich Beim Löschen eines Containers tritt ein Fehler auf, wenn eine Richtlinie auf Containerebene wirksam ist. Beim Löschen eines Speicherkontos tritt ein Fehler auf, wenn ein Container mit mindestens einem Blob vorhanden ist.
Ein Container wird durch eine abgelaufene zeitbasierte Aufbewahrungsrichtlinie mit Geltungsbereich auf Containerebene geschützt, und es ist keine Richtlinie zur Aufbewahrung für juristische Zwecke in Kraft Put Blob1, Set Blob Metadata, Put Page, Set Blob Properties, Snapshot Blob, Incremental Copy Blob, Append Block2 Löschvorgänge sind zulässig. Überschreibungsvorgänge sind nicht zulässig. Beim Löschen des Containers tritt ein Fehler auf, wenn mindestens ein Blob im Container vorhanden ist (unabhängig davon, ob die Richtlinie gesperrt ist oder nicht). Beim Löschen eines Speicherkontos tritt ein Fehler auf, wenn mindestens ein Container vorhanden ist, der eine gesperrte zeitbasierte Aufbewahrungsrichtlinie aufweist.

Entsperrte Richtlinien bieten keinen Schutz vor Löschvorgängen.

1 Bei Azure Storage ist der Vorgang Put Blob zum Erstellen eines neuen Blobs zulässig. Nachfolgende Überschreibungsvorgänge für einen vorhandenen Blobpfad eines unveränderlichen Containers sind nicht zulässig.

2 Der Vorgang Append Block ist nur für Richtlinien zulässig, bei denen die Eigenschaft allowProtectedAppendWrites oder allowProtectedAppendWritesAll aktiviert wurde. Weitere Informationen finden Sie unter Zulassen von Schreibvorgängen in geschützten Anfügeblobs.

Hinweis

Einige Workloads, z. B. SQL Server-Sicherung über URLs, erstellen ein Blob und fügen es dann hinzu. Wenn für einen Container eine aktive zeitbasierte Aufbewahrungsrichtlinie oder eine gesetzliche Aufbewahrungspflicht gilt, wird dieses Muster nicht erfolgreich ausgeführt.

Unterstützte Kontokonfigurationen

Unveränderlichkeitsrichtlinien werden sowohl für neue als auch für vorhandene Speicherkonten unterstützt. Die folgende Tabelle zeigt, welche Arten von Speicherkonten für die verschiedenen Richtlinientypen unterstützt werden:

Typ der Unveränderlichkeitsrichtlinie Geltungsbereich der Richtlinie Unterstützte Speicherkontotypen Unterstützt hierarchischen Namespace (Vorschau)
Richtlinie für zeitbasierte Aufbewahrung Geltungsbereich auf Versionsebene General Purpose v2
Premium, Blockblob
Nein
Richtlinie für zeitbasierte Aufbewahrung Geltungsbereich auf Containerebene General Purpose v2
Premium, Blockblob
Universell V1 (Legacy)1
Blobspeicher (Legacy)
Ja
Gesetzliche Aufbewahrungspflicht Geltungsbereich auf Versionsebene General Purpose v2
Premium, Blockblob
Nein
Gesetzliche Aufbewahrungspflicht Geltungsbereich auf Containerebene General Purpose v2
Premium, Blockblob
Universell V1 (Legacy)1
Blobspeicher (Legacy)
Ja

Hinweis

Unveränderlichkeitsrichtlinien werden in Konten, für die das NFS 3.0-Protokoll (Network File System, Netzwerkdateisystem) oder SFTP (SSH File Transfer Protocol, SSH-Dateiübertragungsprotokoll) aktiviert ist, nicht unterstützt.

1 Microsoft empfiehlt, für Konten vom Typ „Universell V1“ ein Upgrade auf „Universell V2“ durchzuführen, um von weiteren Features zu profitieren. Informationen zum Upgraden eines vorhandenen Kontos vom Typ „Universell v1“ finden Sie unter Durchführen eines Upgrades auf ein Speicherkonto vom Typ „Allgemein v2“.

Zugriffsebenen

Alle Blobzugriffsebenen unterstützen unveränderlichen Speicher. Sie können die Zugriffsebene eines Blobs mit dem Vorgang „Set Blob Tier“ ändern. Weitere Informationen finden Sie unter Zugriffsebenen „Heiß“, „Kalt“ und „Archiv“ für Blobdaten.

Redundanzkonfigurationen

Alle Redundanzkonfigurationen unterstützen unveränderlichen Speicher. Bei georedundanten Konfigurationen wird kein kundenseitig verwaltetes Failover unterstützt. Weitere Informationen zu Redundanzkonfigurationen finden Sie unter Azure Storage-Redundanz.

Unterstützung von hierarchischen Namespaces

Die Unterstützung des unveränderlichen Speichers für Konten mit hierarchischem Namespace befindet sich in der Vorschauphase. Wie Sie sich für die Vorschau registrieren, erfahren Sie in diesem Formular.

Bedenken Sie, dass Sie Blobs nicht umbenennen oder verschieben können, wenn sie sich im unveränderlichen Zustand befinden und für das Konto ein hierarchischer Namespace aktiviert ist. Sowohl der Blobname als auch die Verzeichnisstruktur liefern wichtige Daten auf Containerebene, die nicht mehr geändert werden können, sobald die unveränderliche Richtlinie in Kraft ist.

Wichtig

Unveränderlicher Speicher für Azure Blob Storage in Konten, bei denen das Feature für hierarchische Namespaces aktiviert wurde, befindet sich zurzeit in der VORSCHAUPHASE. Die zusätzlichen Nutzungsbestimmungen für Microsoft Azure-Vorschauen enthalten rechtliche Bedingungen. Sie gelten für diejenigen Azure-Features, die sich in der Beta- oder Vorschauversion befinden oder aber anderweitig noch nicht zur allgemeinen Verfügbarkeit freigegeben sind.

Microsoft empfiehlt, Unveränderlichkeitsrichtlinien hauptsächlich für Blockblobs und Anfügeblobs zu konfigurieren. Unveränderlichkeitsrichtlinien sollten nicht für Seitenblobs konfiguriert werden, in denen eine virtuelle Festplatte für eine aktive VM gespeichert wird. Der Grund dafür ist, dass Schreibvorgänge auf den Datenträger blockiert werden. Microsoft empfiehlt, die Dokumentation gründlich durchzugehen und Ihre Szenarios zu testen, bevor Sie zeitbasierte Richtlinien sperren.

Unveränderlicher Speicher bei vorläufigen Löschvorgängen für Blobs

Wenn das vorläufige Löschen von Blobs für ein Speicherkonto konfiguriert ist, gilt diese Konfiguration unabhängig davon, ob eine Richtlinie zur Aufbewahrung für juristische Zwecke oder eine zeitbasierte Aufbewahrungsrichtlinie in Kraft ist, für alle Blobs innerhalb des Kontos. Microsoft empfiehlt, das vorläufige Löschen als zusätzliche Schutzmaßnahme zu aktivieren, bevor Unveränderlichkeitsrichtlinien angewendet werden.

Wenn Sie das vorläufige Löschen aktivieren und dann eine Unveränderlichkeitsrichtlinie konfigurieren, werden alle Blobs, die bereits vorläufig gelöscht wurden, dauerhaft gelöscht, sobald die Aufbewahrungsrichtlinie für vorläufiges Löschen abgelaufen ist. Vorläufig gelöschte Blobs können während des Aufbewahrungszeitraums für vorläufiges Löschen wiederhergestellt werden. Ein Blob oder eine Version, die noch nicht vorläufig gelöscht wurde, wird durch die Unveränderlichkeitsrichtlinie geschützt und kann erst vorläufig gelöscht werden, nachdem die zeitbasierte Aufbewahrungsrichtlinie abgelaufen ist oder die Richtlinie zur Aufbewahrung für juristische Zwecke entfernt wurde.

Verwenden des Blobbestands zum Nachverfolgen von Unveränderlichkeitsrichtlinien

Der Azure Storage-Blobbestand bietet eine Übersicht über die Container in Ihren Speicherkonten sowie die Blobs, Momentaufnahmen und Blobversionen innerhalb dieser Container. Sie können den Bericht zum Blobbestand nutzen, um sich über die Attribute von Blobs und Containern zu informieren. Diese Informationen umfassen u. a. die Angabe dazu, ob für eine Ressource eine Unveränderlichkeitsrichtlinie konfiguriert ist.

Wenn Sie den Blobbestand aktivieren, generiert Azure Storage täglich einen Bestandsbericht. Der Bericht enthält eine Übersicht über Ihre Daten, die Sie auch für Geschäfts- und Complianceanforderungen nutzen können.

Weitere Informationen zum Blobbestand finden Sie unter Azure Storage-Blobbestand.

Preise

Für die Verwendung von unveränderlichem Speicher fällt keine zusätzliche Kapazitätsgebühr an. Unveränderliche Daten werden auf die gleiche Weise abgerechnet wie änderbare Daten. Ausführliche Informationen zu Preisen von Azure Blob Storage finden Sie auf der Seite mit den Preisen für Azure Storage.

Beim Erstellen, Ändern oder Löschen einer zeitbasierten Aufbewahrungsrichtlinie oder einer Richtlinie zur Aufbewahrung für juristische Zwecke für eine Blobversion fällt eine Gebühr für Schreibtransaktionen an.

Wenn Sie Ihre Rechnung nicht begleichen und Ihr Konto über eine aktive zeitbasierte Aufbewahrungsrichtlinie verfügt, werden die normalen Datenaufbewahrungsrichtlinien gemäß den Bestimmungen Ihres Vertrags mit Microsoft angewendet. Weitere Informationen finden Sie unter Datenverwaltung bei Microsoft.

Featureunterstützung

Die Unterstützung für dieses Features kann durch die Aktivierung von Data Lake Storage Gen2, dem Network File System (NFS) 3.0-Protokoll oder dem SSH File Transfer Protocol (SFTP) beeinträchtigt werden.

Wenn Sie eine dieser Funktionen aktiviert haben, lesen Sie bitte den Abschnitt Unterstützung der Blob Storage-Funktion in Azure Storage-Konten, um die Unterstützung für dieses Features zu bewerten.

Nächste Schritte