Asegura tu Azure Queue Storage

Azure Queue Storage proporciona cola de mensajes entre componentes de la aplicación. Debido a que los mensajes suelen llevar referencias a recursos sensibles —identificadores de objetos, URLs de devolución de llamada y estado de la aplicación—, debes asegurar tanto la autorización de la cola como el manejo del contenido de los mensajes.

Note

Este artículo trata sobre prácticas de seguridad específicas de Azure Queue Storage. Para orientación sobre seguridad a nivel de cuenta, consulta Asegurar tu cuenta de Azure Storage.

Administración de identidades y acceso

  • Utiliza Microsoft Entra ID con identidades administradas para los productores y consumidores de la cola: Asigna los roles integrados Storage Queue Data Message Sender, Storage Queue Data Message Processor y Storage Queue Data Reader a la identidad administrada de cada servicio que interactúa con la cola. Elige el rol que se ajuste a la operación. Un servicio de envío de mensajes no debería tener derechos de procesador. Para más información, consulte Autorizar acceso a colas usando Microsoft Entra ID.

  • Limita las asignaciones de roles del control de acceso basado en roles (RBAC) a la cola específica: Se admite el ámbito en el nivel de cola para los roles de datos de cola integrados. Asigna en el nivel de cola en lugar de en el nivel de cuenta de almacenamiento cuando un servicio solo necesite acceder a una cola de una cuenta con varias colas.

  • Limite los tokens SAS a una única cola y a operaciones específicas sobre mensajes: La firma de acceso compartido (SAS) para colas admite por separado los permisos add, update, process y read. Concede solo lo que el llamante necesita. Un receptor de webhooks que pone eventos en cola solo debe obtener add, no process. Para obtener más información, consulte Delegar el acceso con una firma de acceso compartido.

Protección de los datos

Los mensajes están protegidos en reposo y en tránsito mediante la configuración de cifrado y TLS de la cuenta, pero no tienen control de acceso individual más allá de la autorización a nivel de cola. Diseña el contenido del mensaje para evitar concentrar datos sensibles en la cola.

  • No pongas secretos ni credenciales en los mensajes de la cola: Almacena los secretos en Azure Key Vault y pon una referencia (identificador secreto) en el mensaje. Los consumidores recuperan el secreto en el momento del procesamiento con su propia identidad. Cualquier elemento incluido en un mensaje es visible para todos los principales con process o read en la cola y se escribe en los registros de almacenamiento.

  • Cifra las cargas útiles de los mensajes confidenciales en la capa de aplicación: Para los mensajes que deban contener datos confidenciales, cifra la carga útil con una clave de Key Vault antes de ponerla en cola. Esto añade una capa independiente del cifrado del lado de almacenamiento y limita la exposición si un consumidor es comprometido. Para más información, consulte Cifrado del lado del cliente para Azure Storage.

  • Establece un tiempo de vida (TTL) razonable para el mensaje: Los mensajes persisten hasta que se procesan, expiran o la cola se agota. Un TTL largo aumenta la ventana durante la cual se pueden recuperar datos sensibles obsoletos. Ajusta el TTL a la latencia de procesamiento esperada más un margen de seguridad.

Registro y supervisión

  • Activar la configuración de diagnóstico para operaciones de cola: enviar StorageRead, StorageWrite, y StorageDelete categorías a Log Analytics para que las operaciones individuales de la cola sean auditables. Rastrear el método de autorización (Entra ID, Clave Compartida, SAS, anónimo) para detectar el uso indebido. Para más información, consulta Monitorización de Azure Queue Storage.

  • Mueva los mensajes maliciosos a una cola dedicada a mensajes maliciosos: Configure su consumidor para que detecte los mensajes que superen el umbral de recuento de descolocación y los traslade a una cola <queue-name>-poison para su investigación fuera de línea. La acumulación de colas de veneno es una señal de seguridad, no solo operativa. Para obtener más información, consulte Administrar mensajes maliciosos en funciones desencadenadas por colas.

  • Alerta sobre el crecimiento de la cola de venenos: Configura alertas de Azure Monitor sobre el recuento de mensajes en cada cola de veneno para que un crecimiento inesperado desencadene una investigación.

  • Alerta sobre patrones inusuales de extracción de la cola y eliminación: Las ráfagas de DeleteMessage operaciones procedentes de identidades inesperadas, o los altos volúmenes de actividad de solo extracción de la cola sin procesamiento posterior, pueden indicar que un atacante está vaciando una cola para ocultar su actividad. Alerta sobre desviaciones respecto al perfil normal de tráfico de la cola.

Pasos siguientes

  • Se actualizó por última vez el