Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Sauvegarde Azure permet de protéger les données de sauvegarde placées dans un coffre et prend en charge la récupération lorsque les environnements de production sont compromis. Le « coffre-fort isolé logiquement du réseau » décrit un résultat qui combine l’isolement à des contrôles contre des opérations destructrices. Cyber Recovery Essentials regroupe des fonctionnalités qui vous permettent d’évaluer les menaces pesant sur les sauvegardes et de préparer les opérations de récupération. La prise en charge varie selon le coffre, la charge de travail et la région.
Coffre-fort logiquement isolé
Sauvegarde Azure stocke les données de sauvegarde du coffre dans un abonnement Azure et un tenant gérés par Microsoft, séparément de l’environnement de production où résident les données protégées. Cette séparation logique aide à garder les données de sauvegarde hors de portée d’une charge de travail compromise. Il ne s’agit pas d’un isolement physique ou hors connexion, et cela ne remplace pas les contrôles sur les identités qui peuvent gérer le coffre.
Isolation des données avec Sauvegarde Azure
Les utilisateurs externes et les workloads invités n’ont pas accès direct au contenu du stockage de sauvegarde voûté. Sauvegarde Azure gère les opérations de sauvegarde, y compris la restauration, via le vault et ses contrôles d’accès configurés.
Le niveau de base Logically air-gapped vault nécessite une autorisation multi-utilisateur (MUA) ; la suppression réversible et le chiffrement sont activés par défaut, tandis que l’immuabilité est facultative. Protégez les données placées dans un coffre contre toute suppression destructive en utilisant soit la suppression réversible permanente, soit l’immuabilité verrouillée, lorsque ces fonctionnalités sont prises en charge. Ces contrôles présentent des comportements et des limites de prise en charge différents.
Gestion et contrôle des identités et des accès utilisateur
Le contrôle d’accès basé sur les rôles Azure (Azure RBAC) vous permet d’attribuer uniquement les permissions dont les utilisateurs ont besoin pour gérer les opérations de sauvegarde. Sauvegarde Azure propose trois rôles intégrés pour vous aider à séparer les tâches :
- Contributeur de sauvegarde : Créez et gérez des sauvegardes, sauf pour supprimer le coffre-fort des services de récupération ou accorder l’accès à d’autres.
- Opérateur de sauvegarde : Effectuer les opérations de sauvegarde sauf pour la suppression des sauvegardes et la gestion des politiques de sauvegarde.
- Backup Reader : Consultez les opérations de gestion de sauvegarde.
En savoir plus sur Azure RBAC pour Sauvegarde Azure.
Protéger les données de sauvegarde contre la suppression prématurée
La suppression logique retarde la suppression permanente et permet de récupérer les données de sauvegarde supprimées pendant la période de conservation configurée. La période de conservation par défaut est de 14 jours et peut être prolongée jusqu’à 180 jours. Les 14 premiers jours de rétention par suppression réversible n’entraînent pas de frais supplémentaires ; une rétention plus longue peut entraîner des frais. La suppression réversible ne garantit pas une conservation indéfinie. L’immutabilité verrouillée bloque les opérations qui pourraient entraîner la perte de points de récupération pour la durée configurée de rétention ou d’immutabilité, et le réglage verrouillé ne peut pas être inversé. L’immuabilité s’applique aux données placées dans le coffre ; elle ne s’applique pas aux sauvegardes opérationnelles de ressources telles que les objets blob, les fichiers et les disques.
L’application et la disponibilité de la suppression réversible toujours activée varient selon le type de vault, la charge de travail et la région. Consultez les informations sur la suppression réversible sécurisée par défaut et la prise en charge des coffres immuables avant de choisir une méthode de protection.
Autorisation multi-utilisateur
MUA ajoute une couche d’autorisation supplémentaire aux opérations critiques sur les coffres Recovery Services et les coffres de sauvegarde. Il utilise Resource Guard afin qu’un utilisateur autorisé distinct puisse approuver les opérations protégées. MUA aide à protéger les paramètres du coffre-fort et les sauvegardes des données contre les modifications non autorisées. Cela ne remplace pas la suppression réversible ni l’immutabilité. Apprenez-en plus sur MUA en utilisant Resource Guard.
Chiffrement des données
Sauvegarde Azure chiffre par défaut les données de sauvegarde au repos avec des clés gérées par Microsoft. Pour les charges de travail de coffre-fort Recovery Services prises en charge, vous pouvez utiliser des clés gérées par le client stockées dans Azure Key Vault. Sauvegarde Azure protège les données en transit avec HTTPS et TLS 1.2 ou une version ultérieure. Sauvegarde Azure prend également en charge la sauvegarde et la restauration des machines virtuelles Azure avec des disques chiffrés. Pour plus de détails, voir chiffrement des données de sauvegarde, clés gérées par le client, et sauvegarde et restauration des machines virtuelles Azure chiffrées.
Principes essentiels de la cyber-récupération
Cyber Recovery Essentials se concentre sur la préparation à l’identification des points de récupération suspects de sauvegarde et à la restauration des données vers une destination de récupération prise en charge. Ses fonctionnalités incluent Safe Restore à grande échelle, la détection des menaces, la restauration inter-abonnements et la restauration inter-locataires. Chaque fonctionnalité dispose de son propre niveau de support. La détection des menaces et la restauration inter-locataires sont en préversion.
Détection des menaces dans Sauvegarde Azure
La détection des menaces Sauvegarde Azure utilise les signaux de sécurité de Microsoft Defender for Servers pour évaluer l’état des points de récupération de sauvegarde de la VM Azure. Il identifie des points de récupération potentiellement malveillants ou infectés par des ransomwares. Il ne scanne pas directement les données de sauvegarde. La fonctionnalité est en aperçu. Découvrez la détection des menaces pour les sauvegardes VM Azure.
Restaurer entre des abonnements et des locataires
La restauration inter-abonnements peut vous aider à récupérer les sauvegardes de machines virtuelles Azure prises en charge dans un autre abonnement du même locataire. Pour plus d’informations et pour connaître les limitations, consultez Restauration inter-abonnements.
La restauration inter-locataires vous permet de restaurer les points de récupération éligibles placés dans un coffre vers un autre locataire après avoir mappé les coffres source et cible. Les scénarios incluent le verrouillage d’un locataire, les attaques par ransomware et la consolidation des locataires. Un Resource Guard dans le tenant cible protège l’opération de mappage via MUA. La restauration inter-locataires est en préversion et prend uniquement en charge les charges de travail et les régions documentées. Découvrez la restauration entre locataires.
Autres contrôles de sécurité
Sauvegarde Azure dispose également de contrôles de sécurité intégrés pour prévenir et détecter les vulnérabilités de sécurité, et y répondre. Découvrez la base de sécurité Azure pour la sauvegarde.
Connectivité Internet non requise pour la sauvegarde de machines virtuelles Azure
Le trafic de sauvegarde VM Azure utilise le réseau dorsal Azure et ne nécessite pas d'accès à votre réseau virtuel. Vous n'avez pas besoin d'autoriser les adresses IP ou les noms de domaine entièrement qualifiés pour la sauvegarde des machines virtuelles Azure dans des réseaux sécurisés.
Points de terminaison privés pour Sauvegarde Azure
Les points de terminaison privés fournissent une connectivité privée pour les charges de travail de coffres Recovery Services prises en charge, y compris SQL Server et SAP HANA dans les machines virtuelles Azure, les sauvegardes d’agents MARS, le DPM et la récupération de fichiers prise en charge. Pour les scénarios pris en charge, voir les points de terminaison privés pour Sauvegarde Azure.
Fonctionnalités de sécurité pour la protection de sauvegardes hybrides
Sauvegarde Azure offre des fonctionnalités de sécurité pour les sauvegardes hybrides, incluant une authentification supplémentaire pour les opérations critiques, des notifications par email pour les opérations critiques, et le chiffrement des données de sauvegarde MARS avec une phrase secrète avant l’upload. Les données ne sont déchiffrées qu'après téléchargement, et la phrase de passe n'est pas transmise à Sauvegarde Azure. Pour les configurations de sauvegarde hybride prises en charge utilisant ces fonctionnalités de sécurité, les données de sauvegarde supprimées sont conservées pendant 14 jours supplémentaires, et un nombre minimum de points de récupération est maintenu pour aider à la récupération après la corruption. Protégez la phrase de passe pour pouvoir restaurer les données quand c’est nécessaire. Renseignez-vous sur les fonctionnalités de sécurité des sauvegardes hybrides.
Surveillance et alertes d’activité suspecte
Sauvegarde Azure propose une surveillance intégrée et des alertes pour les opérations de sauvegarde. Utilisez les rapports de sauvegarde pour suivre l’activité de sauvegarde et de restauration et identifier les tendances. Pour plus d’options de surveillance, consultez la surveillance et les rapports pour Sauvegarde Azure.
Posture de sécurité et niveaux de sécurité
Les niveaux de sécurité Sauvegarde Azure résument les paramètres de sécurité appliqués aux éléments protégés. Utilisez-les pour identifier les lacunes de configuration dans votre environnement de sauvegarde.
| Niveau de sécurité | Description | Requirements |
|---|---|---|
| Excellent | Les sauvegardes sont protégées contre la suppression accidentelle et les attaques par ransomware. | L’immuabilité ou la suppression réversible est activée de manière irréversible (verrouillée ou permanente), et l’autorisation multi-utilisateur (MUA) est activée sur le coffre. |
| Bien | Les sauvegardes existantes sont protégées contre la suppression accidentelle et offrent de meilleures options de récupération. | L’immutabilité est verrouillée ou la suppression réversible est activée. |
| Moyen | Les opérations de sauvegarde critiques bénéficient d’une couche supplémentaire de protection. | L’autorisation multi-utilisateur (MUA) est activée sur le coffre. |
| Médiocre | Protection de base contre la suppression accidentelle uniquement. | Les capacités de protection avancées ne sont pas activées, ou seules les capacités réversibles sont activées. |
Apprenez à examiner les niveaux de sécurité sur les éléments protégés.
Conformité aux exigences de sécurité standardisées
Sauvegarde Azure fournit des contrôles de service, des certifications et des attestations qui peuvent vous aider à évaluer les exigences nationales, régionales et spécifiques à l’industrie. Consultez les offres de conformité Azure pour plus de détails.