Tárfiókok és biztonság
Az Azure Storage-fiókok ideálisak olyan számítási feladatokhoz, amelyek gyors és konzisztens válaszidőt igényelnek, vagy amelyek másodpercenként nagy számú bemeneti kimenettel (IOP) rendelkeznek. A tárfiókok tartalmazzák az összes Azure Storage-adatobjektumot, amely a következőket tartalmazza:
- Blobok
- Fájlmegosztások
- Üzenetsorok
- Táblák
- Lemezek
A tárfiókok egyedi névteret biztosítanak az adatokhoz, amelyek bárhol elérhetők a vagy HTTPS
a -en keresztülHTTP
.
A különböző funkciókat támogató tárfióktípusokról további információt a Tárfiókok típusai című témakörben talál.
Az alábbi cikkekből megtudhatja, hogyan növeli az Azure Storage-fiók az alkalmazás számítási feladatainak biztonságát:
- Azure-beli biztonsági alapkonfiguráció az Azure Storage-hoz
- Inaktív adatok Azure Storage-titkosítása
- Privát végpontok használata az Azure Storage-hoz
A következő szakaszok tervezési szempontokat, konfigurációs ellenőrzőlistát és az Azure Storage-fiókokra és -biztonságra vonatkozó ajánlott konfigurációs beállításokat tartalmaznak.
Kialakítási szempontok
Az Azure Storage-fiókok a következő tervezési szempontokat tartalmazzák:
- A tárfiókneveknek három és 24 karakter közöttinek kell lenniük, és csak számokat és kisbetűket tartalmazhatnak.
- Az aktuális SLA-specifikációk esetében tekintse meg a tárfiókok SLA-ját.
- Nyissa meg az Azure Storage-redundanciát , és állapítsa meg, hogy melyik redundancia lehetőség a legjobb egy adott forgatókönyvhöz.
- A tárfiókok nevének egyedinek kell lennie az Azure-ban. Két tárfióknak nem lehet azonos neve.
Ellenőrzőlista
Konfigurálta az Azure Storage-fiókját a biztonság szem előtt tartásával?
- Engedélyezze az Azure Defendert az összes tárfiókhoz.
- A blobadatok helyreállítható törlésének bekapcsolása.
- A blobadatokhoz való hozzáférés engedélyezéséhez használja Microsoft Entra azonosítót.
- Vegye figyelembe a minimális jogosultság elvét, ha engedélyeket rendel egy Microsoft Entra biztonsági taghoz az Azure RBAC-vel.
- Felügyelt identitások használata blob- és üzenetsoradatok eléréséhez.
- Az üzletileg kritikus fontosságú adatok tárolásához használjon blobverziót vagy nem módosítható blobokat.
- A tárfiókok alapértelmezett internet-hozzáférésének korlátozása.
- Tűzfalszabályok engedélyezése.
- A hálózati hozzáférés korlátozása adott hálózatokra.
- A megbízható Microsoft-szolgáltatások hozzáférésének engedélyezése a tárfiókhoz.
- Engedélyezze a Biztonságos átvitel szükséges beállítást az összes tárfiókon.
- A közös hozzáférésű jogosultságkódok (SAS) tokenjeinek korlátozása csak kapcsolatokra
HTTPS
. - Kerülje és tiltsa meg a megosztott kulcs engedélyezését a tárfiókokhoz való hozzáféréshez.
- Rendszeresen hozza létre újra a fiókkulcsokat.
- Hozzon létre egy visszavonási csomagot, és hozza létre azt az ügyfeleknek kibocsátott SAS-hez.
- Használjon közel távú lejárati időket egy rögtönzött SAS-, szolgáltatás SAS- vagy fiók SAS-fiókon.
Konfigurációs javaslatok
Az Azure Storage-fiók konfigurálásakor vegye figyelembe az alábbi javaslatokat a biztonság optimalizálásához:
Ajánlás | Description |
---|---|
Engedélyezze az Azure Defendert az összes tárfiókhoz. | Az Azure Defender for Azure Storage egy további biztonsági intelligenciát biztosít, amely szokatlan és potenciálisan káros kísérleteket észlel a tárfiókok elérésére vagy kihasználására. A biztonsági riasztások Azure Security Center aktiválódnak, ha a tevékenység rendellenességei jelentkeznek. A riasztásokat e-mailben is elküldjük az előfizetés rendszergazdáinak, a gyanús tevékenységek részleteivel, valamint a fenyegetések kivizsgálásával és elhárításával kapcsolatos javaslatokat. További információ: Az Azure Defender konfigurálása az Azure Storage-hoz. |
A blobadatok helyreállítható törlésének bekapcsolása. | Az Azure Storage-blobok helyreállítható törlése lehetővé teszi a blobadatok helyreállítását a törlés után. |
A blobadatokhoz való hozzáférés engedélyezéséhez használja Microsoft Entra azonosítót. | Microsoft Entra azonosító kiváló biztonságot és egyszerű használatot biztosít a megosztott kulcshoz képest a blobtárolóra irányuló kérések engedélyezéséhez. Ajánlott Microsoft Entra-engedélyezést használni a blob- és üzenetsor-alkalmazásokkal, ha lehetséges, a megosztott kulcsban rejlő biztonsági rések minimalizálása érdekében. További információ: Hozzáférés engedélyezése azure-blobokhoz és üzenetsorokhoz Microsoft Entra azonosító használatával. |
Vegye figyelembe a minimális jogosultság elvét, ha engedélyeket rendel egy Microsoft Entra biztonsági taghoz az Azure RBAC-vel. | Amikor szerepkört rendel egy felhasználóhoz, csoporthoz vagy alkalmazáshoz, csak azokat az engedélyeket adja meg a rendszerbiztonsági tagnak, amelyek a feladataik elvégzéséhez szükségesek. Az erőforrásokhoz való hozzáférés korlátozása segít megelőzni az adatok nem szándékos és rosszindulatú felhasználását. |
Felügyelt identitások használata blob- és üzenetsoradatok eléréséhez. | Az Azure Blob és Queue Storage támogatja Microsoft Entra hitelesítést az Azure-erőforrások felügyelt identitásaival. Az Azure-erőforrások felügyelt identitásai engedélyezhetik a blob- és üzenetsoradatokhoz való hozzáférést az Azure-beli virtuális gépeken (VM-ben), függvényalkalmazásokban, virtuálisgép-méretezési csoportokban és más szolgáltatásokban futó alkalmazások hitelesítő adatainak Microsoft Entra használatával. Ha felügyelt identitásokat használ az Azure-erőforrásokhoz Microsoft Entra hitelesítéssel együtt, elkerülheti, hogy a hitelesítő adatokat a felhőben futó alkalmazásokkal és a lejáró szolgáltatásnevek problémáival tárolja. További információ : Hozzáférés engedélyezése blob- és üzenetsoradatokhoz felügyelt identitásokkal az Azure-erőforrásokhoz . |
Az üzletileg kritikus fontosságú adatok tárolásához használjon blobverziót vagy nem módosítható blobokat. | Fontolja meg a Blob verziószámozását egy objektum korábbi verzióinak karbantartásához, vagy jogi célú visszatartási és időalapú adatmegőrzési szabályzatok használatát a blobadatok WORM (Egyszer írás, Több olvasás) állapotban való tárolásához. A nem módosítható blobok olvashatók, de nem módosíthatók vagy törölhetők a megőrzési időtartam alatt. További információ: Üzletileg kritikus blobadatok tárolása nem módosítható tárolóval. |
A tárfiókok alapértelmezett internet-hozzáférésének korlátozása. | Alapértelmezés szerint a tárfiókokhoz való hálózati hozzáférés nincs korlátozva, és az internetről érkező összes forgalom számára nyitva áll. A tárfiókokhoz való hozzáférést csak bizonyos Azure-beli virtuális hálózatoknak kell biztosítani, amikor csak lehetséges, vagy privát végpontok használatával lehetővé kell tenni, hogy a virtuális hálózaton (VNeten) lévő ügyfelek biztonságosan hozzáférjenek az adatokhoz egy Private Link keresztül. További információ : Privát végpontok használata az Azure Storage-hoz . Kivételeket lehet tenni az olyan tárfiókok esetében, amelyeknek az interneten keresztül kell elérhetőnek lenniük. |
Tűzfalszabályok engedélyezése. | Konfigurálja a tűzfalszabályokat, hogy a tárfiókhoz való hozzáférést a megadott IP-címekről vagy tartományokból vagy egy Azure-Virtual Network (VNet) található alhálózatok listájából származó kérelmekre korlátozza. További információ a tűzfalszabályok konfigurálásáról: Azure Storage-tűzfalak és virtuális hálózatok konfigurálása. |
A hálózati hozzáférés korlátozása adott hálózatokra. | A hozzáférést igénylő ügyfeleket üzemeltető hálózatok hálózati hozzáférésének korlátozása csökkenti az erőforrások hálózati támadásoknak való kitettségét, akár a beépített tűzfal- és virtuális hálózatok funkcióval, akár privát végpontok használatával. |
A megbízható Microsoft-szolgáltatások hozzáférésének engedélyezése a tárfiókhoz. | A tárfiókok tűzfalszabályainak bekapcsolása alapértelmezés szerint blokkolja az adatok bejövő kéréseit, kivéve, ha a kérések egy Azure Virtual Network (VNet) szolgáltatásból vagy engedélyezett nyilvános IP-címekről származnak. A letiltott kérések közé tartoznak a más Azure-szolgáltatásoktól, a Azure Portal, a naplózási és metrikaszolgáltatásoktól érkező kérések stb. Más Azure-szolgáltatásoktól érkező kérelmek engedélyezéséhez adjon hozzá egy kivételt, amely lehetővé teszi, hogy a megbízható Microsoft-szolgáltatások hozzáférjenek a tárfiókhoz. A megbízható Microsoft-szolgáltatások kivételeinek hozzáadásáról az Azure Storage-tűzfalak és virtuális hálózatok konfigurálása című témakörben talál további információt. |
Engedélyezze a Biztonságos átvitel szükséges beállítást az összes tárfiókon. | Ha engedélyezi a biztonságos átvitelhez szükséges beállítást, a tárfiókra irányuló összes kérésnek biztonságos kapcsolatokon keresztül kell lezajlania. A HTTP-en keresztül küldött kérések sikertelenek lesznek. További információ: Biztonságos átvitel megkövetelése az Azure Storage-ban. |
A közös hozzáférésű jogosultságkódok (SAS) tokenjeinek korlátozása csak kapcsolatokra HTTPS . |
Ha HTTPS az ügyfél SAS-jogkivonatot használ a blobadatok eléréséhez, azzal minimalizálható a lehallgatás kockázata. További információ: Korlátozott hozzáférés biztosítása az Azure Storage-erőforrásokhoz közös hozzáférésű jogosultságkódok (SAS) használatával. |
Kerülje és tiltsa meg a megosztott kulcs engedélyezését a tárfiókokhoz való hozzáféréshez. | Javasoljuk, hogy Microsoft Entra azonosítóval engedélyezze az Azure Storage-ra irányuló kéréseket, és megakadályozza a megosztott kulcs engedélyezését. A megosztott kulcs engedélyezését igénylő forgatókönyvek esetén mindig az SAS-jogkivonatokat részesíti előnyben a megosztott kulcs terjesztése helyett. |
Rendszeresen hozza létre újra a fiókkulcsokat. | A fiókkulcsok rendszeres rotálása csökkenti az adatok rosszindulatú szereplőknek való felfedésének kockázatát. |
Hozzon létre egy visszavonási csomagot, és hozza létre azt az ügyfeleknek kibocsátott SAS-hez. | Ha egy SAS sérült, azonnal vissza kell vonnia az SAS-t. A felhasználói delegálási SAS visszavonásához vonja vissza a felhasználói delegálási kulcsot, hogy gyorsan érvénytelenítse az adott kulcshoz társított összes aláírást. A tárolt hozzáférési szabályzathoz társított szolgáltatás SAS visszavonásához törölheti a tárolt hozzáférési szabályzatot, átnevezheti a szabályzatot, vagy a lejárati idejét egy korábbi időpontra módosíthatja. |
Használjon rövid távú lejárati időt rögtönzött SAS-en, szolgáltatás SAS-n vagy fiók SAS-jén. | Ha egy SAS biztonsága sérül, az csak rövid ideig érvényes. Ez a gyakorlat különösen fontos, ha nem hivatkozhat tárolt hozzáférési szabályzatra. A rövid távú lejárati idők a blobokba írható adatok mennyiségét is korlátozzák a feltöltéshez rendelkezésre álló idő korlátozásával. Az ügyfeleknek jóval a lejárat előtt meg kell újítaniuk az SAS-t, hogy időt hagyhassanak az újrapróbálkozásokra, ha az SAS-t biztosító szolgáltatás nem érhető el. |