Proteggi il tuo Archiviazione tabelle di Azure

Archiviazione tabelle di Azure fornisce uno store chiave-valore NoSQL per dati strutturati e non relazionali. La sicurezza delle tabelle condivide i fondamenti con gli altri servizi dati di Archiviazione di Azure, ma presenta alcune specifiche - tra cui una superficie di autorizzazione Microsoft Entra ID distinta e una sovrapposizione con l'Azure Cosmos DB for Table API - che meritano attenzione.

Annotazioni

Questo articolo tratta le pratiche di sicurezza specifiche di Archiviazione tabelle di Azure. Per indicazioni sulla sicurezza a livello di account, consulta Proteggere il tuo account Archiviazione di Azure.

Sicurezza specifica del servizio

Sia Archiviazione tabelle di Azure che Azure Cosmos DB for Table API espongono un modello di dati di tabella simile, ma le loro capacità di sicurezza differiscono significativamente. Scegli la piattaforma che soddisfa i tuoi requisiti di sicurezza all'inizio del progetto. La migrazione dei dati tra di essi non è banale.

  • Usa Azure Cosmos DB per Table quando hai bisogno di throughput dedicato, distribuzione globale o isolamento di rete più dettagliato per carico di lavoro per tabella: L'API Cosmos DB for Table è una risorsa distinta con propri endpoint privati, firewall e configurazione IAM, indipendente da qualsiasi account di archiviazione. Questo offre un ambito di impatto isolato quando il carico di lavoro tabella ha requisiti di rete o di governance diversi rispetto a quelli dei carichi di lavoro che condividono l'account di archiviazione per utilizzo generico. Per maggiori informazioni, consultare la sezione Introduzione di Azure Cosmos DB for Table.

  • Usare archiviazione tabelle di Azure quando è necessaria la co-localizzazione a livello di account con BLOB, file e code: l'archiviazione tabelle si trova all'interno di un account di archiviazione per utilizzo generale, quindi un unico insieme di regole di rete, endpoint privati e criteri di identità si applica a tutti e quattro i servizi dati. Cosmos DB for Table è una risorsa separata con una configurazione di sicurezza indipendente.

Gestione delle identità e dell'accesso

  • Usa Microsoft Entra ID per autorizzare operazioni sui dati delle tabelle: l'autorizzazione Entra ID elimina la necessità di chiavi di account nel codice applicativo e fornisce tracce di audit basate sull'identità. Assegnare i ruoli predefiniti Lettore dati tabella di archiviazione o Collaboratore dati tabella di archiviazione a livello di tabella, ove possibile. Per ulteriori informazioni, vedi Autorizza l'accesso alle tabelle usando Microsoft Entra ID.

  • Assegnazione dei ruoli di ambito a tabelle specifiche: L'ambito a livello di tabella è supportato per i ruoli dati di tabella integrati. Quando un servizio ha bisogno di accedere a una sola tabella, assegna il ruolo alla risorsa della tabella invece che all'account.

  • Limitare i token SAS a intervalli specifici di chiavi di partizione e di chiavi di riga: SAS per tabelle supporta restrizioni sugli intervalli di chiavi di partizione e di chiavi di riga. Usali per limitare un token alle righe di un singolo tenant in una tabella multi-tenant, o a una specifica fetta di dati. Per altre informazioni, vedere Concedere accesso limitato alle risorse di Archiviazione di Azure tramite firme di accesso condiviso.

  • Concedere solo le operazioni specifiche di tabella richieste: Table SAS supporta query, add, update, e delete i permessi separatamente. Una funzione chiamante di tipo reader dovrebbe mantenere solo query, mai update o delete.

Protezione dei dati

Table Storage archivia le entità come raccolte semplici di proprietà, senza ACL a livello di singola entità. Considera la sicurezza nella tua strategia di partizionamento invece di cercare di adattare il controllo degli accessi.

  • Tabelle di partizione per allinearsi ai confini di accesso: Quando una tabella serve più tenant o livelli di classificazione, scegli una chiave di partizione che raggruppa le entità per tenant o classificazione. Combinare questo con le restrizioni sull'intervallo della chiave di partizione SAS per garantire l'isolamento del tenant senza una tabella separata per ogni tenant.

  • Non memorizzare segreti o dati personali inutili nelle proprietà dell'entità: le entità sono visibili a qualsiasi principale con query o read accesso alla tabella o partizione. Memorizza i segreti in Azure Key Vault con i riferimenti all'interno dell'entità e minimizza i dati personali che inserisci nelle proprietà interrogabili.

  • Crittografiare i valori sensibili delle proprietà a livello applicativo: per i valori delle proprietà che devono rimanere confidenziali, criptare il valore nel client con una chiave da Key Vault prima di inserirli o aggiornarli. Questa crittografia è indipendente dalla crittografia lato memoria applicata all'intera tabella. Per altre informazioni, vedere Informazioni sulle chiavi.

Registrazione e monitoraggio

  • Abilita le impostazioni diagnostiche per le operazioni di tabella: invia StorageRead, StorageWrite, e StorageDelete categorie a Log Analytics. Avvisa su metodi di autorizzazione imprevisti, in particolare l'accesso a chiave condivisa sugli account dove dovrebbe essere disabilitato. Per maggiori informazioni, consulta Monitoring Archiviazione tabelle di Azure.

  • Avviso per operazioni di eliminazione o aggiornamento ad alto volume: Attività in blocco DeleteEntity o UpdateEntity che si discostano dal livello di riferimento della tabella possono indicare distruzione o manomissione dei dati. Stabilisci una linea di riferimento e avvisa sulle deviazioni.

Passaggi successivi

  • Ultimo aggiornamento: