Informazioni sulla sicurezza del piano dati di Azure NetApp Files

Informazioni sulle diverse funzionalità di sicurezza del piano dati in Azure NetApp Files per comprendere cosa è disponibile per soddisfare al meglio le proprie esigenze.

Concetti relativi alla sicurezza del piano dati

Comprendere il piano dati è fondamentale quando si lavora con Azure NetApp Files. Il piano dati è responsabile delle operazioni di archiviazione e gestione dei dati, che svolgono un ruolo fondamentale per mantenere sia la sicurezza che l'efficienza. Azure NetApp Files offre una suite completa di funzionalità di sicurezza del piano dati, tra cui la gestione delle autorizzazioni, la crittografia dei dati (in anteprima e inattivi), la crittografia LDAP (Lightweight Directory Access Protocol) e la sicurezza di rete per garantire la gestione e l'archiviazione sicure dei dati.

Gestione delle autorizzazioni

Azure NetApp Files protegge i dati nas (Network Attached Storage) tramite autorizzazioni, classificate in tipi NFS (Network File System) e Server Message Block (SMB). Il primo livello di sicurezza è l'accesso condiviso, limitato a utenti e gruppi necessari. Le autorizzazioni di condivisione, essendo meno restrittive, devono seguire una logica a imbuto, consentendo un accesso più ampio a livello di condivisione e controlli più granulari per i file e le cartelle sottostanti.

La protezione dei dati NAS in Azure NetApp Files comporta la gestione efficace delle autorizzazioni. Le autorizzazioni sono suddivise in due tipi principali:

  • Autorizzazioni di accesso di condivisione: queste autorizzazioni controllano chi può montare un volume NAS e le autorizzazioni di base per la lettura/scrittura.

    • Esportazioni NFS: usa indirizzi IP o nomi host per controllare l'accesso.
    • Condivisioni SMB: usa elenchi di controllo di accesso (ACL) di utenti e gruppi.

  • Autorizzazioni di accesso ai file: determinano le operazioni che gli utenti e i gruppi possono eseguire una volta montato un volume NAS. Sono:

    • applicato a singoli file e cartelle.
    • più granulare rispetto alle autorizzazioni di condivisione.

Condividere le autorizzazioni di accesso

Criteri di esportazione NFS:

  • I volumi vengono condivisi ai client NFS esportando un percorso accessibile a un client o a un set di client.
  • I criteri di esportazione controllano l'accesso. I criteri di esportazione sono contenitori per un set di regole di accesso elencate in ordine di accesso desiderato. Le regole con priorità più alta vengono lette e applicate prima e le regole successive per un client vengono ignorate.
  • Le regole usano indirizzi IP client o subnet per controllare l'accesso. Se un client non è elencato in una regola dei criteri di esportazione, non può montare l'esportazione NFS.
  • I criteri di esportazione controllano la modalità di presentazione dell'utente radice a un client. Se l'utente radice è "squashed" (Root Access = Off), la radice per i client in tale regola viene risolta in UID anonimo 65534.

Condivisioni SMB:

  • L'accesso viene controllato tramite ACL di utenti e gruppi.
  • Le autorizzazioni possono includere lettura, modifica e controllo completo.

Per altre informazioni, vedere Informazioni sulle autorizzazioni di condivisione NAS.

Autorizzazioni di accesso ai file

Autorizzazioni per i file SMB:

  • Gli attributi includono lettura, scrittura, eliminazione, autorizzazioni di modifica e acquisizione della proprietà e autorizzazioni più granulari supportate da Windows.
  • Le autorizzazioni possono essere ereditate dalle cartelle padre agli oggetti figlio.

Autorizzazioni per i file NFS:

  • NFSv3 e NFSv4.x usano le autorizzazioni di file UNIX tradizionali rappresentate dai bit in modalità.
  • NFSv4.1 supporta anche autorizzazioni avanzate tramite ACL NFSv4.1.

Per altre informazioni sulle autorizzazioni di accesso ai file, vedere Informazioni sulle autorizzazioni dei file NAS e Informazioni sulle autorizzazioni dei file SMB.

Ereditarietà delle autorizzazioni

L'ereditarietà delle autorizzazioni consente a una cartella padre di applicare automaticamente le autorizzazioni a tutti gli oggetti figlio, inclusi file e sottodirectory. Quando si impostano le autorizzazioni per una directory padre, tali autorizzazioni vengono applicate a tutti i nuovi file e alle sottodirectory create al suo interno.

SMB:

  • Controllato nella visualizzazione delle autorizzazioni avanzate.
  • I flag di ereditarietà possono essere impostati per propagare le autorizzazioni dalle cartelle padre agli oggetti figlio.

NFS:

  • NFSv3 usa umask e setgid flag per simulare l'ereditarietà.
  • NFSv4.1 usa i flag di ereditarietà negli elenchi di controllo di accesso.

Per altre informazioni sull'ereditarietà delle autorizzazioni, vedere Informazioni sulle autorizzazioni dei file NAS, Informazioni sui bit in modalità NFS e Informazioni sugli ACL NFSv4.x.

Considerazioni

  • Si applicano le autorizzazioni più restrittive: quando sono presenti autorizzazioni in conflitto, l'autorizzazione più restrittiva ha la precedenza. Ad esempio, se un utente ha accesso di sola lettura a livello di condivisione, ma controllo completo a livello di file, l'utente avrà accesso in sola lettura.
  • Logica a imbuto: le autorizzazioni di condivisione devono essere più permissive rispetto alle autorizzazioni per file e cartelle. Applicare controlli più granulari e restrittivi a livello di file.

Crittografia di dati in transito

La crittografia di Azure NetApp Files in transito fa riferimento alla protezione dei dati durante lo spostamento tra il client e il servizio Azure NetApp Files. La crittografia garantisce che i dati siano sicuri e non possano essere intercettati o letti da parti non autorizzate durante la trasmissione.

Protocolli e metodi di crittografia

NFSv4.1 supporta la crittografia usando Kerberos con crittografia AES-256, assicurando che i dati trasferiti tra i client NFS e il volume di Azure NetApp Files siano sicuri.

  • Modalità Kerberos: Azure NetApp Files supporta le modalità di crittografia Kerberos krb5, krb5i e krb5p. Queste modalità offrono vari livelli di sicurezza, con krb5p che offrono il massimo livello di protezione crittografando sia i dati che i controlli di integrità.

Per altre informazioni sulla crittografia NFSv4.1, vedere Informazioni sulla crittografia dei dati e Configurare la crittografia Kerberos NFSv4.1.

SMB3 supporta la crittografia usando algoritmi AES-CCM e AES-GCM, fornendo il trasferimento sicuro dei dati in rete.

  • Crittografia end-to-end: la crittografia SMB viene eseguita end-to-end. L'intera conversazione SMB, che comprende tutti i pacchetti di dati scambiati tra il client e il server, è crittografata.
  • Algoritmi di crittografia: Azure NetApp Files supporta pacchetti di crittografia AES-256-GCM, AES-128-CCM per la crittografia SMB. Questi algoritmi offrono una sicurezza affidabile per i dati in transito.
  • Versioni del protocollo: la crittografia SMB è disponibile con le versioni del protocollo SMB 3.x. Ciò garantisce la compatibilità con gli standard di crittografia moderni e offre funzionalità di sicurezza avanzate.

Per altre informazioni sulla crittografia SMB, vedere Informazioni sulla crittografia dei dati.

Crittografia dei dati inattivi

La crittografia dei dati inattivi protegge i dati mentre sono archiviati su disco. Anche se l'accesso ai supporti di archiviazione fisica viene eseguito da utenti non autorizzati, i dati rimangono illeggibili senza le chiavi di decrittografia appropriate.

Esistono due tipi di crittografia dei dati inattivi in Azure NetApp Files:

  • La crittografia singola usa la crittografia basata su software per proteggere i dati inattivi. Azure NetApp Files usa chiavi di crittografia AES-256 conformi allo standard FIPS (Federal Information Processing Standards) 140-2.

  • La doppia crittografia offre due livelli di protezione della crittografia: un livello di crittografia basato su hardware (unità SSD crittografate) e un livello di crittografia software. Il livello di crittografia basato su hardware risiede a livello di archiviazione fisica, usando unità certificate FIPS 140-2. Il livello di crittografia basato su software è a livello di volume, completando il secondo livello di protezione della crittografia.

Per altre informazioni sulla crittografia dei dati inattivi, vedere Informazioni sulla crittografia dei dati e Crittografia doppia dei dati inattivi.

Gestione delle chiavi

Il piano dati gestisce le chiavi di crittografia usate per crittografare e decrittografare i dati. Queste chiavi possono essere gestite dalla piattaforma o gestite dal cliente:

  • Le chiavi gestite dalla piattaforma vengono gestite automaticamente da Azure, garantendo l'archiviazione sicura e la rotazione delle chiavi.
  • Le chiavi gestite dal cliente vengono archiviate in Azure Key Vault, consentendo di gestire il ciclo di vita, le autorizzazioni di utilizzo e il controllo delle chiavi di crittografia.
  • Le chiavi gestite dal cliente con modulo di protezione hardware gestito (HSM) sono un'estensione delle chiavi gestite dal cliente per la funzionalità di crittografia del volume di Azure NetApp Files. Questa estensione HSM consente di archiviare le chiavi di crittografia in un modulo di protezione hardware FIPS 140-2 livello 3 anziché il servizio FIPS 140-2 Livello 1 o Livello 2 usato da Azure Key Vault (AKV).

Per altre informazioni sulla gestione delle chiavi di Azure NetApp Files, vedere Come vengono gestite le chiavi di crittografia, Configurare chiavi gestite dal cliente o chiavi gestite dal cliente con HSM gestito dal cliente.

Crittografia LDAP (Lightweight Directory Access Protocol)

La crittografia LDAP (Lightweight Directory Access Protocol) a livello del piano dati garantisce la comunicazione sicura tra i client e il server LDAP. La crittografia LDAP opera in Azure NetApp Files con

  • Metodi di crittografia: il traffico LDAP può essere crittografato tramite la firma TLS (Transport Layer Security) o LDAP. TLS crittografa l'intero canale di comunicazione, mentre la firma LDAP garantisce l'integrità dei messaggi aggiungendo una firma digitale.
  • Configurazione TLS: LDAP su StartTLS usa la porta 389 per la connessione LDAP. Dopo aver effettuato la connessione LDAP iniziale, viene scambiato un OID StartTLS e vengono confrontati i certificati. Quindi, tutto il traffico LDAP viene crittografato con TLS. Firma LDAP: questo metodo aggiunge un livello di sicurezza firmando messaggi LDAP con la crittografia AES, che consente di verificare l'autenticità e l'integrità dei dati trasmessi.
  • Integrazione con Active Directory: Azure NetApp Files supporta l'integrazione con Active Directory, che può essere configurata per l'uso di questi metodi di crittografia per proteggere le comunicazioni LDAP. Attualmente è possibile usare solo Active Directory per i servizi LDAP.

Per altre informazioni su LDAP, vedere Informazioni sull'uso di LDAP.

Sicurezza di rete

La protezione dei dati con Azure NetApp Files prevede l'uso di più livelli di protezione. L'uso di endpoint privati e gruppi di sicurezza di rete (NSG) è essenziale per garantire che i dati rimangano protetti all'interno della rete virtuale ed è accessibile solo al traffico autorizzato. Questo approccio combinato offre una strategia di sicurezza completa per proteggere i dati da potenziali minacce.

Endpoint privati

Gli endpoint privati sono interfacce di rete specializzate che facilitano una connessione sicura e privata ai servizi di Azure tramite collegamento privato di Azure. Utilizzano un indirizzo IP privato all'interno della rete virtuale, integrando efficacemente il servizio nella struttura interna della rete.

Vantaggi di sicurezza

  • Isolamento: gli endpoint privati assicurano che il traffico di Azure NetApp Files rimanga all'interno della rete virtuale, lontano dalla rete Internet pubblica. Questo isolamento riduce al minimo il rischio di esposizione a minacce esterne.
  • Controllo di accesso: è possibile applicare i criteri di accesso per i volumi di Azure NetApp Files configurando le regole di sicurezza di rete nella subnet associata all'endpoint privato. Questo controllo garantisce che solo il traffico autorizzato possa interagire con i dati.
  • Conformità: gli endpoint privati supportano la conformità alle normative impedendo al traffico dati di attraversare internet pubblico, rispettando i requisiti per la gestione sicura dei dati sensibili.

Gruppi di sicurezza di rete (NSG)

I gruppi di sicurezza di rete sono raccolte di regole di sicurezza che regolano il traffico in ingresso e in uscita verso interfacce di rete, macchine virtuali e subnet all'interno di Azure. Queste regole sono fondamentali nella definizione dei controlli di accesso e dei modelli di traffico all'interno della rete. I NSG sono supportati solo quando si usano funzionalità di rete Standard in Azure NetApp Files.

Vantaggi di sicurezza

  • Filtro del traffico: i gruppi di sicurezza di rete consentono la creazione di regole di filtro del traffico granulari in base a indirizzi IP, porte e protocolli di origine e di destinazione. In questo modo si garantisce che solo il traffico consentito possa raggiungere i volumi di Azure NetApp Files.
  • Segmentazione: applicando gruppi di sicurezza di rete alle subnet che ospitano i volumi di Azure NetApp Files, è possibile segmentare e isolare il traffico di rete. La segmentazione riduce efficacemente la superficie di attacco e migliora la sicurezza complessiva.
  • Monitoraggio e registrazione: i gruppi di sicurezza di rete offrono funzionalità di monitoraggio e registrazione tramite i log dei flussi dei gruppi di sicurezza di rete. Questi log sono fondamentali per tenere traccia dei modelli di traffico, rilevare potenziali minacce alla sicurezza e garantire la conformità ai criteri di sicurezza.

Per altre informazioni, vedere Gruppi di sicurezza di rete e Che cos'è un endpoint privato?

Ulteriori informazioni

  • Ultimo aggiornamento: