Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo fornisce indicazioni sulla sicurezza per File di Azure, incluse le classiche condivisioni di file create con Microsoft.Storage e condivisioni file create con Microsoft.FileShares. Copre le risorse che detengono le tue condivisioni, l'accesso dei clienti, la protezione dei dati e i controlli operativi.
I controlli di sicurezza dipendono dal fornitore delle risorse e dal protocollo. Per un confronto delle funzionalità supportate, vedi File di Azure management concepts.
Isolamento delle risorse
Considera l'account di archiviazione come un confine di fiducia: creare condivisioni file classiche separate nello stesso account di archiviazione non isola le regole di rete, la sorgente dell'identità SMB o la configurazione della chiave di crittografia. Le modifiche a queste impostazioni a livello di conto influenzano tutte le condivisioni dell'account. Raggruppa gli elementi condivisi classici solo quando possono condividere questi controlli. Microsoft. FileShares evita questo limite condiviso a livello di account fornendo una configurazione indipendente di rete e sicurezza per ogni condivisione.
Proteggere i sistemi client: un client con accesso di scrittura può modificare o cancellare i dati dei file. Mantieni aggiornati i sistemi operativi client e limita l'accesso amministrativo locale. Utilizza la protezione degli endpoint adeguata all'ambiente client. L'isolamento della rete e la crittografia non impediscono a un client autorizzato di apportare cambiamenti distruttivi.
Sicurezza di rete
Accesso in entrata e filtraggio in uscita
Limitare l'accesso in entrata ai client che ne hanno bisogno: entrambi i provider di risorse supportano endpoint privati e endpoint di servizio con restrizioni di rete virtuale. L'accesso alle condivisioni file NFS Azure richiede uno di questi percorsi. I client classici SMB e FileREST possono anche utilizzare endpoint pubblici con regole sugli indirizzi IP. Per i passaggi di configurazione, vedi Configura endpoint di rete per le condivisioni file Azure.
Disabilita l'accesso pubblico quando non è necessario: Gli endpoint pubblici possono essere usati in modo sicuro con controlli di accesso alla rete, autenticazione e crittografia adeguate al protocollo. Mantieni abilitato l'accesso pubblico quando i tuoi carichi di lavoro lo richiedono e il tuo modello di sicurezza lo permette, anche per le connessioni tramite endpoint di servizio. Creare un endpoint privato non disabilita automaticamente l'accesso pubblico. Per le condivisioni classiche, esamina eventuali eccezioni per servizi attendibili o istanze di risorsa attendibili che possono rimanere efficaci dopo la disabilitazione dell'accesso pubblico. Per maggiori informazioni, vedi Restringi l'accesso agli endpoint pubblici.
Abilita l'accesso ai servizi affidabili solo quando necessario: disponibile solo per condivisioni file classiche, l'impostazione dei servizi affidabili consente ai servizi Azure supportati di bypassare le regole di rete dell'account di archiviazione. Abilitala solo quando un'integrazione necessita di questo accesso. Questi servizi devono comunque essere autorizzati ad accedere ai dati dei tuoi file.
Filtraggio opzionale per il traffico degli endpoint di servizio: Quando i client usano endpoint di servizio per accedere a condivisioni file classiche, puoi opzionalmente applicare una policy di endpoint di servizio alla loro subnet. La policy limita a quali account di storage quei client possono accedere tramite gli endpoint di servizio, tramite i quali il traffico bypassa Firewall di Azure e le appliance virtuali di rete. Si applica solo al traffico degli endpoint di servizio e non filtra il traffico dei punti finali privati o altri percorsi in uscita. Le regole di rete e i requisiti di autorizzazione della destinazione sono ancora validi. Microsoft. FileShares attualmente non supporta queste politiche. I client in una subnet con una policy devono utilizzare un endpoint privato per accedere alle condivisioni Microsoft.FileShares. Per ulteriori informazioni, consulta le politiche degli endpoint di servizio.
Verifica il supporto del protocollo prima di utilizzare un perimetro di sicurezza di rete: per le condivisioni classiche, il supporto al perimetro varia in base al protocollo e al metodo di autenticazione. In modalità Enforce, un perimetro nega l'accesso NFS tramite l'endpoint pubblico, incluso il traffico degli endpoint di servizio. Il traffico dell'endpoint privato è al di fuori dell'applicazione del perimetro. Controlla le restrizioni per Backup di Azure e Sincronizzazione file di Azure prima di applicare un perimetro. Per ulteriori informazioni, vedi Perimetro di sicurezza di rete per File di Azure.
Rafforzamento del protocollo SMB
Queste raccomandazioni si applicano ai classici file share SMB.
Richiedere la crittografia del canale SMB: Utilizzare connessioni SMB 3.x criptate. SMB 2.1 non supporta la crittografia dei canali. Il requisito HTTPS per FileREST non sostituisce la configurazione di crittografia SMB. Per maggiori informazioni, consulta cifratura SMB e impostazioni di sicurezza.
Limita le versioni e gli algoritmi dei protocolli a quelli di cui i tuoi clienti hanno bisogno: Usa il profilo SMB più sicuro compatibile con i tuoi carichi di lavoro. Verifica il supporto client prima di richiedere SMB 3.1.1 o AES-256-GCM, perché i client incompatibili non possono connettersi. La crittografia dei canali SMB e la crittografia dei ticket Kerberos sono controlli separati. Per maggiori informazioni, consulta le impostazioni di sicurezza SMB.
Limitare i metodi di autenticazione SMB: Usa Kerberos per l'accesso basato sull'identità. Se nessun client necessita dell'autenticazione della chiave dell'account di archiviazione tramite SMB, rimuovere NTLMv2 dai metodi di autenticazione SMB consentiti dopo i test. Questo controllo si applica a SMB; non disabilita l'accesso FileREST basato su chiavi.
Mantieni le credenziali AD DS dove applicabile: per l'autenticazione AD DS, gestisci la password del principale di directory che rappresenta l'account di archiviazione secondo la tua policy di directory. Segui la procedura di rotazione documentata per mantenere sincronizzata la password della directory e la chiave Kerberos dell'account di archiviazione. Per maggiori informazioni, consulta Aggiorna la password dell'identità dell'account di archiviazione in AD DS.
Condivisioni di file NFS 4.1
Queste raccomandazioni si applicano alle condivisioni di file NFS con uno dei due fornitori di risorse. NFS utilizza l'autenticazione basata sulla rete e i permessi POSIX, non l'autenticazione SMB basata sull'identità.
Limitare l'accesso alle reti affidabili: consentire solo le subnet e le connessioni private necessarie al carico di lavoro. NFS si basa sulle identità presentate dal client, quindi controlla quali sistemi e amministratori possono utilizzare quelle connessioni.
Gestisci i permessi POSIX e le identità dei client: Usa ID utente e ID di gruppo coerenti tra i client. Limitare i permessi di file e directory agli utenti e ai gruppi che necessitano di accesso. I permessi Azure RBAC per la gestione della risorsa Azure non concedono l'accesso ai file NFS. Per maggiori informazioni, vedi autenticazione NFS e accesso alla rete.
Configura lo squash root dove compatibile con il carico di lavoro: lo squash root mappa le richieste da UID/GID 0 a un'identità anonima. Non limita altre identità né rende una condivisione di sola lettura. Per impostazioni e passaggi di configurazione per entrambi i provider di risorse, vedi Root squashing per le condivisioni file NFS Azure.
Richiedere la crittografia durante il transito: Entrambi i provider di risorse supportano TLS tramite l'helper di montaggio AZNFS. Microsoft.FileShares richiede di default la crittografia dei dati in transito. Le condivisioni classiche hanno impostazioni di crittografia NFS a livello di account di archiviazione. Per i valori predefiniti e i link di configurazione, vedi cifratura NFS.
Gestione delle identità e dell'accesso
Gestione delle risorse di Azure
Usa il privilegio minimo per l'accesso di gestione: concedi permessi RBAC ad Azure nel minimo ambito necessario per creare, configurare o eliminare risorse. Per le condivisioni classiche, i permessi a livello di conto possono influenzare ogni condivisione dell'account. Puoi gestire le risorse Microsoft.FileShares in modo indipendente. I ruoli di gestione e i permessi di accesso ai dati hanno scopi diversi. Per altre informazioni, vedere Azure piano di controllo e piano dati.
Limitare l'accesso amministrativo permanente: Utilizzare Microsoft Entra Privileged Identity Management dove appropriato per ruoli Azure privilegiati. Richiedi approvazione e autenticazione multifattore per l'attivazione amministrativa secondo la politica della tua organizzazione. Per altre informazioni, vedere Privileged Identity Management.
Autenticazione basata sull'identità per le condivisioni file SMB
L'accesso basato sull'identità SMB è disponibile per le condivisioni file classiche. Una chiave dell'account di archiviazione concede un ampio accesso ai dati tra le condivisioni di un account e non identifica un singolo utente.
Usa una sorgente di identità supportata dai client: File di Azure supporta AD DS, Microsoft Entra Domain Services e Microsoft Entra Kerberos. I loro requisiti del client e di identità differiscono. Per scenari supportati e guide di configurazione, vedi Autenticazione basata sull'identità per File di Azure.
Utilizzare le identità gestite per carichi di lavoro applicativi supportati: le identità gestite possono fornire accesso SMB senza dover distribuire le chiavi dell'account di archiviazione. Verifica i prerequisiti di calcolo, client e autenticazione per la tua implementazione. Per maggiori informazioni, consulta Accedere alle condivisioni SMB utilizzando le identità gestite.
Proteggi le chiavi dell'account quando necessario: Limita i permessi per recuperare o rigenerare chiavi. Conserva le chiavi richieste in Azure Key Vault e ruotale dopo l'esposizione o secondo la tua politica sulle credenziali. Pianifica la rotazione per i client e le integrazioni che ancora utilizzano le chiavi. Per altre informazioni, vedere Gestire le chiavi di accesso dell'account di archiviazione.
Permessi a livello di condivisione e NTFS
Questi permessi si applicano alle classiche condivisioni file SMB.
Assegnare ruoli a livello di condivisione nell'ambito richiesto: concedere accesso di lettura, scrittura o amministrazione solo alle identità che ne hanno bisogno. Le assegnazioni di ruolo a livello di condivisione evitano di concedere accesso a condivisioni non correlate nello stesso account di archiviazione. Per altre informazioni, vedere Assegnare autorizzazioni a livello di condivisione.
Applica i permessi di directory e file: Usa le ACL di Windows, incluse le directory radice della condivisione dove necessario, per controllare l'accesso all'interno della condivisione. Usa l'eredità per mantenere i permessi gestibili. Sono applicati sia i permessi a livello di condivisione che le ACL di Windows. Per altre informazioni, vedere Configurare le autorizzazioni a livello di directory e a livello di file.
Limitare l'amministrazione dei permessi: Limitare l’assegnazione dei ruoli elevati e i diritti di modifica delle ACL alle identità responsabili della gestione dei permessi. Rivedere sia le assegnazioni di ruoli che le ACL ereditate quando cambiano i requisiti di accesso.
Accesso FileREST e SAS
L'accesso ai dati FileREST è disponibile per le condivisioni classiche. Microsoft. FileShares attualmente non supporta l'accesso ai dati FileREST.
Usa OAuth per l'accesso supportato ai dati amministrativi: le identità Microsoft Entra, incluse le identità gestite, possono accedere alle condivisioni classiche tramite FileREST. I ruoli privilegiati usati da questo metodo di accesso possono bypassare i permessi di file e directory, quindi concederli solo dove tale accesso è richiesto. Per maggiori informazioni, consulta File di Azure OAuth su REST.
Limita le autorizzazioni SAS e il periodo di validità: quando uno strumento supportato richiede una firma di accesso condiviso (SAS), limita il suo ambito, i permessi e il periodo di validità, richiedendo HTTPS. Proteggi il SAS come una credenziale. I token SAS non vengono usati per montare condivisioni su SMB o NFS. Per altre informazioni, vedere Firme di accesso condivise.
Richiedere HTTPS per FileREST: HTTPS protegge le richieste REST durante il transito. La crittografia dei canali SMB e il tunneling NFS TLS sono separati dal requisito HTTPS. Per i passaggi di configurazione, vedi Richiedi il trasferimento sicuro.
Protezione dei dati
Comprendi la crittografia a riposo: entrambi i fornitori di risorse criptano di default i dati dei file a riposo con chiavi gestite da Microsoft. La crittografia a riposo protegge i dati memorizzati; non impedisce ai client autorizzati di leggere o modificare i file.
Utilizzare le chiavi gestite dal cliente quando necessario: le condivisioni Classic supportano le chiavi gestite dal cliente in Azure Key Vault o Managed HSM. Microsoft. FileShares attualmente non supporta chiavi gestite dal cliente. Proteggi il deposito delle chiavi, pianifica la rotazione delle chiavi e comprendi che la perdita di accesso alle chiavi può rendere i dati inaccessibili. Per maggiori informazioni, vedi Chiavi gestite dal cliente per File di Azure.
Valuta la crittografia dell'infrastruttura per le implementazioni classiche applicabili: gli account di storage classic possono avere un ulteriore livello di crittografia quando richiesto dalla tua politica di conformità. Questa opzione viene selezionata alla creazione dell'account e non può essere modificata successivamente. Per i tipi di account supportati, vedi Crittografia dell'infrastruttura.
Usa i blocchi di risorse per proteggere le operazioni di gestione: Un blocco CanNotDelete sulla risorsa Azure appropriata o sull'ambito genitore può prevenire la cancellazione tramite Azure Resource Manager. I blocchi non impediscono ai client di modificare o cancellare i dati dei file. Per le condivisioni classiche, anche questi non impediscono la cancellazione tramite le API del piano dati FileREST. Per il comportamento del blocco e gli effetti operativi, vedi Bloccare le risorse di Azure.
Backup e ripristino
Effettua snapshot delle condivisioni in base alle esigenze di ripristino: entrambi i fornitori di risorse supportano snapshot delle condivisioni per il ripristino di versioni precedenti dei file. Stabilisci un programma e un criterio di conservazione che rispettino i tuoi obiettivi di recupero. Gli snapshot della condivisione rimangono associati alla condivisione sorgente, quindi non forniscono un backup indipendente se quella condivisione viene eliminata permanentemente. Per maggiori informazioni, vedi Condividere snapshot per File di Azure.
Abilita la cancellazione soft per le condivisioni classiche: la cancellazione soft mantiene le condivisioni eliminate per un periodo configurato. Non recupera file singoli o snapshot cancellati singolarmente. Microsoft.FileShares attualmente non supporta l'eliminazione temporanea. Per ulteriori informazioni, vedere Prevenire l'eliminazione accidentale delle condivisioni file di Azure.
Scegli una soluzione di backup supportata dal protocollo: Backup di Azure supporta le classiche condivisioni SMB, con opzioni di snapshot e backup nell'insieme di credenziali. Attualmente non supporta le condivisioni NFS con nessuno dei due fornitori di risorse. Per NFS, scegli una soluzione di backup che supporti il protocollo e che soddisfi i requisiti di mantenimento e isolamento. Per la copertura Backup di Azure, vedi supporto al backup per la condivisione file di Azure.
Gestione separata del backup e test di ripristino: Limitare chi può eliminare i punti di recupero o modificare la conservazione. Test di ripristini di file, permessi e carichi di lavoro completi. Verifica che il recupero sia possibile se le credenziali di produzione o la condivisione sorgente vengono compromesse.
Pianificare in caso di guasti infrastrutturali separatamente dal recupero dei dati: la ridondanza migliora la resilienza ai guasti infrastrutturali ma replica anche i cambiamenti dei dati. Non sostituisce i backup in caso di modifiche indesiderate o eliminazioni accidentali. Le opzioni di ridondanza disponibili variano a seconda del livello del supporto di archiviazione e del fornitore di risorse. Per altre informazioni, vedere Ridondanza di File di Azure.
Registrazione e monitoraggio
Controllare le modifiche di gestione per entrambi i provider di risorse: Utilizzare il Registro Attività di Azure per monitorare la cancellazione delle risorse, le modifiche alla configurazione e l'assegnazione dei ruoli. Rivedi le modifiche all'accesso pubblico, alle regole di rete, ai requisiti di crittografia e ai controlli di recupero. Per altre informazioni, vedere Log attività di Azure.
Raccogli i log di accesso ai dati supportati: Per l'accesso classico SMB e FileREST, usa i log delle risorse del servizio file per esaminare i chiamanti, i metodi di autorizzazione, le richieste fallite e l'attività di cancellazione. Raccogli i log richiesti dalla tua politica di retention in Log Analytics o in un'altra destinazione supportata. Non dare per scontato la stessa copertura di registrazione delle richieste per NFS o Microsoft.FileShares. Per operazioni e campi supportati, vedi File di Azure monitoring data reference.
Correla gli avvisi con i client e i log di identità: indaga sull'uso imprevisto delle chiavi, l'autenticazione fallita, la cancellazione delle condivisioni e le modifiche alla configurazione della sicurezza. Utilizzare i log client e directory quando si verifica un fallimento dell'autenticazione prima che la richiesta raggiunga File di Azure. Instradare gli avvisi al team responsabile del carico di lavoro.
Valuta Defender for Storage per le implementazioni classiche: Defender for Storage fornisce rilevamento delle minacce per account di storage supportati. Verifica la copertura delle funzionalità e dei protocolli per il tuo deployment; la protezione dell'account non implica che ogni operazione di file venga scansionata per malware. Per maggiori informazioni, consulta Microsoft Defender for Storage.
Conformità e governance
Applica politiche che corrispondano al fornitore di risorse: Usa Criteri di Azure per verificare o far rispettare i requisiti della tua organizzazione dove il tipo di risorsa e le proprietà sono supportati. Controlla l'ambito e gli effetti di ogni definizione. Un criterio che riguarda gli account di archiviazione Microsoft.Storage non valuta automaticamente le risorse Microsoft.FileShares. Per altre informazioni, vedere Definizioni dei Criteri di Azure.
Proprietà dei record e requisiti dei dati: Utilizzare i tag delle risorse per identificare il team responsabile, l'ambiente e la classificazione dei dati. Per le azioni classiche, i controlli a livello di conto influenzano tutte le azioni presenti nel conto. Registra le eccezioni e rivedile quando cambia la responsabilità del carico di lavoro.
Valida la conformità per il deployment: Conferma che il servizio, la regione, il protocollo e le funzionalità di protezione selezionati soddisfino i tuoi requisiti. Usa il benchmark di sicurezza cloud di Microsoft per organizzare le revisioni di controllo. Per informazioni sulla certificazione, consulta le offerte di conformità di Archiviazione di Azure.
Sincronizzazione file di Azure
Sincronizzazione file di Azure supporta le classiche condivisioni SMB. Non supporta NFS né Microsoft.FileShares. Proteggi sia la condivisione cloud che gli endpoint di Windows Server.
Usa le identità gestite per le implementazioni di File Sync supportate: Segui la configurazione dell'identità gestita per il Storage Sync Service e i server registrati per rimuovere la dipendenza dalle chiavi condivise. Per maggiori informazioni, vedi Usa le identità gestite con Sincronizzazione file di Azure.
Limitare l'accesso amministrativo alle risorse e ai server di sincronizzazione: utilizzare i ruoli di Storage Sync necessari nell'ambito appropriato. Proteggi i permessi locali dei file e l'amministrazione dei server perché le modifiche apportate tramite un endpoint server possono essere sincronizzate con la condivisione cloud. Per maggiori informazioni, vedi Pianifica una distribuzione Sincronizzazione file di Azure.