Azure Storage 보안 전략 검토
관리자는 데이터를 안전하게 보호하기 위해 다양한 전략을 사용합니다. 일반적인 접근 방식에는 자격 증명, 파일 권한, 프라이빗 서명을 사용한 암호화, 인증, 권한 부여, 사용자 액세스 제어가 포함됩니다. Azure Storage는 데이터를 보호하는 데 도움이 되는 일반적인 전략을 기반으로 하는 보안 기능 제품군을 제공합니다.
Azure Storage 보안 전략에 대해 알아야 할 사항
Azure Storage 보안의 몇 가지 특성을 살펴보겠습니다.
암호화. Azure Storage에 기록된 모든 데이터는 Azure Storage 암호화를 사용하여 자동으로 암호화됩니다.
인증. Microsoft Entra ID 및 RBAC(역할 기반 액세스 제어)는 리소스 관리 작업 및 데이터 작업 모두에 대한 Azure Storage에 지원됩니다.
- Azure Storage 계정으로 범위가 지정된 RBAC 역할을 보안 주체에 할당하고 Microsoft Entra ID를 사용하여 키 관리와 같은 리소스 관리 작업의 권한을 부여합니다.
- Azure Blob Storage 및 Azure Queue Storage에 대한 데이터 작업을 위해 Microsoft Entra 통합이 지원됩니다.
전송 중 데이터. 클라이언트 쪽 암호화, HTTP 또는 SMB 3.0을 사용하여 애플리케이션과 Azure 간에 전송 중인 데이터의 보안을 유지할 수 있습니다.
디스크 암호화. Azure Virtual Machines를 사용하는 운영 체제 디스크 및 데이터 디스크는 Azure Disk Encryption을 사용하여 암호화할 수 있습니다.
공유 액세스 서명. SAS(공유 액세스 서명)를 사용하여 Azure Storage의 데이터 개체에 대해 위임된 액세스를 부여할 수 있습니다.
권한 부여. Blob Storage, Azure Files, Queue Storage 또는 Azure Cosmos DB(Azure Table Storage)의 보안 리소스에 대해 수행한 모든 요청에는 권한이 부여되어야 합니다. 권한 부여는 스토리지 계정의 리소스에 대해 원하는 경우에만, 액세스 권한이 부여된 사용자나 애플리케이션에서만 액세스할 수 있도록 합니다.
권한 부여 보안 사용 시 고려해야 할 사항
Azure Storage에 대한 요청에 권한을 부여하기 위한 다음 전략을 검토합니다. Azure Storage에 어떤 보안 전략이 작동하는지 생각해 보세요.
| 권한 부여 전략 | 설명 |
|---|---|
| Microsoft Entra ID | Microsoft Entra ID는 Microsoft의 클라우드 기반 ID 및 액세스 관리 서비스입니다. Microsoft Entra ID에서는 역할 기반 액세스 제어를 사용하여 사용자, 그룹 또는 애플리케이션에 대한 세분화된 액세스 권한을 할당할 수 있습니다. |
| 공유 키 | 공유 키 권한 부여는 Azure Storage 계정 액세스 키와 기타 매개 변수를 사용하여 암호화된 서명 문자열을 생성합니다. 문자열은 권한 부여 헤더의 요청에 전달됩니다. |
| 공유 액세스 서명 | SAS는 지정된 사용 권한을 사용하고 지정된 시간 간격으로 Azure Storage 계정의 특정 리소스에 대한 액세스 권한을 위임합니다. |
| 컨테이너 및 Blob에 대한 익명 액세스 | 필요에 따라 컨테이너 또는 Blob 수준에서 Blob 리소스를 공용으로 설정할 수 있습니다. 익명 읽기 권한을 위해 모든 사용자가 퍼블릭 컨테이너 또는 Blob에 액세스할 수 있습니다. 퍼블릭 컨테이너 및 Blob에 대한 읽기 요청에는 권한 부여가 필요하지 않습니다. |