Share via


Infrastructuurversleuteling inschakelen voor dubbele versleuteling van gegevens

Azure Storage versleutelt automatisch alle gegevens in een opslagaccount op serviceniveau met behulp van 256-bits AES met GCM-modusversleuteling, een van de sterkste blokcoderingen die beschikbaar zijn en voldoet aan FIPS 140-2. Klanten die een hogere mate van zekerheid nodig hebben dat hun gegevens veilig zijn, kunnen ook 256-bits AES met CBC-versleuteling inschakelen op het niveau van de Azure Storage-infrastructuur voor dubbele versleuteling. Dubbele versleuteling van Azure Storage-gegevens beschermt tegen een scenario waarbij een van de versleutelingsalgoritmen of sleutels mogelijk wordt aangetast. In dit scenario blijft de extra versleutelingslaag uw gegevens beveiligen.

Infrastructuurversleuteling kan worden ingeschakeld voor het hele opslagaccount of voor een versleutelingsbereik binnen een account. Wanneer infrastructuurversleuteling is ingeschakeld voor een opslagaccount of een versleutelingsbereik, worden gegevens tweemaal versleuteld ( eenmaal op serviceniveau en eenmaal op infrastructuurniveau), met twee verschillende versleutelingsalgoritmen en twee verschillende sleutels.

Versleuteling op serviceniveau ondersteunt het gebruik van door Microsoft beheerde sleutels of door de klant beheerde sleutels met Azure Key Vault of Key Vault Managed Hardware Security Model (HSM). Versleuteling op infrastructuurniveau is afhankelijk van door Microsoft beheerde sleutels en maakt altijd gebruik van een afzonderlijke sleutel. Zie Over versleutelingssleutelbeheer voor meer informatie over sleutelbeheer met Azure Storage-versleuteling.

Als u uw gegevens dubbel wilt versleutelen, moet u eerst een opslagaccount of een versleutelingsbereik maken dat is geconfigureerd voor infrastructuurversleuteling. In dit artikel wordt beschreven hoe u infrastructuurversleuteling inschakelt.

Belangrijk

Infrastructuurversleuteling wordt aanbevolen voor scenario's waarbij het dubbel versleutelen van gegevens nodig is voor nalevingsvereisten. Voor de meeste andere scenario's biedt Azure Storage-versleuteling een voldoende krachtig versleutelingsalgoritmen en is het onwaarschijnlijk dat u infrastructuurversleuteling gebruikt.

Een account maken waarvoor infrastructuurversleuteling is ingeschakeld

Als u infrastructuurversleuteling voor een opslagaccount wilt inschakelen, moet u een opslagaccount configureren om infrastructuurversleuteling te gebruiken op het moment dat u het account maakt. Infrastructuurversleuteling kan niet worden ingeschakeld of uitgeschakeld nadat het account is gemaakt. Het opslagaccount moet van het type algemeen gebruik v2, premium blok-blob, premium pagina-blob of Premium-bestandsshares zijn.

Als u Azure Portal wilt gebruiken om een opslagaccount te maken waarvoor infrastructuurversleuteling is ingeschakeld, voert u de volgende stappen uit:

  1. Navigeer in Azure Portal naar de pagina Opslagaccounts .

  2. Kies de knop Toevoegen om een nieuw algemeen v2-account, premium blok-blob, Premium-pagina-blob of Premium-bestandsshareaccount toe te voegen.

  3. Ga op het tabblad Versleuteling naar Infrastructuurversleuteling inschakelen en selecteer Ingeschakeld.

  4. Selecteer Beoordelen en maken om het maken van het opslagaccount te voltooien.

    Schermopname van het inschakelen van infrastructuurversleuteling bij het maken van een account.

Voer de volgende stappen uit om te controleren of infrastructuurversleuteling is ingeschakeld voor een opslagaccount met Azure Portal:

  1. Ga in het Navigeer naar uw opslagaccount in de Azure-portal.

  2. Kies Versleuteling onder Beveiliging en netwerken.

    Schermopname die laat zien hoe u kunt controleren of infrastructuurversleuteling is ingeschakeld voor het account.

Azure Policy biedt een ingebouwd beleid om te vereisen dat infrastructuurversleuteling wordt ingeschakeld voor een opslagaccount. Zie de sectie Storage in ingebouwde azure Policy-beleidsdefinities voor meer informatie.

Een versleutelingsbereik maken waarvoor infrastructuurversleuteling is ingeschakeld

Als infrastructuurversleuteling is ingeschakeld voor een account, gebruikt elk versleutelingsbereik dat voor dat account is gemaakt automatisch infrastructuurversleuteling. Als infrastructuurversleuteling niet is ingeschakeld op accountniveau, kunt u deze inschakelen voor een versleutelingsbereik op het moment dat u het bereik maakt. De instelling voor infrastructuurversleuteling voor een versleutelingsbereik kan niet worden gewijzigd nadat het bereik is gemaakt. Zie Een versleutelingsbereik maken voor meer informatie.

Volgende stappen