Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Elke beveiligde aanvraag voor een Azure Storage-account moet worden geautoriseerd. Aanvragen kunnen standaard worden geautoriseerd met Microsoft Entra-referenties of met behulp van de accounttoegangssleutel voor autorisatie van gedeelde sleutels. Van deze twee typen autorisatie biedt Microsoft Entra ID superieure beveiliging en gebruiksgemak ten opzichte van gedeelde sleutels en wordt aanbevolen door Microsoft. Als u wilt dat clients Microsoft Entra-id gebruiken om aanvragen te autoriseren, kunt u aanvragen niet toestaan voor het opslagaccount dat is geautoriseerd met een gedeelde sleutel.
Wanneer u autorisatie van gedeelde sleutels voor een opslagaccount niet toekent, worden alle volgende aanvragen voor dat account geweigerd die zijn geautoriseerd met de toegangssleutels van het account. Alleen beveiligde aanvragen die zijn geautoriseerd met Microsoft Entra ID slagen. Zie Toegang tot gegevens in Azure Storage autoriseren voor meer informatie over het gebruik van Microsoft Entra-id.
De eigenschap AllowSharedKeyAccess van een opslagaccount is niet standaard ingesteld en retourneert geen waarde totdat u deze expliciet hebt ingesteld. Het opslagaccount staat aanvragen toe die zijn geautoriseerd met Gedeelde Sleutel wanneer de eigenschapswaarde null is of wanneer deze waar is.
In dit artikel wordt beschreven hoe u een DRAG-framework (Detection-Remediation-Audit-Governance) gebruikt voor het continu beheren van autorisatie van gedeelde sleutels voor uw opslagaccount.
Vereisten
Voordat u toegang tot gedeelde sleutels voor een van uw opslagaccounts ongedaan kunt maken:
- Begrijpen hoe het ongedaan maken van de toewijzing van gedeelde sleutels van invloed is op SAS-tokens
- Overweeg compatibiliteit met andere Azure-hulpprogramma's en -services
- Houd rekening met de noodzaak om autorisatie van gedeelde sleutels niet toe te staan voor gebruik van voorwaardelijke toegang van Microsoft Entra
- Toegang tot bestandsgegevens autoriseren of Azure Files-workloads migreren
Begrijpen hoe het ongedaan maken van de toewijzing van gedeelde sleutels van invloed is op SAS-tokens
Wanneer je de toegang tot gedeelde sleutels voor het opslagaccount verbiedt, behandelt Azure Storage SAS-tokens op basis van het type SAS en de dienst waarop het verzoek gericht is. De volgende tabel toont hoe elk type SAS is geautoriseerd en hoe Azure Storage die SAS behandelt wanneer de AllowSharedKeyAccess-eigenschap voor het opslagaccount onjuist is.
| Soort SAS | Type van autorisatie | Gedrag wanneer AllowSharedKeyAccess onwaar is |
|---|---|---|
| Gebruikersdelegatie-SAS (alleen voor Blob Storage) | Microsoft Entra ID | Aanvraag is toegestaan. Microsoft raadt aan om waar mogelijk een gebruikersdelegatie-SAS te gebruiken voor betere beveiliging. |
| Service SAS | Gedeelde sleutel | Aanvraag wordt geweigerd voor alle Azure Storage-services. |
| Account-SAS | Gedeelde sleutel | Aanvraag wordt geweigerd voor alle Azure Storage-services. |
Metrische gegevens en logboekregistratie in Azure Monitor maken geen onderscheid tussen verschillende typen handtekeningen voor gedeelde toegang. Het SAS-filter in Azure Metrics Explorer en het SAS-veld in Azure Storage-logboekregistratie in Azure Monitor zijn beide rapportaanvragen die zijn geautoriseerd met elk type SAS. Verschillende typen handtekeningen voor gedeelde toegang zijn echter verschillend geautoriseerd en gedragen zich anders wanneer gedeelde sleuteltoegang niet is toegestaan:
- Een service SAS-token of een account SAS-token is geautoriseerd met Shared Key en is niet toegestaan bij een verzoek naar Blob Storage wanneer de AllowSharedKeyAccess-eigenschap op false is gezet.
- Een gebruikersdelegatie SAS is geautoriseerd met Microsoft Entra ID en is toegestaan bij een verzoek naar Blob Storage wanneer de eigenschap AllowSharedKeyAccess op false is gezet.
Wanneer je het verkeer naar je opslagaccount evalueert, kunnen metrische gegevens en logboeken, zoals beschreven onder Het type autorisatie detecteren dat door clienttoepassingen wordt gebruikt, ook aanvragen bevatten die zijn gedaan met een SAS voor gebruikersdelegatie.
Zie Beperkte toegang verlenen tot Azure Storage-resources met behulp van Sas (Shared Access Signatures ) voor meer informatie over handtekeningen voor gedeelde toegang.
Overweeg compatibiliteit met andere Azure-hulpprogramma's en -services
Een aantal Azure-services gebruiken autorisatie met gedeelde sleutel om te communiceren met Azure Storage. Als je de autorisatie van gedeelde sleutels voor een opslagaccount niet toestaat, kunnen deze diensten geen toegang krijgen tot de gegevens in dat account en kunnen je applicaties stoppen met werken.
Sommige Azure-hulpprogramma's bieden de mogelijkheid om Microsoft Entra-autorisatie te gebruiken voor toegang tot Azure Storage. De volgende tabel bevat enkele populaire Azure-hulpprogramma's en notities of ze Microsoft Entra ID kunnen gebruiken om aanvragen voor Azure Storage te autoriseren.
| Azure-hulpprogramma | Microsoft Entra-autorisatie voor Azure Storage |
|---|---|
| Azure Portal | Ondersteund. Zie Kiezen hoe u toegang tot blobgegevens in de Azure-portal kunt autoriseren voor meer informatie over het autoriseren van uw Microsoft Entra-account. |
| AzCopy | Ondersteund voor Blob Storage. Zie Kiezen hoe u autorisatiereferenties opgeeft in de AzCopy-documentatie voor meer informatie over het autoriseren van AzCopy-bewerkingen. |
| Azure Storage Explorer | Ondersteund voor Blob Storage, Queue Storage, Table Storage en Azure Data Lake Storage. Microsoft Entra ID-toegang tot File Storage wordt niet ondersteund. Zorg ervoor dat u de juiste Microsoft Entra-tenant selecteert. Zie Aan de slag met Storage Explorer voor meer informatie |
| Azure PowerShell | Ondersteund. Voor informatie over het autoriseren van PowerShell-opdrachten voor blob- of wachtrijbewerkingen met Microsoft Entra-id, raadpleegt u PowerShell-opdrachten uitvoeren met Microsoft Entra-referenties voor toegang tot blobgegevens of PowerShell-opdrachten uitvoeren met Microsoft Entra-referenties voor toegang tot wachtrijgegevens. |
| Azure-CLI | Ondersteund. Zie Azure CLI-opdrachten uitvoeren met Microsoft Entra-referenties voor toegang tot blob- en wachtrijgegevens voor informatie over het autoriseren van Azure CLI-opdrachten met Microsoft Entra-referenties voor toegang tot blob- of wachtrijgegevens. |
| Azure IoT Hub | Ondersteund. Zie IoT Hub-ondersteuning voor virtuele netwerken voor meer informatie. |
| Azure Cloud Shell | Azure Cloud Shell is een geïntegreerde shell in Azure Portal. Azure Cloud Shell host bestanden voor persistentie in een Azure-bestandsshare in een opslagaccount. Deze bestanden worden ontoegankelijk als Shared Key-autorisatie voor dat opslagaccount wordt afgekeurd. Zie Persistent-bestanden in Azure Cloud Shell voor meer informatie. Om commando's in Azure Cloud Shell uit te voeren om opslagaccounts te beheren waarvoor toegang tot gedeelde sleutels niet is toegestaan, zorg er eerst voor dat u de benodigde rechten voor deze accounts via Azure RBAC heeft gekregen. Voor meer informatie, zie Wat is Azure rolgebaseerde toegangsbesturing (Azure RBAC)? |
Autorisatie van gedeelde sleutels niet toe te staan voor het gebruik van voorwaardelijke toegang van Microsoft Entra
Als u een Azure Storage-account wilt beveiligen met Microsoft Entra beleid voor voorwaardelijke toegang, moet u autorisatie van gedeelde sleutels voor het opslagaccount uitschakelen.
Toegang tot bestandsgegevens autoriseren of Azure Files-workloads migreren
Azure Storage biedt ondersteuning voor Microsoft Entra-autorisatie voor aanvragen naar Azure Files, Blob Storage, Queue Storage en Table Storage. Azure Portal maakt echter standaard gebruik van autorisatie voor gedeelde sleutels voor toegang tot Azure-bestandsshares. Als je de autorisatie van gedeelde sleutels voor een opslagaccount dat niet is geconfigureerd met de juiste RBAC-toewijzingen niet toestaat, mislukken verzoeken naar Azure Files en kun je geen toegang krijgen tot Azure-bestandsdelingen in het Azure-portaal.
U kunt dit verhelpen door een van de volgende drie benaderingen te gebruiken:
- Volg deze stappen om toegang tot bestandsgegevens te autoriseren met je Microsoft Entra-account.
- Migreer eventuele Azure Files-gegevens naar een afzonderlijk opslagaccount voordat u de toegang tot een account via een gedeelde sleutel weigert of
- Pas deze instelling niet toe op opslagaccounts die Ondersteuning bieden voor Azure Files-workloads.
Opslagaccounts identificeren die toegang tot gedeelde sleutels toestaan
Er zijn twee manieren om opslagaccounts te identificeren die toegang tot gedeelde sleutels toestaan:
- Controleer de instelling voor toegang tot gedeelde sleutels voor meerdere accounts
- Azure Policy configureren voor toegang tot gedeelde sleutels in de controlemodus
Controleer de instelling voor toegang tot gedeelde sleutels voor meerdere accounts
Als u de toegangsinstelling voor gedeelde sleutels wilt controleren voor een set opslagaccounts met optimale prestaties, kunt u Azure Resource Graph Explorer gebruiken in Azure Portal. Voor meer informatie over het gebruik van de Resource Graph Explorer, zie Quickstart: Uw eerste Resource Graph-query uitvoeren met behulp van Azure Resource Graph Explorer.
Als u de volgende query uitvoert in Resource Graph Explorer, wordt een lijst met opslagaccounts geretourneerd en wordt de instelling voor toegang tot gedeelde sleutels voor elk account weergegeven:
resources
| where type =~ 'Microsoft.Storage/storageAccounts'
| extend allowSharedKeyAccess = parse_json(properties).allowSharedKeyAccess
| project subscriptionId, resourceGroup, name, allowSharedKeyAccess
Azure Policy configureren voor toegang tot gedeelde sleutels in de controlemodus
Azure Policy Storage-accounts moeten voorkomen dat toegang met gedeelde sleutels wordt toegepast voorkomt dat gebruikers met de juiste machtigingen nieuwe of bestaande opslagaccounts configureren om autorisatie met gedeelde sleutels in te schakelen. Configureer dit beleid in de controlemodus om opslagaccounts te identificeren waarvoor autorisatie voor gedeelde sleutels is toegestaan. Nadat u toepassingen hebt gewijzigd om Microsoft Entra te gebruiken in plaats van gedeelde sleutel voor autorisatie, kunt u het beleid bijwerken om toegang tot gedeelde sleutels te voorkomen.
Voor meer informatie over de ingebouwde beleidsregel zie Opslagaccounts moeten voorkomen dat toegang met gedeelde sleutels wordt verkregen in de lijst met ingebouwde beleidsdefinities.
Het ingebouwde beleid toewijzen voor een resourcebereik
Volg deze stappen om het ingebouwde beleid toe te wijzen voor het juiste bereik in Azure Portal:
Zoek in Azure Portal naar Beleid om het Azure Policy-dashboard weer te geven.
In de Auteurssectie, selecteer Opdrachten.
Kies Beleid toewijzen.
Geef op het tabblad Basisbeginselen van de pagina Beleid toewijzen in de sectie Bereik het bereik voor de beleidstoewijzing op. Selecteer de knop Meer (...) om het abonnement en de optionele resourcegroep te kiezen.
Selecteer voor het veld Beleidsdefinitie de knop Meer (...) en voer toegang tot gedeelde sleutels in hetzoekveld in. Kies de beleidsdefinitie genaamd Opslagaccounts moeten toegang met gedeelde sleutels voorkomen.
Selecteer Controleren + maken.
In het tabblad Beoordelen en maken controleert u de toewijzing van het beleid en selecteert u Maken om de beleidsdefinitie aan de opgegeven scope toe te wijzen.
Naleving van het beleid controleren
Volg deze stappen om uw opslagaccounts te controleren op naleving van het toegangsbeleid voor gedeelde sleutels:
Selecteer Toewijzingen op het Azure Policy-dashboard onder Ontwerpen.
Zoek en selecteer de beleidstoewijzing die u in de vorige sectie hebt gemaakt.
Selecteer het tabblad Naleving weergeven .
Opslagaccounts binnen het bereik van de beleidstoewijzing die niet voldoen aan de beleidsvereisten, worden weergegeven in het nalevingsrapport.
Als u meer informatie wilt over waarom een opslagaccount niet-compatibel is, selecteert u Details onder Reden van naleving.
Het type autorisatie detecteren dat wordt gebruikt door clienttoepassingen
Om te begrijpen hoe het niet toestaan van Shared Key-autorisatie clientapplicaties kan beïnvloeden, schakel logging en metrics voor het opslagaccount in. Je kunt vervolgens patronen van verzoeken naar je account in de loop van de tijd analyseren om te bepalen hoe verzoeken worden geautoriseerd. Detectie gebruikt twee onafhankelijke tools: Azure Monitor-metrics voor het aantal totale verzoeken en Azure Monitor-resourcelogs voor details per klant. Resourcelogs vereisen een diagnostische instelling op het opslagaccount.
Gebruik metrische gegevens om te bepalen hoeveel aanvragen het opslagaccount ontvangt die zijn geautoriseerd met een gedeelde sleutel of een SAS (Shared Access Signature). Gebruik logboeken om te bepalen welke clients deze aanvragen verzenden.
Een SAS kan worden geautoriseerd met gedeelde sleutel of Microsoft Entra-id. Voor meer informatie over het interpreteren van aanvragen die zijn gedaan met een handtekening voor gedeelde toegang, zie Hoe het uitschakelen van gedeelde sleutel van invloed is op SAS-tokens.
Het aantal en de frequentie bepalen van aanvragen die zijn geautoriseerd met een gedeelde sleutel
Als u wilt bijhouden hoe aanvragen voor een opslagaccount worden geautoriseerd, gebruikt u Azure Metrics Explorer in Azure Portal. Zie Metrische gegevens analyseren met Azure Monitor Metrics Explorer voor meer informatie over Metrics Explorer.
Volg deze stappen om een metrische waarde te maken waarmee aanvragen worden bijgehouden die zijn gedaan met een gedeelde sleutel of SAS:
Navigeer naar uw opslagaccount in de Azure-portal. Selecteer de optie Metrische gegevens in de sectie Monitoring.
Het nieuwe metrische vak moet worden weergegeven:
Als dit niet zo is, selecteert u Metric toevoegen.
Geef in het dialoogvenster Metric de volgende waarden op:
- Laat het veld Bereik ingesteld op de naam van het opslagaccount.
- Stel de metrische naamruimte in op Account. Deze metriek geeft alle aanvragen voor het opslagaccount weer.
- Stel het veld Metrische waarde in op Transacties.
- Stel het veld Aggregatie in op Som.
De nieuwe metriek toont de som van het aantal transacties tegen de opslagrekening over een bepaald tijdsinterval. De resulterende metrische waarde wordt weergegeven zoals wordt weergegeven in de volgende afbeelding:
Selecteer vervolgens de knop Filter toevoegen om een filter te maken op de metrische waarde voor het type autorisatie.
Geef in het dialoogvenster Filter de volgende waarden op:
- Stel de eigenschapswaarde in op Verificatie.
- Stel het veld Operator in op het gelijkteken (=).
- Selecteer in het veld Waarden de optie Accountsleutel en SAS.
Selecteer in de rechterbovenhoek het tijdsbereik waarvoor u de metrische waarde wilt weergeven. U kunt ook aangeven hoe gedetailleerd de aggregatie van aanvragen moet zijn door intervallen op te geven tussen 1 minuut en 1 maand. Stel bijvoorbeeld het tijdsbereik in op 30 dagen en de tijdgranulariteit op 1 dag om aanvragen te zien die zijn geaggregeerd per dag in de afgelopen 30 dagen.
Nadat je de metriek hebt geconfigureerd, verschijnen er verzoeken naar je opslagaccount in de grafiek. In de volgende afbeelding ziet u aanvragen die zijn geautoriseerd met een gedeelde sleutel of zijn gemaakt met een SAS-token. Verzoeken worden per dag verzameld over de afgelopen 30 dagen.
U kunt ook een waarschuwingsregel configureren om u op de hoogte te stellen wanneer een bepaald aantal aanvragen die zijn geautoriseerd met een gedeelde sleutel worden uitgevoerd voor uw opslagaccount. Zie Waarschuwingen voor metrische gegevens maken, weergeven en beheren met behulp van Azure Monitor voor meer informatie.
Logboeken analyseren om clients te identificeren die aanvragen autoriseren met een gedeelde sleutel of SAS
Azure Storage-logboeken leggen details vast over aanvragen die zijn gedaan voor het opslagaccount, inclusief hoe een aanvraag is geautoriseerd. U kunt de logboeken analyseren om te bepalen welke clients aanvragen autoriseren met een gedeelde sleutel of een SAS-token.
Als u aanvragen wilt registreren bij uw Azure Storage-account om te evalueren hoe ze zijn geautoriseerd, kunt u Azure Storage-logboekregistratie gebruiken in Azure Monitor. Zie Azure Storage bewaken voor meer informatie.
Azure Storage logging in Azure Monitor ondersteunt logqueries om loggegevens te analyseren. Om logs te queryen, gebruik je een Azure Log Analytics-werkruimte. Voor meer informatie over logboekquery's, zie Zelfstudie: Aan de slag met Log Analytics-query's.
Een diagnostische instelling maken in Azure Portal
Als u Azure Storage-gegevens wilt registreren met Azure Monitor en deze wilt analyseren met Azure Log Analytics, moet u eerst een diagnostische instelling maken die aangeeft welke typen aanvragen en voor welke opslagservices u gegevens wilt vastleggen. Nadat u logboekregistratie voor uw opslagaccount hebt geconfigureerd, zijn de logboeken beschikbaar in de Log Analytics-werkruimte. Zie Een Log Analytics-werkruimte maken in Azure Portal om een werkruimte te maken.
Zie Diagnostische instellingen maken in Azure Monitor voor meer informatie over het maken van een diagnostische instelling in Azure Portal.
Zie Resourcelogboeken voor een verwijzing naar velden die beschikbaar zijn in Azure Storage-logboeken in Azure Monitor.
Querylogs voor verzoeken gedaan met een gedeelde sleutel of SAS
Azure Storage-logboeken in Azure Monitor bevatten het type autorisatie dat is gebruikt voor het indienen van een aanvraag bij een opslagaccount. Als u logboeken wilt ophalen voor aanvragen die in de afgelopen zeven dagen zijn geautoriseerd met een gedeelde sleutel of SAS, opent u uw Log Analytics-werkruimte. Plak vervolgens de volgende query in een nieuwe logboekquery en voer deze uit. Deze query geeft de tien IP-adressen weer die vaak verzonden aanvragen hebben die zijn geautoriseerd met een gedeelde sleutel of SAS:
StorageBlobLogs
| where AuthenticationType in ("AccountKey", "SAS") and TimeGenerated > ago(7d)
| summarize count() by CallerIpAddress, UserAgentHeader, AccountName
| top 10 by count_ desc
U kunt ook een waarschuwingsregel configureren op basis van deze query om u op de hoogte te stellen van aanvragen die zijn geautoriseerd met een gedeelde sleutel of SAS. Zie Logboekwaarschuwingen maken, weergeven en beheren met Behulp van Azure Monitor voor meer informatie.
Autorisatie herstellen via gedeelde sleutel
Nadat u hebt geanalyseerd hoe aanvragen voor uw opslagaccount worden geautoriseerd, kunt u actie ondernemen om toegang via gedeelde sleutel te voorkomen. Maar eerst moet u alle toepassingen bijwerken die gebruikmaken van autorisatie voor gedeelde sleutels om in plaats daarvan Microsoft Entra-id te gebruiken. U kunt logboeken en metrische gegevens bewaken zoals beschreven in Detecteren van het type autorisatie dat door clienttoepassingen wordt gebruikt om de overgang bij te houden. Zie Toegang tot gegevens in Azure Storage autoriseren voor meer informatie over het gebruik van Microsoft Entra-id voor toegang tot gegevens in een opslagaccount.
Wanneer u zeker weet dat u aanvragen die zijn geautoriseerd met een gedeelde sleutel veilig kunt weigeren, kunt u de eigenschap AllowSharedKeyAccess instellen op false voor het opslagaccount.
Waarschuwing
Als clients momenteel toegang hebben tot gegevens in uw opslagaccount met gedeelde sleutel, raadt Microsoft u aan deze clients te migreren naar Microsoft Entra-id voordat u de toewijzing van gedeelde sleuteltoegang tot het opslagaccount ongedaan maakt.
Machtigingen voor het toestaan of ongedaan maken van toegang tot gedeelde sleutels
Als u de eigenschap AllowSharedKeyAccess voor het opslagaccount wilt instellen, moet een gebruiker machtigingen hebben voor het maken en beheren van opslagaccounts. De Azure RBAC-rollen (op rollen gebaseerd toegangsbeheer) die deze machtigingen bieden, zijn onder andere de actie Microsoft.Storage/storageAccounts/write of Microsoft.Storage/storageAccounts/*. Ingebouwde rollen met deze actie zijn onder andere:
- De Eigenaar-rol van Azure Resource Manager
- De rol Medewerker voor Azure Resource Manager
- De rol Bijdrager in het opslagaccount
Deze rollen bieden geen toegang tot gegevens in een opslagaccount via Microsoft Entra-id. Ze bevatten echter de Microsoft.Storage/storageAccounts/listkeys/action, die toegang verleent tot de accounttoegangssleutels. Met deze machtiging kan een gebruiker de toegangssleutels voor het account gebruiken om toegang te krijgen tot alle gegevens in een opslagaccount.
Roltoewijzingen moeten worden toegewezen aan het niveau van het opslagaccount of hoger, zodat een gebruiker toegang tot gedeelde sleutels voor het opslagaccount toestaat of niet toestaat. Zie Bereik begrijpen voor Azure RBAC voor meer informatie over rolbereik.
Wees voorzichtig met het beperken van de toewijzing van deze rollen aan degenen die de mogelijkheid nodig hebben om een opslagaccount te maken of de eigenschappen ervan bij te werken. Gebruik het principe van minimale bevoegdheden om ervoor te zorgen dat gebruikers de minste machtigingen hebben die ze nodig hebben om hun taken uit te voeren. Zie Best practices voor Azure RBAC voor meer informatie over het beheren van toegang met Azure RBAC.
Notitie
De klassieke abonnementsbeheerdersrollen Servicebeheerder en Medebeheerder bevatten het equivalent van de rol Azure Resource Manager-eigenaar. De rol Eigenaar bevat alle acties, zodat een gebruiker met een van deze beheerdersrollen ook opslagaccounts kan maken en beheren. Zie Azure-rollen, Microsoft Entra-rollen en klassieke abonnementsbeheerdersrollen voor meer informatie.
Autorisatie van gedeelde sleutels uitschakelen
Door een account te gebruiken dat de benodigde rechten heeft, schakel je de autorisatie van gedeelde sleutels uit in het Azure-portaal, met PowerShell, of door gebruik te maken van de Azure CLI.
Voer de volgende stappen uit om autorisatie van gedeelde sleutels voor een opslagaccount in Azure Portal niet toe te laten:
Navigeer naar uw opslagaccount in de Azure-portal.
Zoek de configuratie-instelling onder Instellingen.
Stel Toegang tot opslagaccountsleutel toestaan in op Uitgeschakeld.
Nadat je de autorisatie van gedeelde sleutels hebt afgekeurd, mislukt een verzoek aan het opslagaccount via de gedeelde sleutelautorisatie met foutcode 403 (Verboden). Azure Storage geeft een foutmelding dat sleutelgebaseerde autorisatie niet is toegestaan op het opslagaccount.
De eigenschap AllowSharedKeyAccess wordt ondersteund voor opslagaccounts die alleen gebruikmaken van het Azure Resource Manager-implementatiemodel. Zie Typen opslagaccounts voor informatie over welke opslagaccounts gebruikmaken van het Azure Resource Manager-implementatiemodel.
Om te bevestigen dat autorisatie van gedeelde sleutels is uitgeschakeld, zie Verifiëren dat toegang tot gedeelde sleutel niet is toegestaan.
Controleer of toegang tot gedeelde sleutels niet is toegestaan
De allowSharedKeyAccess eigenschap geeft alleen false terug nadat je de autorisatie van gedeelde sleutels voor het opslagaccount hebt uitgeschakeld. Om te verifiëren dat Shared Key-autorisatie niet langer is toegestaan, raadpleeg je de instellingen van het Azure Storage Account met het volgende commando. Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden.
az storage account show \
--name <storage-account-name> \
--resource-group <resource-group-name> \
--query "allowSharedKeyAccess"
De opdracht retourneert onwaar als autorisatie van gedeelde sleutels niet is toegestaan voor het opslagaccount.
Notitie
Anonieme verzoeken zijn niet geautoriseerd en gaan door als je het opslagaccount en de container hebt geconfigureerd voor anonieme leestoegang. Zie Anonieme leestoegang configureren voor containers en blobs voor meer informatie.
Controleer de Azure Policy op naleving
Nadat gedeelde sleuteltoegang voor de gewenste opslagaccounts is opgeheven, blijft u het beleid bewaken dat u eerder hebt gemaakt voor doorlopende naleving. Voer op basis van de bewakingsresultaten de juiste actie uit, waaronder het wijzigen van het bereik van het beleid, het ongedaan maken van de toewijzing van gedeelde sleutels voor meer accounts of het toestaan van accounts waar meer tijd nodig is voor herstel.
Azure Policy bijwerken om toegang tot gedeelde sleutels te voorkomen
Als u wilt beginnen met het afdwingen van de Azure Policy-toewijzing die u eerder hebt gemaakt voor het beleid 'Opslagaccounts moeten gedeelde sleuteltoegang voorkomen', wijzig het Effect van de beleidstoewijzing naar Weigeren om te voorkomen dat geautoriseerde gebruikers gedeelde sleuteltoegang toestaan op opslagaccounts. Voer de volgende stappen uit om het effect van het beleid te wijzigen:
Zoek en selecteer op het Azure Policy-dashboard de beleidstoewijzing die u eerder hebt gemaakt.
Selecteer Opdracht bewerken.
Ga naar het tabblad Parameters .
Deselecteer het selectievakje Alleen parameters weergeven die invoer nodig hebben of beoordeling vereisen.
Verander in de vervolgkeuzelijst Effect van Audit naar Weigeren, en kies vervolgens Controleren + opslaan.
Controleer uw wijzigingen op het tabblad Controleren en opslaan en selecteer Opslaan.
Notitie
Het kan tot 30 minuten duren voordat uw beleidswijziging van kracht wordt.