Overzicht van gegevensbescherming

Artikel
06/17/2024

Azure Storage biedt gegevensbeveiliging voor Blob Storage en Azure Data Lake Storage Gen2 om u voor te bereiden op scenario's waarin u gegevens moet herstellen die zijn verwijderd of overschreven. Het is belangrijk om na te denken over hoe u uw gegevens het beste kunt beveiligen voordat er een incident optreedt dat deze kan in gevaar komen. Deze handleiding kan u helpen vooraf te bepalen welke functies voor gegevensbeveiliging uw scenario nodig heeft en hoe u deze implementeert. Als u gegevens moet herstellen die zijn verwijderd of overschreven, biedt dit overzicht ook richtlijnen over hoe u kunt doorgaan, op basis van uw scenario.

In de Documentatie van Azure Storage verwijst gegevensbeveiliging naar strategieën voor het beveiligen van het opslagaccount en de gegevens in het account, van verwijdering of wijziging, of voor het herstellen van gegevens nadat het is verwijderd of gewijzigd. Azure Storage biedt ook opties voor herstel na noodgevallen, waaronder meerdere redundantieniveaus om uw gegevens te beschermen tegen servicestoringen vanwege hardwareproblemen of natuurrampen, en door de klant beheerde failover in het geval dat het datacenter in de primaire regio niet meer beschikbaar is. Zie Herstel na noodgevallen voor meer informatie over hoe uw gegevens worden beveiligd tegen servicestoringen.

Aanbevelingen voor basisgegevensbescherming

Als u op zoek bent naar basisdekking voor gegevensbescherming voor uw opslagaccount en de gegevens die het bevat, raadt Microsoft u aan om te beginnen de volgende stappen uit te voeren:

Configureer een Azure Resource Manager-vergrendeling voor het opslagaccount om het account te beschermen tegen verwijdering of configuratiewijzigingen. Meer informatie...
Schakel voorlopig verwijderen van containers in voor het opslagaccount om een verwijderde container en de inhoud ervan te herstellen. Meer informatie...
Sla de status van een blob regelmatig op:
- Voor Blob Storage-workloads schakelt u blobversiebeheer in om de status van uw gegevens automatisch op te slaan telkens wanneer een blob wordt overschreven. Meer informatie...
- Voor Azure Data Lake Storage-workloads maakt u handmatige momentopnamen om de status van uw gegevens op een bepaald moment op te slaan. Meer informatie...

Deze opties, evenals andere opties voor gegevensbeveiliging voor andere scenario's, worden uitgebreid beschreven in de volgende sectie.

Zie Overzicht van kostenoverwegingen voor een overzicht van de kosten die bij deze functies zijn betrokken.

Overzicht van opties voor gegevensbescherming

De volgende tabel bevat een overzicht van de opties die beschikbaar zijn in Azure Storage voor algemene scenario's voor gegevensbeveiliging. Kies de scenario's die van toepassing zijn op uw situatie voor meer informatie over de beschikbare opties. Niet alle functies zijn op dit moment beschikbaar voor opslagaccounts waarvoor een hiërarchische naamruimte is ingeschakeld.

Scenario	Optie voor gegevensbeveiliging	Aanbevelingen	Beveiligingsvoordeel	Beschikbaar voor Data Lake Storage
Voorkomen dat een opslagaccount wordt verwijderd of gewijzigd.	Azure Resource Manager-vergrendeling Meer informatie...	Vergrendel al uw opslagaccounts met een Azure Resource Manager-vergrendeling om te voorkomen dat het opslagaccount wordt verwijderd.	Beveiligt het opslagaccount tegen verwijdering of configuratiewijzigingen. Beschermt containers of blobs in het account niet tegen verwijderen of overschrijven.	Ja
Voorkomen dat een blobversie wordt verwijderd voor een interval dat u bepaalt.	Onveranderbaarheidsbeleid voor een blobversie Meer informatie...	Stel een onveranderbaarheidsbeleid in voor een afzonderlijke blobversie om bedrijfskritieke documenten te beveiligen, bijvoorbeeld om te voldoen aan wettelijke of wettelijke nalevingsvereisten.	Beveiligt een blobversie tegen verwijderen en de metagegevens ervan worden overschreven. Met een overschrijfbewerking wordt een nieuwe versie gemaakt. Als ten minste één container onveranderbaarheid op versieniveau heeft ingeschakeld, wordt het opslagaccount ook beschermd tegen verwijdering. Het verwijderen van containers mislukt als er ten minste één blob in de container bestaat.	Nee
Voorkom dat een container en de bijbehorende blobs worden verwijderd of gewijzigd voor een interval dat u bepaalt.	Onveranderbaarheidsbeleid voor een container Meer informatie...	Stel een onveranderbaarheidsbeleid in voor een container om bedrijfskritieke documenten te beveiligen, bijvoorbeeld om te voldoen aan wettelijke of wettelijke nalevingsvereisten.	Beschermt een container en de bijbehorende blobs tegen alle verwijderingen en overschrijven. Wanneer een juridische bewaring of een op tijd gebaseerd bewaarbeleid van kracht is, wordt het opslagaccount ook beschermd tegen verwijdering. Containers waarvoor geen beleid voor onveranderbaarheid is ingesteld, worden niet beschermd tegen verwijdering.	Ja
Herstel een verwijderde container binnen een opgegeven interval.	Containers voorlopig verwijderen Meer informatie...	Schakel voorlopig verwijderen van containers in voor alle opslagaccounts, met een minimale bewaarperiode van zeven dagen. Schakel blobversiebeheer en voorlopig verwijderen van blobs in combinatie met voorlopig verwijderen van containers in om afzonderlijke blobs in een container te beveiligen. Sla containers op waarvoor verschillende bewaarperioden in afzonderlijke opslagaccounts zijn vereist.	Een verwijderde container en de inhoud ervan kunnen binnen de bewaarperiode worden hersteld. Alleen bewerkingen op containerniveau (bijvoorbeeld Container verwijderen) kunnen worden hersteld. Met voorlopig verwijderen van containers kunt u geen afzonderlijke blob in de container herstellen als die blob wordt verwijderd.	Ja
Sla de status van een blob automatisch op in een eerdere versie wanneer deze wordt overschreven.	Blob-versiebeheer Meer informatie...	Schakel blobversiebeheer in, samen met voorlopig verwijderen van containers en voorlopig verwijderen van blobs, voor opslagaccounts waarvoor u optimale beveiliging nodig hebt voor blobgegevens. Sla blobgegevens op waarvoor geen versiebeheer in een afzonderlijk account is vereist om de kosten te beperken.	Elke blob-schrijfbewerking maakt een nieuwe versie. De huidige versie van een blob kan worden hersteld vanuit een eerdere versie als de huidige versie wordt verwijderd of overschreven.	Nee
Herstel een verwijderde blob- of blobversie binnen een opgegeven interval.	Blob voorlopig verwijderen Meer informatie...	Schakel voorlopig verwijderen van blob in voor alle opslagaccounts, met een minimale bewaarperiode van zeven dagen. Schakel versiebeheer van blobs en voorlopig verwijderen van containers in samen met voorlopig verwijderen van blobs voor optimale beveiliging van blobgegevens. Sla blobs op die verschillende bewaarperioden in afzonderlijke opslagaccounts vereisen.	Een verwijderde blob- of blobversie kan binnen de bewaarperiode worden hersteld.	Ja
Herstel een set blok-blobs naar een eerder tijdstip.	Herstel naar een bepaald tijdstip Meer informatie...	Als u herstel naar een bepaald tijdstip wilt gebruiken om terug te keren naar een eerdere status, ontwerpt u uw toepassing om afzonderlijke blok-blobs te verwijderen in plaats van containers te verwijderen.	Een set blok-blobs kan op een bepaald punt in het verleden worden teruggezet naar hun status. Alleen bewerkingen die worden uitgevoerd op blok-blobs, worden teruggezet. Bewerkingen die worden uitgevoerd op containers, pagina-blobs of toevoeg-blobs, worden niet teruggezet.	Nee
Sla de status van een blob handmatig op een bepaald tijdstip op.	Blob-momentopname Meer informatie...	Aanbevolen als alternatief voor blobversiebeheer wanneer versiebeheer niet geschikt is voor uw scenario, vanwege kosten of andere overwegingen, of wanneer voor het opslagaccount een hiërarchische naamruimte is ingeschakeld.	Een blob kan worden hersteld vanuit een momentopname als de blob wordt overschreven. Als de blob wordt verwijderd, worden ook momentopnamen verwijderd.	Ja, in preview
Een blob kan worden verwijderd of overschreven, maar de gegevens worden regelmatig gekopieerd naar een tweede opslagaccount.	Roll-your-own solution for copy data to a second account by using Azure Storage object replication or a tool like AzCopy or Azure Data Factory.	Aanbevolen voor bescherming tegen onverwachte opzettelijke acties of onvoorspelbare scenario's. Maak het tweede opslagaccount in dezelfde regio als het primaire account om uitgaande kosten te voorkomen.	Gegevens kunnen worden hersteld vanuit het tweede opslagaccount als het primaire account op geen enkele manier wordt aangetast.	AzCopy en Azure Data Factory worden ondersteund. Objectreplicatie wordt niet ondersteund.

Gegevensbeveiliging per resourcetype

De volgende tabel bevat een overzicht van de opties voor gegevensbeveiliging van Azure Storage op basis van de resources die ze beveiligen.

Optie voor gegevensbeveiliging	Beschermt een account tegen verwijdering	Beschermt een container tegen verwijdering	Beschermt een object tegen verwijdering	Beschermt een object tegen overschrijven
Azure Resource Manager-vergrendeling	Ja	Geen¹	Nee	Nr.
Onveranderbaarheidsbeleid voor een blobversie	Ja²	Ja³	Ja	Ja⁴
Onveranderbaarheidsbeleid voor een container	Ja⁵	Ja	Ja	Ja
Containers voorlopig verwijderen	Nr.	Ja	No	Nr.
Blob-versiebeheer⁶	Nee	No	Ja	Ja
Blob voorlopig verwijderen	Nee	No	Ja	Ja
Herstel naar een^{bepaald tijdstip 6}	Nee	No	Ja	Ja
Blob-momentopname	Nee	No	No	Ja
Uw eigen oplossing voor het kopiëren van gegevens naar een tweede account⁷	Nr.	Ja	Ja	Ja

¹ Een Azure Resource Manager-vergrendeling beschermt een container niet tegen verwijdering.
² Verwijderen van opslagaccount mislukt als er ten minste één container is waarvoor onveranderbare opslag op versieniveau is ingeschakeld.
³ Containerverwijdering mislukt als er ten minste één blob in de container bestaat, ongeacht of het beleid is vergrendeld of ontgrendeld.
⁴ Bij het overschrijven van de inhoud van de huidige versie van de blob wordt een nieuwe versie gemaakt. Een beleid voor onveranderbaarheid beschermt de metagegevens van een versie tegen overschreven.
⁵ Hoewel een juridische bewaring of een op tijd gebaseerd bewaarbeleid van kracht is op containerbereik, wordt het opslagaccount ook beschermd tegen verwijdering.
⁶ Momenteel niet ondersteund voor Data Lake Storage-workloads.
⁷ AzCopy en Azure Data Factory zijn opties die worden ondersteund voor zowel Blob Storage- als Data Lake Storage-workloads. Objectreplicatie wordt alleen ondersteund voor Blob Storage-workloads.

Verwijderde of overschreven gegevens herstellen

Als u gegevens wilt herstellen die zijn overschreven of verwijderd, is hoe u doorgaat, afhankelijk van welke opties voor gegevensbeveiliging u hebt ingeschakeld en welke resource is beïnvloed. In de volgende tabel worden de acties beschreven die u kunt uitvoeren om gegevens te herstellen.

Verwijderde of overschreven resource	Mogelijke herstelacties	Vereisten voor herstel
Opslagaccount	Poging om het verwijderde opslagaccount te herstellen Meer informatie...	Het opslagaccount is oorspronkelijk gemaakt met het Azure Resource Manager-implementatiemodel en is in de afgelopen 14 dagen verwijderd. Er is geen nieuw opslagaccount met dezelfde naam gemaakt sinds het oorspronkelijke account is verwijderd.
Container	De voorlopig verwijderde container en de inhoud ervan herstellen Meer informatie...	Voorlopig verwijderen van containers is ingeschakeld en de bewaarperiode voor voorlopig verwijderen van containers is nog niet verlopen.
Containers en blobs	Gegevens herstellen vanuit een tweede opslagaccount	Alle container- en blobbewerkingen zijn effectief gerepliceerd naar een tweede opslagaccount.
Blob (elk type)	Een blob herstellen vanuit een vorige versie¹ Meer informatie...	Blob-versiebeheer is ingeschakeld en de blob heeft een of meer eerdere versies.
Blob (elk type)	Een voorlopig verwijderde blob herstellen Meer informatie...	Voorlopig verwijderen van blobs is ingeschakeld en het bewaarinterval voor voorlopig verwijderen is niet verlopen.
Blob (elk type)	Een blob herstellen vanuit een momentopname Meer informatie...	De blob heeft een of meer momentopnamen.
Set blok-blobs	Een set blok-blobs herstellen naar hun status op een eerder tijdstip¹ Meer informatie...	Herstel naar een bepaald tijdstip is ingeschakeld en het herstelpunt valt binnen het bewaarinterval. Het opslagaccount is niet gecompromitteerd of beschadigd.
Blob-versie	Een voorlopig verwijderde versie^{1 herstellen} Meer informatie...	Voorlopig verwijderen van blobs is ingeschakeld en het bewaarinterval voor voorlopig verwijderen is niet verlopen.

¹ Momenteel niet ondersteund voor Data Lake Storage-workloads.

Overzicht van kostenoverwegingen

De volgende tabel bevat een overzicht van de kostenoverwegingen voor de verschillende opties voor gegevensbescherming die in deze handleiding worden beschreven.

Optie voor gegevensbeveiliging	Kostenoverwegingen
Azure Resource Manager-vergrendeling voor een opslagaccount	Er worden geen kosten in rekening gebracht voor het configureren van een vergrendeling voor een opslagaccount.
Onveranderbaarheidsbeleid voor een blobversie	Er worden geen kosten in rekening gebracht om onveranderbaarheid op versieniveau in te schakelen voor een container. Het maken, wijzigen of verwijderen van een bewaarbeleid op basis van tijd of juridische bewaring op een blobversie resulteert in een schrijftransactiekosten.
Onveranderbaarheidsbeleid voor een container	Er worden geen kosten in rekening gebracht voor het configureren van een onveranderbaarheidsbeleid voor een container.
Containers voorlopig verwijderen	Er worden geen kosten in rekening gebracht voor het inschakelen van voorlopig verwijderen van containers voor een opslagaccount. Gegevens in een voorlopig verwijderde container worden gefactureerd met hetzelfde tarief als actieve gegevens totdat de voorlopig verwijderde container permanent wordt verwijderd.
Blob-versiebeheer	Er worden geen kosten in rekening gebracht voor het inschakelen van blobversiebeheer voor een opslagaccount. Nadat blobversiebeheer is ingeschakeld, maakt elke schrijf- of verwijderbewerking op een blob in het account een nieuwe versie, wat kan leiden tot hogere capaciteitskosten. Een blobversie wordt gefactureerd op basis van unieke blokken of pagina's. De kosten nemen daarom toe naarmate de basisblob afwijkt van een bepaalde versie. Het wijzigen van de laag van een blob- of blobversie kan gevolgen hebben voor de facturering. Zie Prijzen en facturering voor meer informatie. Gebruik levenscyclusbeheer om oudere versies te verwijderen als dat nodig is om de kosten te beheren. Zie Kosten optimaliseren door Azure Blob Storage-toegangslagen te automatiseren voor meer informatie.
Blob voorlopig verwijderen	Er worden geen kosten in rekening gebracht voor het inschakelen van voorlopig verwijderen van blobs voor een opslagaccount. Gegevens in een voorlopig verwijderde blob worden gefactureerd met hetzelfde tarief als actieve gegevens totdat de voorlopig verwijderde blob permanent wordt verwijderd.
Herstel naar een bepaald tijdstip	Er worden geen kosten in rekening gebracht om herstel naar een bepaald tijdstip in te schakelen voor een opslagaccount; Het inschakelen van herstel naar een bepaald tijdstip maakt het echter ook mogelijk om blobversies, voorlopig verwijderen en wijzigingenfeed in te schakelen, die elk kunnen leiden tot andere kosten. U wordt gefactureerd voor herstel naar een bepaald tijdstip wanneer u een herstelbewerking uitvoert. De kosten van een herstelbewerking zijn afhankelijk van de hoeveelheid gegevens die wordt hersteld. Zie Prijzen en facturering voor meer informatie.
Blob-momentopnamen	Gegevens in een momentopname worden gefactureerd op basis van unieke blokken of pagina's. De kosten nemen daarom toe naarmate de basisblob afwijkt van de momentopname. Het wijzigen van een blob- of momentopnamelaag kan gevolgen hebben voor de facturering. Zie Prijzen en facturering voor meer informatie. Gebruik levenscyclusbeheer om zo nodig oudere momentopnamen te verwijderen om de kosten te beheren. Zie Kosten optimaliseren door Azure Blob Storage-toegangslagen te automatiseren voor meer informatie.
Gegevens kopiëren naar een tweede opslagaccount	Voor het onderhouden van gegevens in een tweede opslagaccount worden capaciteits- en transactiekosten in rekening gebracht. Als het tweede opslagaccount zich in een andere regio bevindt dan het bronaccount, worden er extra kosten in rekening gebracht bij het kopiëren van gegevens naar dat tweede account.

Herstel na noodgeval

Azure Storage onderhoudt altijd meerdere kopieën van uw gegevens, zodat deze worden beschermd tegen geplande en ongeplande gebeurtenissen, waaronder tijdelijke hardwarestoringen, netwerk- of stroomstoringen en enorme natuurrampen. Redundantie zorgt ervoor dat uw opslagaccount voldoet aan de beschikbaarheids- en duurzaamheidsdoelen, zelfs als er fouten optreden. Zie Azure Storage-redundantie voor meer informatie over het configureren van uw opslagaccount voor hoge beschikbaarheid.

Als er een fout optreedt in een datacenter, als uw opslagaccount redundant is in twee geografische regio's (geografisch redundant), hebt u de mogelijkheid om een failover van uw account uit te voeren van de primaire regio naar de secundaire regio. Zie Herstel na noodgevallen en failover van opslagaccounts voor meer informatie.

Door de klant beheerde failover wordt momenteel niet ondersteund voor opslagaccounts waarvoor een hiërarchische naamruimte is ingeschakeld. Zie Blob Storage-functies die beschikbaar zijn in Azure Data Lake Storage Gen2 voor meer informatie.

Delen via