Przechowywanie danych obiektów blob o krytycznym znaczeniu dla działania firmy z niezmienialnym magazynem w jednokrotnym zapisie, odczytywanie wielu stanów (WORM)
Funkcja magazynu niezmienialnego w usłudze Azure Blob Storage umożliwia użytkownikom przechowywanie danych krytycznych dla działania firmy w stanie WORM („Write Once Read Many” — jednorazowy zapis i wielokrotny odczyt). W stanie WORM nie można modyfikować ani usuwać danych dla interwału określonego przez użytkownika. Konfigurując zasady niezmienności dla danych obiektów blob, można chronić dane przed zastępowaniem i usuwaniem.
Niezmienny magazyn dla usługi Azure Blob Storage obsługuje dwa typy zasad niezmienności:
Zasady przechowywania na podstawie czasu: w przypadku zasad przechowywania na podstawie czasu użytkownicy mogą ustawiać zasady przechowywania danych dla określonego interwału. Po ustawieniu zasad przechowywania na podstawie czasu można tworzyć i odczytywać obiekty, ale nie modyfikować ani usuwać. Po wygaśnięciu okresu przechowywania można usunąć obiekty, ale nie zostaną zastąpione.
Zasady archiwizacji ze względów prawnych: archiwizacja ze względów prawnych przechowuje niezmienne dane do momentu jawnego wyczyszczenia archiwizacji ze względów prawnych. Po ustawieniu archiwizacji ze względów prawnych można tworzyć i odczytywać obiekty, ale nie modyfikować ani usuwać.
Te zasady można ustawić jednocześnie jako siebie. Na przykład użytkownik może mieć zarówno zasady przechowywania na podstawie czasu, jak i archiwizację prawną ustawioną na tym samym poziomie i jednocześnie. Aby zapis zakończył się pomyślnie, musisz mieć włączoną obsługę wersji lub nie mieć żadnych zasad archiwizacji ze względów prawnych lub przechowywania na podstawie czasu na danych. Aby usunięcie zakończyło się powodzeniem, nie może istnieć również zasada archiwizacji ze względów prawnych ani przechowywania na podstawie czasu.
Na poniższym diagramie pokazano, jak zasady przechowywania oparte na czasie i zasady prawne uniemożliwiają operacje zapisu i usuwania, gdy są one w mocy.
Istnieją dwie funkcje w ramach niezmiennego parasola magazynu: WORM na poziomie kontenera i WORM na poziomie wersji. Funkcja WORM na poziomie kontenera umożliwia ustawianie zasad tylko na poziomie kontenera, natomiast funkcja WORM na poziomie wersji umożliwia ustawianie zasad na poziomie konta, kontenera lub wersji.
Informacje o niezmiennym magazynie dla obiektów blob
Niezmienny magazyn pomaga organizacjom opieki zdrowotnej, instytucjom finansowym i powiązanym branżom — szczególnie organizacjom brokera—dealerom — bezpieczne przechowywanie danych. Magazyn niezmienny może być używany w dowolnym scenariuszu w celu ochrony krytycznych danych przed modyfikacją lub usunięciem.
Typowe zastosowania tej funkcji to:
Zgodność z przepisami: Niezmienny magazyn dla usługi Azure Blob Storage pomaga organizacjom rozwiązać problem SEC 17a-4(f), CFTC 1.31(d), FINRA i inne przepisy.
Bezpieczne przechowywanie dokumentów: niezmienny magazyn obiektów blob gwarantuje, że dane nie mogą być modyfikowane ani usuwane przez żadnego użytkownika, nawet przez użytkowników z uprawnieniami administracyjnymi konta.
Archiwizacja ze względów prawnych: Niezmienny magazyn dla obiektów blob umożliwia użytkownikom przechowywanie poufnych informacji, które mają kluczowe znaczenie dla postępowania sądowego lub użytku biznesowego w stanie weryfikacji naruszenia przez żądany czas trwania do czasu usunięcia blokady. Ta funkcja nie jest ograniczona tylko do przypadków użycia ze względów prawnych, ale może być również uważana za blokadę opartą na zdarzeniach lub blokadę przedsiębiorstwa, gdzie wymagana jest ochrona danych na podstawie wyzwalaczy zdarzeń lub zasad firmowych.
Zgodność z przepisami
Firma Microsoft zachowała wiodącą niezależną firmę oceniającą, która specjalizuje się w zarządzaniu rekordami i zarządzaniu informacjami, cohasset Associates, aby ocenić niezmienny magazyn obiektów blob i jego zgodność z wymaganiami specyficznymi dla branży usług finansowych. Cohasset zweryfikował, że niezmienny magazyn, w przypadku użycia do przechowywania obiektów blob w stanie WORM, spełnia odpowiednie wymagania dotyczące magazynu reguły CFTC 1.31(c)-(d), reguła FINRA 4511 i reguła SEC 17a-4(f). Firma Microsoft kierowała ten zestaw reguł, ponieważ stanowią one najbardziej nakazowe wskazówki globalnie dotyczące przechowywania rekordów dla instytucji finansowych.
Raport Cohasset jest dostępny w Centrum zaufania usług firmy Microsoft. Centrum zaufania Azure zawiera szczegółowe informacje o certyfikatach zgodności firmy Microsoft. Aby poprosić o pismo zaświadczania od firmy Microsoft dotyczące zgodności niezmienności WORM, skontaktuj się z pomocą techniczną platformy Azure.
Zasady przechowywania na podstawie czasu
Zasady przechowywania na podstawie czasu przechowują dane obiektów blob w formacie WORM dla określonego interwału. Po ustawieniu zasad przechowywania na podstawie czasu klienci mogą tworzyć i odczytywać obiekty blob, ale nie mogą ich modyfikować ani usuwać. Po wygaśnięciu interwału przechowywania można usunąć obiekty blob, ale nie zostaną zastąpione.
Scope
Zasady przechowywania na podstawie czasu można skonfigurować w następujących zakresach:
- Zasady WORM na poziomie wersji: zasady przechowywania na podstawie czasu można skonfigurować na poziomie konta, kontenera lub wersji. Jeśli jest on skonfigurowany na poziomie konta lub kontenera, będzie dziedziczony przez wszystkie obiekty blob w odpowiednim koncie lub kontenerze. Jeśli kontener znajduje się w stanie archiwizacji ze względów prawnych, nie można utworzyć WORM na poziomie wersji dla tego samego kontenera. Dzieje się tak, ponieważ wersje nie mogą być generowane z powodu archiwizacji ze względów prawnych.
- Zasady WORM na poziomie kontenera: zasady przechowywania oparte na czasie skonfigurowane na poziomie kontenera dotyczą wszystkich obiektów blob w tym kontenerze. Nie można skonfigurować poszczególnych obiektów blob przy użyciu własnych zasad niezmienności.
Interwał przechowywania zasad opartych na czasie
Minimalny interwał przechowywania dla zasad przechowywania na podstawie czasu wynosi jeden dzień, a maksymalna wartość to 146 000 dni (400 lat). Podczas konfigurowania zasad przechowywania na podstawie czasu obiekty, których dotyczy problem, pozostają w stanie niezmiennym w okresie efektywnego przechowywania. Obowiązujący okres przechowywania obiektów jest równy różnicy między czasem tworzenia obiektu blob a interwałem przechowywania określonym przez użytkownika. Ponieważ interwał przechowywania zasad można rozszerzyć, niezmienny magazyn używa najnowszej wartości interwału przechowywania określonego przez użytkownika, aby obliczyć obowiązujący okres przechowywania.
Załóżmy na przykład, że użytkownik tworzy zasady przechowywania na podstawie czasu z interwałem przechowywania wynoszącym pięć lat. Istniejący obiekt blob w tym kontenerze, testblob1, został utworzony rok temu, więc skuteczny okres przechowywania dla elementu testblob1 wynosi cztery lata. Gdy nowy obiekt blob, testblob2, zostanie przekazany do kontenera, obowiązujący okres przechowywania dla obiektu testblob2 wynosi pięć lat od momentu jego utworzenia.
Zasady zablokowane i odblokowane
Podczas pierwszego konfigurowania zasad przechowywania na podstawie czasu zasady są odblokowywane do celów testowych. Po zakończeniu testowania można zablokować zasady, tak aby była w pełni zgodna z sec 17a-4(f) i innymi przepisami.
Zarówno zablokowane, jak i odblokowane zasady chronią przed usunięciem i zastąpieniem. Można jednak zmodyfikować odblokowane zasady, skracając lub przedłużając okres przechowywania. Można również usunąć odblokowane zasady. Nie można usunąć zablokowanych zasad przechowywania na podstawie czasu. Okres przechowywania można przedłużyć, ale nie można go zmniejszyć. Maksymalna liczba pięciu zwiększa się do obowiązującego okresu przechowywania w okresie istnienia zablokowanych zasad zdefiniowanych na poziomie kontenera. W przypadku zasad skonfigurowanych dla wersji obiektu blob nie ma limitu liczby wzrostów do okresu obowiązywania.
Ważne
Zasady przechowywania na podstawie czasu muszą być zablokowane, aby obiekt blob był w stanie niezmiennym (zapis i usuwanie chroniony) dla sec 17a-4(f) i innych zgodności z przepisami. Firma Microsoft zaleca zablokowanie zasad w rozsądnym czasie, zazwyczaj krótszym niż 24 godziny. Mimo że stan odblokowany zapewnia ochronę niezmienności, używanie stanu odblokowanego do dowolnego celu innego niż testowanie krótkoterminowe nie jest zalecane.
Rejestrowanie inspekcji zasad przechowywania
Każdy kontener z włączonymi zasadami przechowywania na podstawie czasu udostępnia dziennik inspekcji zasad. Dziennik inspekcji zawiera maksymalnie siedem poleceń przechowywania na podstawie czasu dla zablokowanych zasad przechowywania na podstawie czasu. Rejestrowanie jest zwykle uruchamiane po zablokowaniu zasad. Wpisy dziennika obejmują identyfikator użytkownika, typ polecenia, sygnatury czasowe i interwał przechowywania. Dziennik inspekcji jest zachowywany dla okresu istnienia zasad zgodnie z wytycznymi prawnymi SEC 17a-4(f).
Dziennik aktywności platformy Azure zawiera bardziej kompleksowy dziennik wszystkich działań usługi zarządzania. Dzienniki zasobów platformy Azure zachowują informacje o operacjach danych. Użytkownik ponosi odpowiedzialność za trwałe przechowywanie tych dzienników, co może być wymagane do celów regulacyjnych lub innych.
Zmiany zasad przechowywania na podstawie czasu na poziomie wersji nie są poddawane inspekcji.
Archiwizacja ze względów prawnych
Archiwizacja prawna to tymczasowa zasada niezmienności, którą można zastosować do celów badania prawnego lub ogólnych zasad ochrony. Archiwizacja ze względów prawnych przechowuje dane obiektów blob w formacie Write-Once, Read-Many (WORM), dopóki blokada nie zostanie jawnie wyczyszczone. Gdy blokada prawna jest w mocy, można tworzyć i odczytywać obiekty blob, ale nie modyfikować ani usuwać. Użyj archiwizacji ze względów prawnych, gdy okres, przez który dane muszą być przechowywane w stanie WORM, jest nieznany.
Scope
Zasady archiwizacji ze względów prawnych można skonfigurować w jednym z następujących zakresów:
Zasady WORM na poziomie wersji: można skonfigurować archiwizację prawną na poziomie poszczególnych obiektów blob w celu szczegółowego zarządzania poufnymi danymi.
Zasady WORM na poziomie kontenera: archiwizacja ze względów prawnych skonfigurowana na poziomie kontenera dotyczy wszystkich obiektów blob w tym kontenerze. Nie można skonfigurować poszczególnych obiektów blob przy użyciu własnych zasad niezmienności.
Tagi
Blokada prawna na poziomie kontenera musi być skojarzona z co najmniej jednym tagiem alfanumerycznym zdefiniowanym przez użytkownika, które służą jako ciągi identyfikatorów. Na przykład tag może zawierać identyfikator przypadku lub nazwę zdarzenia.
Rejestrowanie inspekcji
Każdy kontener z blokadą prawną zapewnia dziennik inspekcji zasad. Dziennik zawiera identyfikator użytkownika, typ polecenia, sygnatury czasowe i tagi archiwizacji ze względów prawnych. Dziennik inspekcji jest zachowywany dla okresu istnienia zasad zgodnie z wytycznymi prawnymi SEC 17a-4(f).
Dziennik aktywności platformy Azure zawiera bardziej kompleksowy dziennik wszystkich działań usługi zarządzania. Dzienniki zasobów platformy Azure zachowują informacje o operacjach danych. Użytkownik ponosi odpowiedzialność za trwałe przechowywanie tych dzienników, co może być wymagane do celów regulacyjnych lub innych.
Zmiany w archiwizacji ze względów prawnych na poziomie wersji nie są poddawane inspekcji.
Opcje funkcji magazynu niezmiennego
W poniższej tabeli przedstawiono podział różnic między WORM na poziomie kontenera i WORM na poziomie wersji:
| Kategoria | WORM na poziomie kontenera | WORM na poziomie wersji |
|---|---|---|
| Poziom szczegółowości zasad | Zasady można skonfigurować tylko na poziomie kontenera. Każdy obiekt przekazany do kontenera dziedziczy niezmienny zestaw zasad. | Zasady można skonfigurować na poziomie konta, kontenera lub obiektu blob. Jeśli zasady są ustawione na poziomie konta, wszystkie obiekty blob przekazywane do tego konta dziedziczą zasady. Ta sama logika jest zgodna z kontenerami. Jeśli zasady są ustawione na wielu poziomach, kolejność pierwszeństwa to zawsze blob — kontener —>> konto. |
| Dostępne typy zasad | Na poziomie kontenera można ustawić dwa różne typy zasad: zasady przechowywania na podstawie czasu i blokady prawne. | Na poziomie konta i kontenera można ustawić tylko zasady przechowywania na podstawie czasu. Na poziomie obiektu blob można ustawić zarówno zasady przechowywania na podstawie czasu, jak i archiwizacje prawne. |
| Zależności funkcji | Żadne inne funkcje nie są wymaganiem wstępnym ani wymaganiem, aby ta funkcja działała. | Przechowywanie wersji jest wymaganiem wstępnym do użycia tej funkcji. |
| Włączanie dla istniejących kont/kontenera | Tę funkcję można włączyć w dowolnym momencie dla istniejących kontenerów. | W zależności od poziomu szczegółowości ta funkcja może nie być włączona dla wszystkich istniejących kont/kontenerów. |
| Usuwanie konta/kontenera | Gdy zasady przechowywania na podstawie czasu zostaną zablokowane w kontenerze, kontenery mogą zostać usunięte tylko wtedy, gdy są puste. | Po włączeniu funkcji WORM na poziomie wersji na poziomie konta lub kontenera można je usunąć tylko wtedy, gdy są puste. |
| Obsługa usługi Azure Data Lake Storage (konta magazynu z włączoną hierarchiczną przestrzenią nazw) | Zasady WORM na poziomie kontenera są obsługiwane na kontach, które mają hierarchiczną przestrzeń nazw. | Zasady WORM na poziomie wersji nie są jeszcze obsługiwane na kontach, które mają hierarchiczną przestrzeń nazw. |
Aby dowiedzieć się więcej o WORM na poziomie kontenera, zobacz Zasady WORM na poziomie kontenera. Aby dowiedzieć się więcej na temat WORM na poziomie wersji, odwiedź stronę zasady WORM na poziomie wersji.
Kontener-level vs version-level WORM
Poniższa tabela ułatwia podjęcie decyzji o typie zasad WORM do użycia.
| Kryterium | Użycie WORM na poziomie kontenera | Użycie WORM na poziomie wersji |
|---|---|---|
| Organizacja danych | Chcesz ustawić zasady dla określonych zestawów danych, które można podzielić na kategorie według kontenera. Wszystkie dane w tym kontenerze muszą być przechowywane w stanie WORM przez ten sam czas. | Nie można grupować obiektów według okresów przechowywania. Wszystkie obiekty blob muszą być przechowywane z indywidualnym czasem przechowywania na podstawie scenariuszy tego obiektu blob lub użytkownik ma mieszane obciążenie, aby niektóre grupy danych mogły być klastrowane w kontenery, podczas gdy inne obiekty blob nie mogą. Możesz również ustawić zasady na poziomie kontenera i zasady na poziomie obiektów blob w ramach tego samego konta. |
| Ilość danych, które wymagają niezmiennych zasad | Nie musisz ustawiać zasad dla ponad 10 000 kontenerów na konto. | Chcesz ustawić zasady dla wszystkich danych lub dużych ilości danych, które mogą być oddzielone według konta. Wiesz, że jeśli używasz WORM na poziomie kontenera, musisz przekroczyć limit 10 000 kontenerów. |
| Zainteresowanie włączaniem przechowywania wersji | Nie chcesz zajmować się włączaniem przechowywania wersji z powodu kosztów lub dlatego, że obciążenie utworzy wiele dodatkowych wersji do obsługi. | Chcesz użyć przechowywania wersji lub nie masz nic przeciwko jego użyciu. Wiesz, że jeśli nie włączają przechowywania wersji, nie można zachować zmian ani zastąpić niezmiennych obiektów blob jako oddzielnych wersji. |
| Lokalizacja magazynu (Blob Storage a Data Lake Storage) | Twoje obciążenie jest całkowicie skoncentrowane na usłudze Azure Data Lake Storage. Nie masz bezpośredniego zainteresowania ani nie planujesz przełączyć się na korzystanie z konta, które nie ma włączonej funkcji hierarchicznej przestrzeni nazw. | Twoje obciążenie znajduje się w usłudze Blob Storage na koncie, które nie ma włączonej funkcji hierarchicznej przestrzeni nazw i może teraz używać funkcji WORM na poziomie wersji lub chcesz poczekać na udostępnienie wersji dla kont z włączoną hierarchiczną przestrzenią nazw (Azure Data Lake Storage). |
Poziomy dostępu
Wszystkie warstwy dostępu do obiektów blob obsługują niezmienny magazyn. Warstwę dostępu obiektu blob można zmienić za pomocą operacji Ustaw warstwę obiektu blob. Aby uzyskać więcej informacji, zobacz Warstwy dostępu dla danych obiektów blob.
Konfiguracje nadmiarowości
Wszystkie konfiguracje nadmiarowości obsługują niezmienny magazyn. Aby uzyskać więcej informacji na temat konfiguracji nadmiarowości, zobacz Nadmiarowość usługi Azure Storage.
Zalecane typy obiektów blob
Firma Microsoft zaleca skonfigurowanie zasad niezmienności głównie dla blokowych obiektów blob i uzupełnialnych obiektów blob. Skonfigurowanie zasad niezmienności dla stronicowego obiektu blob przechowującego dysk VHD dla aktywnej maszyny wirtualnej jest odradzane, ponieważ zapisy na dysku zostaną zablokowane lub jeśli włączono przechowywanie wersji, każdy zapis jest przechowywany jako nowa wersja. Firma Microsoft zaleca dokładne przejrzenie dokumentacji i przetestowanie scenariuszy przed zablokowaniem zasad opartych na czasie.
Niezmienny magazyn z usuwaniem nietrwałym obiektów blob
Gdy usuwanie nietrwałe obiektu blob jest skonfigurowane dla konta magazynu, ma zastosowanie do wszystkich obiektów blob w ramach konta niezależnie od tego, czy obowiązują zasady archiwizacji ze względów prawnych czy przechowywania na podstawie czasu. Firma Microsoft zaleca włączenie usuwania nietrwałego w celu zapewnienia dodatkowej ochrony przed zastosowaniem jakichkolwiek zasad niezmienności.
Jeśli włączysz usuwanie nietrwałe obiektu blob, a następnie skonfigurujesz zasady niezmienności, wszystkie obiekty blob, które zostały już usunięte nietrwałe, zostaną trwale usunięte po wygaśnięciu zasad przechowywania usuwania nietrwałego. Obiekty blob usunięte nietrwale można przywrócić w okresie przechowywania usuwania nietrwałego. Obiekt blob lub wersja, która nie została jeszcze usunięta nietrwało, jest chroniona przez zasady niezmienności i nie może zostać usunięta nietrwale, dopóki zasady przechowywania na podstawie czasu nie wygasły lub archiwizacja prawna zostanie usunięta.
Śledzenie zasad niezmienności za pomocą spisu obiektów blob
Spis obiektów blob usługi Azure Storage zawiera omówienie kontenerów na kontach magazynu oraz obiektów blob, migawek i wersji obiektów blob. Raport spisu obiektów blob umożliwia zrozumienie atrybutów obiektów blob i kontenerów, w tym tego, czy zasób ma skonfigurowane zasady niezmienności.
Po włączeniu spisu obiektów blob usługa Azure Storage generuje codziennie raport spisu. Raport zawiera omówienie danych dotyczących wymagań biznesowych i zgodności.
Aby uzyskać więcej informacji na temat spisu obiektów blob, zobacz Spis obiektów blob usługi Azure Storage.
Uwaga
Nie można skonfigurować zasad spisu na koncie, jeśli obsługa niezmienności na poziomie wersji jest włączona na tym koncie lub jeśli obsługa niezmienności na poziomie wersji jest włączona w kontenerze docelowym zdefiniowanym w zasadach spisu.
Konfigurowanie zasad na dużą skalę
Za pomocą zadania magazynu można skonfigurować zasady niezmienności na dużą skalę na wielu kontach magazynu na podstawie zestawu zdefiniowanych warunków. Zadanie magazynu to zasób dostępny w usłudze Azure Storage Actions. Platforma bezserwerowa, której można użyć do wykonywania typowych operacji na danych na milionach obiektów na wielu kontach magazynu. Aby dowiedzieć się więcej, zobacz Co to jest usługa Azure Storage Actions?.
Cennik
Za korzystanie z magazynu niezmiennego nie są naliczane dodatkowe opłaty za pojemność. Niezmienne dane są wyceniane w taki sam sposób, jak dane modyfikowalne. Jeśli używasz WORM na poziomie wersji, rachunek może być wyższy, ponieważ włączono przechowywanie wersji i istnieje koszt związany z przechowywaniem dodatkowych wersji. Aby uzyskać więcej informacji, zapoznaj się z zasadami cen przechowywania wersji. Aby uzyskać szczegółowe informacje o cenach usługi Azure Blob Storage, zobacz stronę cennika usługi Azure Storage.
Tworzenie, modyfikowanie lub usuwanie zasad przechowywania na podstawie czasu lub archiwizacja ze względów prawnych w wersji obiektu blob powoduje naliczanie opłaty za transakcję zapisu.
Jeśli nie zapłacisz rachunku, a Twoje konto ma aktywne zasady przechowywania na podstawie czasu, obowiązują normalne zasady przechowywania danych zgodnie z postanowieniami umowy z firmą Microsoft. Aby uzyskać ogólne informacje, zobacz Zarządzanie danymi w firmie Microsoft.
Obsługa funkcji
Ta funkcja jest niezgodna z przywracaniem do punktu w czasie i ostatnim śledzeniem dostępu. Ta funkcja jest zgodna z nieplanowanym trybem failover zarządzanym przez klienta, jednak wszelkie zmiany wprowadzone w zasadach niezmiennych po ostatniej synchronizacji (takie jak blokowanie zasad przechowywania na podstawie czasu, rozszerzanie go itp.) nie zostaną zsynchronizowane z regionem pomocniczym. Po zakończeniu pracy w trybie failover można ponownie wprowadzić zmiany w regionie pomocniczym, aby upewnić się, że jest ona aktualna z wymaganiami niezmienności. Zasady niezmienności nie są obsługiwane na kontach z włączonym protokołem sieciowego systemu plików (NFS) 3.0 ani protokołem SSH File Transfer Protocol (SFTP).
Niektóre obciążenia, takie jak kopia zapasowa SQL do adresu URL, tworzą obiekt blob, a następnie dodaj do niego. Jeśli kontener ma aktywne zasady przechowywania na podstawie czasu lub archiwizację ze względów prawnych, ten wzorzec nie powiedzie się. Aby uzyskać więcej szczegółów, zobacz Zezwalaj na zapisywanie chronionych uzupełnialnych obiektów blob.
Aby uzyskać więcej informacji, zobacz Obsługa funkcji usługi Blob Storage na kontach usługi Azure Storage.