Включение шифрования инфраструктуры для двойного шифрования данных

служба хранилища Azure автоматически шифрует все данные в учетной записи хранения на уровне обслуживания с помощью 256-разрядного шифрования AES с шифрованием режима GCM, одним из самых сильных доступных шифров блоков и соответствует стандарту FIPS 140-2. Клиенты, которым требуется более высокий уровень уверенности в том, что их данные защищены, также могут включить 256-разрядный AES с шифрованием CBC на уровне инфраструктуры служба хранилища Azure для двойного шифрования. Двойное шифрование служба хранилища Azure данных защищает от сценария, в котором может быть скомпрометирован один из алгоритмов шифрования или ключей. В этом сценарии дополнительный уровень шифрования сохраняется для защиты данных.

Шифрование инфраструктуры можно включить для всей учетной записи хранения или для области шифрования в пределах учетной записи. Если шифрование инфраструктуры включено для учетной записи хранения или области шифрования, данные в учетной записи хранения шифруются дважды: один раз на уровне службы и один раз на уровне инфраструктуры с использованием двух разных алгоритмов шифрования и двух разных ключей.

Шифрование на уровне обслуживания поддерживает использование управляемых корпорацией Майкрософт ключей или ключей, управляемых клиентом, с помощью Azure Key Vault или управляемой аппаратной модели безопасности Key Vault (HSM). Шифрование на уровне инфраструктуры основано на ключах, управляемых корпорацией Майкрософт, и всегда использует отдельный ключ. Дополнительные сведения об управлении ключами с помощью шифрования службы хранилища Azure см. в разделе Сведения об управлении ключами шифрования.

Чтобы удвоить шифрование данных, необходимо сначала создать учетную запись хранения или область шифрования, настроенную для шифрования инфраструктуры. В этой статье описывается включение шифрования инфраструктуры.

Внимание

Шифрование инфраструктуры рекомендуется для сценариев, когда для требований соответствия требованиям требуется двойное шифрование данных. В большинстве других сценариев шифрование служба хранилища Azure обеспечивает достаточно мощный алгоритм шифрования, и вряд ли будет полезно использовать шифрование инфраструктуры.

Создание учетной записи с включенным шифрованием инфраструктуры

Чтобы включить шифрование инфраструктуры для учетной записи хранения, необходимо настроить учетную запись хранения для использования шифрования инфраструктуры во время создания учетной записи. После создания учетной записи шифрование инфраструктуры не может быть включено или отключено. Учетная запись хранения должна иметь тип общего назначения версии 2, блочный BLOB-объект уровня "Премиум", "Премиум" или общий двоичный объект ценовой категории "Премиум".

Портал Azure

Чтобы использовать портал Azure для создания учетной записи хранения с включенным шифрованием инфраструктуры, выполните следующие действия.

1. Перейдите на портале Azure на страницу Учетная запись хранения.

2. Нажмите кнопку "Добавить", чтобы добавить новую учетную запись общего назначения версии 2, блочный BLOB-объект ценовой категории "Премиум", "Премиум" или "Премиум".

3. На вкладке "Шифрование" найдите параметр "Включить шифрование инфраструктуры" и выберите "Включено".

4. Выберите Просмотреть и создать, чтобы завершить создание учетной записи хранения.

   

Чтобы проверить, включено ли шифрование инфраструктуры для учетной записи хранения на портале Azure, выполните следующие действия.

1. Войдите в свою учетную запись хранения на портале Azure.

2. В разделе "Безопасность и сеть" выберите "Шифрование".

   

PowerShell

Чтобы использовать PowerShell для создания учетной записи хранения с включенным шифрованием инфраструктуры, убедитесь, что установлен модуль PowerShell Az.Storage версии 2.2.0 или более поздней. Дополнительные сведения см. в статье Установка Azure PowerShell.

Затем создайте учетную запись хранения общего назначения версии 2, блочный BLOB-объект уровня "Премиум", "Премиум" или учетную запись хранения общих папок уровня "Премиум", вызвав команду New-AzStorageAccount . Включите параметр -RequireInfrastructureEncryption для включения шифрования инфраструктуры.

В следующем примере показано, как создать учетную запись хранения общего назначения версии 2, настроенную для геоизбыточного хранилища с доступом на чтение (RA-GRS), и включить шифрование инфраструктуры для двойного шифрования данных. Не забудьте заменить значения заполнителей в скобках собственными значениями.

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -AllowBlobPublicAccess $false `
    -RequireInfrastructureEncryption

Чтобы проверить, включено ли шифрование инфраструктуры для учетной записи хранения, вызовите команду Get-AzStorageAccount. Эта команда возвращает свойства учетной записи хранения и их значения. Получите поле RequireInfrastructureEncryption в свойстве Encryption и убедитесь, что оно имеет значение True.

В следующем примере извлекается значение свойства RequireInfrastructureEncryption. Не забудьте заменить значения заполнителей в угловых скобках собственными значениями.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.RequireInfrastructureEncryption

Azure CLI

Чтобы создать учетную запись хранения с помощью Azure CLI, для которой будет включено шифрование инфраструктуры, установите модуль Azure CLI версии не ранее 2.8.0. Дополнительные сведения см. в статье Установка Azure CLI.

Затем создайте учетную запись общего назначения версии 2, блочный BLOB-объект уровня "Премиум", "Премиум" или учетную запись общего файлового ресурса уровня "Премиум", вызвав команду az storage account create и включите --require-infrastructure-encryption option шифрование инфраструктуры.

В следующем примере показано, как создать учетную запись хранения общего назначения версии 2, настроенную для геоизбыточного хранилища с доступом на чтение (RA-GRS), и включить шифрование инфраструктуры для двойного шифрования данных. Не забудьте заменить значения заполнителей в скобках собственными значениями.

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --require-infrastructure-encryption

Чтобы проверить, включено ли шифрование инфраструктуры для учетной записи хранения, вызовите команду az storage account show. Эта команда возвращает свойства учетной записи хранения и их значения. Найдите поле requireInfrastructureEncryption в свойстве encryption и убедитесь, что оно имеет значение true.

В следующем примере извлекается значение свойства requireInfrastructureEncryption. Не забудьте заменить значения заполнителей в угловых скобках собственными значениями.

az storage account show /
    --name <storage-account> /
    --resource-group <resource-group>

Шаблон

В следующем примере JSON показано, как создать учетную запись хранения общего назначения версии 2, настроенную для геоизбыточного хранилища с доступом на чтение (RA-GRS), и включить шифрование инфраструктуры для двойного шифрования данных. Не забудьте заменить значения заполнителей в скобках собственными значениями.

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "keySource": "Microsoft.Storage",
                "requireInfrastructureEncryption": true,
                "services": {
                    "blob": { "enabled": true },
                    "file": { "enabled": true }
              }
            }
        }
    }
],

Политика Azure предоставляет встроенную политику, требующую включения шифрования инфраструктуры для учетной записи хранения. Дополнительные сведения см. в разделе Хранилище статьи Встроенные определения политик в Политике Azure.

Создание области шифрования с включенным шифрованием инфраструктуры

Если шифрование инфраструктуры включено для учетной записи, то каждая область шифрования, созданная в этой учетной записи, автоматически использует шифрование инфраструктуры. Если шифрование инфраструктуры не включено на уровне учетной записи, можно включить его для области шифрования при создании области. Параметр шифрования инфраструктуры для области шифрования нельзя изменить после создания области. Дополнительные сведения см. в статье Создание области шифрования.

Следующие шаги

• Шифрование службы хранилища Azure для неактивных данных
• Ключи, управляемые клиентом, для шифрования службы хранилища Azure
• Области шифрования для хранилища BLOB-объектов