你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Azure 备份中的安全功能概述

  • 项目

保护数据所要采取的最重要措施之一是使用可靠的备份基础结构。 但是，确保以安全方式备份数据并随时保护备份也同样重要。 Azure 备份为备份环境中的传输中数据和静态数据提供安全措施。 本文列出了 Azure 备份中的安全功能，这些功能可帮助你保护备份数据并满足企业的安全需求。

管理和控制标识与用户访问

恢复服务保管库使用的存储帐户是隔离的，恶意用户无法对其进行访问。 仅允许通过 Azure 备份管理操作（例如还原）进行访问。 借助 Azure 备份，可使用 Azure 基于角色的访问控制 (Azure RBAC) 通过精细访问权限来控制托管的操作。 使用 Azure RBAC 可以在团队内部实现职责分离，仅向用户授予完成其作业所需的访问权限。

Azure 备份提供了三个内置角色来控制备份管理操作：

  • 备份参与者：可创建和管理备份，但无法删除恢复服务保管库和向他人授予访问权限
  • 备份操作员：可执行参与者能做的所有操作，但无法删除备份和管理备份策略
  • 备份读取者：有权查看所有备份管理操作

详细了解用于管理 Azure 备份的 Azure 基于角色的访问控制。

Azure 备份服务中内置了多个安全控制机制，用于防止、检测和应对安全漏洞。 详细了解 Azure 备份的安全控制。

使用 Azure 备份进行数据隔离

使用 Azure 备份时，保管的备份数据存储在 Microsoft 托管的 Azure 订阅和租户中。 外部用户或来宾无法直接访问此备份存储或其内容，从而确保备份数据与数据源所在的生产环境隔离。

在 Azure 中，传输中的所有通信和数据都使用 HTTPS 和 TLS 1.2+ 协议安全地进行传输。 此数据保留在 Azure 主干网络上，确保可靠高效的数据传输。 默认情况下，使用 Microsoft 托管的密钥对静态备份数据进行加密。 如果需要更好地控制数据，你还可以使用自带密钥进行加密。 为了增强保护，你可以使用不可变性，可防止数据在其保留期之前被更改或删除。 Azure 备份提供了各种选项，例如软删除、停止备份和删除数据，或者保留数据（如果需要随时停止备份，则可使用该选项）。 如要保护关键操作，可以添加通过使用名为 Azure 资源防护的 Azure 资源来添加额外保护层的多用户授权 (MUA)。

这种可靠的方法可确保即使在遭到入侵的环境中，未经授权的用户也无法篡改或删除现有备份。

无需建立 Internet 连接即可创建 Azure VM 备份

备份 Azure VM 需要将虚拟机磁盘中的数据移到恢复服务保管库。 但是，所需的通信和数据传输全部只在 Azure 主干网络中发生，无需访问虚拟网络。 因此，放置在受保护网络中的 Azure VM 备份不需要你授予对任何 IP 或 FQDN 的访问权限。

Azure 备份的专用终结点

现在可以使用专用终结点将数据从虚拟网络内的服务器安全地备份到恢复服务保管库。 专用终结点对保管库使用来自 VNET 地址空间的 IP，因此你无需向任何公共 IP 公开你的虚拟网络。 专用终结点可用于备份和还原在 Azure VM 中运行的 SQL 数据库和 SAP HANA 数据库。 它还可以通过 MARS 代理用于本地服务器。

在此处详细了解 Azure 备份的专用终结点。

数据加密

加密可以保护数据，并帮助组织履行在安全性与合规性方面做出的承诺。 数据加密在 Azure 备份中分多个阶段进行：

软删除

Azure 备份提供了安全功能来帮助保护备份数据，即使删除后也能提供保护。 借助软删除，如果你删除了某个 VM 的备份，备份数据将保留额外的 14 天，让用户能在不丢失数据的情况下恢复该备份项。 以“软删除”状态将备份数据额外保留 14 天不会产生任何费用。 详细了解软删除。

Azure 备份现在还增强了软删除，以进一步提高删除后恢复数据的机会。 了解详细信息。

不可变保管库

不可变保管库可以通过阻止任何可能导致恢复点丢失的操作来帮助保护备份数据。 此外，可以锁定不可变保管库设置以使其不可逆，来防止任何恶意行动者禁用不可变性和删除备份。 详细了解不可变保管库。

多用户授权

用于 Azure 备份的多用户授权 (MUA) 可为恢复服务保管库和备份保管库上的关键操作增添一层额外的保护。 对于 MUA，Azure 备份使用另一个称为资源防护的 Azure 资源来确保仅在适用的授权下执行关键操作。 详细了解 Azure 备份的多用户授权。

增强型软删除

增强的软删除使你能够恢复数据，即使数据被意外或恶意删除。 它的工作原理是将数据永久删除延迟一段时间，从而为你提供检索数据的机会。 还可以使软删除始终处于打开状态，以防止它被禁用。 详细了解用于备份的增强软删除。

可疑活动的监视和警报

Azure 备份提供内置监视和警报功能，用于查看和配置 Azure 备份相关事件的操作。 备份报表充当一站式目标，在其中能够以不同的粒度级别跟踪使用情况、审核备份和还原，以及识别关键趋势。 使用 Azure 备份的监视和报告工具可以在发生任何未经授权的、可疑的或恶意的活动后立即获得警报。

用于帮助保护混合备份的安全功能

Azure 备份服务使用 Microsoft Azure 恢复服务 (MARS) 代理将本地计算机中的文件、文件夹和卷/系统状态备份和还原到 Azure。 MARS 现提供了安全功能来帮助保护混合备份。 这些功能包括：

  • 执行关键操作（例如更改密码）时，会添加额外的身份验证层。 使用此验证，确保只有具有有效 Azure 凭据的用户才可执行此类操作。 详细了解用于防止攻击的功能。

  • 删除的备份数据自删除之日起会额外保留 14 天。 这可以确保能够在给定的时间段内恢复数据，因此即使遭到攻击，也不会丢失数据。 此外，还保留了更多的最小恢复点，以防止数据损坏。 详细了解如何恢复已删除的备份数据。

  • 对于使用 Microsoft Azure 恢复服务 (MARS) 代理备份的数据，使用密码来确保数据在上传到 Azure 备份之前被加密，且仅在从 Azure 备份下载后才被解密。 通行短语详细信息仅提供给创建了该通行短语的用户，以及使用该通行短语配置的代理。 不会通过服务传输任何信息，也不会与服务共享任何信息。 这可以全面确保数据的安全性，因为在没有通行短语的情况下，无法使用无意中公开的任何数据（例如，在网络中出现中间人攻击时就是如此），而通行短语不会通过网络发送。

安全状况和安全级别

Azure 备份在保管库级别提供安全功能，以保护存储在其中的备份数据。 这些安全措施包括与保管库的 Azure 备份解决方案关联的设置以及保管库中受保护的数据源。

Azure 备份保管库的安全级别分类如下：

  • 优秀（最高）：这一级别代表了最高安全性，确保全面保护。 当所有备份数据都受到保护，不会被意外删除，并能抵御勒索软件攻击时，就实现了此级别的保护。 要实现此高级别的安全性，必须满足以下条件：

  • 良好（充分）：表示可靠的安全级别，确保可靠的数据保护。 它保护现有备份免受意外删除的防护，并增强数据恢复的潜力。 若要达到此级别的安全性，必须启用锁定以实现不可变性或启用软删除。

  • 一般（最低/普通）：表示符合标准保护要求的基本安全级别。 基本备份操作受益于额外的一层保护。 若要获得最低的安全性，必须在保管库上启用多用户授权 (MUA)。

  • 差（不合格/无）：表示安全措施存在缺陷，不太适合数据保护。 在此级别，既没有高级防护功能，也没有完全可逆的功能。 “无”级别安全性仅提供主要防止意外删除的保护。

可以通过 Azure 业务连续性中心查看和管理保管库中所有数据源的安全级别。

符合标准化安全要求

为了帮助组织符合监管个人数据收集和使用的国家/地区和行业特定要求，Microsoft Azure 和 Azure 备份提供一套全面的认证和证明。 查看符合性认证列表

后续步骤