Azure Storage-konti

En Azure Storage Account er den grundlæggende ressource, der giver dig adgang til Azures centrale lagringstjenester: Blob Storage (objektlager), Azure Files (administrerede fildelinger), Queue Storage (meddelelseskøer), Table Storage (NoSQL-nøgle-værdi-lager) og Azure Data Lake Storage Gen2 (hierarkisk navneområde til analyse). En enkelt storage account kan være vært for alle disse tjenester samtidig og giver et entydigt navneområde i Azure — kontoens navn bliver en del af URL'en for hvert objekt, den indeholder.

Azure tilbyder flere typer storage accounts: Standard general-purpose v2 (GPv2) — den anbefalede type til de fleste scenarier, som understøtter alle lagringstjenester og redundansmuligheder med standardydelse. Premium block blobs — SSD-baseret lagring til scenarier, der kræver meget lav forsinkelse ved Blob Storage-handlinger. Premium file shares — SSD-baserede Azure Files-fildelinger til belastninger med mange IOPS, f.eks. databaser eller hjemmemapper. Premium page blobs — SSD-lagring til Azure-VM'ers operativsystem- og datadiske (Managed Disks bruger dette underliggende). Til de fleste anvendelser bør du starte med en Standard GPv2-konto.

Azure replikerer automatisk dine data for at beskytte mod hardwarefejl. De fire redundansmuligheder er: LRS (Locally Redundant Storage) — tre synkrone kopier i ét datacenter. ZRS (Zone-Redundant Storage) — tre synkrone kopier på tværs af tre availability zones i én region. GRS (Geo-Redundant Storage) — LRS i den primære region plus asynkron replikering til en sekundær region (LRS). GZRS (Geo-Zone-Redundant Storage) — ZRS i den primære region plus asynkron replikering til en sekundær region. Mere redundans betyder højere holdbarhed og større omkostninger.

Vælg dit redundansniveau ud fra dine krav til RTO, RPO og budget: LRS — billigst, 11 niers holdbarhed og ingen beskyttelse mod datacenterfejl. Brug det til udvikling/test eller data, du kan genskabe. ZRS — beskytter mod datacenterfejl og er velegnet til produktionsdata i én region. GRS/GZRS — beskytter mod, at en hel Azure-region går offline; data replikeres asynkront til den parrede region. For kritiske forretningsdata, der skal overleve en regional katastrofe, er GRS eller GZRS det passende valg trods de ekstra omkostninger.

Azure Storage tilbyder to ydelsesniveauer: Standard — baseret på harddiske (HDD) og velegnet til de fleste belastninger med en lavere pris pr. GB. Premium — baseret på solid-state-diske (SSD) og udviklet til forsinkelsesfølsomme scenarier, der kræver I/O på encifrede millisekunder. Standard-lagring faktureres pr. lagret GB. Premium er dyrere pr. GB, men leverer ensartet og forudsigelig ydelse. Til webaktiver, sikkerhedskopier, logfiler og arkivering er Standard passende. Til VM'er med I/O-intensive databaser eller fildelinger, som tilgås af desktopbrugere, er Premium det bedre valg.

Navne på storage accounts skal være globalt entydige på tværs af hele Azure (fordi de indgår i et offentligt DNS-navn som mystorageacct.blob.core.windows.net). Navne skal være 3-24 tegn lange og må kun indeholde små bogstaver og tal — ingen bindestreger, understregninger eller store bogstaver. Da navnene skal være globalt entydige, er almindelige ord og varemærkenavne allerede optaget. En god praksis er at kombinere et virksomheds-præfiks, miljø (prod/dev) og formål (store/media) og derefter tilføje et tilfældigt suffiks efter behov: f.eks. contosoprodmedia7x2.

Hver storage account har to 512-bit-adgangsnøgler, der giver fuld administrativ adgang til alt i kontoen. Disse nøgler skal behandles som adgangskoder — opbevar dem i Azure Key Vault i stedet for i kode eller konfigurationsfiler. Azure genererer to nøgler, så du kan udføre nøglerotation uden nedetid: Opdatér dine apps til at bruge Key 2, generér derefter Key 1 igen, skift apps til Key 1, og generér til sidst Key 2 igen. Brug Shared Access Signatures (SAS) eller Azure RBAC i stedet for at dele hovednøglerne, hvis du har brug for mere detaljeret adgangskontrol.

Azure RBAC (Role-Based Access Control) er den anbefalede måde at godkende adgang til lagringsdata på uden at dele nøgler. Tildel rollen Storage Blob Data Reader for at give skrivebeskyttet adgang til Blob Storage eller Storage Blob Data Contributor for læse- og skriveadgang. Disse roller tildeles til Entra ID-brugere, grupper eller administrerede identiteter, så adgangen knyttes til en godkendt identitet i stedet for en delt hemmelighed. RBAC-godkendelse til Storage er tilgængelig for Blob-, Queue- og Table-tjenester (ikke File — den bruger SMB/NFS-protokoller med deres egne adgangskontroller).

Som standard accepterer storage accounts forbindelser fra alle netværk. Af hensyn til produktionssikkerheden kan du begrænse adgangen ved hjælp af Storage Account Firewall: tillad kun bestemte offentlige IP-intervaller eller undernet i virtuelle netværk. Du opnår den højeste sikkerhed ved helt at deaktivere offentlig internetadgang og bruge et Private Endpoint — en privat IP-adresse i dit VNet, som dirigerer trafik til storage accounten gennem Azures private backbone uden nogensinde at eksponere den på det offentlige internet. Private Endpoints er den anbefalede tilgang til storage accounts, der indeholder følsomme eller regulerede data.

Azure Storage har indbyggede databeskyttelsesfunktioner, der beskytter mod utilsigtet sletning: Blob soft delete — slettede blobs og versioner opbevares i en konfigurerbar periode (1-365 dage) og kan gendannes uden at gendanne fra en sikkerhedskopi. Blob versioning — hver overskrivning opretter en ny version, så du kan gendanne enhver tidligere version af en blob. Container soft delete — containere, der slettes ved en fejl, kan gendannes. Disse funktioner er deaktiveret som standard og bør aktiveres for storage accounts i produktion, som indeholder vigtige data, der ikke er sikkerhedskopieret andre steder.

Azure Monitor indsamler automatisk målinger for hver storage account: samlet anvendt kapacitet, antal transaktioner, indgående og udgående bytes samt ende-til-ende-forsinkelse. Du kan se disse i bladet Insights i Azure-portalen for din storage account. Her findes forudbyggede diagrammer for kapacitet, tilgængelighed og ydelse. Hvis du vil have detaljeret adgangsrevision, skal du aktivere Storage Diagnostic Logs for at registrere alle læse-, skrive- og slettehandlinger på en logdestination — det er nyttigt til sikkerhedsundersøgelser og rapportering af overholdelse af regler.

I denne lektion lærte du, at en storage account er rodressourcen for alle Azure-lagringstjenester og identificeres af et globalt entydigt navn, at redundansmulighederne — LRS, ZRS, GRS og GZRS — giver stigende niveauer af holdbarhed til stigende omkostninger, og at adgang bør kontrolleres via RBAC og private endpoints i stedet for at dele hovedadgangsnøgler. Som det næste går vi i dybden med Blob Storage — Azures objektlager til ustrukturerede data.