Datenträgerspeicher und Speichersicherheit

Azure Managed Disks sind Speicher-Volumes auf Blockebene, die an Azure-VMs angefügt werden – das Cloud-Gegenstück zu einer physischen Festplatte oder SSD in einem Server. Azure verwaltet den Datenträger: Die Platzierung im Speicherkonto, Redundanz und der Lebenszyklus werden automatisch gesteuert. Vor der Einführung von Managed Disks mussten Kunden Speicherkonten und VHD-Dateien selbst verwalten, was fehleranfällig war. Heute sind Managed Disks die standardmäßige Methode, um dauerhaften Betriebssystem- und Datenspeicher für VMs bereitzustellen. Dadurch wird die Verwaltung vereinfacht und die Bereitstellung in Verfügbarkeitsgruppen und Zonen nativ unterstützt.

Azure bietet vier Typen verwalteter Datenträger: Standard HDD – niedrigste Kosten, bis zu 500 IOPS pro Datenträger; für VMs zu Entwicklungs- und Testzwecken sowie unkritische Workloads. Standard SSD – gleichmäßigere Leistung als HDD, bis zu 6.000 IOPS; für wenig ausgelastete Webserver und CI/CD-Build-Agents. Premium SSD – hohe Leistung, bis zu 20.000 IOPS; für Produktionsdatenbanken, Unternehmensanwendungen und alle Workloads mit hohen I/O-Anforderungen. Ultra Disk – höchste Leistung, bis zu 160.000 IOPS bei Latenzen im Submillisekundenbereich; für besonders anspruchsvolle Workloads wie SAP HANA und SQL Server auf höchstem Leistungsniveau. Ultra Disks erfordern VMs bestimmter Familien und Konfigurationen.

Eine Azure-VM kann bis zu drei Datenträgerrollen haben: OS disk – enthält das Betriebssystem (Windows oder Linux), maximale Größe 4 TB; für zuverlässige Leistung muss es sich um eine Premium SSD oder Standard SSD handeln. Data disks – zusätzliche verwaltete Datenträger für Anwendungsdaten, Datenbanken oder Protokolldateien; Sie können mehrere Datenträger anfügen (bei größeren VM-Größen bis zu 32). Temporary disk – lokale SSD auf dem Hostserver, sehr schnell (Hunderttausende IOPS), aber nicht dauerhaft; Daten gehen bei der Deallokation oder erneuten Bereitstellung der VM verloren. Speichern Sie niemals wichtige Daten auf dem temporären Datenträger.

Azure Managed Disks unterstützen disk snapshots – schreibgeschützte Kopien eines Datenträgers zu einem bestimmten Zeitpunkt. Snapshots werden in Azure Storage gespeichert und pro GB der verwendeten Daten abgerechnet (nicht nach der vollständigen Größe des zugewiesenen Datenträgers). Sie können aus einem Snapshot einen neuen Datenträger erstellen, um eine VM auf einen früheren Zustand zurückzusetzen oder einen Datenträger zu Testzwecken zu klonen. Für die Sicherung in Produktionsumgebungen automatisiert Azure Backup die Snapshot-Planung, Aufbewahrung und regionsübergreifende Sicherung mit einer anwendungskonsistenten Sicherung statt eines einfachen Datenträger-Snapshots.

Azure Shared Disks ermöglichen es, einen einzelnen verwalteten Datenträger gleichzeitig an mehrere VMs anzufügen. Dadurch werden Szenarien mit gruppierten Anwendungen unterstützt, etwa SQL Server Failover Cluster Instances oder SAP ASCS clusters. Shared Disks sind in den Tarifen Premium SSD und Ultra Disk mit einer bestimmten Einstellung maxShares verfügbar, die begrenzt, wie viele VMs den Datenträger gleichzeitig einbinden können. Die Anwendung ist dafür verantwortlich, den Zugriff mithilfe von Clustering-Software (Windows Server Failover Clustering oder einer Linux-Entsprechung) zu koordinieren, um eine Beschädigung der Daten durch gleichzeitige Schreibvorgänge zu verhindern.

Azure Managed Disks verschlüsseln standardmäßig alle ruhenden Daten mithilfe von Server-Side Encryption (SSE) mit AES-256-Bit-Schlüsseln. Standardmäßig verwaltet Microsoft die Verschlüsselungsschlüssel (Platform-Managed Keys). Für Organisationen, die Kontrolle über die Verschlüsselungsschlüssel benötigen, können stattdessen Customer-Managed Keys (CMK) verwendet werden, die in Azure Key Vault gespeichert sind. Eine dritte Option – Azure Disk Encryption (ADE) – verschlüsselt die Betriebssystem- und Datenträger mithilfe von BitLocker (Windows) oder DM-Crypt (Linux). Dadurch wird der Datenträger zusätzlich zur Verschlüsselung auf Plattformebene auch auf Betriebssystemebene verschlüsselt, was einen mehrschichtigen Schutz bietet.

Eine Shared Access Signature (SAS) ist ein URI, der zeitlich begrenzten Zugriff mit eingeschränkten Berechtigungen auf Azure Storage-Ressourcen (Blobs, Dateien, Warteschlangen und Tabellen) gewährt, ohne die Hauptzugriffsschlüssel des Kontos freizugeben. Ein SAS-Token legt Folgendes fest: Resource (welches Blob oder welcher Container), Permissions (Lesen, Schreiben, Löschen, Auflisten), Start and expiry time sowie optional IP restrictions. Es gibt drei SAS-Typen: Account SAS (mehrere Dienste), Service SAS (ein einzelner Dienst) und User delegation SAS (basiert auf Entra ID-Anmeldeinformationen und bietet die höchste Sicherheit).

Ein Private Endpoint weist dem Azure-Speicherkonto eine private IP-Adresse aus Ihrem VNet zu. Dadurch ist es innerhalb Ihres virtuellen Netzwerks über das private Azure-Backbone erreichbar, ohne dass Datenverkehr über das öffentliche Internet fließt. Nachdem Sie einen privaten Endpunkt für ein Speicherkonto erstellt haben, können Sie dessen öffentlichen Endpunkt vollständig deaktivieren. So ist das Konto nur innerhalb des verbundenen VNets erreichbar (sowie über VPN/ExpressRoute aus lokalen Netzwerken). Private Endpoints sind die sicherste Möglichkeit, von VMs, Kubernetes-Clustern oder lokalen Systemen auf Speicherkonten zuzugreifen.

Vor der Einführung von Private Endpoints verwenden viele Organisationen die Storage Account Firewall, um den Zugriff auf bestimmte IP-Bereiche oder Subnetze virtueller Netzwerke zu beschränken. Die Firewall wird im Azure-Portal im Blatt „Networking“ des Speicherkontos konfiguriert. Sie können den Zugriff erlauben von: bestimmten öffentlichen IP-Bereichen (z. B. der NAT-IP-Adresse Ihres Büros), bestimmten VNet-Subnetzen (mithilfe von Dienstendpunkten) oder Azure-Diensten (vertrauenswürdigen Microsoft-Diensten wie Azure Backup und Azure Monitor). Firewallregeln bilden eine wichtige Schutzschicht, auch wenn Sie RBAC für die Zugriffssteuerung auf der Datenebene verwenden.

Microsoft Defender for Storage (Bestandteil von Defender for Cloud) überwacht Ihre Speicherkonten auf anomale Zugriffsmuster, die auf eine Sicherheitsbedrohung hindeuten können – etwa Zugriffe von ungewöhnlichen Standorten, den Zugriff auf viele Dateien innerhalb kurzer Zeit (Exfiltration durch Ransomware) oder das Hochladen bekannter Schadsoftware. Warnungen von Defender for Storage werden an Ihr Sicherheitsteam gesendet und können über Logic Apps oder Function Apps automatisierte Reaktionen auslösen. Das Aktivieren von Defender for Storage ist eine bewährte Vorgehensweise für Produktionsspeicherkonten mit vertraulichen oder geschäftskritischen Daten.

Durch die Anwendung der folgenden bewährten Vorgehensweisen für die Storage-Sicherheit schaffen Sie eine starke Sicherheitslage: Geben Sie Kontoschlüssel niemals im Code weiter – verwenden Sie verwaltete Identitäten oder SAS-Token. Aktivieren Sie RBAC für den Zugriff auf der Datenebene, statt nach Möglichkeit eine schlüsselbasierte Authentifizierung zu verwenden. Verwenden Sie Private Endpoints, um die Offenlegung vertraulicher Daten im öffentlichen Internet zu vermeiden. Aktivieren Sie die Storage Firewall, um den Zugriff auf bekannte Netzwerke zu beschränken. Aktivieren Sie vorläufiges Löschen und Versionierung, um versehentliches Löschen rückgängig machen zu können. Aktivieren Sie Defender for Storage zur Erkennung von Anomalien. Erzwingen Sie ausschließlich HTTPS, um unverschlüsselten Zugriff zu verhindern. Zusammen adressieren diese Maßnahmen die häufigsten Sicherheitsrisiken bei Storage.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion zu Microsoft Azure Fundamentals (AZ-900).

In dieser Lektion haben Sie gelernt: Managed Disks gibt es in vier Typen – Standard HDD, Standard SSD, Premium SSD und Ultra Disk –, die jeweils für unterschiedliche Leistungs- und Kostenanforderungen geeignet sind; Shared Access Signatures ermöglichen zeitlich begrenzten Zugriff mit festgelegten Berechtigungen auf Storage-Ressourcen, ohne Hauptschlüssel weiterzugeben; und private Endpoints sowie Storage-Firewalls beschränken den Zugriff auf vertrauenswürdige Netzwerke und verhindern die Offenlegung im öffentlichen Internet. Als Nächstes beginnen wir mit Azure Networking – zunächst mit virtuellen Netzwerken und Subnetzen.