Storan Cakera dan Keselamatan Storan

Cakera Terurus Azure ialah volum storan peringkat blok yang dilampirkan pada VM Azure — setara awan dengan pemacu keras fizikal atau SSD dalam pelayan. Azure menguruskan cakera tersebut: penempatan akaun storan, lebihan dan kitar hayat dikendalikan secara automatik. Sebelum Cakera Terurus diperkenalkan, pelanggan perlu mengurus akaun storan dan fail VHD sendiri, yang mudah menyebabkan kesilapan. Kini, Cakera Terurus ialah cara standard untuk menyediakan storan OS dan data berterusan bagi VM, sekali gus memudahkan pengurusan serta menyokong penggunaan set ketersediaan dan zon secara natif.

Azure menawarkan empat jenis cakera terurus: HDD Standard — kos paling rendah, sehingga 500 IOPS setiap cakera; untuk VM pembangunan/pengujian dan beban kerja yang tidak kritikal. SSD Standard — prestasi lebih konsisten berbanding HDD, sehingga 6,000 IOPS; untuk pelayan web yang kurang digunakan dan ejen binaan CI/CD. SSD Premium — prestasi tinggi, sehingga 20,000 IOPS; untuk pangkalan data produksi, aplikasi perusahaan dan sebarang beban kerja yang sensitif terhadap I/O. Cakera Ultra — prestasi tertinggi, sehingga 160,000 IOPS dengan kependaman kurang daripada satu milisaat; untuk beban kerja paling mencabar seperti SAP HANA dan SQL Server peringkat tertinggi. Cakera Ultra memerlukan VM daripada keluarga dan konfigurasi tertentu.

VM Azure mempunyai sehingga tiga peranan cakera: cakera OS — mengandungi sistem pengendalian (Windows atau Linux), saiz maksimum 4 TB, dan mesti menggunakan SSD Premium atau SSD Standard untuk prestasi yang boleh dipercayai. Cakera data — cakera terurus tambahan untuk data aplikasi, pangkalan data atau fail log; anda boleh melampirkan beberapa cakera data (sehingga 32 untuk saiz VM yang lebih besar). Cakera sementara — SSD setempat pada pelayan hos, sangat pantas (ratusan ribu IOPS) tetapi tidak berterusan; data akan hilang apabila VM dinyahperuntukkan atau digunakan semula. Jangan sekali-kali menyimpan data penting pada cakera sementara.

Cakera Terurus Azure menyokong syot kilat cakera — salinan baca sahaja bagi cakera pada satu titik masa tertentu. Syot kilat disimpan dalam Azure Storage dan dicaj berdasarkan GB data yang digunakan (bukan keseluruhan saiz cakera yang diperuntukkan). Anda boleh mencipta cakera baharu daripada syot kilat untuk memulihkan VM kepada keadaan sebelumnya atau mengklon cakera untuk pengujian. Untuk sandaran produksi, Azure Backup mengautomatikkan penjadualan syot kilat, pengekalan dan sandaran merentas rantau dengan sandaran yang konsisten serta menyedari aplikasi, bukannya syot kilat cakera mentah.

Cakera Dikongsi Azure membolehkan satu cakera terurus dilampirkan pada beberapa VM secara serentak — bagi membolehkan senario aplikasi berkelompok seperti SQL Server Failover Cluster Instances atau kelompok SAP ASCS. Cakera dikongsi tersedia pada peringkat SSD Premium dan Cakera Ultra dengan tetapan maxShares tertentu yang mengehadkan bilangan VM yang boleh memasang cakera tersebut secara serentak. Aplikasi bertanggungjawab menyelaraskan akses menggunakan perisian pengelompokan (Windows Server Failover Clustering atau setara Linux) bagi mencegah kerosakan data akibat penulisan serentak.

Cakera Terurus Azure menyulitkan semua data semasa rehat secara lalai menggunakan Penyulitan Sebelah Pelayan (SSE) dengan kunci AES 256-bit. Secara lalai, Microsoft menguruskan kunci penyulitan (Kunci Terurus Platform). Bagi organisasi yang memerlukan kawalan terhadap kunci penyulitan, Kunci Terurus Pelanggan (CMK) yang disimpan dalam Azure Key Vault boleh digunakan. Pilihan ketiga — Penyulitan Cakera Azure (ADE) — menyulitkan cakera OS dan data menggunakan BitLocker (Windows) atau DM-Crypt (Linux), supaya cakera disulitkan pada peringkat OS di samping peringkat platform, lalu menyediakan pertahanan berlapis.

Tandatangan Akses Dikongsi (SAS) ialah URI yang memberikan akses terhad dan berjangka masa kepada sumber Azure Storage (gumpalan, fail, baris gilir dan jadual) tanpa berkongsi kunci akses induk akaun. Token SAS menentukan: Sumber (gumpalan atau bekas yang mana), Kebenaran (baca, tulis, padam, senarai), Masa mula dan tamat tempoh, serta secara pilihan sekatan IP. Terdapat tiga jenis SAS: SAS Akaun (berbilang perkhidmatan), SAS Perkhidmatan (satu perkhidmatan), dan SAS delegasi pengguna (disokong oleh kelayakan Entra ID, paling selamat).

Titik Akhir Persendirian menetapkan alamat IP persendirian daripada VNet anda kepada akaun Azure Storage, menjadikannya boleh dicapai dalam rangkaian maya anda melalui tulang belakang persendirian Azure — tanpa trafik melalui internet awam. Selepas mencipta titik akhir persendirian untuk akaun storan, anda boleh menyahdayakan titik akhir awam akaun tersebut sepenuhnya, bagi memastikan ia hanya boleh dicapai dari dalam VNet yang disambungkan (dan melalui VPN/ExpressRoute dari premis). Titik akhir persendirian ialah cara paling selamat untuk mengakses akaun storan daripada VM, kelompok Kubernetes atau sistem di premis.

Sebelum melaksanakan Titik Akhir Persendirian, banyak organisasi menggunakan Tembok Api Akaun Storan untuk mengehadkan akses kepada julat IP atau subnet rangkaian maya tertentu. Tembok api dikonfigurasikan dalam bilah 'Rangkaian' akaun storan di portal Azure. Anda boleh membenarkan akses daripada: julat IP awam tertentu (contohnya, IP NAT pejabat anda), subnet VNet tertentu (menggunakan titik akhir perkhidmatan), atau perkhidmatan Azure (perkhidmatan Microsoft yang dipercayai seperti Azure Backup dan Azure Monitor). Peraturan tembok api ialah lapisan pertahanan penting walaupun RBAC digunakan untuk kawalan akses satah data.

Microsoft Defender for Storage (sebahagian daripada Defender for Cloud) memantau akaun storan anda untuk corak akses luar biasa yang mungkin menunjukkan ancaman keselamatan — seperti akses dari lokasi yang luar biasa, akses kepada banyak fail dalam tempoh yang singkat (pengeluaran data perisian tebusan), atau muat naik fail perisian hasad yang diketahui. Makluman Defender for Storage dihantar kepada pasukan keselamatan anda dan boleh mencetuskan respons automatik melalui Logic Apps atau Function Apps. Mendayakan Defender for Storage ialah amalan terbaik untuk akaun storan produksi yang menyimpan data sensitif atau kritikal perniagaan.

Menggunakan amalan terbaik keselamatan storan berikut memberikan postur keselamatan yang kukuh: Jangan sekali-kali berkongsi kunci akaun dalam kod — gunakan identiti terurus atau token SAS. Dayakan RBAC untuk akses satah data dan bukannya pengesahan berasaskan kunci jika boleh. Gunakan Titik Akhir Persendirian untuk menghapuskan pendedahan data sensitif kepada internet awam. Dayakan Tembok Api Storan untuk mengehadkan akses kepada rangkaian yang diketahui. Hidupkan pemadaman lembut dan pemversian untuk memulihkan data daripada pemadaman tidak sengaja. Dayakan Defender for Storage untuk pengesanan anomali. Paksa HTTPS sahaja bagi menghalang akses yang tidak disulitkan. Secara bersama, kawalan ini menangani risiko keselamatan storan yang paling lazim.

Dalam pelajaran ini anda telah mempelajari bahawa: cakera terurus hadir dalam empat jenis — HDD Standard, SSD Standard, SSD Premium dan Cakera Ultra — setiap satunya sesuai untuk keperluan prestasi dan kos yang berbeza, Tandatangan Akses Dikongsi menyediakan akses berjangka masa dan berskop kebenaran kepada sumber storan tanpa berkongsi kunci induk, dan titik akhir persendirian serta tembok api storan mengehadkan akses kepada rangkaian yang dipercayai, sekali gus menghapuskan pendedahan kepada internet awam. Seterusnya kita akan memulakan Rangkaian Azure — bermula dengan Rangkaian Maya dan subnet.