Schijfopslag en opslagbeveiliging

Azure Managed Disks zijn opslagvolumes op blokniveau die aan Azure-VM's zijn gekoppeld — de cloudvariant van een fysieke harde schijf of SSD in een server. Azure beheert de schijf: het regelt automatisch de plaatsing in opslagaccounts, redundantie en levenscyclus. Vóór Managed Disks moesten klanten opslagaccounts en VHD-bestanden zelf beheren, wat foutgevoelig was. Tegenwoordig zijn Managed Disks de standaardmanier om permanente opslag voor het besturingssysteem en gegevens van VM's te bieden. Ze vereenvoudigen het beheer en ondersteunen implementaties met beschikbaarheidssets en zones standaard.

Azure biedt vier typen beheerde schijven: Standard HDD — de laagste kosten, tot 500 IOPS per schijf; voor VM's voor ontwikkeling en tests en niet-kritieke werklasten. Standard SSD — consistentere prestaties dan HDD, tot 6.000 IOPS; voor licht gebruikte webservers en CI/CD-buildagents. Premium SSD — hoge prestaties, tot 20.000 IOPS; voor productiedatabases, bedrijfstoepassingen en alle werklasten die gevoelig zijn voor I/O. Ultra Disk — de hoogste prestaties, tot 160.000 IOPS met een latentie van minder dan een milliseconde; voor de meest veeleisende werklasten, zoals SAP HANA en SQL Server op topniveau. Voor Ultra Disks zijn VM's uit specifieke families en met specifieke configuraties vereist.

Een Azure-VM heeft maximaal drie schijffuncties: OS-schijf — bevat het besturingssysteem (Windows of Linux), met een maximale grootte van 4 TB; voor betrouwbare prestaties moet dit een Premium SSD of Standard SSD zijn. Gegevensschijven — extra beheerde schijven voor toepassingsgegevens, databases of logboekbestanden; je kunt meerdere gegevensschijven koppelen (maximaal 32 bij grotere VM-grootten). Tijdelijke schijf — lokale SSD op de hostserver, zeer snel (honderdduizenden IOPS), maar niet permanent; gegevens gaan verloren wanneer de toewijzing van de VM wordt opgeheven of de VM opnieuw wordt geïmplementeerd. Sla nooit belangrijke gegevens op de tijdelijke schijf op.

Azure Managed Disks ondersteunen momentopnamen van schijven — alleen-lezenkopieën van een schijf op een specifiek tijdstip. Momentopnamen worden opgeslagen in Azure Storage en gefactureerd per GB aan gebruikte gegevens (niet op basis van de volledige toegewezen schijfgrootte). Je kunt een nieuwe schijf maken vanuit een momentopname om een VM naar een eerdere toestand te herstellen of een schijf te klonen voor tests. Voor back-ups in productie automatiseert Azure Backup het plannen van momentopnamen, de bewaartermijn en back-ups naar andere regio's. Daarbij wordt een consistente back-up gemaakt die rekening houdt met de toepassing, in plaats van een onbewerkte momentopname van de schijf.

Met Azure Shared Disks kan één beheerde schijf tegelijkertijd aan meerdere VM's worden gekoppeld. Dit maakt scenario's met geclusterde toepassingen mogelijk, zoals SQL Server Failover Cluster Instances of SAP ASCS clusters. Gedeelde schijven zijn beschikbaar in de Premium SSD- en Ultra Disk-lagen, met een specifieke instelling voor maxShares die beperkt hoeveel VM's de schijf gelijktijdig kunnen koppelen. De toepassing is verantwoordelijk voor het coördineren van de toegang met clusterprogrammatuur (Windows Server Failover Clustering of een Linux-equivalent), om beschadiging van gegevens door gelijktijdige schrijfbewerkingen te voorkomen.

Azure Managed Disks versleutelen standaard alle gegevens in rust met Server-Side Encryption (SSE) en AES-256-bitsleutels. Standaard beheert Microsoft de versleutelingssleutels (Platform-Managed Keys). Voor organisaties die controle over hun versleutelingssleutels nodig hebben, kunnen in Azure Key Vault opgeslagen Customer-Managed Keys (CMK) worden gebruikt. Een derde optie — Azure Disk Encryption (ADE) — versleutelt de OS- en gegevensschijven met BitLocker (Windows) of DM-Crypt (Linux). Hierdoor wordt de schijf naast op platformniveau ook op besturingssysteemniveau versleuteld, wat extra beveiliging in lagen biedt.

Een Shared Access Signature (SAS) is een URI die beperkte toegang voor een beperkte tijd verleent tot Azure Storage-resources (blobs, bestanden, wachtrijen en tabellen), zonder de hoofdsleutels voor toegang tot het account te delen. Een SAS-token specificeert: Resource (welke blob of container), Machtigingen (lezen, schrijven, verwijderen, weergeven), Start- en vervaltijd en optioneel IP-beperkingen. Er zijn drie SAS-typen: Account SAS (meerdere services), Service SAS (één service) en User delegation SAS (gebaseerd op Entra ID-referenties en het veiligst).

Een Private Endpoint wijst een privé-IP-adres uit je VNet toe aan een Azure Storage-account. Daardoor is het account binnen je virtuele netwerk toegankelijk via de private backbone van Azure, zonder dat verkeer over het openbare internet gaat. Nadat je een privé-eindpunt voor een opslagaccount hebt gemaakt, kun je het openbare eindpunt van het account volledig uitschakelen. Zo is het account alleen bereikbaar vanuit het verbonden VNet (en vanaf on-premises via VPN/ExpressRoute). Privé-eindpunten zijn de veiligste manier om opslagaccounts te benaderen vanuit VM's, Kubernetes-clusters of on-premises systemen.

Voordat ze privé-eindpunten implementeren, gebruiken veel organisaties de firewall van het opslagaccount om toegang te beperken tot specifieke IP-bereiken of subnetten van virtuele netwerken. Je configureert de firewall in het onderdeel 'Networking' van het opslagaccount in de Azure-portal. Je kunt toegang toestaan vanaf: specifieke openbare IP-bereiken (bijvoorbeeld het NAT-IP-adres van je kantoor), specifieke VNet-subnetten (met service-eindpunten) of Azure-services (vertrouwde Microsoft-services zoals Azure Backup en Azure Monitor). Firewallregels vormen een belangrijke beveiligingslaag, ook wanneer je RBAC gebruikt voor toegangsbeheer op het gegevensvlak.

Microsoft Defender for Storage (onderdeel van Defender for Cloud) bewaakt je opslagaccounts op afwijkende toegangspatronen die op een beveiligingsbedreiging kunnen wijzen — zoals toegang vanuit ongebruikelijke locaties, het openen van veel bestanden in korte tijd (exfiltratie door ransomware) of het uploaden van bestanden waarvan bekend is dat ze malware bevatten. Waarschuwingen van Defender for Storage worden naar je beveiligingsteam gestuurd en kunnen geautomatiseerde reacties via Logic Apps of Function Apps activeren. Het inschakelen van Defender for Storage is een aanbevolen werkwijze voor opslagaccounts in productie die gevoelige of bedrijfskritieke gegevens bevatten.

Met de volgende aanbevolen beveiligingsmaatregelen voor opslag bereik je een sterke beveiligingspositie: deel accountsleutels nooit in code — gebruik beheerde identiteiten of SAS-tokens. Schakel RBAC in voor toegang tot het gegevensvlak in plaats van verificatie op basis van sleutels, waar mogelijk. Gebruik privé-eindpunten om blootstelling van gevoelige gegevens aan het openbare internet te voorkomen. Schakel de firewall voor opslag in om toegang tot bekende netwerken te beperken. Schakel soft delete en versiebeheer in om gegevens na onbedoelde verwijdering te kunnen herstellen. Schakel Defender for Storage in voor detectie van afwijkingen. Dwing uitsluitend HTTPS af om niet-versleutelde toegang te voorkomen. Samen pakken deze maatregelen de meest voorkomende beveiligingsrisico's voor opslag aan.

In deze les heb je geleerd dat beheerde schijven in vier typen beschikbaar zijn — Standard HDD, Standard SSD, Premium SSD en Ultra Disk — die elk geschikt zijn voor verschillende vereisten op het gebied van prestaties en kosten, dat Shared Access Signatures tijdgebonden toegang met beperkte machtigingen bieden tot opslagresources zonder hoofdsleutels te delen en dat privé-eindpunten en opslagfirewalls de toegang beperken tot vertrouwde netwerken, waardoor blootstelling aan het openbare internet wordt geëlimineerd. Hierna beginnen we met Azure Networking — met Virtual Networks en subnetten.