Armazenamento em Disco e Segurança do Armazenamento

Os discos gerenciados do Azure são volumes de armazenamento em nível de bloco anexados a VMs do Azure — o equivalente na nuvem a um disco rígido físico ou SSD em um servidor. O Azure gerencia o disco: trata automaticamente da alocação em contas de armazenamento, da redundância e do ciclo de vida. Antes dos discos gerenciados, os clientes precisavam gerenciar as contas de armazenamento e os arquivos VHD por conta própria, o que era sujeito a erros. Atualmente, os discos gerenciados são a forma padrão de fornecer armazenamento persistente para o sistema operacional e os dados das VMs, simplificando o gerenciamento e oferecendo suporte nativo a implantações em conjuntos de disponibilidade e zonas.

O Azure oferece quatro tipos de discos gerenciados: Standard HDD — menor custo, até 500 IOPS por disco; para VMs de desenvolvimento/teste e cargas de trabalho não críticas. Standard SSD — desempenho mais consistente que o HDD, até 6.000 IOPS; para servidores Web com pouca utilização e agentes de compilação de CI/CD. Premium SSD — alto desempenho, até 20.000 IOPS; para bancos de dados de produção, aplicações empresariais e qualquer carga de trabalho sensível a E/S. Ultra Disk — maior desempenho, até 160.000 IOPS com latência inferior a um milissegundo; para as cargas de trabalho mais exigentes, como SAP HANA e SQL Server de nível superior. Os Ultra Disks exigem VMs de famílias e configurações específicas.

Uma VM do Azure pode ter até três funções de disco: disco do sistema operacional — contém o sistema operacional (Windows ou Linux), tem tamanho máximo de 4 TB e deve ser Premium ou Standard SSD para oferecer desempenho confiável. Discos de dados — discos gerenciados adicionais para dados de aplicações, bancos de dados ou arquivos de registro; é possível anexar vários discos de dados (até 32 em tamanhos maiores de VM). Disco temporário — SSD local no servidor host, muito rápido (centenas de milhares de IOPS), mas não persistente; os dados são perdidos quando a VM é desalocada ou reimplantada. Nunca armazene dados importantes no disco temporário.

Os discos gerenciados do Azure são compatíveis com instantâneos de disco — cópias somente leitura de um disco em um determinado momento. Os instantâneos são armazenados no Armazenamento do Azure, e a cobrança é feita por GB de dados usados (não pelo tamanho total alocado do disco). É possível criar um novo disco a partir de um instantâneo para restaurar uma VM a um estado anterior ou clonar um disco para testes. Para backups de produção, o Backup do Azure automatiza o agendamento de instantâneos, a retenção e o backup entre regiões, usando um backup consistente e ciente da aplicação em vez de um instantâneo bruto do disco.

Os discos compartilhados do Azure permitem anexar um único disco gerenciado a várias VMs simultaneamente, possibilitando cenários de aplicações em cluster, como SQL Server Failover Cluster Instances ou clusters SAP ASCS. Os discos compartilhados estão disponíveis nas camadas Premium SSD e Ultra Disk, com uma configuração específica de maxShares que limita quantas VMs podem montar o disco simultaneamente. A aplicação é responsável por coordenar o acesso usando software de clustering (Windows Server Failover Clustering ou um equivalente para Linux), a fim de evitar a corrupção de dados causada por gravações simultâneas.

Os discos gerenciados do Azure criptografam, por padrão, todos os dados em repouso usando a Criptografia do lado do servidor (SSE) com chaves AES de 256 bits. Por padrão, a Microsoft gerencia as chaves de criptografia (chaves gerenciadas pela plataforma). Para organizações que precisam controlar as chaves de criptografia, é possível usar chaves gerenciadas pelo cliente (CMK) armazenadas no Azure Key Vault. Uma terceira opção — a Criptografia de Disco do Azure (ADE) — criptografa os discos do sistema operacional e de dados usando BitLocker (Windows) ou DM-Crypt (Linux). Assim, o disco é criptografado no nível do sistema operacional, além do nível da plataforma, oferecendo defesa em profundidade.

Uma Assinatura de Acesso Compartilhado (SAS) é um URI que concede acesso restrito e limitado no tempo a recursos do Armazenamento do Azure (blobs, arquivos, filas e tabelas), sem compartilhar as chaves mestras de acesso da conta. Um token SAS especifica: Recurso (qual blob ou contêiner), Permissões (leitura, gravação, exclusão e listagem), Hora de início e expiração e, opcionalmente, restrições de IP. Existem três tipos de SAS: SAS da conta (vários serviços), SAS do serviço (um único serviço) e SAS de delegação de usuário (baseada em credenciais do Entra ID, a opção mais segura).

Um ponto de extremidade privado atribui ao Azure Storage uma coleção de endereços IP privados da sua VNet, tornando-o acessível dentro da sua rede virtual pela rede privada principal do Azure, sem que o tráfego passe pela internet pública. Depois de criar um ponto de extremidade privado para uma conta de armazenamento, é possível desabilitar completamente o ponto de extremidade público da conta, garantindo que ela só possa ser acessada de dentro da VNet conectada (e por meio de VPN/ExpressRoute a partir do ambiente local). Os pontos de extremidade privados são a forma mais segura de acessar contas de armazenamento a partir de VMs, clusters do Kubernetes ou sistemas locais.

Antes da implementação de pontos de extremidade privados, muitas organizações usam o Firewall da conta de armazenamento para restringir o acesso a intervalos de IP ou sub-redes de redes virtuais específicos. O firewall é configurado na lâmina 'Rede' da conta de armazenamento no portal do Azure. É possível permitir o acesso a partir de: intervalos de IP públicos específicos (por exemplo, o IP NAT do seu escritório), sub-redes específicas de VNet (usando pontos de extremidade de serviço) ou serviços do Azure (serviços confiáveis da Microsoft, como o Backup do Azure e o Azure Monitor). As regras de firewall são uma camada importante de defesa, mesmo quando RBAC é usado para o controle de acesso ao plano de dados.

O Microsoft Defender para Armazenamento (parte do Defender for Cloud) monitora suas contas de armazenamento em busca de padrões de acesso anômalos que possam indicar uma ameaça à segurança, como acesso a partir de locais incomuns, acesso a muitos arquivos em um curto período (exfiltração por ransomware) ou carregamento de arquivos que contenham malware conhecido. Os alertas do Defender para Armazenamento são enviados à sua equipe de segurança e podem acionar respostas automatizadas por meio do Logic Apps ou do Function Apps. Habilitar o Defender para Armazenamento é uma prática recomendada para contas de armazenamento de produção que contenham dados confidenciais ou essenciais para os negócios.

A aplicação das seguintes práticas recomendadas de segurança do armazenamento proporciona uma postura de segurança robusta: Nunca compartilhe chaves de conta no código — use identidades gerenciadas ou tokens SAS. Habilite RBAC para o acesso ao plano de dados, em vez da autenticação baseada em chaves, sempre que possível. Use pontos de extremidade privados para eliminar a exposição de dados confidenciais à internet pública. Habilite o Firewall do Storage para restringir o acesso a redes conhecidas. Ative a exclusão reversível e o controle de versões para recuperar dados excluídos acidentalmente. Habilite o Defender para Armazenamento para detectar anomalias. Exija somente HTTPS para impedir o acesso não criptografado. Juntos, esses controles tratam dos riscos mais comuns à segurança do armazenamento.

Teste sua compreensão dos conceitos do Microsoft Azure Fundamentals (AZ-900) abordados nesta lição.

Nesta lição, você aprendeu que: os discos gerenciados estão disponíveis em quatro tipos — Standard HDD, Standard SSD, Premium SSD e Ultra Disk — cada um adequado a diferentes requisitos de desempenho e custo; as Assinaturas de Acesso Compartilhado fornecem acesso a recursos de armazenamento limitado no tempo e restrito por permissões, sem compartilhar as chaves mestras; e os pontos de extremidade privados e os firewalls de armazenamento restringem o acesso a redes confiáveis, eliminando a exposição à internet pública. A seguir, iniciaremos o Azure Networking, começando pelas redes virtuais e sub-redes.