Disklagring och lagringssäkerhet

Azure Managed Disks är blocklagringsvolymer som är anslutna till Azure VM:er – molnmotsvarigheten till en fysisk hårddisk eller SSD i en server. Azure hanterar disken och tar automatiskt hand om placering i Storage Accounts, redundans och livscykel. Innan Managed Disks behövde kunder själva hantera Storage Accounts och VHD-filer, vilket lätt ledde till fel. I dag är Managed Disks det vanliga sättet att tillhandahålla beständig OS- och datalagring för VM:er. Det förenklar hanteringen och har inbyggt stöd för distributioner med tillgänglighetsuppsättningar och zoner.

Azure erbjuder fyra typer av hanterade diskar: Standard HDD – lägst kostnad, upp till 500 IOPS per disk; för VM:er i utvecklings- och testmiljöer samt icke-kritiska arbetsbelastningar. Standard SSD – jämnare prestanda än HDD, upp till 6 000 IOPS; för webservrar med låg belastning och CI/CD-byggagenter. Premium SSD – hög prestanda, upp till 20 000 IOPS; för produktionsdatabaser, företagsapplikationer och alla arbetsbelastningar som är känsliga för I/O. Ultra Disk – högst prestanda, upp till 160 000 IOPS med latens under en millisekund; för de mest krävande arbetsbelastningarna, till exempel SAP HANA och SQL Server i toppklass. Ultra Disks kräver VM:er med specifika familjer och konfigurationer.

En Azure VM har upp till tre diskroller: OS-disk – innehåller operativsystemet (Windows eller Linux), har en maximal storlek på 4 TB och måste vara Premium eller Standard SSD för tillförlitlig prestanda. Datadiskar – ytterligare hanterade diskar för applikationsdata, databaser eller loggfiler; du kan ansluta flera datadiskar (upp till 32 för större VM-storlekar). Temporär disk – en lokal SSD på värdservern, mycket snabb (hundratusentals IOPS) men inte beständig; data går förlorade när VM:n frigörs eller distribueras på nytt. Lagra aldrig viktiga data på den temporära disken.

Azure Managed Disks har stöd för diskögonblicksbilder – skrivskyddade kopior av en disk från en specifik tidpunkt. Ögonblicksbilder lagras i Azure Storage och debiteras per GB använda data (inte utifrån hela den allokerade diskens storlek). Du kan skapa en ny disk från en ögonblicksbild för att återställa en VM till ett tidigare tillstånd eller klona en disk för testning. För säkerhetskopiering i produktion automatiserar Azure Backup schemaläggning av ögonblicksbilder, kvarhållning och säkerhetskopiering mellan regioner med en konsekvent, applikationsmedveten säkerhetskopia i stället för en rå diskögonblicksbild.

Azure Shared Disks gör det möjligt att ansluta en enda hanterad disk till flera VM:er samtidigt – vilket möjliggör klustrade applikationsscenarier som SQL Server Failover Cluster Instances eller SAP ASCS-kluster. Delade diskar är tillgängliga på nivåerna Premium SSD och Ultra Disk, med en specifik inställning för maxShares som begränsar hur många VM:er som kan montera disken samtidigt. Applikationen ansvarar för att samordna åtkomsten med hjälp av klustringsprogramvara (Windows Server Failover Clustering eller motsvarande för Linux) för att förhindra datakorruption på grund av samtidiga skrivningar.

Azure Managed Disks krypterar som standard alla data i vila med Server-Side Encryption (SSE) och AES-256-bitarsnycklar. Som standard hanterar Microsoft krypteringsnycklarna (Platform-Managed Keys). För organisationer som behöver kontroll över krypteringsnycklarna kan Customer-Managed Keys (CMK) som lagras i Azure Key Vault användas i stället. Ett tredje alternativ – Azure Disk Encryption (ADE) – krypterar OS- och datadiskarna med BitLocker (Windows) eller DM-Crypt (Linux). Disken krypteras då på OS-nivå utöver plattformsnivån, vilket ger försvar på djupet.

En Shared Access Signature (SAS) är en URI som ger begränsad åtkomst under en begränsad tid till Azure Storage-resurser (blobbar, filer, köer och tabeller) utan att kontots huvudnycklar delas. En SAS-token anger: Resurs (vilken blob eller container), Behörigheter (läsa, skriva, ta bort och lista), Start- och sluttid samt valfritt IP-begränsningar. Det finns tre SAS-typer: Account SAS (flera tjänster), Service SAS (en enda tjänst) och User delegation SAS (baserad på autentiseringsuppgifter i Entra ID och den säkraste typen).

En Private Endpoint tilldelar ett privat IP från ditt VNet till ett Azure Storage-konto, så att det blir åtkomligt i ditt virtuella nätverk via Azure:s privata stamnät – utan att någon trafik går över det offentliga internet. När du har skapat en privat slutpunkt för ett Storage-konto kan du inaktivera kontots offentliga slutpunkt helt och säkerställa att kontot endast kan nås från det anslutna VNet:et (samt via VPN/ExpressRoute från lokala nätverk). Privata slutpunkter är det säkraste sättet att komma åt Storage-konton från VM:er, Kubernetes-kluster eller lokala system.

Innan privata slutpunkter införs använder många organisationer Storage Account Firewall för att begränsa åtkomsten till specifika IP-intervall eller undernät i virtuella nätverk. Brandväggen konfigureras i bladet 'Networking' för Storage-kontot i Azure-portalen. Du kan tillåta åtkomst från: specifika offentliga IP-intervall (till exempel kontorets NAT-IP), specifika undernät i VNet (med service endpoints) eller Azure-tjänster (betrodda Microsoft-tjänster som Azure Backup och Azure Monitor). Brandväggsregler är ett viktigt försvarslager även när RBAC används för åtkomstkontroll på dataplanet.

Microsoft Defender for Storage (en del av Defender for Cloud) övervakar dina Storage-konton efter avvikande åtkomstmönster som kan tyda på ett säkerhetshot – till exempel åtkomst från ovanliga platser, åtkomst till många filer under en kort period (exfiltrering genom ransomware) eller uppladdning av kända skadliga filer. Aviseringar från Defender for Storage skickas till ditt säkerhetsteam och kan utlösa automatiska åtgärder via Logic Apps eller Function Apps. Att aktivera Defender for Storage är en rekommenderad metod för Storage-konton i produktion som innehåller känsliga eller verksamhetskritiska data.

Följande bästa praxis för Storage-säkerhet ger en stark säkerhetsnivå: Dela aldrig kontonycklar i kod – använd hanterade identiteter eller SAS-token. Aktivera RBAC för åtkomst till dataplanet i stället för nyckelbaserad autentisering när det är möjligt. Använd privata slutpunkter för att eliminera exponering mot det offentliga internet för känsliga data. Aktivera Storage Firewall för att begränsa åtkomsten till kända nätverk. Aktivera mjuk borttagning och versionshantering för att kunna återställa data efter oavsiktlig borttagning. Aktivera Defender for Storage för att upptäcka avvikelser. Framtvinga endast HTTPS för att förhindra okrypterad åtkomst. Tillsammans hanterar dessa kontroller de vanligaste säkerhetsriskerna för Storage.

I den här lektionen har du lärt dig att: hanterade diskar finns i fyra typer – Standard HDD, Standard SSD, Premium SSD och Ultra Disk – där varje typ passar olika krav på prestanda och kostnad, Shared Access Signatures ger tidsbegränsad åtkomst med begränsade behörigheter till Storage-resurser utan att huvudnycklar delas och privata slutpunkter och Storage-brandväggar begränsar åtkomsten till betrodda nätverk och eliminerar exponering mot det offentliga internet. Nästa del handlar om Azure Networking – med början i virtuella nätverk och undernät.