บัญชี Azure Storage

บัญชี Azure Storage เป็นทรัพยากรพื้นฐานที่ให้คุณเข้าถึงบริการ Storage หลักของ Azure ได้แก่ Blob Storage (ที่เก็บออบเจ็กต์), Azure Files (การแชร์ไฟล์ที่มีการจัดการ), Queue Storage (คิวข้อความ), Table Storage (ที่เก็บคีย์-ค่าประเภท NoSQL) และ Azure Data Lake Storage Gen2 (เนมสเปซแบบลำดับชั้นสำหรับการวิเคราะห์) บัญชี Storage เดียวสามารถโฮสต์บริการทั้งหมดนี้ได้พร้อมกัน และมี เนมสเปซที่ไม่ซ้ำกันใน Azure โดยชื่อบัญชีจะเป็นส่วนหนึ่งของ URL สำหรับออบเจ็กต์ทุกชิ้นที่อยู่ภายในบัญชี

Azure มีประเภทบัญชี Storage หลายแบบ: Standard general-purpose v2 (GPv2) — ประเภทที่แนะนำสำหรับสถานการณ์ส่วนใหญ่ รองรับบริการ Storage และตัวเลือกความซ้ำซ้อนทั้งหมดด้วยประสิทธิภาพระดับ Standard Premium block blobs — Storage ที่ใช้ SSD สำหรับสถานการณ์ที่ต้องการเวลาแฝงต่ำมากในการดำเนินการกับ Blob Storage Premium file shares — การแชร์ Azure Files ที่ใช้ SSD สำหรับงานที่ต้องการ IOPS สูง เช่น ฐานข้อมูลหรือไดเรกทอรีผู้ใช้ Premium page blobs — Storage แบบ SSD สำหรับดิสก์ OS และดิสก์ข้อมูลของ Azure VM (Managed Disks ใช้ Storage ประเภทนี้อยู่เบื้องหลัง) สำหรับกรณีการใช้งานส่วนใหญ่ ให้เริ่มต้นด้วยบัญชี Standard GPv2

Azure Storage จะทำสำเนาข้อมูลของคุณโดยอัตโนมัติเพื่อป้องกันความเสียหายของฮาร์ดแวร์ ตัวเลือกความซ้ำซ้อนทั้งสี่แบบมีดังนี้: LRS (Locally Redundant Storage) — สำเนาแบบซิงโครนัสสามชุดภายในศูนย์ข้อมูลแห่งเดียว ZRS (Zone-Redundant Storage) — สำเนาแบบซิงโครนัสสามชุดข้าม Availability Zone สามแห่งในรีเจียนเดียวกัน GRS (Geo-Redundant Storage) — LRS ในรีเจียนหลัก และทำสำเนาแบบอะซิงโครนัสไปยังรีเจียนรอง (LRS) GZRS (Geo-Zone-Redundant Storage) — ZRS ในรีเจียนหลัก และทำสำเนาแบบอะซิงโครนัสไปยังรีเจียนรอง ยิ่งมีความซ้ำซ้อนมาก ความทนทานและค่าใช้จ่ายก็ยิ่งสูง

เลือกระดับความซ้ำซ้อนโดยพิจารณาจากข้อกำหนดด้าน RTO, RPO และงบประมาณ ของคุณ: LRS — ราคาถูกที่สุด มีความทนทานระดับ 11 เก้า แต่ไม่ป้องกันความล้มเหลวของศูนย์ข้อมูล ใช้สำหรับการพัฒนา/ทดสอบ หรือข้อมูลที่สามารถสร้างใหม่ได้ ZRS — ป้องกันความล้มเหลวของศูนย์ข้อมูล เหมาะสำหรับข้อมูลการใช้งานจริงในรีเจียนเดียว GRS/GZRS — ป้องกันกรณีรีเจียน Azure ทั้งหมดหยุดให้บริการ โดยข้อมูลจะถูกทำสำเนาแบบอะซิงโครนัสไปยังรีเจียนที่จับคู่ไว้ สำหรับข้อมูลทางธุรกิจที่สำคัญและต้องคงอยู่แม้เกิดภัยพิบัติระดับรีเจียน GRS หรือ GZRS เป็นตัวเลือกที่เหมาะสม แม้จะมีค่าใช้จ่ายเพิ่มเติม

Azure Storage มีระดับประสิทธิภาพสองแบบ: Standard — ใช้ฮาร์ดดิสก์ไดรฟ์ (HDD) เหมาะสำหรับงานส่วนใหญ่และมีค่าใช้จ่ายต่อ GB ต่ำกว่า Premium — ใช้โซลิดสเตตไดรฟ์ (SSD) ออกแบบมาสำหรับสถานการณ์ที่ไวต่อเวลาแฝงและต้องการ I/O ระดับมิลลิวินาทีหลักหน่วย Storage ระดับ Standard คิดค่าบริการตามจำนวน GB ที่จัดเก็บ ส่วน Premium มีราคาต่อ GB สูงกว่า แต่ให้ประสิทธิภาพที่สม่ำเสมอและคาดการณ์ได้ สำหรับทรัพยากรบนเว็บ ข้อมูลสำรอง บันทึกการทำงาน และการเก็บถาวร ควรใช้ Standard สำหรับ VM ที่มีฐานข้อมูลซึ่งใช้ I/O สูงหรือการแชร์ไฟล์ที่ผู้ใช้เดสก์ท็อปเข้าถึง ควรเลือก Premium

ชื่อบัญชี Storage ต้อง ไม่ซ้ำกันทั่วโลกใน Azure ทั้งหมด (เนื่องจากชื่อเหล่านี้เป็นส่วนหนึ่งของชื่อ DNS สาธารณะ เช่น mystorageacct.blob.core.windows.net) ชื่อต้องมีความยาว 3-24 อักขระ และประกอบด้วย ตัวอักษรภาษาอังกฤษพิมพ์เล็กและตัวเลขเท่านั้น ห้ามใช้ยัติภังค์ ขีดล่าง หรือตัวพิมพ์ใหญ่ เนื่องจากชื่อต้องไม่ซ้ำกันทั่วโลก คำทั่วไปและชื่อแบรนด์จำนวนมากจึงถูกใช้ไปแล้ว แนวทางที่ดีคือรวมคำนำหน้าบริษัท สภาพแวดล้อม (prod/dev) และวัตถุประสงค์ (store/media) แล้วต่อท้ายด้วยส่วนต่อท้ายแบบสุ่มหากจำเป็น เช่น contosoprodmedia7x2

บัญชี Storage แต่ละบัญชีมี คีย์การเข้าถึงขนาด 512 บิตสองคีย์ ซึ่งให้สิทธิ์การดูแลระบบอย่างเต็มรูปแบบสำหรับทุกสิ่งในบัญชี ควรถือว่าคีย์เหล่านี้มีความสำคัญเช่นเดียวกับรหัสผ่าน โดยจัดเก็บไว้ใน Azure Key Vault แทนการเก็บไว้ในโค้ดหรือไฟล์การกำหนดค่า Azure สร้างคีย์สองคีย์เพื่อให้คุณสามารถ หมุนเวียนคีย์ได้โดยไม่ต้องหยุดให้บริการ: อัปเดตแอปพลิเคชันให้ใช้ Key 2 จากนั้นสร้าง Key 1 ใหม่ แล้วสลับแอปพลิเคชันให้ใช้ Key 1 และสร้าง Key 2 ใหม่ สำหรับการควบคุมการเข้าถึงที่ละเอียดมากขึ้น ให้ใช้ Shared Access Signatures (SAS) หรือ Azure RBAC แทนการแบ่งปันคีย์หลัก

Azure RBAC (Role-Based Access Control) เป็นวิธีที่แนะนำสำหรับการอนุญาตให้เข้าถึงข้อมูล Storage โดยไม่ต้องแบ่งปันคีย์ กำหนดบทบาท Storage Blob Data Reader เพื่ออนุญาตการเข้าถึง Blob Storage แบบอ่านอย่างเดียว หรือใช้ Storage Blob Data Contributor สำหรับการอ่านและเขียน บทบาทเหล่านี้กำหนดให้กับผู้ใช้ กลุ่ม หรือข้อมูลประจำตัวที่มีการจัดการของ Entra ID ดังนั้นการเข้าถึงจึงผูกกับข้อมูลประจำตัวที่ผ่านการตรวจสอบสิทธิ์ แทนที่จะใช้ข้อมูลลับร่วมกัน การอนุญาตด้วย RBAC สำหรับ Storage ใช้ได้กับบริการ Blob, Queue และ Table (ไม่รวม File ซึ่งใช้โปรโตคอล SMB/NFS พร้อมการควบคุมการเข้าถึงของตนเอง)

ตามค่าเริ่มต้น บัญชี Storage จะยอมรับการเชื่อมต่อจากทุกเครือข่าย สำหรับการรักษาความปลอดภัยของระบบที่ใช้งานจริง ให้จำกัดการเข้าถึงโดยใช้ Storage Account Firewall โดยอนุญาตเฉพาะช่วง IP สาธารณะหรือซับเน็ตของเครือข่ายเสมือนที่ระบุ สำหรับความปลอดภัยระดับสูงสุด ให้ปิดการเข้าถึงอินเทอร์เน็ตสาธารณะทั้งหมด และใช้ Private Endpoint ซึ่งเป็นที่อยู่ IP ส่วนตัวภายใน VNet ของคุณที่กำหนดเส้นทางการรับส่งข้อมูลไปยังบัญชี Storage ผ่านโครงข่ายส่วนตัวของ Azure โดยไม่เปิดเผยบัญชีบนอินเทอร์เน็ตสาธารณะ Private Endpoint เป็นแนวทางที่แนะนำสำหรับบัญชี Storage ที่มีข้อมูลสำคัญหรือข้อมูลที่อยู่ภายใต้ข้อกำกับดูแล

Azure Storage มีคุณลักษณะการปกป้องข้อมูลในตัวเพื่อป้องกันการลบโดยไม่ตั้งใจ: Blob soft delete — Blob และเวอร์ชันที่ถูกลบจะถูกเก็บไว้ตามระยะเวลาที่กำหนดค่าได้ (1-365 วัน) และสามารถกู้คืนได้โดยไม่ต้องกู้คืนจากข้อมูลสำรอง Blob versioning — การเขียนทับทุกครั้งจะสร้างเวอร์ชันใหม่ ทำให้คุณสามารถกู้คืนเวอร์ชันก่อนหน้าใด ๆ ของ Blob ได้ Container soft delete — สามารถกู้คืนคอนเทนเนอร์ที่ถูกลบโดยไม่ตั้งใจได้ คุณลักษณะเหล่านี้ปิดใช้งานไว้ตามค่าเริ่มต้น และควรเปิดใช้งานสำหรับบัญชี Storage ที่ใช้งานจริงและเก็บข้อมูลสำคัญซึ่งไม่ได้สำรองไว้ที่อื่น

Azure Monitor จะรวบรวม เมตริกสำหรับบัญชี Storage ทุกบัญชีโดยอัตโนมัติ ได้แก่ ความจุรวมที่ใช้ จำนวนธุรกรรม จำนวนไบต์ขาเข้าและขาออก และเวลาแฝงตั้งแต่ต้นทางถึงปลายทาง คุณสามารถดูข้อมูลเหล่านี้ได้ในเบลด Insights ของพอร์ทัล Azure สำหรับบัญชี Storage ซึ่งมีแผนภูมิที่สร้างไว้ล่วงหน้าสำหรับความจุ ความพร้อมใช้งาน และประสิทธิภาพ หากต้องการตรวจสอบการเข้าถึงโดยละเอียด ให้เปิดใช้ Storage Diagnostic Logs เพื่อบันทึกการดำเนินการอ่าน เขียน และลบทุกครั้งไปยังปลายทางของบันทึก ซึ่งมีประโยชน์สำหรับการสืบสวนด้านความปลอดภัยและการจัดทำรายงานการปฏิบัติตามข้อกำหนด

ทดสอบความเข้าใจแนวคิด Microsoft Azure Fundamentals (AZ-900) จากบทเรียนนี้

ในบทเรียนนี้ คุณได้เรียนรู้ว่า บัญชี Storage เป็นทรัพยากรรากสำหรับบริการ Storage ทั้งหมดของ Azure และระบุด้วยชื่อที่ไม่ซ้ำกันทั่วโลก ตัวเลือกความซ้ำซ้อน ได้แก่ LRS, ZRS, GRS และ GZRS ซึ่งให้ระดับความทนทานที่เพิ่มขึ้นโดยมีค่าใช้จ่ายเพิ่มขึ้นตามลำดับ และ ควรควบคุมการเข้าถึงด้วย RBAC และ Private Endpoint แทนการแบ่งปันคีย์การเข้าถึงหลัก บทถัดไปเราจะลงรายละเอียดเกี่ยวกับ Blob Storage ซึ่งเป็นที่เก็บออบเจ็กต์ของ Azure สำหรับข้อมูลที่ไม่มีโครงสร้าง