Azure Storage-versleuteling voor gegevens in rust

Azure Storage maakt gebruik van SSE (Service Side Encryption) om uw gegevens automatisch te versleutelen wanneer deze worden bewaard in de cloud. Azure Storage versleuteling beschermt uw gegevens en helpt u te voldoen aan de beveiligings- en nalevingsverplichtingen van uw organisatie.

Microsoft raadt het gebruik van versleuteling aan de servicezijde aan om uw gegevens voor de meeste scenario's te beveiligen. De Azure Storage clientbibliotheken voor Blob Storage en Queue Storage bieden echter ook versleuteling aan de clientzijde voor klanten die gegevens op de client moeten versleutelen. Zie Versleuteling aan de clientzijde voor blobs en wachtrijen voor meer informatie.

Over servicezijde-versleuteling van Azure Storage

Gegevens in Azure Storage worden transparant versleuteld en ontsleuteld met behulp van 256-bits AES-versleuteling, een van de sterkste blokcoderingen die beschikbaar zijn en compatibel zijn met FIPS 140-2. Azure Storage versleuteling lijkt op BitLocker-versleuteling op Windows.

Azure Storage versleuteling aan de serverzijde maakt gebruik van de 256-bits AES Galois/Counter-modus (AES-GCM) om geüploade objecten te versleutelen. Azure Storage versleuteling is ingeschakeld voor alle opslagaccounts, inclusief zowel Resource Manager als klassieke opslagaccounts. Azure Storage versleuteling kan niet worden uitgeschakeld. Omdat uw gegevens standaard zijn beveiligd, hoeft u uw code of toepassingen niet te wijzigen om te profiteren van Azure Storage versleuteling.

Gegevens in een opslagaccount worden versleuteld, ongeacht de prestatielaag (Standard of Premium), de toegangslaag (dynamisch of statisch) of het implementatiemodel (Azure Resource Manager of klassiek). Alle nieuwe en bestaande blok-blobs, toevoeg-blobs en pagina-blobs worden versleuteld, inclusief blobs in de archieflaag. Alle Azure Storage redundantieopties ondersteunen versleuteling en alle gegevens in zowel de primaire als de secundaire regio worden versleuteld wanneer geo-replicatie is ingeschakeld. Alle Azure Storage resources worden versleuteld, waaronder blobs, schijven, bestanden, wachtrijen en tabellen. Alle objectmetagegevens worden ook versleuteld.

Er zijn geen extra kosten verbonden aan Azure Storage versleuteling.

Zie Cryptografie-API: Next Generation voor meer informatie over de cryptografische modules die onderliggende Azure Storage-versleuteling.

Zie Versleuteling aan de serverzijde van Azure beheerde schijven voor informatie over versleuteling en sleutelbeheer voor Azure beheerde schijven.

Over versleutelingssleutelbeheer

Gegevens in een nieuw opslagaccount worden standaard versleuteld met Microsoft beheerde sleutels. U kunt blijven vertrouwen op Microsoft beheerde sleutels voor de versleuteling van uw gegevens of u kunt versleuteling beheren met uw eigen sleutels. Als u ervoor kiest om versleuteling met uw eigen sleutels te beheren, hebt u twee opties. U kunt het type sleutelbeheer of beide gebruiken:

• U kunt een door customer beheerde sleutel opgeven voor het versleutelen en ontsleutelen van gegevens in Blob Storage en in Azure Files.^1>1 Door de klant beheerde sleutels moeten worden opgeslagen in Azure Key Vault of Azure Key Vault Beheerde HSM (Managed Hardware Security Module). Zie Gebruik door de klant beheerde sleutels voor Azure Storage versleuteling voor meer informatie over door de klant beheerde sleutels.
• U kunt een customer-opgegeven sleutel opgeven voor Blob Storage bewerkingen. Een client die een lees- of schrijfaanvraag indient op basis van Blob Storage kan een versleutelingssleutel bevatten voor de aanvraag voor gedetailleerde controle over hoe blobgegevens worden versleuteld en ontsleuteld. Voor meer informatie over door klanten verstrekte sleutels, zie Versleutelingssleutel op aanvraag voor Blob Storage.

Standaard wordt een opslagaccount versleuteld met een sleutel die is afgestemd op het hele opslagaccount. Met versleutelingsbereiken kunt u versleuteling beheren met een sleutel die is gericht op een container of een afzonderlijke blob. U kunt versleutelingsbereiken gebruiken om veilige grenzen te maken tussen gegevens die zich in hetzelfde opslagaccount bevinden, maar tot verschillende klanten behoren. Versleutelingsbereiken kunnen gebruikmaken van Microsoft beheerde sleutels of door de klant beheerde sleutels. Zie Versleutelingsbereiken voor Blob Storage voor meer informatie over versleutelingsbereiken.

In de volgende tabel worden de opties voor sleutelbeheer voor Azure Storage versleuteling vergeleken.

¹ Voor informatie over het maken van een account dat door de klant beheerde sleutels voor wachtrijen ondersteunt, zie Een account maken dat door de klant beheerde sleutels voor wachtrijen ondersteunt.
² Voor informatie over het maken van een account dat ondersteuning biedt voor het gebruik van door de klant beheerde sleutels met Table Storage, raadpleegt u Een account maken dat door de klant beheerde sleutels voor tabellen ondersteunt.

Gegevens dubbel versleutelen met infrastructuurversleuteling

Klanten die een hoge mate van zekerheid vereisen dat hun gegevens veilig zijn, kunnen ook 256-bits AES-versleuteling inschakelen op het niveau van de Azure Storage infrastructuur. Wanneer infrastructuurversleuteling is ingeschakeld, worden gegevens in een opslagaccount tweemaal versleuteld ( eenmaal op serviceniveau en eenmaal op infrastructuurniveau), met twee verschillende versleutelingsalgoritmen en twee verschillende sleutels. Dubbele versleuteling van Azure Storage gegevens beschermt tegen een scenario waarin een van de versleutelingsalgoritmen of sleutels kan worden aangetast. In dit scenario blijft de extra versleutelingslaag uw gegevens beveiligen.

Versleuteling op serviceniveau ondersteunt het gebruik van door Microsoft beheerde sleutels of door de klant beheerde sleutels met Azure Key Vault. Versleuteling op infrastructuurniveau is afhankelijk van Microsoft beheerde sleutels en maakt altijd gebruik van een afzonderlijke sleutel.

Zie Een opslagaccount maken met infrastructuurversleuteling ingeschakeld voor dubbele versleuteling van gegevens voor meer informatie over het maken van een opslagaccount dat infrastructuurversleuteling mogelijk maakt.

Versleuteling aan de clientzijde voor blobs en wachtrijen

De Azure Blob Storage-clientbibliotheken voor .NET, Java en Python ondersteunen het versleutelen van gegevens in clienttoepassingen voordat ze naar Azure Storage worden geüpload en gegevens ontsleutelen tijdens het downloaden naar de client. De Queue Storage-clientbibliotheken voor .NET en Python bieden ook ondersteuning voor versleuteling aan de clientzijde.

De Blob Storage- en Queue Storage-clientbibliotheken maken gebruik van AES om gebruikersgegevens te versleutelen. Er zijn twee versies van versleuteling aan de clientzijde beschikbaar in de clientbibliotheken:

• Versie 2 maakt gebruik van de GCM-modus (Galois/Counter Mode) met AES. De Blob Storage- en Queue Storage SDK's ondersteunen versleuteling aan de clientzijde met v2.
• Versie 1 maakt gebruik van de CBC-modus (Cipher Block Chaining) met AES. De SDK's voor Blob Storage, Queue Storage en Table Storage ondersteunen versleuteling aan de clientzijde met v1.

De volgende tabel toont welke clientbibliotheken ondersteuning bieden voor welke versies van versleuteling aan de clientzijde en richtlijnen biedt voor het migreren naar versleuteling aan de clientzijde v2.

Volgende stappen

• Wat is Azure Key Vault?
• Doorcustomer beheerde sleutels voor Azure Storage versleuteling
• Encryption-bereiken voor Blob Storage
• Geef een versleutelingssleutel bij een verzoek aan Blob Storage