セキュリティで保護された接続を確保するために安全な転送を要求する

ストレージ アカウントに [安全な転送が必須] プロパティを設定すると、セキュリティで保護された接続からの要求のみを受け入れるようにストレージ アカウントを構成できます。 安全な転送を要求すると、セキュリティで保護されていない接続から送信される要求はすべて拒否されます。 すべてのストレージ アカウントに安全な転送を要求することをお勧めします。

安全な転送が必要な場合は、AZURE STORAGE REST API 操作の呼び出しを HTTPS 経由で行う必要があります。 HTTP を介して行われた要求はすべて拒否されます。 既定では、ストレージ アカウントを作成すると、 [安全な転送が必須] プロパティが有効になります。

Azure Policyには、ストレージ アカウントに安全な転送が必要であることを確認するための組み込みのポリシーが用意されています。 詳細については、Storage に関するセクションAzure Policy組み込みのポリシー定義を参照してください。

Azure Filesでは、それぞれのプロトコルごとのセキュリティ設定を使用して、SMB と NFS の暗号化要件を個別に制御できるようになりました。 転送中の暗号化が有効になっている場合、安全な転送が必要です プロパティは、Azure ファイル共有の REST/HTTPS トラフィックにのみ適用されます。 Azure ポータルを使用して作成された新しいストレージ アカウントの場合、転送中の暗号化は、SMB と NFS の両方に対して既定で有効になります。 Azure PowerShell、Azure CLI、または FileREST API を使用して作成されたストレージ アカウントは、下位互換性を確保するために、最初にこれらの値を 未選択として設定します。

ストレージ アカウントに安全な転送が必要な場合、暗号化なしで SMB 経由でAzureファイル共有に接続できない。 セキュリティで保護されていない接続の例としては、暗号化なしの SMB 2.1 または SMB 3.x 経由の接続を挙げることができます。

Azure ポータルで安全な転送を要求する

Azure ポータルでストレージ アカウントを作成するときに、安全な転送が必要 プロパティを有効にすることができます。 既存のストレージ アカウントの場合も有効にすることができます。

新しいストレージ アカウントの安全な転送が必須

1. Azure ポータルにサインインし、Storage アカウントに移動します。 [+ 作成] を選択します。

2. [ 詳細設定 ] タブの [ セキュリティ] で、[ REST API 操作にセキュリティで保護された転送を要求する ] チェック ボックスをオンにします。

   

既存のストレージ アカウントの安全な転送が必須

1. Azure ポータルで既存のストレージ アカウントを選択します。
2. サービス メニューの [設定] で [ 構成] を選択します。
3. [安全な転送が必須] で、 [有効] を選択します。
4. 保存を選びます。

コードから安全な転送を要求する

安全な転送をプログラムで要求するには、ストレージ アカウントで enableHttpsTrafficOnly プロパティを True に設定します。 このプロパティを設定するには、ストレージ リソース プロバイダーの REST API、クライアント ライブラリ、またはツールを使用します。

• REST API
• PowerShell
• CLI
• NodeJS
• .NET SDK
• Python SDK
• Ruby SDK

PowerShell を使用して安全な転送を要求する

このサンプルには、Azure PowerShell モジュール Az バージョン 0.7 以降が必要です。 バージョンを確認するには、Get-Module -ListAvailable Az を実行します。 インストールまたはアップグレードする必要がある場合は、「install Azure PowerShell module を参照してください。

Connect-AzAccount を実行して、Azureとの接続を作成します。

以下のコマンド ラインを使って、設定を確認します。

Get-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}"
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : False
...

以下のコマンド ラインを使って、設定を有効にします。

Set-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}" -EnableHttpsTrafficOnly $True
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : True
...

Azure CLIを使用して安全な転送を要求する

このサンプルを実行するには、Azure CLIの最新バージョンをインストールします。 開始するには、az login を実行して、Azureとの接続を作成します。

Azure CLIのサンプルは、bash シェル用に記述されています。 PowerShell またはコマンド プロンプトWindowsでこのサンプルを実行するには、スクリプトの要素を変更する必要がある場合があります。

Azure アカウントがない場合は、開始する前に free アカウントを作成します。

次のコマンドを使用して設定を確認します。

az storage account show -g {ResourceGroupName} -n {StorageAccountName}
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": false,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

次のコマンドを使用して設定を有効にします。

az storage account update -g {ResourceGroupName} -n {StorageAccountName} --https-only true
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": true,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

次のステップ

BLOB ストレージのセキュリティに関する推奨事項