Compartilhar via

Exigir transferência segura para garantir conexões seguras

Você pode configurar sua conta de armazenamento para aceitar solicitações de conexões seguras somente definindo a propriedade Transferência segura obrigatória para a conta de armazenamento. Quando você precisar de uma transferência segura, todas as solicitações provenientes de uma conexão não segura serão rejeitadas. Recomendamos que você exija transferência segura para todas as suas contas de armazenamento.

Quando a transferência segura é necessária, uma chamada para uma operação de API REST Armazenamento do Azure deve ser feita por HTTPS. Qualquer solicitação feita por HTTP é rejeitada. Por padrão, a propriedade Transferência segura obrigatória está habilitada quando você cria uma conta de armazenamento.

Azure Policy fornece uma política interna para garantir que a transferência segura seja necessária para suas contas de armazenamento. Para obter mais informações, consulte a seção Storage em definições de políticas incorporadas do Azure Policy.

Para Arquivos do Azure, agora você pode controlar os requisitos de criptografia SMB e NFS independentemente usando suas respectivas configurações de segurança por protocolo. Quando Requerer criptografia em trânsito estiver habilitada, a propriedade Transferência segura obrigatória só se aplica ao tráfego REST/HTTPS para compartilhamentos de arquivos do Azure. Para novas contas de armazenamento criadas pelo portal do Azure, Require encryption in transit está habilitada por padrão tanto para SMB quanto para NFS. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST inicialmente definem esses valores como Não selecionado para garantir a compatibilidade com versões anteriores.

A conexão a um compartilhamento de arquivos Azure por SMB sem criptografia falha quando a transferência segura é necessária para a conta de armazenamento. Exemplos de conexões não seguras incluem aquelas feitas por SMB 2.1 ou SMB 3.x sem criptografia.

Exigir transferência segura no portal do Azure

Você pode ativar a propriedade Secure transfer required ao criar uma conta de armazenamento no portal Azure. Você também pode habilitá-la para uma conta de armazenamento existente.

Requer transferência segura de uma conta de armazenamento nova

  1. Entre no portal do Azure e acesse Storage accounts. Selecione + Criar.

  2. Na guia Avançado , em Segurança, selecione a caixa de seleção Exigir transferência segura para operações de API REST .

    Criar guia avançada da conta de armazenamento

Requer transferência segura de uma conta de armazenamento existente

  1. Selecione uma conta de armazenamento existente no portal Azure.
  2. No menu de serviço, em Configurações, selecione Configuração.
  3. Em Transferência segura obrigatória, selecione habilitado.
  4. Clique em Salvar.

Exigir transferência segura do código

Para exigir a transferência segura de maneira programática, defina a propriedade enableHttpsTrafficOnly como True na conta de armazenamento. Você pode definir essa propriedade usando a API REST do Provedor de Recursos de Armazenamento, bibliotecas de cliente ou ferramentas:

Exigir transferência segura com o PowerShell

Observação

Recomendamos que você use o módulo Azure Az PowerShell para interagir com Azure. Para começar, consulte Instalar Azure PowerShell. Para saber como migrar para o módulo do Az PowerShell, consulte Migrate Azure PowerShell do AzureRM para o Az.

Este exemplo requer o módulo Azure PowerShell Az versão 0.7 ou posterior. Execute Get-Module -ListAvailable Az para encontrar a versão. Se precisar instalar ou atualizar, consulte Instalar Azure PowerShell módulo.

Execute Connect-AzAccount para criar uma conexão com Azure.

Use a linha de comando a seguir para verificar a configuração:

Get-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}"
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : False
...

Use a linha de comando a seguir para habilitar a configuração:

Set-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}" -EnableHttpsTrafficOnly $True
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : True
...

Exigir transferência segura com CLI do Azure

Para executar este exemplo, instale a versão mais recente do CLI do Azure. Para começar, execute az login para criar uma conexão com Azure.

As amostras da CLI do Azure são escritas para o shell bash. Para executar este exemplo no Windows PowerShell ou no Prompt de Comando, talvez seja necessário alterar os elementos do script.

Se você não tiver uma conta Azure, crie uma conta free antes de começar.

Usar o seguinte comando para verificar a configuração:

az storage account show -g {ResourceGroupName} -n {StorageAccountName}
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": false,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Usar o seguinte comando para habilitar a configuração:

az storage account update -g {ResourceGroupName} -n {StorageAccountName} --https-only true
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": true,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Próximas etapas

Recomendações de segurança para o armazenamento de blobs

  • Last updated on