Partilhar via

Exigir transferência segura para garantir conexões seguras

Você pode configurar sua conta de armazenamento para aceitar solicitações de conexões seguras somente definindo a propriedade Transferência segura necessária para a conta de armazenamento. Quando você precisa de transferência segura, todas as solicitações originadas de uma conexão insegura são rejeitadas. Recomendamos que exija transferência segura para todas as suas contas de armazenamento.

Quando é necessária uma transferência segura, deve ser feita uma chamada a uma operação da API REST do Armazenamento do Azure via HTTPS. Qualquer solicitação feita por HTTP é rejeitada. Por padrão, a propriedade Secure transfer required é habilitada quando você cria uma conta de armazenamento.

O Azure Policy fornece uma política integrada para garantir que é necessária uma transferência segura para as suas contas de armazenamento. Para mais informações, consulte a secção Storage nas definições de políticas internas do Azure Policy.

Para o Ficheiros do Azure, agora pode controlar os requisitos de encriptação SMB e NFS de forma independente, usando as respetivas definições de segurança por protocolo. Quando Exigir encriptação em trânsito está ativada, a propriedade Transferência segura obrigatória aplica-se apenas ao tráfego REST/HTTPS para partilhas de ficheiros do Azure. Para novas contas de armazenamento criadas através do portal Azure, Requires encryption in transit está ativado por defeito tanto para SMB como para NFS. Contas de armazenamento criadas usando Azure PowerShell, CLI do Azure ou a API FileREST inicialmente definem estes valores como Não selecionado para garantir compatibilidade retroativa.

A ligação a uma partilha de ficheiros Azure via SMB sem encriptação falha quando é necessária uma transferência segura para a conta de armazenamento. Exemplos de conexões inseguras incluem aquelas feitas através de SMB 2.1 ou SMB 3.x sem criptografia.

Requer transferência segura no portal do Azure

Podes ativar a propriedade Transferência segura necessária quando criares uma conta de armazenamento no portal Azure. Você também pode habilitá-lo para contas de armazenamento existentes.

Exigir transferência segura para uma nova conta de armazenamento

  1. Inicie sessão no portal Azure e vá a Storage accounts. Selecione + Criar.

  2. No separador Avançado , em Segurança, selecione a caixa Exigir transferência segura para operações da API REST .

    Criar separador avançado de conta de armazenamento

Exigir transferência segura para uma conta de armazenamento existente

  1. Selecione uma conta de armazenamento existente no portal Azure.
  2. No menu de serviço, em Definições, selecione Configuração.
  3. Em Transferência segura necessária, selecione Habilitado.
  4. Selecione Guardar.

Exigir transferência segura do código

Para exigir transferência segura programaticamente, defina a propriedade enableHttpsTrafficOnly como True na conta de armazenamento. Você pode definir essa propriedade usando a API REST do provedor de recursos de armazenamento, bibliotecas de cliente ou ferramentas:

Exigir transferência segura com o PowerShell

Nota

Recomendamos que utilize o módulo PowerShell do Azure Az para interagir com o Azure. Para começar, consulte Install Azure PowerShell. Para saber como migrar para o módulo Az PowerShell, veja Migrar Azure PowerShell do AzureRM para o Az.

Este exemplo requer o módulo Azure PowerShell Az versão 0.7 ou posterior. Executar Get-Module -ListAvailable Az para localizar a versão. Se precisares de instalar ou atualizar, vê Instala Azure PowerShell módulo.

Executa Connect-AzAccount para criar uma ligação com Azure.

Use a seguinte linha de comando para verificar a configuração:

Get-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}"
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : False
...

Use a seguinte linha de comando para habilitar a configuração:

Set-AzStorageAccount -Name "{StorageAccountName}" -ResourceGroupName "{ResourceGroupName}" -EnableHttpsTrafficOnly $True
StorageAccountName     : {StorageAccountName}
Kind                   : Storage
EnableHttpsTrafficOnly : True
...

Exigir transferência segura com CLI do Azure

Para executar este exemplo, instale a versão mais recente do CLI do Azure. Para começar, executa az login para criar uma ligação com Azure.

Os exemplos para o CLI do Azure são escritos para o shell bash. Para executar este exemplo no PowerShell do Windows ou no Prompt de Comandos, pode ser necessário alterar elementos do script.

Se não tiver uma conta Azure, crie uma conta free antes de começar.

Use o seguinte comando para verificar a configuração:

az storage account show -g {ResourceGroupName} -n {StorageAccountName}
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": false,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Use o seguinte comando para habilitar a configuração:

az storage account update -g {ResourceGroupName} -n {StorageAccountName} --https-only true
{
  "name": "{StorageAccountName}",
  "enableHttpsTrafficOnly": true,
  "type": "Microsoft.Storage/storageAccounts"
  ...
}

Próximos passos

Recomendações de segurança para armazenamento de Blob

  • Last updated on