Konfigurieren von Unveränderlichkeitsrichtlinien für Blobversionen

Artikel
11/21/2023

Unveränderlicher Speicher für Azure Blob Storage ermöglicht es Benutzern, unternehmenskritische Daten in einem WORM-Zustand (Write Once, Read Many) zu speichern. Im WORM-Zustand können Daten für ein vom Benutzer angegebenes Intervall weder geändert noch gelöscht werden. Durch Konfigurieren von Unveränderlichkeitsrichtlinien für Blobdaten können Sie Ihre Daten vor Überschreibungen und Löschungen schützen. Unveränderlichkeitsrichtlinien umfassen zeitbasierte Aufbewahrungsrichtlinien und Aufbewahrungrichtlinien für juristische Zwecke. Weitere Informationen zu Unveränderlichkeitsrichtlinien für Blob Storage finden Sie unter Speichern unternehmenskritischer Blobdaten mit unveränderlichem Speicher.

Eine Unveränderlichkeitsrichtlinie kann entweder auf eine einzelne Blobversion oder auf einen Container beschränkt werden. In diesem Artikel wird beschrieben, wie Sie eine Unveränderlichkeitsrichtlinie auf Versionsebene konfigurieren. Informationen zum Konfigurieren von Unveränderlichkeitsrichtlinien auf Containerebene finden Sie unter Konfigurieren von Unveränderlichkeitsrichtlinien für Container.

Hinweis

Unveränderlichkeitsrichtlinien werden in Konten, für die das NFS 3.0-Protokoll (Network File System, Netzwerkdateisysstem) oder SFTP (SSH File Transfer Protocol, SSH-Dateiübertragungsprotokoll) aktiviert ist, nicht unterstützt.

Das Konfigurieren einer Unveränderlichkeitsrichtlinie auf Versionsebene ist ein zweistufiger Prozess:

Aktivieren Sie zunächst die Unterstützung der Unveränderlichkeit auf Versionsebene für ein neues Speicherkonto oder einen neuen oder vorhandenen Container. Einzelheiten finden Sie unter Aktivieren der Unterstützung der Unveränderlichkeit auf Versionsebene.
Konfigurieren Sie als Nächstes eine zeitbasierte Aufbewahrungsrichtlinie oder eine Aufbewahrungrichtlinie für juristische Zwecke, die für eine oder mehrere Blobversionen in diesem Container gilt.

Voraussetzungen

Zum Konfigurieren von zeitbasierten Aufbewahrungsrichtlinien auf Versionsebene muss die Blobversionsverwaltung für das Speicherkonto aktiviert werden. Beachten Sie, dass die Aktivierung der Blob-Versionsverwaltung sich auf die Abrechnung auswirken kann. Informationen zum Aktivieren der Blobversionsverwaltung finden Sie unter Aktivieren und Verwalten der Blobversionsverwaltung (Vorschau).

Informationen zu unterstützten Speicherkontokonfigurationen für Unveränderlichkeitsrichtlinien auf Versionsebene finden Sie unter WORM-Richtlinien auf Versionsebene für unveränderliche BLOB-Daten.

Aktivieren der Unterstützung der Unveränderlichkeit auf Versionsebene

Damit Sie eine zeitbasierte Aufbewahrungsrichtlinie auf eine Blobversion anwenden können, müssen Sie die Unterstützung der Unveränderlichkeit auf Versionsebene aktivieren. Sie können die Unterstützung der Unveränderlichkeit auf Versionsebene für ein neues Speicherkonto oder einen neuen oder vorhandenen Container aktivieren.

Aktivieren der Unterstützung der Unveränderlichkeit auf Versionsebene für ein Speicherkonto

Sie können die Unterstützung der Unveränderlichkeit auf Versionsebene beim Erstellen eines neuen Speicherkontos aktivieren.

Führen Sie die folgenden Schritte aus, um beim Erstellen eines Speicherkontos im Azure-Portal die Unterstützung für Unveränderlichkeit auf Versionsebene zu aktivieren:

Navigieren Sie im Azure-Portal zur Seite Speicherkonten.
Erstellen Sie über die Schaltfläche Erstellen ein neues Konto.
Füllen Sie die Registerkarte Grundlagen aus.
Wählen Sie auf der Registerkarte Schutz von Daten unter Zugriffssteuerung die Option Unterstützung für Unveränderlichkeit auf Versionsebene aktivieren. Wenn Sie dieses Kontrollkästchen aktivieren, wird auch das Kontrollkästchen Versionsverwaltung für Blobs aktivieren automatisch aktiviert.
Wählen Sie Überprüfen und erstellen aus, um die Kontoparameter zu überprüfen und das Speicherkonto zu erstellen.

Nachdem das Speicherkonto erstellt wurde, können Sie eine standardmäßige Richtlinie auf Versionsebene für das Konto konfigurieren. Weitere Informationen finden Sie unter Konfigurieren einer zeitbasierten Standardaufbewahrungsrichtlinie.

Um die Unterstützung der Unveränderbarkeit auf Versionsebene beim Erstellen eines Speicherkontos mit Azure CLI zu aktivieren, schließen Sie beim Eingeben des Befehls az storage account create den Parameter --enable-alw ein. Sie können optional gleichzeitig eine Standardrichtlinie für das Speicherkonto angeben, wie im folgenden Beispiel gezeigt. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --enable-alw \
    --immutability-period-in-days 90 \
    --immutability-state unlocked \
    --allow-protected-append-writes true

Wenn die Unterstützung der Unveränderlichkeit auf Versionsebene für das Speicherkonto aktiviert ist und das Konto mindestens einen Container enthält, müssen Sie alle Container löschen, bevor Sie das Speicherkonto löschen, auch wenn für das Konto oder die Container keine Unveränderlichkeitsrichtlinien in Kraft sind.

Hinweis

Die Unveränderbarkeit auf Versionsebene kann im Speicherkonto nicht deaktiviert werden, nachdem sie aktiviert wurde, entsperrte Richtlinien können jedoch gelöscht werden.

Aktivieren der Unterstützung der Unveränderlichkeit auf Versionsebene für einen Container

Es ist möglich, sowohl neue als auch vorhandene Container so zu konfigurieren, dass die Unveränderlichkeit auf Versionsebene unterstützt wird. Ein vorhandener Container muss jedoch einem Migrationsprozess unterzogen werden, um die Unterstützung zu aktivieren.

Beachten Sie, dass durch die Aktivierung der Unterstützung der Unveränderlichkeit auf Versionsebene für einen Container keine die Daten in diesem Container nicht unveränderlich werden. Sie müssen darüber hinaus entweder eine Standardunveränderlichkeitsrichtlinie für den Container oder eine Unveränderlichkeitsrichtlinie für eine bestimmte Blobversion konfigurieren. Wenn Sie beim Erstellen des Speicherkontos die Unveränderlichkeit auf Versionsebene aktiviert haben, können Sie auch eine standardmäßige Unveränderlichkeitsrichtlinie für das Konto konfigurieren.

Aktivieren der Unveränderlichkeit auf Versionsebene für einen neuen Container

Um eine Unveränderlichkeitsrichtlinie auf Versionsebene zu verwenden, müssen Sie zunächst explizit die WORM-Unterstützung auf Versionsebene für den Container aktivieren. Sie können die WORM-Unterstützung auf Versionsebene entweder beim Erstellen des Containers oder beim Hinzufügen einer Unveränderlichkeitsrichtlinie auf Versionsebene zu einem vorhandenen Container aktivieren.

Führen Sie die folgenden Schritte aus, um im Azure-Portal einen Container zu erstellen, der Unveränderlichkeit auf Versionsebene unterstützt:

Navigieren Sie im Azure-Portal zur Seite Container für Ihr Speicherkonto, und wählen Sie Hinzufügen aus.
Geben Sie im Dialogfeld Neuer Container einen Namen für den Container ein, und erweitern Sie dann den Abschnitt Erweitert.
Wählen Sie Unterstützung der Unveränderlichkeit auf Versionsebene aktivieren aus, um die Unveränderlichkeit auf Versionsebene für den Container zu aktivieren.

Um einen Container zu erstellen, der Unveränderlichkeit auf Versionsniveau mit PowerShell unterstützt, installieren Sie zunächst das Modul Az.Storage ab Version 3.12.0.

Rufen Sie anschließend den Befehl New-AzRmStorageContainer mit dem Parameter -EnableImmutableStorageWithVersioning auf, wie im folgenden Beispiel gezeigt. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

# Create a container with version-level immutability support.
$container = New-AzRmStorageContainer -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account> `
    -Name <container> `
    -EnableImmutableStorageWithVersioning

# Verify that version-level immutability support is enabled for the container
$container.ImmutableStorageWithVersioning

Um einen Container zu erstellen, der die Unveränderbarkeit auf Versionsniveau mit Azure CLI unterstützt, installieren Sie zunächst Azure CLI Version 2.27 oder höher. Weitere Informationen zur Installation von Azure CLI finden Sie unter Installieren der Azure-Befehlszeilenschnittstelle.

Rufen Sie anschließend den Befehl az storage container-rm create auf und geben Sie dabei den Parameter --enable-vlw an. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

# Create a container with version-level immutability support.
az storage container-rm create \
    --name <container> \
    --storage-account <storage-account> \
    --resource-group <resource-group> \
    --enable-vlw

# Verify that version-level immutability support is enabled for the container
az storage container-rm show \
    --storage-account <storage-account> \
    --name <container> \
    --query '[immutableStorageWithVersioning.enabled]' \
    --output tsv

Wenn die Unterstützung der Unveränderlichkeit auf Versionsebene für einen Container aktiviert ist und der Container mindestens ein Blob enthält, müssen Sie alle Blobs im Container löschen, bevor Sie den Container löschen, auch wenn für den Container oder seine Blobs keine Unveränderlichkeitsrichtlinien in Kraft sind.

Migrieren eines vorhandenen Containers zur Unterstützung der Unveränderlichkeit auf Versionsebene

Zum Konfigurieren von Unveränderlichkeitsrichtlinien auf Versionsebene für einen vorhandenen Container müssen Sie den Container migrieren, damit ein unveränderlicher Speicher auf Versionsebene unterstützt wird. Die Containermigration kann einige Zeit in Anspruch nehmen und kann nicht rückgängig gemacht werden. Sie können 10 Container gleichzeitig pro Speicherkonto migrieren.

Um einen vorhandenen Container zur Unterstützung von Unveränderlichkeitsrichtlinien auf Versionsebene zu migrieren, muss für den Container eine zeitbasierte Aufbewahrungsrichtlinie auf Containerebene konfiguriert sein. Die Migration schlägt fehl, es sei denn, der Container verfügt über eine vorhandene Richtlinie. Das Aufbewahrungsintervall für die Richtlinie auf Containerebene wird als Aufbewahrungsintervall für die Standardrichtlinie auf Versionsebene für den Container beibehalten.

Wenn im Container eine Aufbewahrungrichtlinie für juristische Zwecke auf Containerebene vorhanden ist, kann er erst migriert werden, nachdem die Aufbewahrungrichtlinie für juristische Zwecke entfernt wurde.

Führen Sie die folgenden Schritte aus, um einen Container zur Unterstützung von Unveränderlichkeitsrichtlinien auf Versionsebene im Azure-Portal zu migrieren:

Navigieren Sie zum gewünschten Container.
Wählen Sie im Kontextmenü des Containers Zugriffsrichtlinie aus.
Wählen Sie unter Unveränderlicher Blobspeicher die Option Richtlinie hinzufügen aus.
Wählen Sie für das Feld Richtlinientyp den Typ Zeitbasierte Aufbewahrung aus, und geben Sie das Aufbewahrungsintervall an.
Wählen Sie Unveränderlichkeit auf Versionsebene aktivieren aus.
Wählen SieOK aus, um eine Richtlinie auf Containerebene mit dem angegebenen Aufbewahrungszeitraum zu erstellen, und beginnen Sie dann mit der Migration zur Unterstützung der Unveränderlichkeit auf Versionsebene.

Während der Migration wird der Bereich der Richtlinie für den Container als Containerangezeigt. Alle Vorgänge im Zusammenhang mit der Verwaltung von Unveränderlichkeitsrichtlinien auf Versionsebene sind nicht zulässig, während die Containermigration ausgeführt wird. Andere Vorgänge für Blobdaten werden während der Migration normal fortgesetzt.

Screenshot von Containermigration im Gange

Nach Abschluss der Migration wird der Bereich der Richtlinie für den Container als Version angezeigt. Die angezeigte Richtlinie ist eine Standardrichtlinie für den Container, die automatisch für alle Blobversionen gilt, die anschließend im Container erstellt wurden. Die Standardrichtlinie kann für jede Version überschrieben werden, indem eine benutzerdefinierte Richtlinie für diese Version angegeben wird.

Screenshot von abgeschlossener Containermigration

Um einen Container zu migrieren, um unveränderlichen Speicher auf Versionsniveau mit PowerShell zu unterstützen, stellen Sie zunächst sicher, dass eine zeitbasierte Aufbewahrungsrichtlinie auf Containerebene für den Container existiert. Rufen Sie Set-AzRmStorageContainerImmutabilityPolicy auf, um eine zu erstellen.

Set-AzRmStorageContainerImmutabilityPolicy -ResourceGroupName <resource-group> `
   -StorageAccountName <storage-account> `
   -ContainerName <container> `
   -ImmutabilityPeriod <retention-interval-in-days>

Rufen Sie als Nächstes den Befehl Invoke-AzRmStorageContainerImmutableStorageWithVersioningMigration auf, um den Container zu migrieren. Fügen Sie den Parameter -AsJob hinzu, um den Befehl asynchron auszuführen. Die asynchrone Ausführung des Vorgangs wird empfohlen, da die Migration einige Zeit in Anspruch nehmen kann.

$migrationOperation = Invoke-AzRmStorageContainerImmutableStorageWithVersioningMigration `
    -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account> `
    -Name <container> `
    -AsJob

Lesen Sie die JobStateInfo.State-Eigenschaft des Vorgangs, um den Status des Vorgangs mit langer Laufzeit zu überprüfen.

$migrationOperation.JobStateInfo.State

Wenn der Container keine zeitbasierte Aufbewahrungsrichtlinie besitzt, wenn Sie versuchen, zur Unveränderlichkeit auf Versionsebene zu migrieren, schlägt der Vorgang fehl. Im folgenden Beispiel wird der Wert der JobStateInfo.State-Eigenschaft überprüft und die Fehlermeldung angezeigt, wenn der Vorgang fehlgeschlagen ist, weil die Richtlinie auf Containerebene nicht vorhanden ist.

if ($migrationOperation.JobStateInfo.State -eq "Failed") {
Write-Host $migrationOperation.Error
}
The container <container-name> must have an immutability policy set as a default policy
before initiating container migration to support object level immutability with versioning.

Überprüfen Sie nach Abschluss der Migration die Output-Eigenschaft des Vorgangs, um festzustellen, ob die Unterstützung für Unveränderlichkeit auf Versionsebene aktiviert ist.

$migrationOperation.Output

Weitere Informationen zu PowerShell-Aufträgen finden Sie unter Ausführen von Azure PowerShell Cmdlets in PowerShell-Aufträgen.

Um einen Container zu migrieren, um unveränderlichen Speicher auf Versionsniveau mit Azure CLI zu unterstützen, stellen Sie zunächst sicher, dass eine zeitbasierte Aufbewahrungsrichtlinie auf Containerebene für den Container existiert. Rufen Sie az storage container immutability-policy create auf, um eine zu erstellen.

az storage container immutability-policy create \
    --resource-group <resource-group> \
    --account-name <storage-account> \
    --container-name <container> \
    --period <retention-interval-in-days>

Rufen Sie als Nächstes den Befehl az storage container-rm migrate-vlw auf, um den Container zu migrieren. Fügen Sie den Parameter --no-wait hinzu, um den Befehl asynchron auszuführen. Die asynchrone Ausführung des Vorgangs wird empfohlen, da die Migration einige Zeit in Anspruch nehmen kann.

az storage container-rm migrate-vlw \
    --resource-group <resource-group> \
    --storage-account <storage-account> \
    --name <container> \
    --no-wait

Lesen Sie den Wert von der migrationState-Eigenschaft des Vorgangs, um den Status des Vorgangs mit langer Laufzeit zu überprüfen.

az storage container-rm show \
    --storage-account <storage-account> \
    --name <container> \
    --query '[immutableStorageWithVersioning.migrationState]' \
    --output tsv

Konfigurieren einer zeitbasierten Standardaufbewahrungsrichtlinie

Nachdem Sie die Unterstützung für Unveränderlichkeit auf Versionsebene für ein Speicherkonto oder einen einzelnen Container aktiviert haben, können Sie eine zeitbasierte Standardaufbewahrungsrichtlinie auf Versionsebene für das Konto oder den Container festlegen. Wenn Sie eine Standardrichtlinie für ein Konto oder einen Container angegeben haben, gilt diese Richtlinie standardmäßig für alle neuen Blobversionen, die im Konto oder Container erstellt werden. Sie können die Standardrichtlinie für jede einzelne Blobversion im Konto oder Container überschreiben.

Die Standardrichtlinie wird nicht automatisch auf Blobversionen angewendet, die vor der Konfiguration der Standardrichtlinie vorhanden waren.

Wenn Sie einen vorhandenen Container zur Unterstützung der Unveränderlichkeit auf Versionsebene migriert haben, wird die Richtlinie auf Containerebene, die vor der Migration wirksam war, zu einer Standardrichtlinie auf Versionsebene für den Container migriert.

Verwenden Sie zum Konfigurieren einer Standard-Unveränderlichkeitsrichtlinie auf Versionsebene für ein Speicherkonto oder einen Container die Azure-Portal, PowerShell, Azure CLI oder eines der Azure Storage-SDKs. Stellen Sie sicher, dass Sie die Unterstützung der Unveränderlichkeit auf Versionsebene für das Speicherkonto oder den Container aktiviert haben, wie unter Aktivieren der Unterstützung für Unveränderlichkeit auf Versionsebene beschrieben ist.

Führen Sie die folgenden Schritte aus, um im Azure-Portal eine Standardrichtlinie für Unveränderlichkeit auf Versionsebene für ein Speicherkonto zu konfigurieren:

Navigieren Sie im Azure-Portal zu Ihrem Speicherkonto.
Wählen Sie unter Datenverwaltung die Option Schutz von Daten aus.
Machen Sie auf der Seite Schutz von Daten den Abschnitt Zugriffssteuerung ausfindig. Wenn das Speicherkonto mit Unterstützung der Unveränderbarkeit auf Versionsebene erstellt wurde, wird im Abschnitt Zugriffssteuerung die Schaltfläche Richtlinie verwalten angezeigt.
Wählen Sie die Schaltfläche Richtlinie verwalten aus, um das Dialogfeld Unveränderlichkeitsrichtlinie auf Versionsebene verwalten anzuzeigen.
Fügen Sie eine standardmäßige zeitbasierte Aufbewahrungsrichtlinie für das Speicherkonto hinzu.

Führen Sie die folgenden Schritte aus, um im Azure-Portal eine Standardrichtlinie für Unveränderlichkeit auf Versionsebene für einen Container konfigurieren:

Navigieren Sie im Azure-Portal zur Seite Container, und suchen Sie den Container, auf den Sie die Richtlinie anwenden möchten.
Wählen Sie im Kontextmenü des Containers Zugriffsrichtlinie aus.
Wählen Sie im Dialogfeld Zugriffsrichtlinie im Abschnitt Unveränderliche Blobspeicher die Option Richtlinie hinzufügen aus.
Wählen Sie Zeitbasierte Aufbewahrungsrichtlinie aus, und geben Sie das Aufbewahrungsintervall an.
Wählen Sie aus, ob geschützte Anfügeschreibvorgänge zugelassen werden sollen.

Die Option Blobs anfügen ermöglicht es Ihren Workloads, neue Datenblöcke mithilfe des Vorgangs Append Block am Ende eines Anfügeblobs hinzuzufügen.

Die Option Block- und Anfügeblobs erweitert diese Unterstützung, indem sie die Möglichkeit zum Schreiben neuer Blöcke in ein Blockblob hinzufügt. Die Blob Storage-API bietet Anwendungen keine Möglichkeit, dies direkt zu erledigen. Anwendungen können dies jedoch mithilfe von Anfüge- und Flushmethoden (Leerung) erreichen, die in der Data Lake Storage-API verfügbar sind. Außerdem ermöglicht diese Eigenschaft Microsoft-Anwendungen wie Azure Data Factory das Anfügen von Datenblöcken mithilfe interner APIs. Sollten Ihre Workloads von einem dieser Tools abhängig sein, können Sie mithilfe dieser Eigenschaft Fehler vermeiden, die angezeigt werden können, wenn diese Tools Daten an Blobs anzufügen versuchen.

Weitere Informationen zu diesen Optionen finden Sie unter Zulassen von Schreibvorgängen in geschützten Anfügeblobs.

Rufen Sie zum Konfigurieren einer Unveränderlichkeitsrichtlinie auf Versionsebene für einen Container mit PowerShell den Befehl Set-AzRmStorageContainerImmutabilityPolicy auf.

Set-AzRmStorageContainerImmutabilityPolicy -ResourceGroupName <resource-group> `
   -StorageAccountName <storage-account> `
   -ContainerName <container> `
   -ImmutabilityPeriod <retention-interval-in-days> `
   -AllowProtectedAppendWrite $true

Um eine Standardrichtlinie für unveränderliche Daten auf Versionsebene für einen Container mit Azure CLI konfigurieren, rufen Sie den Befehl az storage container immutability-policy create auf.

az storage container immutability-policy create \
    --account-name <storage-account> \
    --container-name <container> \
    --period <retention-interval-in-days> \
    --allow-protected-append-writes true

Bestimmen des Bereichs einer Aufbewahrungsrichtlinie für einen Container

Führen Sie die folgenden Schritte aus, um im Azure-Portal den Geltungsbereich einer zeitbasierten Aufbewahrungsrichtlinie zu bestimmen:

Navigieren Sie zum gewünschten Container.
Wählen Sie im Kontextmenü des Containers Zugriffsrichtlinie aus.
Suchen Sie unter Unveränderlicher Blobspeicher das Feld Bereich. Wenn der Container mit einer Standardaufbewahrungsrichtlinie auf Versionsebene konfiguriert ist, ist der Bereich wie in der folgenden Abbildung gezeigt auf Version festgelegt:
Wenn der Container mit einer Aufbewahrungsrichtlinie auf Containerebene konfiguriert ist, ist der Bereich wie in der folgenden Abbildung gezeigt auf Container festgelegt:

Konfigurieren einer zeitbasierten Aufbewahrungsrichtlinie für eine vorhandene Version

Zeitbasierte Aufbewahrungsrichtlinien bewirken, dass Blobdaten für ein angegebenes Intervall im WORM-Zustand bleiben. Weitere Informationen zu zeitbasierten Aufbewahrungsrichtlinien finden Sie unter Zeitbasierte Aufbewahrungsrichtlinien für unveränderliche Blobdaten.

Es gibt drei Optionen zum Konfigurieren einer zeitbasierten Aufbewahrungsrichtlinie für eine Blobversion:

Option 1: Sie können eine Standardrichtlinie für das Speicherkonto oder den Container konfigurieren, die für alle Objekte im Konto oder Container gilt. Objekte im Konto oder Container übernehmen die Standardrichtlinie, sofern diese nicht explizit außer Kraft gesetzt wird, indem Sie eine Richtlinie für eine einzelne Blobversion konfigurieren. Weitere Informationen finden Sie unter Konfigurieren einer zeitbasierten Standardaufbewahrungsrichtlinie.
Option 2: Sie können eine Richtlinie für die aktuelle Version des Blobs konfigurieren. Diese Richtlinie kann eine für das Speicherkonto oder den Container konfigurierte Standardrichtlinie außer Kraft setzen, wenn eine Standardrichtlinie vorhanden und entsperrt ist. Standardmäßig übernehmen alle früheren Versionen, die nach der Konfiguration der Richtlinie erstellt wurden, die Richtlinie der aktuellen Version des Blobs. Weitere Informationen finden Sie unter Konfigurieren einer Aufbewahrungsrichtlinie für die aktuelle Version eines Blobs.
Option 3: Sie können eine Richtlinie für eine frühere Version eines Blobs konfigurieren. Diese Richtlinie kann eine Standardrichtlinie außer Kraft setzen, die für die aktuelle Version konfiguriert ist, sofern eine solche vorhanden und nicht gesperrt ist. Weitere Informationen finden Sie unter Konfigurieren einer Aufbewahrungsrichtlinie für eine frühere Version eines Blobs.

Weitere Informationen zur Blobversionsverwaltung finden Sie unter Blobversionsverwaltung.

Im Azure-Portal wird eine Liste von Blobs angezeigt, wenn Sie zu einem Container navigieren. Jedes angezeigte Blob stellt die aktuelle Version des Blobs dar. Sie können auf eine Liste früherer Versionen zugreifen, indem Sie das Kontextmenü für das Blob und dann Vorherige Versionen anzeigen auswählen.

Konfigurieren einer Aufbewahrungsrichtlinie für die aktuelle Version eines Blobs

Führen Sie die folgenden Schritte aus, um eine zeitbasierte Aufbewahrungsrichtlinie für die aktuelle Version eines Blobs zu konfigurieren:

Navigieren Sie zu dem Container, der das Zielblob enthält.
Wählen Sie im Kontextmenü des Blobs Zugriffsrichtlinie aus. Wenn für die frühere Version bereits eine zeitbasierte Aufbewahrungsrichtlinie konfiguriert wurde, wird diese im Dialogfeld Zugriffsrichtlinie angezeigt.
Wählen Sie im Dialogfeld Zugriffsrichtlinie im Abschnitt Unveränderliche Blobversionen die Option Richtlinie hinzufügen aus.
Wählen Sie Zeitbasierte Aufbewahrungsrichtlinie aus, und geben Sie das Aufbewahrungsintervall an.
Wählen Sie OK aus, um die Richtlinie auf die aktuelle Version des Blob anzuwenden.

Sie können die Eigenschaften für ein Blob anzeigen, um festzustellen, ob eine Richtlinie für die aktuelle Version aktiviert ist. Wählen Sie das Blob aus, navigieren Sie dann zur Registerkarte Übersicht, und suchen Sie die Eigenschaft Unveränderlichkeitsrichtlinie auf Versionsebene . Wenn eine Richtlinie aktiviert ist, zeigt die Eigenschaft Aufbewahrungszeitraum den Ablaufzeitpunkt für die Richtlinie an. Beachten Sie, dass eine Richtlinie entweder für die aktuelle Version konfiguriert ist oder vom übergeordneten Container des Blobs übernommen werden kann, wenn eine Standardrichtlinie wirksam ist.

Screenshot: Eigenschaften der Unveränderlichkeitsrichtlinie für eine Blobversion im Azure-Portal

Konfigurieren einer Aufbewahrungsrichtlinie für eine frühere Version eines Blobs

Sie können auch eine zeitbasierte Aufbewahrungsrichtlinie für eine frühere Version eines Blobs konfigurieren. Eine frühere Version ist immer unveränderlich, da sie nicht geändert werden kann. Eine frühere Version kann jedoch gelöscht werden. Eine zeitbasierte Aufbewahrungsrichtlinie schützt vor dem Löschen, solange sie in Kraft ist.

Führen Sie die folgenden Schritte aus, um eine zeitbasierte Aufbewahrungsrichtlinie für eine frühere Version eines Blobs zu konfigurieren:

Navigieren Sie zu dem Container, der das Zielblob enthält.
Wählen Sie das Blob aus, und navigieren Sie dann zur Registerkarte Versionen.
Suchen Sie die Zielversion, und wählen Sie dann im Kontextmenü der Version Zugriffsrichtlinie aus. Wenn für die frühere Version bereits eine zeitbasierte Aufbewahrungsrichtlinie konfiguriert wurde, wird diese im Dialogfeld Zugriffsrichtlinie angezeigt.
Wählen Sie im Dialogfeld Zugriffsrichtlinie im Abschnitt Unveränderliche Blobversionen die Option Richtlinie hinzufügen aus.
Wählen Sie Zeitbasierte Aufbewahrungsrichtlinie aus, und geben Sie das Aufbewahrungsintervall an.
Wählen Sie OK aus, um die Richtlinie auf die aktuelle Version des Blob anzuwenden.

Um eine zeitbasierte Aufbewahrungsrichtlinie für eine Blobversion mit PowerShell zu konfigurieren, rufen Sie den Befehl Set-AzStorageBlobImmutabilityPolicy auf.

Das folgende Beispiel zeigt, wie Sie eine nicht gesperrte Richtlinie für die aktuelle Version eines Blobs konfigurieren. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

# Get the storage account context
$ctx = (Get-AzStorageAccount `
        -ResourceGroupName <resource-group> `
        -Name <storage-account>).Context

Set-AzStorageBlobImmutabilityPolicy -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -ExpiresOn "2021-09-01T12:00:00Z" `
    -PolicyMode Unlocked

Um mit Azure CLI eine zeitbasierte Aufbewahrungsrichtlinie für eine Blob-Version zu konfigurieren, installieren Sie zuerst Azure CLI ab Version 2.29.0.

Rufen Sie als Nächstes den Befehl az storage blob immutability-policy set auf, um die zeitbasierte Aufbewahrungsrichtlinie zu konfigurieren. Das folgende Beispiel zeigt, wie Sie eine nicht gesperrte Richtlinie für die aktuelle Version eines Blobs konfigurieren. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

az storage blob immutability-policy set \
    --expiry-time 2021-09-20T08:00:00Z \
    --policy-mode Unlocked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

Konfigurieren einer zeitbasierten Aufbewahrungsrichtlinie beim Hochladen eines Blobs

Wenn Sie das Azure-Portal verwenden, um ein Blob in einen Container hochzuladen, der Unveränderlichkeit auf Versionsebene unterstützt, haben Sie mehrere Optionen zum Konfigurieren einer zeitbasierten Aufbewahrungsrichtlinie für das neue Blob:

Option 1: Wenn eine Standardaufbewahrungsrichtlinie für den Container konfiguriert ist, können Sie das Blob mit der Richtlinie des Containers hochladen. Diese Option ist standardmäßig ausgewählt, wenn für den Container eine Aufbewahrungsrichtlinie vorhanden ist.
Option 2: Wenn eine Standardaufbewahrungsrichtlinie für den Container konfiguriert ist, können Sie die Standardrichtlinie außer Kraft setzen, indem Sie entweder eine benutzerdefinierte Aufbewahrungsrichtlinie für das neue Blob definieren oder das Blob ohne Richtlinie hochladen.
Option 3: Wenn keine Standardrichtlinie für den Container konfiguriert ist, können Sie das Blob mit einer benutzerdefinierten Richtlinie oder ohne Richtlinie hochladen.

Führen Sie die folgenden Schritte aus, um beim Hochladen eines Blobs eine zeitbasierte Aufbewahrungsrichtlinie zu konfigurieren:

Navigieren Sie zum gewünschten Container, und wählen Sie Hochladen aus.
Erweitern Sie im Dialogfeld Blob hochladen den Abschnitt Erweitert.
Konfigurieren Sie die zeitbasierte Aufbewahrungsrichtlinie für das neue Blob im Feld Aufbewahrungsrichtlinie. Wenn eine Standardrichtlinie für den Container konfiguriert ist, ist diese Richtlinie standardmäßig ausgewählt. Sie können auch eine benutzerdefinierte Richtlinie für das Blob angeben.

Ändern oder Löschen einer entsperrten Aufbewahrungsrichtlinie

Sie können eine nicht gesperrte zeitbasierte Aufbewahrungsrichtlinie ändern, um das Aufbewahrungsintervall zu verkürzen oder zu verlängern. Außerdem können Sie eine nicht gesperrte Richtlinie löschen. Das Bearbeiten oder Löschen einer nicht gesperrten zeitbasierten Aufbewahrungsrichtlinie für eine Blobversion wirkt sich nicht auf Richtlinien aus, die für andere Versionen wirksam sind. Wenn eine zeitbasierte Standardaufbewahrungsrichtlinie für den Container wirksam ist, übernimmt die Blobversion mit der geänderten oder gelöschten Richtlinie keine Einstellungen mehr vom Container.

Führen Sie die folgenden Schritte aus, um eine nicht gesperrte, zeitbasierte Aufbewahrungsrichtlinie im Azure-Portal zu ändern:

Finden Sie den Zielcontainer oder die Zielversion. Wählen Sie im Kontextmenü des Containers oder der Version Zugriffsrichtlinie aus.
Finden Sie die vorhandene entsperrte Unveränderlichkeitsrichtlinie. Wählen Sie im Kontextmenü Bearbeiten aus.
Geben Sie den neuen Zeitpunkt (Datum und Uhrzeit) für den Richtlinienablauf an.

Um die entsperrte Richtlinie zu löschen, wählen Sie Löschen im Kontextmenü aus.

Um eine entsperrte zeitbasierte Aufbewahrungsrichtlinie mit PowerShell zu ändern, rufen Sie den Befehl Set-AzStorageBlobImmutabilityPolicy für die Blobversion mit dem neuen Datum und der neuen Uhrzeit für den Ablauf der Richtlinien auf. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

$containerName = "<container>"
$blobName = "<blob>"

# Get the previous blob version.
$blobVersion = Get-AzStorageBlob -Container $containerName `
    -Blob $blobName `
    -VersionId "2021-08-31T00:26:41.2273852Z" `
    -Context $ctx

# Extend the retention interval by five days.
$blobVersion = $blobVersion |
    Set-AzStorageBlobImmutabilityPolicy -ExpiresOn (Get-Date).AddDays(5) `

# View the new policy parameters.
$blobVersion.BlobProperties.ImmutabilityPolicy

Um eine entsperrte Aufbewahrungsrichtlinie zu löschen, rufen Sie den Befehl Remove-AzRmStorageContainerImmutabilityPolicy auf.

$blobVersion = $blobVersion | Remove-AzStorageBlobImmutabilityPolicy

Um eine nicht gesperrte zeitbasierte Aufbewahrungsrichtlinie mit PowerShell zu ändern, rufen Sie den Befehl az storage blob immutability-policy set für die Blobversion mit dem neuen Datum und der neuen Uhrzeit für den Richtlinienablauf auf. Denken Sie daran, Platzhalter in spitzen Klammern durch Ihre eigenen Werte zu ersetzen:

az storage blob immutability-policy set \
    --expiry-time 2021-10-0T18:00:00Z \
    --policy-mode Unlocked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

Um eine nicht gesperrte Aufbewahrungsrichtlinie zu löschen, rufen Sie den Befehl az storage blob immutability-policy delete auf.

az storage blob immutability-policy delete \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

Sperren einer zeitbasierten Aufbewahrungsrichtlinie

Wenn Sie eine zeitbasierte Aufbewahrungsrichtlinie abschließend getestet haben, können Sie die Richtlinie sperren. Eine gesperrte Richtlinie ist mit SEC 17a-4(f) und anderen gesetzlichen Bestimmungen konform. Sie können das Aufbewahrungsintervall für eine gesperrte Richtlinie bis zu fünfmal verlängern, aber nicht verkürzen.

Nachdem eine Richtlinie gesperrt wurde, können Sie diese nicht mehr löschen. Sie können das Blob jedoch löschen, nachdem das Aufbewahrungsintervall abgelaufen ist.

Um eine Richtlinie über das Azure-Portal zu sperren, führen Sie die folgenden Schritte aus:

Finden Sie den Zielcontainer oder die Zielversion. Wählen Sie im Kontextmenü des Containers oder der Version Zugriffsrichtlinie aus.
Suchen Sie im Abschnitt Unveränderliche Blobversionen die vorhandene, nicht gesperrte Richtlinie. Wählen Sie Richtlinie sperren aus dem Kontextmenü aus.
Bestätigen Sie, dass Sie die Richtlinie sperren möchten.

Um eine Richtlinie mit PowerShell zu sperren, rufen Sie den Befehl Set-AzStorageBlobImmutabilityPolicy auf, und setzen Sie den PolicyMode-Parameter auf Locked (Gesperrt).

Das folgende Beispiel zeigt, wie eine Richtlinie gesperrt wird, indem das gleiche Aufbewahrungsintervall angegeben wird, das für die entsperrte Richtlinie wirksam war. Sie können den Ablauftermin auch zum Zeitpunkt der Sperre der Richtlinie ändern.

# Get the previous blob version.
$blobVersion = Get-AzStorageBlob -Container $containerName `
    -Blob $blobName `
    -VersionId "2021-08-31T00:26:41.2273852Z" `
    -Context $ctx

$blobVersion = $blobVersion |
    Set-AzStorageBlobImmutabilityPolicy `
        -ExpiresOn $blobVersion.BlobProperties.ImmutabilityPolicy.ExpiresOn `
        -PolicyMode Locked

Um eine Richtlinie mit PowerShell zu sperren, rufen Sie den Befehl az storage blob immutability-policy set auf und legen den --policy-mode-Parameter auf Locked (Gesperrt) fest. Sie können den Ablauftermin auch zum Zeitpunkt der Sperre der Richtlinie ändern.

az storage blob immutability-policy set \
    --expiry-time 2021-10-0T18:00:00Z \
    --policy-mode Locked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

Konfigurieren oder Löschen einer Aufbewahrungrichtlinie für juristische Zwecke

Bei einer Aufbewahrungrichtlinie für juristische Zwecke werden unveränderliche Daten gespeichert, bis die Aufbewahrungrichtlinie für juristische Zwecke explizit gelöscht wird. Weitere Informationen zu Aufbewahrungsrichtlinien für juristische Zwecke finden Sie im Artikel zur Aufbewahrung von unveränderlichen Blobdaten für juristische Zwecke.

Um eine Aufbewahrung für juristische Zwecke für eine Blobversion zu konfigurieren, müssen Sie zunächst die Unterstützung der Unveränderlichkeit auf Versionsebene für das Speicherkonto oder den Container aktivieren. Weitere Informationen finden Sie unter Aktivieren der Unterstützung der Unveränderlichkeit auf Versionsebene.

Führen Sie die folgenden Schritte aus, um im Azure-Portal eine Aufbewahrungsrichtlinie für juristische Zwecke für einen Container zu konfigurieren:

Suchen Sie die Zielversion. Dabei kann es sich um die aktuelle Version oder eine frühere Version eines Blobs handeln. Wählen Sie im Kontextmenü der Zielversion Zugriffsrichtlinie aus.
Wählen Sie im Abschnitt Unveränderliche Blobversionen die Option Richtlinie hinzufügen aus.
Wählen Sie Aufbewahrungrichtlinie für juristische Zwecke als Richtlinientyp und dann OK aus, um die Auswahl zu übernehmen.

Die folgende Abbildung zeigt eine aktuelle Version eines Blobs, für das sowohl eine zeitbasierte Aufbewahrungsrichtlinie als auch eine Aufbewahrungrichtlinie für juristische Zwecke konfiguriert ist.

Screenshot: konfigurierte Aufbewahrungrichtlinie für juristische Zwecke für eine Blobversion

Navigieren Sie zum Löschen einer Aufbewahrungsrichtlinie für juristische Zwecke zum Dialogfeld Zugriffsrichtlinie, und wählen Sie im Kontextmenü Löschen aus.

Rufen Sie den Befehl Set-AzStorageBlobLegalHold auf, um eine Sperrfrist für eine Blob-Version mit PowerShell zu konfigurieren oder aufzuheben.

# Set a legal hold
Set-AzStorageBlobLegalHold -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -EnableLegalHold

# Clear a legal hold
Set-AzStorageBlobLegalHold -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -DisableLegalHold

Rufen Sie den Befehl az storage blob set-legal-hold auf, um mithilfe der Azure-Befehlszeilenschnittstelle eine Sperrfrist für eine Blobversion zu konfigurieren oder aufzuheben.

# Set a legal hold
az storage blob set-legal-hold \
    --legal-hold \
    --container <container> \
    --name <blob-version> \
    --account-name <account-name> \
    --auth-mode login

# Clear a legal hold
az storage blob set-legal-hold \
    --legal-hold false \
    --container <container> \
    --name <blob-version> \
    --account-name <account-name> \
    --auth-mode login

Freigeben über