Azure Storage 보안 기능 살펴보기

10분

Contoso는 Azure Storage에 있는 방대한 데이터를 아주 많이 사용합니다. 많은 애플리케이션에서 Blob, 비정형 테이블 스토리지, Azure Data Lake 및 SMB(서버 메시지 블록) 기반 파일 공유를 사용합니다.

Contoso의 경쟁 업체가 데이터를 위반하면 Contoso에서 네트워크 관리자가 조직의 데이터 보안을 확인하도록 요구합니다. Contoso의 데이터 컨설턴트는 네트워크 관리자에게 Azure Storage 계정에서 클라우드 데이터에 대해 다음과 같은 몇 가지 높은 수준의 보안 이점을 제공한다고 보장합니다.

저장 데이터 보호
전송 중 데이터 보호
도메인 간 브라우저 액세스 지원
데이터에 액세스할 수 있는 사용자 제어
스토리지 액세스 감사

저장 데이터 암호화

Azure Storage에 기록된 모든 데이터는 256비트 AES(Advanced Encryption Standard) 암호를 사용하는 SSE(스토리지 서비스 암호화)를 통해 자동으로 암호화되며, FIPS 140-2를 준수합니다. SSE는 데이터를 Azure Storage에 쓸 때 자동으로 암호화합니다. Azure Storage에서 데이터를 읽을 때 Azure Storage는 먼저 암호를 해독한 후에 데이터를 반환합니다. 이 프로세스에서는 추가 비용이 발생하지 않으며 성능이 저하되지 않습니다. 비활성화할 수 없습니다.

VM(가상 머신)의 경우 Azure를 사용하면 Azure Disk Encryption을 사용하여 VHD(가상 하드 디스크)를 암호화할 수 있습니다. 이 암호화는 Windows용 BitLocker 이미지와 Linux용 dm-crypt를 사용합니다.

Azure Key Vault는 디스크 암호화 키와 비밀을 제어하고 관리하는 데 도움이 되는 키를 자동으로 저장합니다. 따라서 누군가가 VHD 이미지에 액세스하여 다운로드하는 경우에도 VHD의 데이터에는 액세스할 수 없습니다.

전송 중 암호화

Azure와 클라이언트 간에 전송 수준 보안을 사용하도록 설정하여 데이터를 안전하게 유지합니다. 항상 HTTPS를 사용하여 공용 인터넷을 통한 통신을 보호합니다. REST API를 호출하여 스토리지 계정의 개체에 액세스하는 경우 스토리지 계정에 보안 전송을 요구하여 HTTPS를 사용하도록 강제할 수 있습니다. 보안 전송을 사용하도록 설정되면 HTTP를 사용하는 연결이 거부됩니다. 또한 이 플래그는 모든 파일 공유 탑재에 SMB 3.0을 요구하여 SMB를 통한 전송 보안을 적용합니다.

CORS 지원

Contoso는 여러 웹 사이트 자산 유형을 Azure Storage에 저장합니다. 이러한 유형에는 이미지와 비디오가 포함됩니다. Contoso는 브라우저 앱을 보호하기 위해 특정 도메인에 대한 GET 요청을 잠급니다.

Azure Storage는 CORS(원본 간 리소스 공유)를 통해 도메인 간 액세스를 지원합니다. CORS는 HTTP 헤더를 사용하여 한 도메인의 웹 애플리케이션에서 다른 도메인의 서버에 있는 리소스에 액세스할 수 있도록 합니다. CORS를 사용하면 웹앱에서 권한 부여된 원본의 권한 부여된 콘텐츠만 로드할 수 있습니다.

CORS 지원은 Storage 계정에서 사용하도록 설정할 수 있는 선택적 플래그입니다. 이 플래그는 HTTP GET 요청을 사용하여 Storage 계정에서 리소스를 검색할 때 적절한 헤더를 추가합니다.

역할 기반 액세스 제어

클라이언트는 스토리지 계정의 데이터에 액세스하기 위해 HTTP 또는 HTTPS를 통해 요청합니다. 보안 리소스에 대한 모든 요청에는 권한을 부여해야 합니다. 서비스에서 데이터에 액세스하는 데 필요한 권한이 클라이언트에 있는지 확인합니다. 여러 액세스 옵션 중에서 선택할 수 있습니다. 가장 유연한 옵션은 분명히 역할 기반 액세스입니다.

Azure Storage는 리소스 관리와 데이터 작업 모두에 Microsoft Entra ID와 RBAC(역할 기반 액세스 제어)를 지원합니다. 보안 주체에는 스토리지 계정으로 범위가 지정된 RBAC 역할을 할당할 수 있습니다. Active Directory를 사용하여 구성과 같은 리소스 관리 작업에 대한 권한을 부여할 수 있습니다. Active Directory는 Blob 및 큐 스토리지의 데이터 작업을 지원합니다.

구독, 리소스 그룹, 스토리지 계정, 개별 컨테이너 또는 큐에 범위가 지정된 Azure 리소스에 대한 보안 주체 또는 관리형 ID에 RBAC 역할을 할당할 수 있습니다.

액세스 감사

감사는 액세스를 제어하는 또 다른 부분입니다. 기본 제공 스토리지 분석 서비스를 사용하여 Azure Storage 액세스를 감사할 수 있습니다.