Impedire l'autorizzazione con chiave condivisa per un account di archiviazione di Azure

Ogni richiesta sicura a un account di Archiviazione di Azure deve essere autorizzata. Per impostazione predefinita, le richieste possono essere autorizzate con le credenziali di Microsoft Entra o usando la chiave di accesso dell'account per l'autorizzazione con chiave condivisa. Di questi due tipi di autorizzazione, Microsoft Entra ID offre maggiore sicurezza e facilità d'uso rispetto alla chiave condivisa, ed è la procedura consigliata da Microsoft. Per richiedere ai client di usare Microsoft Entra ID per autorizzare le richieste, è possibile non consentire le richieste autorizzate con chiave condivisa all'account di archiviazione.

Quando si impedisce l'autorizzazione con chiave condivisa per un account di archiviazione, Archiviazione di Azure rifiuta tutte le richieste successive a tale account autorizzate con le chiavi di accesso dell'account. Solo le richieste protette autorizzate con Microsoft Entra ID hanno esito positivo. Per altre informazioni sull'uso di Microsoft Entra ID, vedere Autorizzare l'accesso ai dati in Archiviazione di Azure.

La proprietà AllowSharedKeyAccess di un account di archiviazione non è impostata per impostazione predefinita e non restituisce un valore finché non viene impostata in modo esplicito. L'account di archiviazione consente le richieste autorizzate con chiave condivisa quando il valore della proprietà è Null o quando è True.

Questo articolo descrive come usare un framework DRAG (Detection-Remediation-Audit-Governance, ossia Rilevamento-Correzione-Controllo-Governance) per gestire in modo continuo l'autorizzazione con chiave condivisa per l'account di archiviazione.

Prerequisiti

Prima di non consentire l'accesso con chiave condivisa a un account di archiviazione:

• Capire in che modo il mancato consenso alla chiave condivisa influisca sui token SAS
• Considerare la compatibilità con altri strumenti e servizi di Azure
• Considerare la necessità di non consentire l'autorizzazione con chiave condivisa per l'uso dell'Accesso condizionale di Microsoft Entra
• Autorizzare l'accesso ai dati dei file o eseguire la transizione dei carichi di lavoro di File di Azure

Capire in che modo il mancato consenso alla chiave condivisa influisca sui token SAS

Quando dispermetti l'accesso alla Chiave Condivisa per l'account di storage, Archiviazione di Azure gestisce i token SAS in base al tipo di SAS e al servizio che la richiesta prende a mira. La tabella seguente mostra come ogni tipo di SAS è autorizzato e come Archiviazione di Azure gestisce quell'SAS quando la proprietà AllowSharedKeyAccess per l'account di storage è falsa.

Le metriche di Azure e la registrazione in Monitoraggio di Azure non distinguono i diversi tipi di firme di accesso condiviso. Sia il filtro SAS in Esplora metriche di Azure, sia il campo SAS nella registrazione di Archiviazione di Azure in Monitoraggio di Azure, segnalano entrambi le richieste autorizzate con qualsiasi tipo di SAS. Tuttavia, diversi tipi di firme di accesso condiviso sono autorizzati in modo diverso e si comportano in modo diverso quando l'accesso con chiave condivisa non è consentito:

• Un token SAS di servizio o un token SAS di account è autorizzato con Chiave Condivisa e non è consentito in una richiesta a gestione rete virtuale di Azure quando la proprietà AllowSharedKeyAccess è impostata su falso.
• Una delega utente SAS è autorizzata con Microsoft Entra ID ed è consentita su una richiesta a gestione rete virtuale di Azure quando la proprietà AllowSharedKeyAccess è impostata su falso.

Quando valuti il traffico verso il tuo account storage, metriche e log come descritto in Detect il tipo di autorizzazione utilizzato dalle applicazioni client possono includere richieste effettuate tramite un SAS di delegazione utente.

Per altre informazioni sulle firme di accesso condiviso, vedere Concedere accesso limitato alle risorse di archiviazione di Azure tramite firme di accesso condiviso.

Considerare la compatibilità con altri strumenti e servizi di Azure

Un certo numero di servizi Azure usano l'autorizzazione con chiave condivisa per comunicare con Archiviazione di Azure. Se non consenti l'autorizzazione della Chiave Condivisa per un account di archiviazione, questi servizi non possono accedere ai dati in quell'account e le tue applicazioni potrebbero smettere di funzionare.

Alcuni strumenti di Azure offrono la possibilità di usare l'autorizzazione di Microsoft Entra per accedere all'archiviazione Azure. La tabella seguente elenca alcuni strumenti di Azure più diffusi e indica se possono usare Microsoft Entra ID per autorizzare le richieste ad Archiviazione di Azure.

Non consentire l'autorizzazione con chiave condivisa per l'uso dell'Accesso condizionale di Microsoft Entra

Per proteggere un account di archiviazione di Azure con i criteri di accesso condizionale di Microsoft Entra, è necessario non consentire l'autorizzazione con chiave condivisa per l'account di archiviazione.

Autorizzare l'accesso ai dati dei file o eseguire la transizione dei carichi di lavoro di File di Azure

Archiviazione di Azure supporta l'autorizzazione di Microsoft Entra per le richieste di Files di Azure, archiviazione BLOB, archiviazione code e archiviazione tabelle. Per impostazione predefinita, tuttavia, il portale di Azure usa l'autorizzazione con chiave condivisa per accedere alle condivisioni file di Azure. Se non consenti l'autorizzazione della Chiave Condivisa per un account di archiviazione che non è configurato con le corrette assegnazioni RBAC, le richieste ad File di Azure falliscono e non puoi accedere alle condivisioni file Azure nel portale Azure.

Per attenuare questo problema, è consigliabile adottare uno dei tre approcci seguenti:

1. Segui questi passaggi per autorizzare l'accesso ai dati dei file utilizzando il tuo account Microsoft Entra.
2. Eseguire la migrazione dei dati di File di Azure a un account di archiviazione separato prima di non consentire l'accesso a un account tramite chiave condivisa, oppure
3. Non applicare questa impostazione agli account di archiviazione che supportano i carichi di lavoro di File di Azure.

Identificare gli account di archiviazione che consentono l'accesso con chiave condivisa

Esistono due modi per identificare gli account di archiviazione che consentono l'accesso con chiave condivisa:

• Controllare l'impostazione di accesso con chiave condivisa per più account
• Configurare i criteri di Azure per l'accesso con chiave condivisa in modalità audit

Controllare l'impostazione di accesso con chiave condivisa per più account

Per controllare l'impostazione di accesso con chiave condivisa in un set di account di archiviazione con prestazioni ottimali, è possibile usare Azure Resource Graph Explorer nel portale di Azure. Per altre informazioni sull'uso di Resource Graph Explorer, vedere Avvio rapido: Eseguire la prima query di Resource Graph usando Azure Resource Graph Explorer.

L'esecuzione della query seguente in Resource Graph Explorer restituisce un elenco di account di archiviazione e mostra l'impostazione di accesso con chiave condivisa per ogni account:

resources
| where type =~ 'Microsoft.Storage/storageAccounts'
| extend allowSharedKeyAccess = parse_json(properties).allowSharedKeyAccess
| project subscriptionId, resourceGroup, name, allowSharedKeyAccess

Configurare i Criteri di Azure per l'accesso con chiave condivisa nella modalità di controllo

Il Criterio di Azure Gli account di archiviazione devono impedire l'accesso con chiave condivisa impedisce agli utenti autorizzati di configurare il consenso all'autorizzazione con chiave condivisa in account di archiviazione nuovi o esistenti. Configurare questo criterio in modalità di controllo per identificare gli account di archiviazione in cui è consentita l'autorizzazione con chiave condivisa. Dopo aver modificato le applicazioni affinché usino Microsoft Entra per l'autorizzazione anziché la chiave condivisa, è possibile aggiornare i criteri per impedire il consenso all'accesso con chiave condivisa.

Per altre informazioni sui criteri predefiniti, vedere Gli account di archiviazione devono impedire l'accesso con chiave condivisa in Elenco di definizioni dei criteri predefiniti.

Assegnare i criteri predefiniti per un ambito di risorse

Seguire questa procedura per assegnare i criteri predefiniti per l'ambito appropriato nel portale di Azure:

1. Nel portale di Azure, cercare criteri per visualizzare il dashboard di criteri di Azure.

2. Nella sezione Creazione, selezionare Assegnazioni.

3. Scegli Assegna criterio.

4. Nella scheda Dati principali della pagina Assegna criterio, all’interno della sezione Ambito, specificare l'ambito per l'assegnazione del criterio. Selezionare il pulsante Altro (...) per scegliere la sottoscrizione e il gruppo di risorse facoltativo.

5. Per il campo Definizione criteri, selezionare il pulsante Altro (...) e immettere accesso con chiave condivisa nel campo Cerca. Selezionare la definizione di criterio denominata Gli account di archiviazione devono impedire l'accesso con chiave condivisa.

   

6. Selezionare Rivedi e crea.

7. Nella scheda Rivedi e crea rivedere l'assegnazione dei criteri e quindi selezionare Crea per assegnare la definizione di criterio all'ambito specificato.

Monitorare la conformità ai criteri

Per monitorare la conformità degli account di archiviazione con i criteri di accesso con chiave condivisa, seguire questa procedura:

1. Nella dashboard dei Criteri di Azure, sotto Autorizzazioni, selezionare Assegnazioni.

2. Individuare e selezionare l'assegnazione di criteri creata nella sezione precedente.

3. Selezionare la scheda Visualizza conformità.

4. Tutti gli account di archiviazione nell'ambito dell'assegnazione di criteri che non soddisfano i requisiti dei criteri vengono visualizzati nel report di conformità.

   

Per ottenere altre informazioni sul motivo per cui un account di archiviazione non è conforme, selezionare Dettagli in Motivo conformità.

Rilevare il tipo di autorizzazione usata dalle applicazioni client

Per capire come la disautorizzazione dell'autorizzazione della Chiave Condivisa possa influire sulle applicazioni client, abilita la registrazione e le metriche per l'account di archiviazione. Puoi quindi analizzare i modelli di richieste al tuo account nel tempo per determinare come vengono autorizzate le richieste. La rilevazione utilizza due strumenti indipendenti: le metriche Monitoraggio di Azure per il conteggio aggregato delle richieste e i log di risorse Monitoraggio di Azure per i dettagli per ogni cliente. I log delle risorse richiedono un'impostazione diagnostica sull'account di archiviazione.

Usare le metriche per determinare il numero di richieste autorizzate con chiave condivisa o con una firma di accesso condiviso (SAS) ricevute dall'account di archiviazione. Usare i log per determinare quali client inviano tali richieste.

Una SAS può essere autorizzata con la chiave condivisa o con Microsoft Entra ID. Per altre informazioni sull'interpretazione delle richieste effettuate con una firma di accesso condiviso, vedere Capire in che modo il mancato consenso alla chiave condivisa influisca sui token SAS.

Determinare il numero e la frequenza delle richieste autorizzate con chiave condivisa

Per tenere traccia delle modalità di autorizzazione delle richieste a un account di archiviazione, usare Esplora metriche di Azure nel portale di Azure. Per altre informazioni su Metrics Explorer, vedere Analizzare le metriche con Metrics Explorer di Monitoraggio di Azure.

Seguire questa procedura per creare una metrica che tiene traccia delle richieste effettuate con chiave condivisa o SAS:

1. Vai al tuo account di archiviazione nel portale di Azure. Nella sezione Monitoraggio selezionare Metriche.

2. Verrà visualizzata la nuova casella della metrica:

   

   Se non viene visualizzato, selezionare Aggiungi metrica.

3. Nella finestra di dialogo Metrica specificare i valori seguenti:

   1. Lasciare il campo Ambito impostato sul nome dell'account di archiviazione.
   2. Impostare il Namespace delle metriche su Account. Questa metrica riporta tutte le richieste sull'account storage.
   3. Impostare il campo Metrica su Transazioni.
   4. Impostare il campo Aggregazione su Somma.

   La nuova metrica mostra la somma del numero di transazioni sul conto di archiviazione in un dato intervallo di tempo. La metrica risultante viene visualizzata come illustrato nell'immagine seguente:

   

4. Selezionare quindi il pulsante Aggiungi filtro per creare un filtro sulla metrica per il tipo di autorizzazione.

5. Nella finestra di dialogo Filtro specificare i valori seguenti:

   1. Impostare il valore della Proprietà su Autenticazione.
   2. Impostare il campo Operatore sul segno di uguale (=).
   3. Nel campo Valori selezionare Chiave dell'account e SAS.

6. Nell'angolo superiore destro selezionare l'intervallo di tempo per il quale si vuole visualizzare la metrica. È anche possibile indicare come deve essere granulare l'aggregazione delle richieste specificando intervalli da 1 minuto a 1 mese. Ad esempio, impostare Intervallo di tempo su 30 giorni e Granularità temporale su 1 giorno per visualizzare le richieste aggregate in base al giorno negli ultimi 30 giorni.

Dopo aver configurato la metrica, le richieste al tuo account di archiviazione appaiono sul grafico. L'immagine seguente mostra le richieste autorizzate con chiave condivisa o effettuate con un token SAS. Le richieste sono aggregate al giorno negli ultimi 30 giorni.

È anche possibile configurare una regola di avviso per ricevere una notifica quando viene effettuato un determinato numero di richieste autorizzate con chiave condivisa all'account di archiviazione. Per altre informazioni, vedere Creare, visualizzare e gestire gli avvisi delle metriche con Monitoraggio di Azure.

Analizzare i log per identificare i client che autorizzano le richieste con chiave condivisa o SAS

I log di Archiviazione di Azure acquisiscono i dettagli sulle richieste effettuate sull'account di archiviazione, inclusa la modalità di autorizzazione di una richiesta. È possibile analizzare i log per determinare quali client autorizzano le richieste con chiave condivisa o token SAS.

Per registrare le richieste all'account di archiviazione di Azure e valutare come vengono autorizzate, è possibile utilizzare i log di archiviazione di Azure in Monitoraggio di Azure. Per altre informazioni, vedere Monitoraggio di Archiviazione di Azure.

Archiviazione di Azure logging in Monitoraggio di Azure supporta le query di log per analizzare i dati di log. Per interrogare i log, usa uno spazio di lavoro di Log Analytics di Azure. Per altre informazioni sulle query di log, vedere Esercitazione: Introduzione alle query di Log Analytics.

Creare un'impostazione di diagnostica nel portale di Azure

Per registrare i dati di Archiviazione di Azure con Monitoraggio di Azure e analizzarli con Log Analytics di Azure, è necessario prima creare un'impostazione di diagnostica che indichi quali tipi di richieste e per quali servizi di archiviazione si desidera registrare i dati. Dopo aver configurato la registrazione per l'account di archiviazione, i log sono disponibili nell'area di lavoro Log Analytics. Per creare un'area di lavoro, vedere Creare un'area di lavoro Log Analytics nel portale di Azure.

Per informazioni su come creare un'impostazione di diagnostica nel portale di Azure, vedere Creare impostazioni di diagnostica in Monitoraggio di Azure.

Per informazioni di riferimento sui campi disponibili nei log di Archiviazione di Azure in Monitoraggio di Azure, vedere Log delle risorse.

Eseguire query sui log delle richieste effettuate con la chiave condivisa o SAS

I log di Archiviazione di Azure in Monitoraggio di Azure includono il tipo di autorizzazione utilizzato per eseguire una richiesta su un account di archiviazione. Per recuperare i log delle richieste effettuate negli ultimi sette giorni e autorizzate con chiave condivisa o SAS, aprire l'area di lavoro Log Analytics. Incollare quindi la query seguente in una nuova query di log ed eseguirla. Questa query visualizza i dieci indirizzi IP che più di frequente hanno inviato richieste autorizzate con chiave condivisa o SAS:

StorageBlobLogs
| where AuthenticationType in ("AccountKey", "SAS") and TimeGenerated > ago(7d)
| summarize count() by CallerIpAddress, UserAgentHeader, AccountName
| top 10 by count_ desc

È anche possibile configurare una regola di avviso basata su questa query in modo da ricevere una notifica per le richieste autorizzate con chiave condivisa o SAS. Per altre informazioni, vedere Creare, visualizzare e gestire gli avvisi di log utilizzando Monitoraggio di Azure.

Correggere l'autorizzazione tramite chiave condivisa

Dopo aver analizzato in che modo vengono autorizzate le richieste all'account di archiviazione, è possibile intervenire per impedire l'accesso tramite chiave condivisa. Prima di tutto, è necessario aggiornare tutte le applicazioni che usano l'autorizzazione con chiave condivisa affinché usino invece Microsoft Entra ID. È possibile monitorare i log e le metriche come descritto in Rilevare il tipo di autorizzazione usato dalle applicazioni client per tenere traccia della transizione. Per altre informazioni sull'uso di Microsoft Entra ID per accedere ai dati in un account di archiviazione, vedere Autorizzare l'accesso ai dati in Archiviazione di Azure.

Quando si è certi di poter rifiutare in modo sicuro le richieste autorizzate con chiave condivisa, è possibile impostare la proprietà AllowSharedKeyAccess per l'account di archiviazione su False.

Autorizzazioni per consentire o non consentire l'accesso con chiave condivisa

Per impostare la proprietà AllowSharedKeyAccess per l'account di archiviazione, un utente deve disporre delle autorizzazioni per creare e gestire gli account di archiviazione. I ruoli di controllo degli accessi in base al ruolo di Azure che forniscono queste autorizzazioni includono l'azione Microsoft.Storage/storageAccounts/write o Microsoft.Storage/storageAccounts/*. I ruoli predefiniti con questa azione includono:

• Il ruolo di Proprietario di Azure Resource Manager
• Il ruolo di Collaboratore Azure Resource Manager
• Il ruolo Collaboratore account di archiviazione

Questi ruoli non forniscono l'accesso ai dati in un account di archiviazione tramite Microsoft Entra ID. Tuttavia, includono Microsoft.Storage/storageAccounts/listkeys/action, che concede l'accesso alle chiavi di accesso dell'account. Con questa autorizzazione, un utente può usare le chiavi di accesso dell'account per accedere a tutti i dati in un account di archiviazione.

Le assegnazioni di ruolo devono avere come ambito minimo il livello dell'account di archiviazione per consentire a un utente di consentire o non consentire l'accesso con chiave condivisa per l'account di archiviazione. Per altre informazioni sull'ambito del ruolo, vedere Comprendere l'ambito per Azure RBAC.

Prestare attenzione a limitare l'assegnazione di questi ruoli solo agli utenti che richiedono la possibilità di creare un account di archiviazione o di aggiornarne le proprietà. Usare il principio dei privilegi minimi per assicurarsi che gli utenti abbiano le autorizzazioni minime necessarie per eseguire le attività. Per altre informazioni sulla gestione dell'accesso con Azure RBAC, vedere Procedure consigliate per Azure RBAC.

Disabilitare l'autorizzazione con chiave condivisa

Utilizzando un account che possiede i permessi necessari, disabilita l'autorizzazione della Chiave Condivisa nel portale Azure, con PowerShell o utilizzando la interfaccia della riga di comando di Azure.

Set-AzStorageAccount -ResourceGroupName <resource-group> `
    -AccountName <storage-account> `
    -AllowSharedKeyAccess $false

az storage account update \
    --name <storage-account> \
    --resource-group <resource-group> \
    --allow-shared-key-access false

"allowSharedKeyAccess": false

Dopo aver dispermesso l'autorizzazione della Chiave Condivisa, una richiesta all'account di archiviazione tramite l'autorizzazione della Chiave Condivisa fallisce con il codice di errore 403 (Vietato). Archiviazione di Azure restituisce un errore che indica che l'autorizzazione basata su chiavi non è consentita sull'account storage.

La proprietà AllowSharedKeyAccess è supportata per gli account di archiviazione che usano solo il modello di distribuzione Azure Resource Manager. Per informazioni sugli account di archiviazione che usano il modello di distribuzione Azure Resource Manager, vedere Tipi di account di archiviazione.

Per confermare che l'autorizzazione della Chiave Condivisa è disabilitata, vedi Verifica che l'accesso alla Chiave Condivisa non sia consentito.

Verificare che l'accesso con chiave condivisa non sia consentito

La allowSharedKeyAccess proprietà restituisce false solo dopo che disabiliti l'autorizzazione della Chiave Condivisa per l'account di archiviazione. Per verificare che l'autorizzazione della Chiave Condivisa non sia più consentita, consulta le impostazioni dell'Account Archiviazione di Azure utilizzando il seguente comando. Sostituire i valori dei segnaposto tra parentesi con i valori personalizzati.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group-name> \
    --query "allowSharedKeyAccess"

Il comando restituisce False se l'autorizzazione con chiave condivisa non è consentita per l'account di archiviazione.

Monitorare i Criteri di Azure per la conformità

Dopo aver negato il consenso all'accesso con chiave condivisa negli account di archiviazione desiderati, continuare a monitorare i criteri creati in precedenza per la conformità continua. In base ai risultati del monitoraggio, intraprendere l'azione appropriata secondo le esigenze, tra cui la modifica dell'ambito dei criteri, il non consenso all'accesso con chiave condivisa su più account o il consenso dello stesso per gli account che richiedono più tempo per la correzione.

Aggiornare Criteri di Azure per impedire l'accesso con chiave condivisa

Per iniziare ad applicare l'assegnazione di Criteri di Azure creata in precedenza per il criterio Gli account di archiviazione devono impedire l'accesso con chiave condivisa, impostare l'Effetto dell'assegnazione dei criteri su Nega per impedire agli utenti autorizzati di consentire l'accesso con chiave condivisa negli account di archiviazione. Per modificare l'effetto dei criteri, seguire questa procedura:

1. Nel Dashboard di Criteri di Azure, individuare e selezionare l'assegnazione dei criteri creata in precedenza.

2. Selezionare Modifica assegnazione.

3. Passare alla scheda Parametri.

4. Deselezionare la casella di controllo Mostra solo i parametri che richiedono input o revisione.

5. Nel menu a discesa Effetto impostare Controllo su Nega, quindi selezionare Rivedi e salva.

6. Nella scheda Rivedi e salva rivedere le modifiche e quindi selezionare Salva.

Passaggi successivi

• Autorizzare l'accesso ai dati in Archiviazione di Azure
• Autorizzare con la chiave condivisa