Azure Blob Storage

Die Integration von Corma und Azure Blob Storage sorgt dafür, dass der Zugriff auf Ihre Speicherkonten zu den Personen passt, die sie erreichen sollen. Microsoft beschreibt Azure Blob Storage als seine Objektspeicherlösung für die Cloud, optimiert für die Speicherung riesiger Mengen unstrukturierter Daten. Blob Storage wird nach Datenvolumen, Vorgängen, Datenübertragung und Redundanz abgerechnet, nicht nach Plätzen. Entscheidend ist also, wer eine Rolle oder einen Schlüssel besitzt, mit dem sich Ihre Daten lesen lassen.

Das Wichtigste in Kürze

• Wer einen Zugriffsschlüssel für ein Azure-Speicherkonto besitzt, kann Anfragen an das Konto autorisieren und hat damit faktisch Zugriff auf alle seine Daten.
• Azure-Speicherkonten erlauben die Autorisierung per Shared Key standardmässig, und Microsoft empfiehlt, sie zugunsten von Microsoft Entra ID zu unterbinden.
• Das Rotieren oder Neugenerieren eines Azure-Speicherzugriffsschlüssels widerruft die mit diesem Schlüssel erzeugten SAS-Token, während SAS-Token für die Benutzerdelegierung davon nicht betroffen sind.
• Jede Azure-Rolle, die die Aktion listKeys enthält, erlaubt ihren Inhabern, Blob-Daten über Shared Key zu lesen, auch ohne eine Rolle für Blob-Daten.

Welche Zugangsdaten für Azure Blob Storage brauchen eine verantwortliche Person?

Kontoschlüssel sind gemeinsam genutzte Geheimnisse. Microsoft empfiehlt Microsoft Entra ID mit verwalteten Identitäten, wann immer dies möglich ist, und rät dazu, die Autorisierung per Shared Key zu unterbinden. Danach müssen Clients Entra ID oder eine SAS für die Benutzerdelegierung verwenden. Eine Dienst-SAS und eine Konto-SAS sind mit dem Kontoschlüssel gesichert, eine SAS für die Benutzerdelegierung dagegen mit Anmeldedaten von Microsoft Entra, und sie gilt höchstens 7 Tage.

Microsoft dokumentiert nicht, dass ein Kontoschlüssel oder eine schlüsselbasierte SAS ungültig wird, wenn die Person ausscheidet, die den Wert kopiert hat. Die dokumentierten Abhilfen bestehen darin, den Schlüssel zu rotieren oder neu zu generieren und jeden Client zu aktualisieren, der ihn noch nutzt, oder eine Dienst-SAS über eine gespeicherte Zugriffsrichtlinie zu widerrufen. Microsoft empfiehlt, Zugriffsschlüssel in Azure Key Vault zu verwalten und regelmässig zu rotieren. Eine SAS für die Benutzerdelegierung können Sie dagegen widerrufen, indem Sie den Benutzerdelegierungsschlüssel widerrufen oder die RBAC-Rollenzuweisungen des Sicherheitsprinzipals entfernen, der sie erstellt hat.

So steuert Corma Azure Blob Storage

• Datenrollen unter Prüfung: Zuweisungen von Storage Blob Data Owner, Contributor und Reader sowie jede Rolle, die Kontoschlüssel auflisten kann, fliessen in automatisierte Access Reviews ein.
• Ausscheidende Mitarbeitende mit Schlüsselprüfung: Ein Workflow für ausscheidende Mitarbeitende im IT Workflow Builder fragt die verantwortliche Person des Speicherkontos, ob die ausscheidende Person Zugriffsschlüssel oder schlüsselbasierte SAS-Token hatte, damit die Schlüssel neu generiert werden können.
• Schlüssel und Identitäten mit verantwortlicher Person: Kontoschlüssel, SAS-Token, Service Principals und verwaltete Identitäten sind nicht-menschliche Identitäten, daher braucht jede davon eine namentlich benannte verantwortliche Person.
• Ausgaben im Blick: Ihre Azure-Kosten, einschliesslich Blob Storage, liegen in der SaaS-Abonnementverwaltung.

Häufige Fragen

Unterstützt Azure Blob Storage SSO und SCIM?

Blob Storage hat kein eigenes Benutzerverzeichnis. Personen und Anwendungen können über Microsoft Entra ID mit Azure RBAC auf Blob-Daten zugreifen, aber auch Kontoschlüssel und schlüsselbasierte SAS-Token erreichen diese Daten, und Conditional Access greift erst, wenn die Autorisierung per Shared Key unterbunden ist. Lesen Sie auch, wie Corma Microsoft Entra ID abdeckt.

Wie verbindet sich Corma mit Azure Blob Storage?

Corma verbindet sich per API oder über die browserbasierten Agenten von Corma, die in einer isolierten Browsersitzung mit Zugangsdaten aus Ihrem Passwort-Tresor laufen. Bei Blob Storage sind die Rollenzuweisungen und die Kontoschlüssel zu prüfen. Lesen Sie auch, wie Corma Cloud-Plattformen wie AWS abdeckt.

Wo werden die Daten von Corma gehostet?

Corma wird auf AWS betrieben, Webserver und Datenbanken laufen in Rechenzentren innerhalb der Europäischen Union. Die Daten werden bei der Übertragung und im Ruhezustand verschlüsselt, und Corma ist nach ISO/IEC 27001:2022 zertifiziert.

Möchten Sie sehen, wer Rollen für Blob-Daten und Rechte zum Auflisten von Schlüsseln besitzt? Demo mit Corma buchen.