Azure Blob Storage

L'intégration entre Corma et Azure Blob Storage aligne l'accès à vos comptes de stockage sur les personnes censées y accéder. Microsoft présente Azure Blob Storage comme sa solution de stockage d'objets pour le cloud, optimisée pour stocker d'énormes volumes de données non structurées. Blob Storage est facturé selon le volume de données, les opérations, le transfert de données et la redondance, et non au siège : la question est donc de savoir qui détient un rôle ou une clé capable de lire vos données.

À retenir

• Toute personne qui détient une clé d'accès à un compte de stockage Azure peut autoriser des requêtes sur ce compte et a, de fait, accès à toutes ses données.
• Les comptes de stockage Azure acceptent par défaut l'autorisation Shared Key, et Microsoft recommande de l'interdire au profit de Microsoft Entra ID.
• La rotation ou la régénération d'une clé d'accès de stockage Azure révoque les jetons SAS générés à partir de cette clé, alors que les jetons SAS de délégation d'utilisateur (user delegation SAS) ne sont pas concernés.
• Tout rôle Azure qui inclut l'action listKeys permet à son détenteur de lire les données blob via Shared Key, même sans rôle de données blob.

Quels identifiants Azure Blob Storage ont besoin d'un propriétaire ?

Les clés de compte sont des secrets partagés. Microsoft recommande Microsoft Entra ID avec des identités managées chaque fois que c'est possible, et recommande d'interdire l'autorisation Shared Key, après quoi les clients doivent passer par Entra ID ou par une SAS de délégation d'utilisateur. Une SAS de service et une SAS de compte sont sécurisées par la clé de compte, alors qu'une SAS de délégation d'utilisateur est sécurisée par des identifiants Microsoft Entra et dure 7 jours au maximum.

Microsoft ne documente pas qu'une clé de compte ou une SAS basée sur une clé cesse de fonctionner quand la personne qui l'a copiée s'en va. Les solutions documentées consistent à faire pivoter ou à régénérer la clé, puis à mettre à jour chaque client qui l'utilise encore, ou, pour une SAS de service, à la révoquer via une stratégie d'accès stockée. Microsoft recommande de gérer les clés d'accès dans Azure Key Vault et de les faire pivoter régulièrement. Une SAS de délégation d'utilisateur, en revanche, peut être révoquée en révoquant la clé de délégation d'utilisateur ou en supprimant les attributions de rôles RBAC du principal de sécurité qui l'a créée.

Comment Corma encadre Azure Blob Storage

• Les rôles de données en revue : les attributions Storage Blob Data Owner, Contributor et Reader, ainsi que tout rôle capable de lister les clés de compte, entrent dans des revues des accès automatisées.
• Des départs avec vérification des clés : un workflow de départ créé dans l'IT Workflow Builder demande au propriétaire du compte de stockage si la personne détenait des clés d'accès ou des jetons SAS basés sur une clé, pour que ces clés puissent être régénérées.
• Des clés et des identités avec un propriétaire : les clés de compte, les jetons SAS, les principaux de service et les identités managées sont des identités non humaines, chacun a donc besoin d'un propriétaire désigné.
• Les dépenses en vue : vos coûts Azure, Blob Storage compris, figurent dans la gestion des abonnements SaaS.

Questions fréquentes

Azure Blob Storage prend-il en charge le SSO et le SCIM ?

Blob Storage n'a pas d'annuaire d'utilisateurs propre. Les personnes et les applications peuvent accéder aux données blob via Microsoft Entra ID avec Azure RBAC, mais les clés de compte et les jetons SAS basés sur une clé y donnent aussi accès, et Conditional Access ne s'applique qu'une fois l'autorisation Shared Key interdite. Découvrez aussi comment Corma encadre Microsoft Entra ID.

Comment Corma se connecte-t-il à Azure Blob Storage ?

Corma se connecte via API ou via ses agents navigateur, qui s'exécutent dans une session de navigateur isolée, avec des identifiants issus de votre coffre-fort de mots de passe. Pour Blob Storage, ce qu'il faut passer en revue, ce sont les attributions de rôles et les clés de compte. Découvrez aussi comment Corma encadre les plateformes cloud comme AWS.

Où sont hébergées les données de Corma ?

Corma est hébergé sur AWS, avec des serveurs web et des bases de données situés dans des centres de données de l'Union européenne. Les données sont chiffrées en transit et au repos, et Corma est certifié ISO/IEC 27001:2022.

Vous voulez savoir qui détient des rôles de données Blob et le droit de lister les clés ? Demandez une démo Corma.