Azure Storage 보안 전략 검토

• 3분

관리자는 데이터를 안전하게 보호하기 위해 다양한 전략을 사용합니다. 일반적인 접근 방식에는 자격 증명, 파일 권한, 프라이빗 서명을 사용한 암호화, 인증, 권한 부여, 사용자 액세스 제어가 포함됩니다. Azure Storage는 데이터를 보호하는 데 도움이 되는 일반적인 전략을 기반으로 하는 보안 기능 제품군을 제공합니다.

Azure Storage 보안 전략에 대해 알아야 할 사항

Azure Storage 보안의 몇 가지 특성을 살펴보겠습니다.

• 휴지 상태의 암호화. 256비트 AES(Advanced Encryption Standard) 암호를 사용하는 SSE(스토리지 서비스 암호화)는 Azure Storage에 기록된 모든 데이터를 암호화합니다. Azure Storage에서 데이터를 읽을 때 Azure Storage는 먼저 암호를 해독한 후에 데이터를 반환합니다. 이 프로세스에는 추가 요금이 발생하지 않으며 성능도 저하되지 않습니다. 비활성화할 수 없습니다.

• 인증. Microsoft Entra ID 및 RBAC(역할 기반 액세스 제어)는 리소스 관리 작업 및 데이터 작업 모두에 대한 Azure Storage에 지원됩니다.

  • Azure Storage 계정으로 범위가 지정된 RBAC 역할을 보안 주체에 할당하고 Microsoft Entra ID를 사용하여 키 관리와 같은 리소스 관리 작업의 권한을 부여합니다.
  • Azure Blob Storage 및 Azure Queue Storage에 대한 데이터 작업을 위해 Microsoft Entra 통합이 지원됩니다.

• 전송 중 암호화. Azure와 클라이언트 간에 전송 수준 보안을 사용하도록 설정하여 데이터를 안전하게 유지합니다. 항상 HTTPS를 사용하여 공용 인터넷을 통한 통신을 보호합니다. REST API를 호출하여 스토리지 계정의 개체에 액세스하는 경우 스토리지 계정에 보안 전송을 요구하여 HTTPS를 사용하도록 강제할 수 있습니다. 보안 전송을 사용하도록 설정되면 HTTP를 사용하는 연결이 거부됩니다. 또한 이 플래그는 모든 파일 공유 탑재에 SMB 3.0을 요구하여 SMB를 통한 전송 보안을 적용합니다.

• 디스크 암호화. VM(가상 머신)의 경우 Azure를 사용하면 Azure Disk Encryption을 사용하여 VHD(가상 하드 디스크)를 암호화할 수 있습니다. 이 암호화는 Windows용 BitLocker 이미지와 Linux용 dm-crypt를 사용합니다. Azure Key Vault는 디스크 암호화 키와 비밀을 제어하고 관리하는 데 도움이 되는 키를 자동으로 저장합니다. 따라서 누군가가 VHD 이미지에 액세스하여 다운로드하는 경우에도 VHD의 데이터에는 액세스할 수 없습니다.

• 공유 액세스 서명. SAS(공유 액세스 서명)를 사용하여 Azure Storage의 데이터 개체에 대해 위임된 액세스를 부여할 수 있습니다.

• 권한 부여. Blob Storage, Azure Files, Queue Storage 또는 Azure Cosmos DB(Azure Table Storage)의 보안 리소스에 대해 수행한 모든 요청에는 권한이 부여되어야 합니다. 권한 부여는 스토리지 계정의 리소스에 대해 원하는 경우에만, 액세스 권한이 부여된 사용자나 애플리케이션에서만 액세스할 수 있도록 합니다.

권한 부여 보안 사용 시 고려해야 할 사항

Azure Storage에 대한 요청에 권한을 부여하기 위한 다음 전략을 검토합니다. Azure Storage에 어떤 보안 전략이 작동하는지 생각해 보세요.