Хранение критически важных для бизнеса данных большого двоичного объекта с помощью неизменяемого хранилища
Неизменяемое Хранилище BLOB-объектов Azure дает пользователям возможность хранить критически важные для бизнеса данные в состоянии WORM (однократная запись, многократное чтение). В состоянии WORM невозможно изменить или удалить данные в течение заданного пользователем интервала времени. Настроив политики неизменяемости для больших двоичных объектов, вы можете защитить свои данные от перезаписи и удаления.
Неизменяемое хранилище BLOB-объектов Azure поддерживает два типа неизменяемых политик:
Политики хранения на основе времени: пользователи могут настраивать политики для хранения данных в течение определенного интервала. Когда установлена политика хранения на основе времени, объекты можно создавать и читать, но нельзя изменять и удалять. По истечении срока хранения объекты могут быть удалены, но не перезаписаны. Дополнительные сведения о политиках хранения на основе времени см. в статье Политики хранения на основе времени для неизменяемых данных больших двоичных объектов.
Политики удержания по юридическим причинам: удержание позволяет хранить неизменяемые данные до тех пор, пока не будет отменено явным образом. Когда установлено удержание по юридическим причинам, объекты можно создавать и читать, но нельзя изменять и удалять. Дополнительные сведения о политиках удержания по юридическим причинам см. в статье Юридические удержания для неизменяемых данных больших двоичных объектов.
На следующей схеме показано, как политики хранения на основе времени и удержания по юридическим причинам предотвращают операции записи и удаления, когда они действуют.
О неизменяемом хранилище BLOB-объектов
Хранение данных в неизменяемом виде помогает учреждениям в сфере здравоохранения, финансовым учреждениям и организациям в связанных отраслях, в частности брокерско-дилерским организациям, безопасно хранить данные. Его также можно использовать в любом сценарии для защиты критически важных данных от изменения или удаления.
Распространенные приложения включают следующее.
Соответствие нормативным требованиям: хранение данных в неизменяемом виде в хранилище BLOB-объектов Azure помогает организациям соответствовать SEC 17a-4(f), CFTC 1.31(d), FINRA и другим нормам.
Безопасное хранение документов: неизменяемое хранилище BLOB-объектов гарантирует, что ни один пользователь, даже администратор учетной записи, не сможет изменить или удалить данные.
Удержание по юридическим причинам: неизменяемое хранилище BLOB-объектов позволяет пользователям хранить конфиденциальную информацию, критически важную для судебного процесса или бизнеса, в защищенном от несанкционированного доступа состоянии в течение желаемого периода, пока удержание не будет отменено. Эта функция не ограничивается только юридическими вариантами использования, но также может рассматриваться как удержание на основе событий или корпоративная блокировка, где требуется защищать данные на основе триггеров событий или корпоративной политики.
Соблюдение нормативных требований
Корпорация Майкрософт продолжает пользоваться услугами ведущей независимой аудиторской фирмы Cohasset Associates, специализирующейся на управлении записями и информацией, для оценки неизменяемого хранилища BLOB-объектов на предмет его соответствия требованиям безопасности для отрасли финансовых услуг. Компания Cohasset подтвердила, что неизменяемое хранилище, используемое для хранения BLOB-объектов в состоянии WORM, соответствует требованиям к хранению, установленным в правилах CFTC 1.31 (c)-(d), FINRA 4511 и SEC 17A-4. Корпорация Майкрософт ориентируется на этот набор правил, так как они представляют собой наиболее полное нормативное руководство по хранению записей для финансовых учреждений.
Отчет Cohasset доступен в центре управления безопасностью Майкрософт. Центр управления безопасностью Azure содержит подробные сведения о сертификатах соответствия Майкрософт. Чтобы запросить подтверждение аттестации Майкрософт по соответствию требованиям к неизменности WORM, обратитесь в службу поддержки Azure.
Область действия политики неизменности
Политики неизменяемости могут применяться к определенной версии BLOB-объекта или к контейнеру. Принцип работы объекта под действием политики неизменности зависит от области применения политики. Дополнительные сведения об области применения политики неизменности каждого типа см. в следующих разделах:
- Область действия политики хранения на основе времени
- Область действия при удержании по юридическим причинам
В зависимости от области действия для ресурса (версии контейнера или BLOB-объекта) можно настроить политику хранения на основе времени и удержания по юридическим причинам.
Область действия уровня версии
Чтобы настроить политику неизменяемости, областью действия которой является версия BLOB-объекта, необходимо включить поддержку неизменяемости на уровне версии для учетной записи хранения или контейнера. После того как в учетной записи хранения будет включена поддержка неизменяемости на уровне версии, вы сможете настроить политику по умолчанию на уровне учетной записи, которая будет применяться ко всем объектам, создаваемым в учетной записи хранения. Включив поддержку неизменяемости на уровне версии для отдельного контейнера, вы сможете настроить политику по умолчанию для этого контейнера, которая впоследствии будет применяться ко всем объектам, создаваемым в контейнере.
В таблице ниже представлены сводные сведения о том, какие политики неизменности поддерживаются для каждой области действия ресурса.
| Ресурс | Включение политик неизменяемости на уровне версии | Поддержка политик |
|---|---|---|
| Учетная запись | Да, только при создании учетной записи. | Поддерживает одну политику неизменности на уровне версии по умолчанию. Политика по умолчанию применяется ко всем новым версиям BLOB-объектов, созданным в учетной записи после настройки политики. Не поддерживает удержание по юридическим причинам. |
| Контейнер | Да, при создании контейнера. Для поддержки политик неизменяемости на уровне версии необходимо перенести существующие контейнеры. | Поддерживает одну политику неизменности на уровне версии по умолчанию. Политика по умолчанию применяется ко всем новым версиям BLOB-объектов, созданным в контейнере после настройки политики. Не поддерживает удержание по юридическим причинам. |
| Версия BLOB-объекта | Н/Д | Поддерживает одну политику неизменности на уровне версии и одну политику удержания по юридическим причинам. Политика в версии BLOB-объекта может переопределить политику по умолчанию, заданную в учетной записи или в контейнере. |
Область действия уровня контейнера
Если поддержка политик неизменяемости на уровне версии не включена для учетной записи хранения или контейнера, то областью действия всех политик неизменяемости будет являться контейнер. Контейнер поддерживает одну политику неизменяемости и одну политику удержания по юридическим причинам. Политики применяются к всем объектам в контейнере.
Общие сведения о сценариях неизменности
Защита, обеспечиваемая политикой неизменности, зависит от области действия политики, а также (для политики хранения на основе времени) от ее статуса (заблокирована или разблокирована) и активности (активна или истек срок действия).
Сценарии с областью действия уровня версии
В таблице ниже представлены сводные данные о защите, обеспечиваемой политиками неизменности на уровне версии.
| Сценарий | Запрещенные операции | Защита BLOB-объектов | Защита контейнеров | Защита учетной записи |
|---|---|---|---|---|
| Версия BLOB-объекта защищена активной политикой хранения, и/или действует удержание по юридическим причинам | Удаление BLOB-объекта, задание метаданных BLOB-объекта, вставка страницы и добавление блока1 | Удалить версию BLOB-объекта невозможно. Записать метаданные пользователя невозможно. При перезаписи BLOB-объекта с помощью операции вставки BLOB-объекта, вставки списка блоков или копирования BLOB-объекта создается новая версия2. |
Удаление контейнера завершается сбоем, если в контейнере существует хотя бы один BLOB-объект, независимо от того, заблокирована или разблокирована политика. | Удаление учетной записи хранения завершается сбоем, если есть хотя бы один контейнер, в котором включено неизменяемое хранилище на уровне версии, или если оно включено для учетной записи. |
| Версия BLOB-объекта защищена политикой хранения с истекшим сроком действия, и не действует удержание по юридическим причинам | Задание метаданных BLOB-объекта, вставка страницы и добавление блока1 | Версию BLOB-объекта можно удалить. Записать метаданные пользователя невозможно. При перезаписи BLOB-объекта с помощью операции вставки BLOB-объекта, вставки списка блоков или копирования BLOB-объекта создается новая версия2. |
Удаление контейнера завершается сбоем, если в контейнере существует хотя бы один BLOB-объект, независимо от того, заблокирована или разблокирована политика. | Удаление учетной записи службы хранилища завершается сбоем, если существует по крайней мере один контейнер, содержащий версию BLOB-объекта с заблокированной политикой хранения на основе времени. Незаблокированные политики не обеспечивают защиту от удаления. |
1 Операция добавления блока разрешена только для политик хранения на основе времени с включенным свойством allowProtectedAppendWrites. Дополнительные сведения см. в статье Разрешение на запись добавочных BLOB-объектов. 2 Версии BLOB-объектов всегда являются неизменяемыми с точки зрения содержимого. Если для учетной записи хранения включена поддержка управления версиями, при выполнении операции записи с блочным BLOB-объектом создается его новая версия (кроме операции вставки блока).
Сценарии с областью действия уровня контейнера
В таблице ниже представлены сводные данные о защите, обеспечиваемой политиками неизменности на уровне контейнера.
| Сценарий | Запрещенные операции | Защита BLOB-объектов | Защита контейнеров | Защита учетной записи |
|---|---|---|---|---|
| Контейнер защищается активной политикой хранения на основе времени с областью действия контейнера и/или удержанием по юридическим причинам. | Удаление BLOB-объекта, вставка BLOB-объекта1, задание метаданных BLOB-объекта, вставка страницы, задание свойств BLOB-объекта, создание моментального снимка BLOB-объекта, инкрементное копирование BLOB-объекта, добавление блока2 | Все большие двоичные объекты в контейнере являются неизменяемыми с точки зрения содержимого и метаданных пользователей | Удаление контейнера завершается сбоем, если действует политика уровня контейнера. | Удаление учетной записи службы хранилища завершается сбоем, если есть контейнер, содержащий хотя бы один BLOB-объект. |
| Контейнер защищен политикой хранения с истекшим сроком действия с областью действия контейнера, и не действует удержание по юридическим причинам | Вставка BLOB-объекта1, задание метаданных BLOB-объекта, вставка страницы, задание свойств BLOB-объекта, создание моментального снимка BLOB-объекта, инкрементное копирование BLOB-объекта, добавление блока2 | Операции удаления не допускаются. Операции перезаписи не допускаются. | Удаление контейнера завершается сбоем, если в контейнере существует хотя бы один BLOB-объект, независимо от того, заблокирована или разблокирована политика. | Удаление учетной записи службы хранилища завершается сбоем, если существует по крайней мере один контейнер с заблокированной политикой хранения на основе времени. Незаблокированные политики не обеспечивают защиту от удаления. |
1 Служба хранилища Azure допускает использование операции вставки BLOB-объекта для создания нового большого двоичного объекта. Последующие операции перезаписи по существующему пути к BLOB-объекту в неизменяемом контейнере не допускаются.
2 Операция добавления блока разрешена только для политик хранения на основе времени с включенным свойством allowProtectedAppendWrites. Дополнительные сведения см. в статье Разрешение на запись добавочных BLOB-объектов.
Примечание
Некоторые рабочие нагрузки, такие как резервное копирование SQL на URL-адрес, создают большой двоичный объект, а затем добавляют в него. Если у контейнера есть активная политика хранения на основе времени или удержания по юридическим причинам, этот шаблон не сработает.
Поддерживаемые конфигурации учетных записей
Политики неизменности поддерживаются как для новых, так и для существующих учетных записей хранения. В таблице ниже показано, какие типы учетных записей хранения поддерживаются для каждого типа политики.
| Тип политики неизменности | Область применения политики | Поддерживаемые типы учетных записей хранения | Поддержка иерархического пространства имен (предварительная версия) |
|---|---|---|---|
| Политика хранения на основе времени | Область действия уровня версии | Общего назначения версии 2 Блочный BLOB-объект (ценовая категории "Премиум") |
Нет |
| Политика хранения на основе времени | Область действия уровня контейнера | Общего назначения версии 2 Блочный BLOB-объект (ценовая категории "Премиум") Общего назначения версии 1 (устаревшая версия)1 Хранилище BLOB-объектов (устаревшая версия) |
Да |
| Удержание по юридическим причинам | Область действия уровня версии | Общего назначения версии 2 Блочный BLOB-объект (ценовая категории "Премиум") |
Нет |
| Удержание по юридическим причинам | Область действия уровня контейнера | Общего назначения версии 2 Блочный BLOB-объект (ценовая категории "Премиум") Общего назначения версии 1 (устаревшая версия)1 Хранилище BLOB-объектов (устаревшая версия) |
Да |
1 Майкрософт рекомендует обновить учетные записи общего назначения версии 1 до версии 2, чтобы получить доступ к дополнительным функциям и возможностям. Сведения об обновлении существующей учетной записи хранения общего назначения версии 1 см. в статье Обновление учетной записи хранения.
Уровни доступа
Все уровни доступа к BLOB-объектам поддерживают неизменяемое хранилище. Уровень доступа BLOB-объекта можно изменить с помощью операции задания уровня BLOB-объекта. Дополнительные сведения см. в статье Горячий, холодный и архивный уровни доступа к данным BLOB-объектов.
Конфигурации избыточности
Неизменяемое хранилище поддерживают все конфигурации избыточности. Для геоизбыточных конфигураций не поддерживается отработка отказа, управляемая клиентом. Дополнительные сведения о конфигурациях избыточности см. в разделе Избыточность хранилища Azure.
Поддержка иерархического пространства имен
Поддержка неизменяемого хранилища для учетных записей с иерархическим пространством имен доступна в режиме предварительной версии. Чтобы зарегистрироваться для использования предварительной версии, см. эту форму.
Имейте в виду, что переименовывать или перемещать BLOB-объект нельзя, если он находится в неизменяемом состоянии, а для учетной записи включено иерархическое пространство имен. Как имя, так и структура каталога считаются важными данными уровня контейнера, которые нельзя изменить после установки неизменяемой политики.
Важно!
Функции неизменяемого хранения для хранилища BLOB-объектов Azure в учетных записях, в которых включено иерархическое пространство имен, сейчас находятся в режиме предварительной версии. Юридические условия, применимые к функциям Azure, которые находятся в состоянии бета-версии, предварительной версии или иным образом еще не выпущены в общедоступной версии, см. на странице Дополнительные условия использования предварительных версий в Microsoft Azure.
Рекомендуемые типы BLOB-объектов
Майкрософт рекомендует настраивать политики неизменности в основном для блочных и добавочных BLOB-объектов. Настраивать политику неизменности для страничного BLOB-объекта, в котором хранится виртуальный жесткий диск для активной виртуальной машины, не рекомендуется, так как запись на этот диск будет заблокирована. Майкрософт рекомендует внимательно изучить документацию и протестировать сценарии, прежде чем блокировать любые политики, основанные на времени.
Неизменяемое хранилище с обратимым удалением BLOB-объектов
Если для учетной записи хранения настроено обратимое удаление BLOB-объектов, эта настройка применяется ко всем BLOB-объектам в пределах учетной записи независимо от того, действует ли политика хранения на основе юридических удержаний или времени. Майкрософт рекомендует включить обратимое удаление для дополнительной защиты перед применением каких-либо политик неизменности.
Если включить обратимое удаление BLOB-объектов, а затем настроить политику неизменности, все большие двоичные объекты, которые уже были обратимо удалены, будут необратимо удалены после истечения срока действия политики хранения с обратимым удалением. Обратимо удаленные большие двоичные объекты можно восстановить в течение срока хранения с обратимым удалением. BLOB-объект или версия, которые еще не были удалены, остаются защищены политикой неизменности и не могут быть обратимо удалены до тех пор, пока не истечет срок действия политики хранения на основе времени или не будет отменено удержание по юридическим причинам.
Отслеживание политик неизменности с помощью инвентаризации BLOB-объектов
Инвентаризация BLOB-объектов службы хранилища Azure позволяет получить общие сведения о контейнерах в учетных записях хранения, больших двоичных объектах, моментальных снимках и версиях BLOB-объектов в них. Отчет об инвентаризации BLOB-объектов помогает понять свойства BLOB-объектов и контейнеров, в том числе узнать о настроенной для ресурса политике неизменности.
Когда инвентаризация BLOB-объектов включена, служба хранилища Azure ежедневно создает отчет инвентаризации. Отчет содержит общие сведения о данных и требованиях соответствия.
Дополнительные сведения см. в статье об инвентаризации BLOB-объектов службы хранилища Azure (предварительная версия).
Цены
При использовании неизменяемого хранилища дополнительная плата за ресурсы не взимается. Неизменяемые данные оцениваются так же, как изменяемые. Информацию о ценах на хранилище BLOB-объектов Azure см. на этой странице.
Создание, изменение или удаление политики хранения на основе времени или удержания по юридическим причинам для версии BLOB-объекта оплачивается из расчета за транзакцию записи.
Если вы не оплатили счет, а в вашей учетной записи действует активная политика хранения на основе времени, будут применяться обычные политики хранения данных в соответствии с условиями и положениями вашего договора с Майкрософт. Общие сведения см. в разделе Управление данными в корпорации Майкрософт.
Поддерживаемые компоненты
На поддержку данной функции может повлиять включение протокола Data Lake Storage 2-го поколения, протокола сетевой файловой системы (NFS) 3.0 или протокола SFTP.
Если вы включили любую из этих возможностей, см. Сведения о поддержке функций хранилища BLOB-объектов в учетных записях хранения Azure, чтобы оценить поддержку данной функции.