Azure Blob Storage: Daten hochladen, absichern und verwalten

Zugriff auf Azure Blob Storage und Sicherheit

Sicherheit hat in Unternehmensspeichern oberste Priorität. Es gibt verschiedene Wege für den sicheren Zugriff auf Azure Blob Storage, etwa SAS-Token, Zugriffsschlüssel und Enterprise-Accounts. 

Zugriffskontrolle mit SAS-Token

In Produktionsumgebungen schränkst du den Zugriff auf Dateien und Daten im Blob Storage ein. In der Regel sollen sie nicht öffentlich erreichbar sein. Shared Access Signatures (SAS) bieten eine sichere Methode, den Zugriff auf deine Blob-Daten zu steuern. 

SAS arbeitet mit Token, die an die URL der freigegebenen Ressource angehängt werden. Das Token enthält Informationen zu Berechtigungen (lesen, schreiben, löschen usw.), zur Gültigkeitsdauer und zu erlaubten Protokollen (HTTP und/oder HTTPS). 

Beispiel: Wenn die URL eines Blobs lautet: 

https://my_account.blob.core.windows.net/my_container/my_file

Sieht sie mit angehängtem Token so aus:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

Die folgenden Schritte zeigen, wie du im Azure-Portal ein SAS-Token für einen bestimmten Container erzeugst. 

• Öffne die Seite Storage account.
• Wähle im linken Menü unter Data storage den Punkt Containers. Dort siehst du eine Tabelle mit allen Containern dieses Speicherkontos. 
• Finde die Zeile des Containers, für den du ein Token erzeugen willst. 
• Klicke in der rechten Spalte auf die drei Punkte. 

• Wähle im Pop-up-Menü Generate SAS.

Im Fenster Generate SAS:

• Wähle die Signaturmethode: 
• Account key oder user delegation key. 
• Für dieses Tutorial verwenden wir den Account key. 
• Der user delegation key basiert auf Azure Active Directory und ist über Microsoft Entra an eine bestimmte User-ID gekoppelt. 
• Wähle die zu erlaubenden Berechtigungen:
• Lesen, Schreiben, Löschen usw. 
• Für dieses Tutorial vergeben wir nur Leserechte. 
• Lege Start- und Endzeit der Gültigkeit fest.
• Wähle die erlaubten IP-Protokolle. 
• Klicke auf Generate SAS token and URL. 

Du kannst nun mit Token und URL auf ein privates Blob zugreifen. Versuchst du den Zugriff ohne passende Tokens, erhältst du einen XML-Fehler „The specified resource does not exist.“

Authentifizierung mit Microsoft Entra ID

Microsoft Entra ID verwaltet Identitäten und Rollen zentral und erlaubt granulares Zugriffsmanagement auf Azure-Ressourcen. Zusätzlich zu SAS-Token und Schlüsseln bietet es eine weitere (sicherere) Option zur Verwaltung des Zugriffs auf Azure-Blob-Ressourcen. Du kannst Nutzer:innen oder Gruppen über Rollen gezielt Berechtigungen zuweisen — das nennt sich Role-Based Access Control (RBAC). 

RBAC ermöglicht feingranulare Kontrolle mit Rollen wie Owner, Contributor und Reader. Du kannst Berechtigungen auf verschiedenen Ebenen festlegen, z. B. für das gesamte Speicherkonto oder für einzelne Container. 

Beispiel: Für ein bestimmtes Speicherkonto weist du einem Benutzer die Rolle Storage Blob Data Reader zu. Diese Person kann dann nur Blobs lesen, aber z. B. nicht schreiben oder alle Blobs auflisten. 

Du kannst Azure Blob Storage in Enterprise-Authentifizierungssysteme integrieren und Nutzer:innen über Entra IDs authentifizieren. Unternehmenskonten und Apps in Azure haben bereits eine Entra ID (oder können sie erhalten), was die zentrale Verwaltung mit bestehenden Zugangsdaten vereinfacht. 

Beachte, dass Microsoft Entra ID der neue Name für Azure Active Directory (AD) ist.

Im nächsten Abschnitt zeige ich dir, wie du Rollen zuweist und den Zugriff auf Blob-Ressourcen steuerst. 

Role-Based Access Control (RBAC) konfigurieren

Ich zeige die Zugriffssteuerung am Beispiel eines Storage-Containers. Für Speicherkonten ist der Ablauf ähnlich. 

• Wähle in der Seitenleiste auf der Container-Seite Access Control (IAM). 
• Klicke oben auf Add.
• Wähle im Dropdown Add role assignment.

• Auf der Seite Add role assignment gib im Reiter Role „blob“ in die Suche ein. So siehst du die passenden vordefinierten Rollen für Blob-Ressourcen. 

Du kannst aus drei Rollentypen für Blob Storage wählen:

• Storage Blob Data Reader: Nur Lesezugriff auf Container und Daten. 
• Storage Blob Data Contributor: Lesen, Schreiben und Löschen von Ressourcen. 
• Storage Blob Data Owner: Vollzugriff auf Speicherressourcen. 

Beachte: Rollen vererben sich. Weise einem Benutzer die Rolle „Owner“ auf Account-Ebene zu, ist er auch Owner der zugehörigen Container. 

• Für unser Beispiel wähle Storage Blob Data Contributor und klicke auf Next. 
• Im Reiter Members klicke auf Select members, um die Mitglieder auszuwählen, denen du die Rolle zuweisen möchtest. 

• Gib im Seitenfenster Select members den Namen des Users oder der Anwendung ein, wähle das passende Ergebnis und klicke unten auf Select. 
• Klicke auf Review + assign, um die Zuweisung abzuschließen. 

Erweiterte Funktionen von Azure Blob Storage

Die Basics sitzen — wenn du mehr herausholen willst, helfen dir diese Strategien. 

Blob-Lifecycle-Management

Häufig genutzte Daten sollten in schnellen Tiers wie Hot liegen. Selten genutzte Daten können in langsameren, günstigeren Tiers wie Archive gespeichert werden. 

Die Herausforderung: Automatisch erkennen, welche Blobs seltener abgerufen werden und günstiger gelagert werden können. Dafür gibt es das Feature Lifecycle management. Es verschiebt Blobs dynamisch in günstigere Tiers, wenn sie nicht mehr aktiv geändert werden.

Lifecycle-Management wird auf Kontoebene konfiguriert. So aktivierst du eine Regel, die Blobs nach 30 Tagen Inaktivität von Hot zu Cool verschiebt: 

• Wähle auf der Storage-Account-Seite links Data management > Lifecycle management
• Die Seite zeigt aktive Regeln. 

• Klicke oben auf Add a rule. 
• Auf der Seite Add a rule wähle:
  • Einen Namen für die Regel
  • Den Geltungsbereich
  • Den Blob-Typ und Subtyp
• Klicke auf Next.
• Die Regel lautet: Wurde das Blob zuletzt vor N Tagen erstellt oder geändert (du gibst N an), führt Azure eine Aktion aus:
  • Wähle die Bedingung im ersten Block unter If. Trage bei More than (days ago) den Wert 30 ein.
  • Wähle im nächsten Block unter Then die Aktion Move to cool storage.

• Füge die Regel hinzu.

Versionierung und Soft Delete

In jedem Speichersystem ist es wichtig, sich von Fehlern erholen zu können. Versionierung und Soft Delete helfen dir, Missgeschicke rückgängig zu machen. 

Versionierung 

Praktisch, wenn du versehentlich falsche Änderungen speicherst: Blob-Versionierung behält automatisch ältere Versionen, sobald du ein Blob änderst. So aktivierst du die Versionierung:

• Wähle auf der Storage-Account-Seite Data management > Data protection. 
• Aktiviere auf der Seite Data protection unter Tracking die Option Enable versioning for blobs
• Lege fest, ob du:
  • Alle früheren Versionen behalten willst.
  • Ältere Versionen nach einigen Tagen löschen möchtest. 

• Speichere die Änderungen. 

Die Versionierung ist jetzt aktiv!

Soft Delete 

Wir haben alle schon versehentlich Daten gelöscht. Gut, wenn man sie wiederherstellen kann. 

Blob-Soft Delete bewahrt gelöschte Daten für eine festgelegte Anzahl von Tagen auf. In diesem Zeitraum kannst du die Entität wiederherstellen. Nach Ablauf werden die Daten dauerhaft gelöscht. So schützt du dich vor versehentlichen Löschungen und Überschreiben.

So aktivierst und nutzt du Soft Delete: 

• Wähle auf der Storage-Account-Seite Data management > Data protection. 
• Aktiviere auf der Data protection-Seite die Checkboxen:
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Gib die Anzahl der Aufbewahrungstage an.
• Speichere die Änderungen. 

Soft Delete ist nun aktiviert!

Datenverschlüsselung und sicherer Zugriff

Standardmäßig setzt Azure auf symmetrische AES-256-Verschlüsselung at rest. Selbst bei physischem Zugriff auf das Speichermedium sind Daten ohne Schlüssel nicht entschlüsselbar. Viele Organisationen benötigen das aus Sicherheits- und Compliance-Gründen. 

Die Schlüsselverwaltung übernimmt Azure automatisch. Optional kannst du für zusätzliche Sicherheit einen Key Vault nutzen und eigene Schlüssel bereitstellen:

• Suche im Azure-Portal oben nach „key vault“.
• Wähle Key vaults.

• Die Seite Key vaults zeigt deine bestehenden Tresore. 
• Klicke oben auf Create. 
• Auf der Seite Create a key vault:
  • Wähle die Ressourcengruppe, für die die Schlüssel gelten sollen.
  • Gib Namen und Region des Tresors an.
• Klicke auf Review + Create.
• Prüfe die Angaben und klicke auf Create.

Die Erstellung dauert etwas, danach wirst du zur Seite des Tresors geleitet. 

Nachdem der Tresor erstellt ist, fügst du Schlüssel und Secrets hinzu:

• Wechsle in der Seitenleiste zu Objects > Keys.
• Klicke oben auf Generate/Import. 
• Wähle, ob du einen neuen Schlüssel generieren oder importieren möchtest. Du kannst lokal generieren und hochladen oder direkt in Azure erzeugen. 
• Vergib einen Namen für den Schlüssel.
• Wähle Typ, Größe, Algorithmus usw. 
• Optional: Aktiviere Start- und Ablaufdatum. 

• Klicke auf Create. 

Du hast nun einen Schlüssel zu deinem Key Vault hinzugefügt. 

Georeplikation für Desaster Recovery

Je höher die Anforderungen an Ausfallsicherheit (technische oder natürliche Ereignisse), desto mehr Redundanz solltest du einplanen. Redundanz repliziert Daten über mehrere Geräte und/oder Standorte — das kostet. Verfügbare Stufen: 

• Locally redundant storage (LRS): Replikation innerhalb eines Rechenzentrums. Günstigste Option. 
• Zone-redundant storage (ZRS): Drei oder mehr Replikate in verschiedenen Rechenzentren derselben Region. 
• Geo-redundant storage (GRS): Rechenzentren in verschiedenen Regionen halten Replikate deines Speicherkontos. Sicherste Option. 

Kostenmanagement und -optimierung in Azure Blob Storage

Cloudspeicher ist leistungsfähig, kann aber ohne Kostenkontrolle teuer werden. Hier ein Überblick, wie du Kosten in Azure Blob Storage optimierst und steuerst. 

Azure Blob Storage Preise verstehen

Azure Storage bietet Preisstufen je nach Optionen und Zusatzdiensten:

• Zugriffshäufigkeit: Häufig genutzte Daten erfordern schnellere (teure) Speicher. Seltene Zugriffe können auf langsameren, günstigeren Medien liegen. 
• Hot: Typischerweise SSD-basiert, schnell, aber teuer. Beste Nutzererfahrung. 
• Cool: Für seltenere Zugriffe wie Backups. Auch für große Dateien wie Videos geeignet, die auf Hot teuer wären. 
• Archive: Für sehr seltene Zugriffe. Klassisch auf Bandmedien: günstig in der Speicherung, teurer im Abruf (sequenziell). 
• Redundanz: Je höher die Verfügbarkeit gegen Ausfälle, desto mehr Redundanz — das kostet.
• Locally redundant storage (LRS): Replikation im selben Rechenzentrum. Günstigste Option. 
• Zone-redundant storage (ZRS): Drei oder mehr Replikate in Rechenzentren deiner Region. 
• Geo-redundant storage (GRS): Replikation über Regionen hinweg. Sicherste Option. 
• Datentransfer: 
• Transfers innerhalb derselben Region zwischen Azure-Diensten sind meist kostenlos. 
• Dateningress (Upload nach Azure Storage) ist in der Regel kostenlos. 
• Egress (Daten aus Azure heraus), z. B. Internetzugriffe auf deine Daten, verursacht Kosten, meist volumenabhängig. 

Tipps zur Kostenoptimierung

Auf Basis der obigen Punkte empfehle ich Best Practices, damit die Cloudkosten nicht aus dem Ruder laufen. 

• Nutze die unterschiedlichen Speichertypen. Verschiebe selten genutzte Daten in günstigere Tiers wie Cool oder Archive. 

• Ein Caching-Dienst wie ein CDN verbessert die Latenz. So kannst du große Dateien wie Videos in Cool speichern. 
• Aktiviere und konfiguriere Lifecycle-Richtlinien, um ungenutzte Blobs automatisch in günstigere Tiers zu verschieben. 

Troubleshooting für Azure Blob Storage

Auch ein verbreitetes Produkt wie Azure Storage ist nicht frei von Fehlern. 

Häufige Probleme beim Blob-Upload

Netzwerkprobleme und Berechtigungsfehler sind die Klassiker. Langsame Verbindungen und falsch konfigurierte Proxys führen oft zu Netzwerkfehlern — prüfe Verbindung und Einstellungen. 

Auch beim Hochladen großer Dateien treten häufig Fehler auf. Kurzzeitige Verbindungsabbrüche können den Upload unterbrechen. Um das zu umgehen, sieh dir Azures Retry-Richtlinien an und konfiguriere sie passend. Eine pragmatische Alternative ist, große Uploads in Blöcke zu teilen und jeden Block separat mit der Operation Put Block hochzuladen. 

Berechtigungsfehler entstehen, wenn Schlüssel, Token oder Entra ID die gewünschte Operation (z. B. Lesen/Schreiben) für Container oder Konto nicht erlauben. Möglicherweise wurden Schlüssel rotiert oder das Token ist abgelaufen. Bitte die Verantwortlichen um passende Rechte. 

Nutzung von Blob Storage überwachen

Azure bietet verschiedene Tools, um die Performance von Azure Storage zu überwachen. Wir betrachten zwei der gängigsten: 

• Metrics im Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage bringt ein integriertes Monitoring mit. So erreichst du es: 

• Wähle auf der Storage-Account-Seite Monitoring > Metrics
• Die Seite zeigt zunächst ein leeres Diagramm. Du wählst aus, was angezeigt werden soll. 

• Wähle oben unter Scope die zu überwachende Entität:
  • Unter Metric Namespace wähle Account oder Blob.
  • Unter Metric wähle z. B. Blob count, Ingress, Capacity, Transactions usw.
  • Oben rechts passt du den Zeitraum an.
  • Das Diagramm zeigt die Entwicklung der gewählten Metrik im Zeitraum.

Azure Monitor 

Azure Monitor ist ein übergreifendes Tool zur Überwachung verschiedener Azure-Ressourcen. So rufst du es auf:

• Gib im Suchfeld des Portals monitor ein. 
• Wähle Monitor aus.

• Wähle auf der Monitor-Startseite in der Seitenleiste Insights > Storage accounts. 

• Wähle auf der Seite Monitor | Storage accounts das gewünschte Speicherkonto. 
• Die Seite Insights zeigt u. a. Transaktionen nach Speichertyp, Latenz, Verfügbarkeit u. v. m. 

• Oben kannst du den Zeitraum anpassen. 
• Mit Customize passt du das Layout der Tabellen an. 

Fazit

Cloudspeicher ist fester Bestandteil moderner Software. In diesem Artikel hast du gelernt, wie du mit Azure Blob Storage startest und Blobs hoch- und herunterlädst. Außerdem haben wir praxisnahe Themen behandelt: Zugriffsrechte verwalten und Nutzung überwachen, um Kosten im Griff zu behalten. 

Microsoft Azure und Amazon AWS bieten viele ähnliche Dienste. Um zu entscheiden, was besser zu dir passt, lies unseren Vergleich AWS vs. Azure. Und wenn bei dir ein Bewerbungsgespräch mit Azure-Fokus ansteht, haben wir eine Sammlung relevanter Interviewfragen für dich!