Azure Blob Storage: cómo subir, proteger y gestionar tus datos

Acceso y seguridad en Azure Blob Storage

La seguridad es clave en sistemas de almacenamiento empresariales. Hay varias formas de acceder de forma segura a Azure Blob Storage, como tokens SAS, claves de acceso y cuentas empresariales. 

Control de acceso con tokens SAS

En entornos de producción, restringes el acceso a los archivos y datos de Blob Storage. Por lo general, no quieres que sean públicos. Las Shared Access Signatures (SAS) ofrecen un método seguro para gestionar el acceso a tus datos en Blob Storage. 

SAS funciona mediante tokens que se añaden a la URL del recurso que quieres compartir. El token incluye el tipo de permiso (lectura, escritura, eliminación, etc.), la validez del token y los protocolos (HTTP y/o HTTPS) permitidos para acceder al recurso. 

Por ejemplo, si la URL de un blob es: 

https://my_account.blob.core.windows.net/my_container/my_file

Tras añadir el token, queda así:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

A continuación, verás cómo usar el portal de Azure para generar un token SAS para un contenedor específico. 

• Ve a la página de Storage account.
• En el menú izquierdo, en Data storage, selecciona Containers. Esta página tiene la tabla de contenedores de esa cuenta. 
• Busca la fila del contenedor para el que quieres generar el token. 
• Selecciona los tres puntos de la última columna de esa fila. 

• Selecciona Generate SAS en el menú emergente. 

En la ventana Generate SAS:

• Elige el método de firma: 
• Account key o user delegation key. 
• Para este tutorial, usa la account key para firmar el SAS. 
• La user delegation key se basa en Azure Active Directory y está vinculada a un usuario concreto ID mediante Microsoft Entra. 
• Selecciona los permisos que quieres autorizar con este token:
• Lectura, escritura, eliminación, etc. 
• Para este tutorial, concede solo lectura. 
• Indica hora de inicio y caducidad del token.
• Elige los protocolos IP que puede usar el cliente para acceder a tus datos. 
• Generate SAS token and URL. 

Ahora puedes acceder a un blob privado usando el token y la URL generados. Si intentas acceder a un blob privado sin los tokens adecuados, obtendrás un error XML que dice: “The specified resource does not exist”.

Usar Microsoft Entra ID para la autenticación

Microsoft Entra ID gestiona identidades y roles de usuarios en un único lugar y permite un acceso granular a los recursos de Azure. Además de tokens y claves SAS, ofrece otra opción (más segura) para gestionar el acceso a entidades de Azure Blob Storage. Puedes conceder permisos específicos a usuarios o grupos asignándoles roles apropiados. Esto se llama control de acceso basado en roles (RBAC). 

RBAC facilita un control de acceso de grano fino con roles como Owner, Contributor y Reader. Puedes definir estos permisos a distintos niveles, como toda la cuenta de Storage o contenedores individuales. 

Por ejemplo, para una cuenta de almacenamiento concreta, puedes asignar a un usuario el rol de Storage Blob Data Reader. Ese usuario podrá leer los blobs de esa cuenta, pero no escribir ni listar todos los blobs. 

Puedes integrar Azure Blob Storage con sistemas de autenticación empresariales, usando Entra IDs para autenticar usuarios. Los usuarios y aplicaciones de Azure en empresas ya tienen (o pueden obtener) Entra IDs, lo que facilita centralizar la autenticación con las credenciales corporativas existentes. 

Ten en cuenta que Microsoft Entra ID es el nuevo nombre de Azure Active Directory (AD).

En la siguiente sección, te muestro cómo asignar roles a usuarios y gestionar el acceso a entidades de Blob Storage. 

Configurar el control de acceso basado en roles (RBAC)

Te mostraré cómo configurar el acceso asignando roles a un contenedor de Storage. El proceso para cuentas de Storage es similar. 

• En la página del contenedor, en la barra lateral, selecciona Access Control (IAM). 
• En la página de Access Control, pulsa el botón Add en la barra superior.
• Selecciona Add role assignment en el desplegable.

• En la página Add role assignment, en la pestaña Role, escribe “blob” en la barra de búsqueda. Verás los roles preconfigurados relevantes para recursos de Blob Storage. 

Puedes elegir entre tres tipos de roles para Blob Storage:

• Storage Blob Data Reader: solo lectura de contenedores y datos. 
• Storage Blob Data Contributor: lectura, escritura y eliminación. 
• Storage Blob Data Owner: acceso total a los recursos de almacenamiento. 

Ten en cuenta que los roles se heredan. Por ejemplo, si asignas a un usuario el rol “Owner” en una Storage Account, también será propietario de los contenedores de esa cuenta. 

• Para continuar con el ejemplo, elige Storage Blob Data Contributor y pulsa Next. 
• En la página Add role assignment, en la pestaña Members haz clic en Select members para elegir a quién asignar el rol seleccionado. 

• En el panel lateral Select members, escribe el nombre del usuario o aplicación. Selecciona el miembro adecuado de los resultados y pulsa Select al final. 
• Selecciona Review + assign para completar la asignación. 

Funciones avanzadas de Azure Blob Storage

Ya hemos visto lo básico de Azure Blob Storage, pero si quieres ir un paso más allá, aquí tienes algunas estrategias a considerar. 

Gestión del ciclo de vida de los blobs

Los datos a los que accedes con frecuencia deberían estar en niveles de acceso rápido como Hot. Los datos de acceso esporádico pueden ir a niveles más económicos, como Archive. 

El reto está en identificar de forma dinámica qué blobs ya no se usan a menudo y pueden moverse a almacenamiento más barato. Para automatizarlo, Azure incluye la función de Lifecycle management. Con ella puedes mover dinámicamente blobs a almacenamiento más económico cuando dejan de modificarse activamente.

La gestión del ciclo de vida se implementa a nivel de Storage Account. A continuación se muestra cómo activarla y añadir una regla para mover blobs de Hot a Cool tras 30 días de inactividad: 

• En la página de la Storage Account, en la barra lateral izquierda, selecciona Data management > Lifecycle management
• La página de Lifecycle management muestra la lista de reglas activas. 

• Haz clic en Add a rule en la barra superior. 
• En la página Add a rule, selecciona:
  • Un nombre para la regla
  • El ámbito de la regla
  • El tipo y subtipo de blobs a los que aplica
• Selecciona Next.
• La regla indica que si el blob se creó o modificó por última vez hace más de N días (debes indicar el valor de N), Azure realizará una acción (a tu elección):
  • Elige la condición en el primer bloque, bajo If. En More than (days ago), introduce 30.
  • En el siguiente bloque, bajo Then, elige la acción: Move to cool storage.

• Añade la regla.

Versionado y eliminación reversible (soft delete)

En cualquier sistema de almacenamiento es esencial recuperarse de errores y acciones no deseadas. El versionado y el soft delete son dos formas en que Azure Blob Storage te ayuda a deshacer errores. 

Versionado 

Poder restaurar versiones anteriores de un archivo es útil si guardas cambios por error. El versionado de blobs permite conservar automáticamente versiones antiguas al modificar un blob. Para activarlo:

• En la página de la Storage account, selecciona Data management > Data protection en la barra lateral. 
• En Data protection, bajo Tracking, marca Enable versioning for blobs
• Elige si quieres:
  • Conservar todas las versiones anteriores.
  • Eliminar versiones antiguas tras unos días. 

• Guarda los cambios. 

¡El versionado ya está activado en tu cuenta!

Soft delete 

A todos nos ha pasado borrar algo por error. Es útil poder recuperar los datos perdidos cuando ocurre. 

El soft delete de blobs conserva los datos eliminados durante un número de días. Durante ese periodo, puedes restaurar la entidad eliminada. Después, los datos se borran permanentemente. Esto protege frente a eliminaciones y sobrescrituras accidentales.

Para activarlo y usarlo: 

• En la página de la Storage account, selecciona Data management > Data protection en la barra lateral. 
• En Data protection, marca:
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Indica el número de días para conservar los datos eliminados.
• Guarda los cambios. 

¡Ya has activado el soft delete en tu cuenta!

Cifrado de datos y acceso seguro

Por defecto, Azure usa cifrado simétrico AES-256 en reposo para mantener los datos seguros. Un atacante con acceso físico al disco donde se almacenan los datos no puede descifrarlos sin las claves. Muchas organizaciones necesitan esta función por seguridad y cumplimiento normativo. 

Por defecto, el usuario no tiene que gestionar las claves de cifrado: Azure se encarga. Sin embargo, puedes optar por usar Key Vault y aportar tus propias claves para mayor seguridad:

• En el portal de Azure, escribe “key vault” en la barra de búsqueda superior.
• Selecciona Key vaults.

• La página de Key vaults muestra tus almacenes de claves. 
• Pulsa Create en la barra superior. 
• En Create a key vault:
  • Selecciona el resource group para el que quieres que se usen las claves de este vault.
  • Introduce el nombre del vault y la región donde guardarlo.
• Selecciona Review + Create.
• Revisa los detalles y selecciona Create.

La creación del nuevo key vault tarda un poco y luego te redirige a su página. 

Tras crear el key vault, ya puedes añadir tus claves y secretos:

• En la barra lateral, ve a Objects > Keys.
• Pulsa Generate/Import en la barra superior. 
• Elige si quieres generar o importar una clave nueva. Puedes generarla localmente y subirla a Azure o generarla en la plataforma de Azure. 
• Introduce el nombre de la nueva clave.
• Selecciona los detalles adecuados (tipo, tamaño, algoritmo, etc.). 
• Opcionalmente, define fechas de activación y caducidad.

• Selecciona Create. 

Ya has añadido una clave a tu key vault. 

Georreplicación para recuperación ante desastres

Cuanto más segura necesitas tu información (frente a fallos técnicos o desastres naturales), más redundancia debes incorporar en tu sistema de almacenamiento. La redundancia implica replicar los mismos datos en varios dispositivos y/o ubicaciones y conlleva un coste. Puedes elegir entre distintos niveles: 

• Locally redundant storage (LRS): datos replicados dentro del mismo centro de datos. La opción más económica. 
• Zone-redundant storage (ZRS): al menos tres réplicas entre centros de datos de tu región. 
• Geo-redundant storage (GRS): centros de datos en distintas regiones mantienen réplicas de tu cuenta. La opción más segura. 

Gestión y optimización de costes en Azure Blob Storage

El almacenamiento en la nube, con todas sus ventajas, puede encarecerse si no controlas los costes. En esta sección te doy una visión general de cómo optimizar y gestionar los costes en Azure Blob Storage. 

Entender los precios de Azure Blob Storage

Azure Storage ofrece distintos niveles de precio según las opciones y servicios adicionales:

• Frecuencia de acceso: los datos accedidos con frecuencia requieren dispositivos con lectura/escritura más rápidas. Los de acceso esporádico pueden guardarse en dispositivos más lentos y económicos. 
• Hot: normalmente sobre SSD modernos, rápidos pero caros. Ofrecen la mejor experiencia. 
• Cool: adecuado para datos de acceso infrecuente como copias de seguridad. A veces se usa para archivos grandes como vídeos, que son caros de mantener en hot. 
• Archive: datos de acceso muy esporádico. Tradicionalmente se archivan en cintas: almacenamiento barato, recuperación más costosa (acceso secuencial). 
• Redundancia: cuanto más segura necesitas tu información, más redundancia incorporas, con el coste asociado.
• Locally redundant storage (LRS): datos replicados en el mismo centro de datos. Opción más económica. 
• Zone-redundant storage (ZRS): tres o más réplicas en centros de datos de tu región. 
• Geo-redundant storage (GRS): réplicas entre regiones geográficas. La opción más segura. 
• Transferencia de datos: 
• Por lo general, transferir datos dentro de la misma región entre servicios de Azure es gratuito. 
• El ingreso de datos (hacia Azure Storage) suele ser gratuito. 
• La salida de datos (fuera de Azure), como el acceso de usuarios por internet, tiene coste. Normalmente depende del volumen. 

Consejos para optimizar costes

Con base en lo anterior, te recomiendo algunas buenas prácticas para evitar que los costes se disparen. 

• Aprovecha los diferentes tipos de almacenamiento. Mueve los datos de acceso esporádico a niveles más baratos, como Cool o Archive. 

• Un servicio de caché como una CDN también ayuda a mejorar la latencia. Esto te permitirá almacenar archivos grandes, como vídeos, en Cool. 
• Activa y define políticas de ciclo de vida adecuadas para mover blobs no usados a niveles de menor coste. 

Resolución de problemas en Azure Blob Storage

Aunque Azure Storage es un producto muy usado, a veces surgen errores. 

Problemas comunes al subir blobs

Los problemas de red y los errores de permisos están entre los más habituales. Conexiones lentas y proxys mal configurados suelen causar errores de red que se resuelven revisando la conexión y la configuración. 

También es común encontrar errores al subir archivos grandes. Una pérdida momentánea de conectividad puede dejar la carga en pausa. Para mitigarlo, revisa las políticas de reintento de Azure y configúralas según necesites. Otra solución práctica es dividir cargas grandes en trozos más pequeños. Sube cada fragmento por separado usando la operación Put Block. 

Los errores de permisos aparecen cuando tus claves o tokens, o Entra ID, no están autorizados para la operación deseada (p. ej., leer o escribir) en el contenedor o la cuenta. Es posible que tus claves se hayan renovado o el token haya caducado. El responsable del contenedor puede ayudarte a obtener los permisos correctos. 

Supervisar el uso del almacenamiento de blobs

Azure incluye varias herramientas para supervisar el rendimiento de Azure Storage. Veremos dos de las más comunes: 

• Metrics dentro de Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage incluye una herramienta de monitorización integrada. Para acceder: 

• Desde la página de la Storage account, selecciona Monitoring > Metrics
• La página de Metrics muestra un gráfico inicialmente vacío. Debes elegir qué información mostrar.

• En la barra de menús desplegables (bajo Scope) arriba del gráfico, selecciona la entidad a monitorizar:
  • Bajo Metric Namespace, elige Account o Blob.
  • En Metric, elige una métrica relevante, como Blob count, Ingress, capacity, Transactions, etc.
  • Arriba a la derecha, personaliza el periodo de tiempo.
  • El gráfico resultante muestra el rendimiento con la métrica y periodo elegidos.

Azure Monitor 

Azure Monitor es una herramienta de alto nivel para monitorizar varios recursos de Azure. Para acceder:

• En el portal de Azure, escribe monitor en la barra de búsqueda. 
• Selecciona Monitor en los resultados.

• En la página de inicio de Monitor, en la barra lateral, selecciona Insights > Storage accounts. 

• En Monitor | Storage accounts, selecciona la cuenta que quieras analizar. 
• La página de Insights muestra métricas útiles como transacciones por tipo de almacenamiento, latencia, disponibilidad y más. 

• Arriba, puedes personalizar el rango temporal de las métricas. 
• Usa el botón Customize en la barra superior para modificar el diseño de las tablas. 

Conclusión

El almacenamiento en la nube es una pieza clave del software moderno. En este artículo hemos visto cómo empezar con Azure Blob Storage y cómo usarlo para subir y descargar blobs. También cubrimos aspectos prácticos como la gestión de permisos y la monitorización del uso para controlar costes. 

Microsoft Azure y Amazon AWS ofrecen muchos servicios similares. Para decidir cuál encaja mejor con tus necesidades, revisa nuestra comparativa entre AWS y Azure. Y si tienes una entrevista sobre servicios de Azure a la vista, aquí tienes una selección de preguntas de entrevista relevantes.