Azure Blob Storage: How to Upload, Secure, and Manage Your Data

Accès et sécurisation d'Azure Blob Storage

La sécurité est primordiale dans les systèmes de stockage d'entreprise. Plusieurs mécanismes permettent d'accéder en toute sécurité à Azure Blob Storage : jetons SAS, clés d'accès et comptes d'entreprise. 

Contrôle d'accès avec les jetons SAS

En production, vous restreignez l'accès aux fichiers et données stockés. Vous ne souhaitez généralement pas qu'ils soient publics. Les Shared Access Signatures (SAS) offrent une méthode sûre pour gérer les accès à vos données Blob Storage. 

Les SAS fonctionnent via des jetons ajoutés à l'URL de la ressource à partager. Le jeton contient le type d'autorisation (lecture, écriture, suppression, etc.), sa période de validité et les protocoles (HTTP et/ou HTTPS) autorisés pour l'accès. 

Par exemple, si l'URL d'un blob est : 

https://my_account.blob.core.windows.net/my_container/my_file

Après ajout du jeton, elle devient :

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

Les étapes ci-dessous montrent comment générer un jeton SAS pour un conteneur spécifique depuis le portail Azure. 

• Accédez à la page Storage account.
• Dans le menu de gauche, sous Data storage, cliquez sur Containers pour afficher la liste des conteneurs de ce compte. 
• Repérez la ligne du conteneur pour lequel vous voulez générer le jeton. 
• Cliquez sur les trois points dans la dernière colonne de cette ligne. 

• Sélectionnez Generate SAS dans le menu contextuel. 

Dans la fenêtre Generate SAS :

• Choisissez la méthode de signature :
• Account key ou user delegation key. 
• Pour ce tutoriel, utilisez la clé de compte pour signer le SAS. 
• La user delegation key s'appuie sur Azure Active Directory et est liée à un ID via Microsoft Entra. 
• Sélectionnez les autorisations à accorder :
• Lecture, écriture, suppression, etc. 
• Ici, n'accordez que la lecture. 
• Renseignez les dates de début et d'expiration du jeton.
• Choisissez les protocoles IP autorisés.
• Generate SAS token and URL.

Vous pouvez désormais accéder à un blob privé à l'aide de l'URL et du jeton générés. Sans les bons jetons, vous obtiendrez une erreur XML “The specified resource does not exist.”

Utiliser Microsoft Entra ID pour l'authentification

Microsoft Entra ID centralise la gestion des identités et des rôles, et permet un accès granulaire aux ressources Azure. En complément des jetons SAS et des clés, c'est une option (plus sûre) pour gérer l'accès aux entités Azure Blob Storage. Vous pouvez accorder des droits précis à des utilisateurs ou des groupes via des rôles : c'est le RBAC (contrôle d'accès à base de rôles). 

Le RBAC facilite un contrôle fin avec des rôles tels que Owner, Contributor et Reader. Vous pouvez définir ces droits à différents niveaux : compte de stockage entier ou conteneurs individuels. 

Par exemple, pour un compte de stockage donné, vous pouvez attribuer à un utilisateur le rôle Storage Blob Data Reader. Il pourra lire les blobs de ce compte, sans pouvoir écrire ni lister l'ensemble des blobs. 

Vous pouvez intégrer Azure Blob Storage à vos systèmes d'authentification d'entreprise en utilisant Entra ID pour authentifier les utilisateurs. Les utilisateurs et applications Azure en entreprise disposent déjà (ou peuvent obtenir) des Entra ID, ce qui facilite une gestion centralisée avec les identifiants existants. 

Notez que Microsoft Entra ID est le nouveau nom d'Azure Active Directory (AD).

Dans la section suivante, je vous montre comment attribuer des rôles et gérer l'accès aux entités Blob Storage. 

Configurer le RBAC (Role-Based Access Control)

Voici comment attribuer des rôles sur un conteneur de stockage. La procédure est similaire pour les comptes de stockage. 

• Depuis la barre latérale de la page du conteneur, cliquez sur Access Control (IAM). 
• Dans la page Access Control, cliquez sur le bouton Add en haut.
• Choisissez Add role assignment.

• Sur la page d'ajout, dans l'onglet Role, tapez “blob” dans la barre de recherche pour afficher les rôles préconfigurés pertinents.

Vous pouvez choisir parmi trois rôles pour Blob Storage :

• Storage Blob Data Reader : lecture seule sur les conteneurs et données. 
• Storage Blob Data Contributor : lecture, écriture et suppression. 
• Storage Blob Data Owner : accès complet aux ressources de stockage. 

Notez que les rôles sont hérités. Par exemple, si vous attribuez le rôle “Owner” sur un compte de stockage, l'utilisateur devient aussi propriétaire des conteneurs de ce compte. 

• Pour l'exemple, choisissez Storage Blob Data Contributor puis cliquez sur Next. 
• Dans l'onglet Members , cliquez sur Select members pour désigner les membres à qui attribuer le rôle. 

• Dans le panneau Select members, saisissez le nom de l'utilisateur ou de l'application, sélectionnez le bon membre, puis cliquez sur Select.
• Cliquez sur Review + assign pour finaliser. 

Fonctionnalités avancées d'Azure Blob Storage

Nous avons vu les bases d'Azure Blob Storage. Pour aller plus loin, voici quelques stratégies utiles. 

Gestion du cycle de vie des blobs

Les données fréquemment consultées doivent rester dans des niveaux rapides comme Hot. Celles rarement consultées peuvent passer sur des niveaux plus économiques comme Archive. 

La difficulté consiste à détecter automatiquement les blobs moins consultés à muter vers un stockage meilleur marché. Pour cela, Azure propose la fonctionnalité Lifecycle management, qui déplace dynamiquement les blobs vers un stockage plus économique lorsqu'ils ne sont plus activement modifiés.

La gestion du cycle de vie se configure au niveau du compte de stockage. Voici comment ajouter une règle pour déplacer les blobs de Hot vers Cool après 30 jours d'inactivité : 

• Depuis la page du compte de stockage, ouvrez Data management > Lifecycle management
• La page affiche la liste des règles actives. 

• Cliquez sur Add a rule. 
• Dans la page d'ajout, renseignez :
  • Un nom de règle
  • La portée
  • Le type et le sous-type de blobs ciblés
• Sélectonnez Next.
• La règle indique que si le blob a été créé/modifié il y a plus de N jours (saisissez la valeur de N), Azure applique une action :
  • Dans le premier bloc, sous If, choisissez la condition. Dans More than (days ago), saisissez 30.
  • Dans le bloc suivant, sous Then, choisissez l'action : Move to cool storage.

• Ajoutez la règle.

Versioning et suppression logique

Dans tout système de stockage, il est essentiel de pouvoir corriger les erreurs humaines. Le versioning et la suppression logique sont les deux mécanismes d'Azure Blob Storage pour annuler des actions indésirées. 

Versioning 

Pouvoir restaurer une version antérieure d'un fichier en cas de mauvaise modification est très utile. Le versioning de blob conserve automatiquement les versions précédentes lors des modifications. Pour l'activer :

• Sur la page du compte de stockage, ouvrez Data management > Data protection. 
• Sous Tracking, cochez Enable versioning for blobs
• Choisissez :
  • Conserver toutes les versions.
  • Supprimer les anciennes versions après quelques jours. 

• Enregistrez.

Le versioning est maintenant activé !

Suppression logique (soft delete) 

Il nous arrive à tous de supprimer la mauvaise donnée. Pouvoir la restaurer est essentiel. 

La fonctionnalité soft delete conserve les données supprimées pendant un délai configuré. Durant cette période, vous pouvez les restaurer. Passé le délai, elles sont supprimées définitivement. Cela protège des suppressions et écritures accidentelles.

Pour activer et utiliser la suppression logique : 

• Dans la page du compte de stockage, ouvrez Data management > Data protection. 
• Cochez :
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Saisissez la durée de rétention en jours.
• Enregistrez. 

La suppression logique est désormais activée !

Chiffrement des données et accès sécurisé

Par défaut, Azure utilise le chiffrement symétrique AES-256 au repos pour protéger les données. Un attaquant ayant accès physique au disque ne peut pas déchiffrer les données sans les clés. De nombreuses organisations en ont besoin pour la sécurité et la conformité réglementaire. 

Par défaut, vous n'avez pas à gérer les clés : Azure s'en charge. Cependant, vous pouvez utiliser Key Vault et fournir vos propres clés pour un niveau supplémentaire de contrôle :

• Dans le portail Azure, tapez “key vault” dans la barre de recherche.
• Sélectionnez Key vaults.

• La page Key vaults affiche vos coffres de clés.
• Cliquez sur Create. 
• Dans Create a key vault :
  • Sélectonnez le resource group utilisant ce coffre.
  • Saisissez le nom du coffre et la région d'hébergement.
• Cliquez sur Review + Create.
• Vérifiez puis cliquez sur Create.

La création du coffre prend un instant puis vous redirige vers sa page. 

Après création, ajoutez vos clés et secrets :

• Dans la barre latérale, ouvrez Objects > Keys.
• Cliquez sur Generate/Import. 
• Choisissez de générer ou d'importer une clé. Vous pouvez générer la clé en local puis l'importer, ou la générer sur Azure. 
• Donnez un nom à la clé.
• Définissez ses caractéristiques (type, taille, algorithme, etc.). 
• Optionnel : renseignez les dates d'activation et d'expiration.

• Cliquez sur Create. 

Votre clé est maintenant ajoutée au Key Vault. 

Géo-réplication pour la reprise après sinistre

Plus vous avez besoin de sécuriser vos données (contre les incidents techniques ou naturels), plus de redondance vous intégrez à votre système de stockage. La redondance réplique les données sur plusieurs équipements et/ou emplacements, avec un coût associé. Vous pouvez choisir parmi plusieurs niveaux : 

• Locally redundant storage (LRS) : réplication au sein d'un même datacenter. Option la moins chère. 
• Zone-redundant storage (ZRS) : au moins trois réplicas sur différents datacenters d'une même région. 
• Geo-redundant storage (GRS) : réplication entre régions géographiques. Option la plus sûre. 

Gestion et optimisation des coûts dans Azure Blob Storage

Malgré ses atouts, le stockage cloud peut coûter cher si l'on ne maîtrise pas les dépenses. Voici un aperçu des leviers pour optimiser et contrôler les coûts d'Azure Blob Storage. 

Comprendre la tarification d'Azure Blob Storage

Azure Storage propose différents niveaux de prix selon les options et services associés :

• Fréquence d'accès : les données fréquemment consultées exigent des supports plus rapides. Les données peu consultées peuvent rester sur des supports plus lents et moins onéreux. 
• Hot : souvent sur SSD modernes, rapides mais coûteux. Meilleure expérience utilisateur. 
• Cool : adapté aux données rarement consultées (sauvegardes). Utile aussi pour de gros fichiers (vidéos) coûteux en Hot. 
• Archive : pour des accès très rares. Traditionnellement sur bande : stockage peu cher, mais restitution coûteuse (accès séquentiel). 
• Redondance : plus le niveau de protection souhaité est élevé, plus le coût de réplication augmente.
• Locally redundant storage (LRS): réplication dans un même datacenter. Le moins cher. 
• Zone-redundant storage (ZRS) : au moins trois réplicas sur différents datacenters régionaux. 
• Geo-redundant storage (GRS) : réplication entre régions. Le plus sûr. 
• Transferts de données :
• Les transferts intra-région au sein d'Azure sont généralement gratuits. 
• L'ingestion (vers Azure Storage) est en général gratuite. 
• L'égression (sortie d'Azure), par exemple les accès Internet à vos données, est facturée, souvent au volume. 

Conseils pour optimiser les coûts

Sur cette base, voici quelques bonnes pratiques pour éviter la dérive des coûts : 

• Tirez parti des différents niveaux de stockage : déplacez les données peu consultées vers Cool ou Archive. 

• Un service de cache comme un CDN peut aussi améliorer la latence et vous permettre de stocker de gros fichiers (vidéos) en Cool storage. 
• Activez et paramétrez des politiques de cycle de vie pour déplacer automatiquement les blobs inactifs vers des niveaux moins coûteux. 

Dépannage d'Azure Blob Storage

Bien qu'Azure Storage soit largement adopté, des erreurs peuvent survenir. 

Problèmes courants lors des téléversements

Les soucis réseau et les erreurs d'autorisations sont les plus fréquents. Les connexions lentes et proxys mal configurés provoquent souvent des erreurs réseau : vérifiez votre connectivité et votre configuration. 

Les erreurs lors de l'envoi de gros fichiers sont courantes. Une coupure réseau momentanée peut suspendre l'envoi. Pour y remédier, consultez les politiques de retry d'Azure et configurez-les en conséquence. Autre solution pragmatique : fractionner les gros envois en petits morceaux et téléverser chaque chunk avec l'opération Put Block. 

Les erreurs d'autorisations surviennent lorsque vos clés, vos jetons ou votre Entra ID n'ont pas les droits nécessaires (lecture, écriture, etc.) sur le conteneur ou le compte. Il est possible que vos clés aient été renouvelées ou que votre jeton ait expiré. L'administrateur du conteneur peut vous accorder les bons droits. 

Surveiller l'usage de Blob Storage

Azure propose plusieurs outils pour suivre la performance du stockage. Voici deux options courantes : 

• Metrics dans Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage intègre un outil de supervision. Pour y accéder : 

• Depuis la page du compte de stockage, ouvrez Monitoring > Metrics
• La page affiche un graphique vide : à vous de choisir les informations à afficher.

• Dans la barre de menus (sous Scope), sélectionnez l'entité à surveiller :
  • Sous Metric Namespace, choisissez Account ou Blob.
  • Sous Metric, choisissez une métrique pertinente : Blob count, Ingress, capacity, Transactions, etc.
  • En haut à droite, ajustez la période d'analyse.
  • Le graphique reflète la performance selon la métrique et la période choisies.

Azure Monitor 

Azure Monitor est un outil transverse pour superviser diverses ressources Azure. Pour y accéder :

• Dans le portail, tapez monitor dans la barre de recherche. 
• Sélectionnez Monitor.

• Dans la page d'accueil de Monitor, ouvrez Insights > Storage accounts. 

• Sur la page Monitor | Storage accounts, sélectionnez le compte à analyser. 
• La page Insights présente des indicateurs utiles : transactions par type de stockage, latence, disponibilité, etc. 

• En haut de page, ajustez la période analysée. 
• Utilisez le bouton Customize pour adapter la mise en page des tableaux. 

Conclusion

Le stockage cloud est au cœur des logiciels modernes. Dans cet article, nous avons vu comment démarrer avec Azure Blob Storage et l'utiliser pour envoyer et télécharger des blobs. Nous avons également abordé des aspects pratiques comme la gestion des droits d'accès et le suivi de l'usage pour maîtriser les coûts. 

Microsoft Azure et Amazon AWS proposent de nombreux services similaires. Pour déterminer lequel répond le mieux à vos besoins, consultez notre comparatif AWS vs Azure. Enfin, si vous avez un entretien lié aux services Azure, nous avons sélectionné des questions d'entretien pertinentes pour vous !