Azure Blob Storage: come caricare, proteggere e gestire i tuoi dati

Accedere e proteggere Azure Blob Storage

La sicurezza è fondamentale nei sistemi di archiviazione enterprise. Esistono vari modi per accedere in modo sicuro ad Azure Blob Storage, come token SAS, access keys e account enterprise. 

Controllo accessi con token SAS

In ambienti di produzione, limiti l’accesso a file e dati archiviati in Blob Storage. In genere non vuoi che siano pubblicamente accessibili. Le Shared Access Signatures (SAS) offrono un metodo sicuro per gestire l’accesso ai dati in Blob Storage. 

SAS funziona tramite token, che vengono aggiunti all’URL della risorsa che vuoi condividere. Il token include informazioni sul tipo di permesso (lettura, scrittura, eliminazione, ecc.), la validità del token e i protocolli (HTTP e/o HTTPS) consentiti per accedere alla risorsa. 

Ad esempio, se l’URL di un blob è: 

https://my_account.blob.core.windows.net/my_container/my_file

Dopo aver aggiunto il token, appare così:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

I passaggi seguenti mostrano come usare il portale di Azure per generare un token SAS per uno specifico container. 

• Vai alla pagina Storage account.
• Nel menu a sinistra, sotto Data storage, seleziona Containers. Questa pagina presenta una tabella con l’elenco dei container sotto questo account di archiviazione. 
• Trova la riga con il container per cui vuoi generare il token. 
• Seleziona i tre puntini nella colonna più a destra di quella riga. 

• Seleziona Generate SAS dal menu a comparsa. 

Nella finestra Generate SAS:

• Seleziona il metodo di firma: 
• Account key o user delegation key. 
• Per questo tutorial, usa la account key per firmare il SAS. 
• La user delegation key è basata su Azure Active Directory ed è collegata a un determinato ID tramite Microsoft Entra. 
• Seleziona il tipo di permessi che vuoi autorizzare con questo token:
• Lettura, scrittura, eliminazione, ecc. 
• Per questo tutorial, concedi solo l’accesso in lettura. 
• Inserisci orari di inizio e scadenza per la validità del token.
• Scegli i protocolli IP che un client può usare per accedere ai tuoi dati. 
• Seleziona il pulsante Generate SAS token and URL. 

Ora puoi accedere a un blob privato usando il token e l’URL generati. Quando provi ad accedere a un blob privato senza i corretti token di accesso, ricevi un errore XML che dice: “The specified resource does not exist.”

Uso di Microsoft Entra ID per l’autenticazione

Microsoft Entra ID gestisce identità e ruoli degli utenti in un unico posto e consente un accesso granulare alle risorse Azure. Oltre a token e chiavi SAS, fornisce un’altra opzione (più sicura) per gestire l’accesso alle entità di Azure Blob Storage. Puoi concedere permessi specifici a singoli utenti o gruppi assegnando loro ruoli appropriati. Questo si chiama Role-Based Access Control (RBAC). 

RBAC facilita un controllo degli accessi fine-grained con ruoli come Owner, Contributor e Reader. Puoi definire questi permessi a vari livelli, come l’intero Storage account o i singoli container. 

Ad esempio, per un particolare account di archiviazione, puoi assegnare a un utente il ruolo di Storage Blob Data Reader. Quell’utente potrà quindi solo leggere i blob in quell’account, ma non fare altro (come scrivere o elencare tutti i blob). 

Puoi integrare Azure Blob Storage con i sistemi di autenticazione enterprise, usando Entra ID per autenticare gli utenti. Gli utenti e le applicazioni enterprise Azure hanno già (o possono ottenere) Entra ID, rendendo più semplice gestire l’autenticazione centralmente con le credenziali aziendali esistenti. 

Nota che Microsoft Entra ID è il nuovo nome di Azure Active Directory (AD).

Nella prossima sezione, ti mostrerò come assegnare ruoli agli utenti e gestire l’accesso alle entità di Blob Storage. 

Configurare il Role-Based Access Control (RBAC)

Ti mostrerò come configurare l’accesso assegnando ruoli per un container di Storage. Il processo per gli Storage Account è simile. 

• Dalla sidebar nella pagina del container di Storage, seleziona Access Control (IAM). 
• Nella pagina Access Control, seleziona il pulsante Add nella barra superiore.
• Seleziona Add role assignment dal menu a discesa.

• Nella pagina Add role assignment, nella scheda Role, digita “blob” nella barra di ricerca. Vedrai i ruoli preconfigurati rilevanti applicabili alle risorse Blob Storage. 

Puoi scegliere tra tre tipi di ruoli per Blob Storage:

• Storage Blob Data Reader: questo ruolo ha solo accesso in lettura a container e dati blob. 
• Storage Blob Data Contributor: questo ruolo può leggere, scrivere ed eliminare risorse. 
• Storage Blob Data Owner: gli owner hanno pieno accesso alle risorse di archiviazione. 

Nota che i ruoli sono ereditati. Ad esempio, se assegni a un utente il ruolo “Owner” per uno Storage Account, quell’utente diventa owner anche dei Container in quell’account. 

• Per proseguire con l’esempio, scegli Storage Blob Data Contributor e seleziona Next. 
• Nella pagina Add role assignment, nella scheda Members , clicca il link Select members per selezionare i membri a cui assegnare il ruolo scelto nel passaggio precedente. 

• Nel pannello laterale Select members, digita il nome dell’utente o dell’applicazione. Seleziona il membro appropriato dai risultati di ricerca. Clicca il pulsante Select in fondo al pannello laterale. 
• Seleziona Review + assign per completare l’assegnazione del ruolo. 

Funzionalità avanzate di Azure Blob Storage

Abbiamo visto le basi di Azure Blob Storage, ma quando vuoi fare un salto di qualità, ecco alcune strategie da considerare. 

Gestione del lifecycle dei blob

I dati a cui si accede frequentemente dovrebbero essere archiviati in livelli di storage ad accesso rapido come Hot. I dati a cui si accede raramente possono essere archiviati in livelli di storage lenti ma economici, come lo storage Archive. 

La sfida è capire dinamicamente quali blob non sono più consultati di frequente e possono essere spostati su storage più economici. Per farlo automaticamente, Azure offre la funzionalità di Lifecycle management. Questa funzione ti consente di spostare dinamicamente i blob su storage più economici quando non vengono più modificati attivamente.

La gestione del lifecycle è implementata a livello di Storage Account. I passaggi seguenti mostrano come attivarla e usarla per aggiungere una regola che sposti i blob da Hot a Cool dopo 30 giorni di inattività: 

• Nella pagina Storage Account, dalla sidebar sinistra, seleziona Data management > Lifecycle management
• La pagina Lifecycle management mostra l’elenco delle regole attive al momento. 

• Seleziona il pulsante Add a rule dalla barra superiore. 
• Nella pagina Add a rule, seleziona:
  • Un nome per la regola
  • Lo scope della regola
  • Il tipo e il sottotipo di blob a cui si applica la regola
• Seleziona Next.
• La regola stabilisce che se il blob è stato creato o modificato l’ultima volta più di N giorni fa (devi inserire il valore di N), Azure intraprenderà un’azione (a tua scelta):
  • Scegli la condizione nel primo campo (blocco), sotto If. Nel campo More than (days ago), inserisci il numero di giorni: 30.
  • Nel campo successivo (blocco), sotto Then, scegli l’azione - Move to cool storage.

• Aggiungi la regola.

Versioning e soft delete

In qualsiasi sistema di archiviazione è essenziale poter recuperare da errori dell’utente e azioni involontarie. Versioning e soft delete sono i due modi con cui Azure Blob Storage ti aiuta a correggere gli errori. 

Versioning 

È utile poter ripristinare le versioni precedenti di un file se salvi per sbaglio modifiche errate. Il versioning dei blob consente di mantenere automaticamente le versioni precedenti quando modifichi un blob. Per abilitare il versioning:

• Nella pagina Storage account, seleziona Data management > Data protection dalla sidebar. 
• Nella pagina Data protection, sotto Tracking, seleziona la casella Enable versioning for blobs
• Seleziona se vuoi:
  • Mantenere tutte le versioni precedenti.
  • Eliminare le versioni più vecchie dopo alcuni giorni. 

• Salva le modifiche. 

Il versioning è ora abilitato sul tuo account di archiviazione!

Soft-delete 

A tutti è capitato di eliminare i dati sbagliati. È utile poter recuperare i dati persi quando succede. 

La soft delete dei blob è una funzionalità che mantiene i dati eliminati per un numero di giorni specificato. Durante questo periodo di conservazione, puoi ripristinare l’entità eliminata “soft”. Dopo il periodo di conservazione, i dati vengono eliminati in modo permanente. Questo protegge i dati da cancellazioni accidentali e sovrascritture.

Per attivare e usare la soft-delete: 

• Nella pagina Storage account, seleziona Data management > Data protection dalla sidebar. 
• Nella pagina Data protection, seleziona le caselle per:
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Inserisci il numero di giorni per cui mantenere i dati eliminati.
• Salva le modifiche. 

Hai ora attivato la soft-delete sul tuo account di archiviazione!

Crittografia dei dati e accesso sicuro

Per impostazione predefinita, Azure utilizza la crittografia simmetrica AES-256 at rest per mantenere i dati al sicuro. Un attaccante con accesso fisico al disco su cui sono archiviati i dati non può decrittarli senza le chiavi. Molte organizzazioni necessitano di questa funzionalità per motivi di sicurezza e conformità alle normative sulla privacy. 

Per impostazione predefinita, l’utente non deve gestire il carico aggiuntivo di mantenere le chiavi di crittografia. Azure se ne occupa sotto il cofano. Tuttavia, puoi scegliere di usare il key vault e fornire le tue chiavi per una sicurezza aggiuntiva:

• Nel portale di Azure, digita “key vault” nella barra di ricerca in alto.
• Seleziona Key vaults.

• La pagina Key vaults mostra l’elenco dei key vault che hai creato. 
• Seleziona il pulsante Create nella barra superiore. 
• Nella pagina Create a key vault:
  • Seleziona il resource group per cui vuoi che le chiavi in questo vault vengano usate.
  • Inserisci il nome del vault e l’area in cui vuoi archiviarlo.
• Seleziona Review + Create.
• Controlla i dettagli e seleziona Create.

La creazione del nuovo key vault richiede un po’ di tempo e poi ti reindirizza alla sua pagina. 

Dopo aver creato il key vault, puoi ora aggiungere chiavi e secret:

• Dalla sidebar, vai su Objects > Keys.
• Seleziona il pulsante Generate/Import dalla barra superiore. 
• Seleziona se vuoi generare o importare una nuova chiave. Puoi generare la chiave in locale e caricarla su Azure o generarla sulla piattaforma Azure. 
• Inserisci il nome della nuova chiave.
• Seleziona i dettagli appropriati della chiave (tipo, dimensione, algoritmo, ecc.). 
• Facoltativamente, puoi impostare date di attivazione e scadenza delle chiavi. 

• Seleziona Create. 

Hai aggiunto una chiave al tuo keyvault. 

Geo-replica per il disaster recovery

Più vuoi che i tuoi dati siano al sicuro (da calamità tecniche o naturali), più ridondanza devi costruire nel tuo sistema di storage. La ridondanza implica replicare gli stessi dati su più dispositivi e/o posizioni e comporta un costo. Puoi scegliere tra vari livelli di ridondanza: 

• Locally redundant storage (LRS): i dati sono replicati all’interno dello stesso data center. È l’opzione più economica. 
• Zone-redundant storage (ZRS): crea tre o più repliche in diversi data center nella tua area geografica. 
• Geo-redundant storage (GRS): data center in aree geografiche diverse mantengono repliche del tuo account di archiviazione. È l’opzione più sicura. 

Gestione e ottimizzazione dei costi in Azure Blob Storage

Lo storage cloud, nonostante i benefici, può diventare costoso se i costi non sono gestiti correttamente. In questa sezione, darò una panoramica su come ottimizzare e gestire i costi per Azure Blob Storage. 

Capire il pricing di Azure Blob Storage

Azure Storage ha vari livelli di prezzo a seconda delle opzioni e dei servizi aggiuntivi offerti:

• Frequenza di accesso: i dati a cui si accede frequentemente devono essere archiviati su dispositivi con velocità di lettura e scrittura più elevate. Al contrario, i dati a cui si accede raramente possono essere archiviati su dispositivi più lenti e più economici. 
• Hot: in genere basato su moderni SSD, veloci ma costosi. Offrono la migliore esperienza utente. 
• Cool: adatto per dati consultati di rado come i backup. A volte è usato anche per file di grandi dimensioni come i video, che possono essere costosi da archiviare nello storage hot. 
• Archive: i dati a cui si accede solo raramente vengono archiviati. Tradizionalmente, gli archivi sono su nastri. Quindi, i costi di storage sono bassi, ma recuperare i dati è costoso (per via dell’accesso sequenziale). 
• Ridondanza: più vuoi che i tuoi dati siano al sicuro (da calamità tecniche o naturali), più ridondanza costruisci nel tuo sistema di storage. La ridondanza implica replicare gli stessi dati su più dispositivi e/o posizioni e comporta un costo.
• Locally redundant storage (LRS): i dati sono replicati all’interno dello stesso data center. È l’opzione più economica. 
• Zone-redundant storage (ZRS): crea tre o più repliche in diversi data center nella tua area geografica. 
• Geo-redundant storage (GRS): data center in aree geografiche diverse mantengono repliche del tuo account di archiviazione. È l’opzione più sicura. 
• Trasferimento dati: 
• In genere, puoi trasferire dati all’interno della stessa area tra servizi Azure gratuitamente. 
• L’ingresso dati (trasferimento di dati in Azure Storage) è anch’esso in genere gratuito. 
• L’uscita dati (trasferimento fuori da Azure), ad esempio utenti internet che accedono ai tuoi dati, comporta costi. Il costo di egress è tipicamente dipendente dal volume. 

Suggerimenti per l’ottimizzazione dei costi

In base a quanto discusso sopra, consiglio alcune best practice per evitare che i costi dello storage cloud vadano fuori controllo. 

• Sfrutta i diversi tipi di storage discussi sopra. Sposta i dati consultati di rado su livelli di storage più economici, come Cool o Archive. 

• Un servizio di caching come una CDN può anche aiutare a migliorare la latenza. Questo ti permetterà di archiviare file di grandi dimensioni, come i video, nello storage Cool. 
• Abilita e imposta policy di lifecycle appropriate per spostare i blob inutilizzati su livelli di storage a costo inferiore. 

Risoluzione dei problemi di Azure Blob Storage

Sebbene Azure Storage sia un prodotto ampiamente usato, a volte si verificano errori. 

Problemi comuni con il caricamento dei blob

Problemi di rete ed errori di permessi sono tra i tipi di problemi più comuni. Connessioni lente e proxy configurati in modo errato portano spesso a errori di rete, che è meglio risolvere verificando la tua connessione e configurazione. 

È anche comune riscontrare errori tentando di caricare file di grandi dimensioni. Una perdita momentanea di connettività può bloccare il caricamento. Per affrontare tali problemi, consulta le retry policy di Azure e configurale secondo necessità. Un’altra soluzione pragmatica è suddividere i caricamenti grandi in piccoli chunk. Carica ogni chunk separatamente usando l’operazione Put Block. 

Gli errori di permesso si verificano quando le tue access keys o token, o Entra ID, non sono autorizzati a eseguire l’operazione desiderata (ad esempio, leggere o scrivere dati) sul container o sull’account di archiviazione. È possibile che le tue chiavi siano state rigenerate o che il tuo token sia scaduto. Il manager del container può aiutarti a ottenere i corretti diritti di accesso. 

Monitorare l’utilizzo dello storage blob

Azure include vari strumenti per monitorare le prestazioni di Azure Storage. Vedremo due delle scelte più comuni: 

• Metrics sotto Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage include uno strumento di monitoraggio integrato. Per accedervi: 

• Dalla pagina Storage account, seleziona Monitoring > Metrics
• La pagina Metrics mostra un grafico, inizialmente vuoto. Devi scegliere quali informazioni visualizzare in questo grafico. 

• Nella barra dei menu a discesa (sotto Scope) in cima al grafico, seleziona l’entità di archiviazione che vuoi monitorare:
  • Sotto Metric Namespace, scegli (storage) Account o Blob.
  • Sotto Metric, scegli una metrica rilevante, come Blob count, Ingress, capacity, Transactions, ecc.
  • In alto a destra, personalizza l’intervallo temporale su cui vuoi monitorare la metrica.
  • Il grafico risultante mostra le prestazioni dell’entità di archiviazione usando la metrica scelta nel periodo selezionato.

Azure Monitor 

Azure Monitor è uno strumento di livello più alto che puoi usare per monitorare varie risorse Azure. Per accedere ad Azure Monitor:

• Nel portale di Azure, digita monitor nella barra di ricerca in alto. 
• Seleziona Monitor dai risultati.

• Nella homepage di Monitor, dalla sidebar, seleziona Insights > Storage accounts. 

• Nella pagina Monitor | Storage accounts, seleziona lo storage account per cui vuoi vedere gli insights. 
• La pagina Insights mostra varie metriche utili, come transazioni per tipo di storage, latenza, disponibilità e altro. 

• In cima alla pagina, puoi personalizzare l’intervallo temporale per cui mostrare le metriche. 
• Usa il pulsante Customize nella barra superiore per modificare il layout delle varie tabelle nella pagina. 

Conclusione

Lo storage cloud è una parte integrante del software moderno. In questo articolo abbiamo visto come iniziare con Azure Blob Storage e come usarlo per caricare e scaricare blob. Abbiamo anche coperto molti aspetti pratici di Blob Storage, come la gestione dei diritti di accesso e il monitoraggio dell’utilizzo per controllare i costi. 

Azure di Microsoft e AWS di Amazon offrono molti servizi sovrapponibili. Per decidere quale si adatta meglio alle tue esigenze, leggi il nostro confronto tra AWS e Azure. Infine, se hai un colloquio in arrivo che coinvolge i servizi Azure, abbiamo per te una serie di domande di colloquio rilevanti!