Azure Blob Storage: Zo upload, beveilig en beheer je je data

Toegang krijgen tot en beveiligen van Azure Blob Storage

Beveiliging is cruciaal in enterprise-opslagsystemen. Er zijn verschillende manieren om veilig toegang te krijgen tot Azure Blob Storage, zoals SAS-tokens, toegangssleutels en enterprise-accounts. 

Toegangsbeheer met SAS-tokens

In productieomgevingen beperk je de toegang tot bestanden en data die zijn opgeslagen in Blob Storage. Je wilt doorgaans niet dat dit publiek toegankelijk is. Shared Access Signatures (SAS) bieden een veilige manier om toegang tot je Blob Storage-data te beheren. 

SAS werkt met tokens die worden toegevoegd aan de URL van de resource die je wilt delen. Het token bevat informatie over het type permissie (lezen, schrijven, verwijderen, enz.), de geldigheid van het token en de protocollen (HTTP en/of HTTPS) die toegang tot de resource toestaan. 

Als de URL van een blob bijvoorbeeld is: 

https://my_account.blob.core.windows.net/my_container/my_file

Na het toevoegen van het token ziet die er zo uit:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

De onderstaande stappen laten zien hoe je in de Azure-portal een SAS-token voor een specifieke container genereert. 

• Ga naar de pagina Storage account.
• Selecteer in het linkermenu onder Data storage de optie Containers. Deze pagina bevat een tabel met de lijst van containers onder dit storage-account. 
• Zoek de rij met de container waarvoor je het token wilt genereren. 
• Selecteer de drie puntjes in de meest rechtse kolom van die rij. 

• Selecteer Generate SAS in het pop-upmenu. 

In het venster Generate SAS:

• Selecteer de ondertekeningsmethode: 
• Account key of user delegation key. 
• Gebruik voor deze tutorial de account key om de SAS te ondertekenen. 
• De user delegation key is gebaseerd op Azure Active Directory en gekoppeld aan een specifieke gebruikers-ID via Microsoft Entra. 
• Selecteer het type permissies dat je met dit token wilt autoriseren:
• Lezen, schrijven, verwijderen, enz. 
• Geef voor deze tutorial alleen leesrechten. 
• Voer de start- en eindtijden in voor de geldigheid van het token.
• Kies de IP-protocollen die een client mag gebruiken om je data te benaderen. 
• Selecteer de knop Generate SAS token and URL. 

Je kunt nu een private blob benaderen met het gegenereerde token en de URL. Probeer je een private blob te benaderen zonder de juiste toegangstokens, dan krijg je een XML-foutmelding: “The specified resource does not exist.”

Microsoft Entra ID gebruiken voor authenticatie

Microsoft Entra ID beheert gebruikersidentiteiten en rollen centraal en maakt fijnmazige toegang tot Azure-resources mogelijk. Naast SAS-tokens en sleutels biedt het een andere (veiligere) optie om toegang tot Azure Blob Storage-entiteiten te beheren. Je kunt specifieke permissies toekennen aan individuele gebruikers of groepen door ze geschikte rollen toe te wijzen. Dit heet Role-Based Access Control (RBAC). 

RBAC faciliteert fijnmazige toegangscontrole met rollen zoals Owner, Contributor en Reader. Je kunt deze permissies op verschillende niveaus definiëren, zoals het gehele Storage-account of individuele containers. 

Zo kun je voor een bepaald storage-account een gebruiker de rol Storage Blob Data Reader geven. Die gebruiker kan dan alleen blobs in dat account lezen en verder niets (zoals schrijven of alle blobs oplijsten). 

Je kunt Azure Blob Storage integreren met enterprise-authenticatiesystemen, waarbij Entra ID’s gebruikers authenticeren. Enterprise Azure-gebruikers en -applicaties hebben al (of kunnen krijgen) Entra ID’s, waardoor je authenticatie centraal kunt beheren met bestaande enterprise-credentials. 

Let op dat Microsoft Entra ID de nieuwe naam is voor Azure Active Directory (AD).

In de volgende sectie laat ik zien hoe je rollen toewijst aan gebruikers en toegang tot Blob Storage-entiteiten beheert. 

Role-Based Access Control (RBAC) configureren

Ik laat je zien hoe je toegang configureert door rollen toe te wijzen voor een Storage Container. Het proces voor Storage Accounts is vergelijkbaar. 

• Selecteer in de zijbalk op de pagina van de Storage-container Access Control (IAM). 
• Selecteer op de pagina Access Control de knop Add in de bovenbalk.
• Selecteer Add role assignment in het dropdownmenu.

• Typ op de pagina Add role assignment, op het tabblad Role “blob” in de zoekbalk. Je ziet dan de relevante, vooraf geconfigureerde rollen die van toepassing zijn op Blob Storage-resources. 

Je kunt kiezen uit drie soorten rollen voor Blob Storage:

• Storage Blob Data Reader: Deze rol heeft alleen leesrechten op blobcontainers en data. 
• Storage Blob Data Contributor: Deze rol kan resources lezen, schrijven en verwijderen. 
• Storage Blob Data Owner: Owners hebben volledige toegang tot opslagresources. 

Let op: rollen worden geërfd. Als je een gebruiker bijvoorbeeld de rol “Owner” geeft voor een Storage-account, wordt die gebruiker ook eigenaar van de containers in dat account. 

• Kies voor dit voorbeeld Storage Blob Data Contributor en selecteer Next. 
• Klik op de pagina Add role assignment, op het tabblad Members op de link Select members om de leden te selecteren aan wie je de rol uit de vorige stap wilt toewijzen. 

• Typ in het zijpaneel Select members de naam van de gebruiker of applicatie. Selecteer het juiste lid uit de zoekresultaten. Klik onderaan het zijpaneel op de knop Select. 
• Selecteer Review + assign om de roltoewijzing te voltooien. 

Geavanceerde functies van Azure Blob Storage

We hebben de basis van Azure Blob Storage doorgenomen, maar als je een stap verder wilt gaan, zijn dit strategieën om te overwegen. 

Lifecyclebeheer van blobs

Vaak geraadpleegde data hoort in snelle opslagtiers zoals Hot. Zelden geraadpleegde data kan in langzamere maar voordelige tiers, zoals Archive-opslag. 

De uitdaging is dynamisch bepalen welke blobs niet langer vaak worden benaderd en naar goedkopere opslag kunnen. Om dit automatisch te doen, heeft Azure de functie Lifecycle management. Hiermee kun je blobs dynamisch naar goedkopere opslag verplaatsen zodra ze niet meer actief worden gewijzigd.

Lifecycle management wordt op het niveau van het Storage-account ingericht. Hieronder zie je hoe je het activeert en een regel toevoegt om blobs van Hot naar Cool te verplaatsen na 30 dagen inactiviteit: 

• Selecteer op de pagina Storage Account in de linkersidebar Data management > Lifecycle management
• De pagina Lifecycle management toont een lijst met momenteel actieve regels. 

• Selecteer de knop Add a rule in de bovenbalk. 
• Selecteer op de pagina Add a rule:
  • Een naam voor de regel
  • De scope van de regel
  • Het type en subtype blobs waarop de regel van toepassing is
• Selecteer Next.
• De regel stelt dat als de blob voor N dagen geleden is aangemaakt of gewijzigd (je voert de waarde van N in), Azure hierop een actie (naar keuze) uitvoert:
  • Kies de voorwaarde in het eerste veld (blok), onder If. Vul in het veld More than (days ago) het aantal dagen in: 30.
  • Kies in het volgende veld (blok), onder Then, de actie - Move to cool storage.

• Voeg de regel toe.

Versiebeheer en soft delete

In elk opslagsysteem is het essentieel om te kunnen herstellen van gebruikersfouten en onbedoelde acties. Versioning en soft delete zijn de twee manieren waarmee Azure Blob Storage helpt fouten ongedaan te maken. 

Versiebeheer 

Het is handig om eerdere versies van een bestand te kunnen herstellen als je per ongeluk verkeerde wijzigingen opslaat. Met blobversiebeheer bewaar je automatisch oudere versies wanneer je een blob wijzigt. Versiebeheer inschakelen:

• Selecteer op de pagina Storage account in de zijbalk Data management > Data protection. 
• Vink op de pagina Data protection, onder Tracking, het vakje aan voor Enable versioning for blobs
• Kies of je wilt:
  • Alle vorige versies behouden.
  • Oudere versies na enkele dagen verwijderen. 

• Sla de wijzigingen op. 

Versiebeheer is nu ingeschakeld op je storage-account!

Soft delete 

We hebben allemaal wel eens per ongeluk de verkeerde data verwijderd. Het is dan handig om de verloren data te kunnen herstellen. 

Blob-soft delete is een functie die verwijderde data gedurende een opgegeven aantal dagen bewaart. Tijdens deze retentieperiode kun je de soft-verwijderde entiteit herstellen. Na de retentieperiode wordt de data permanent verwijderd. Dit beschermt data tegen per ongeluk verwijderen en overschrijven.

Soft delete activeren en gebruiken: 

• Selecteer op de pagina Storage account in de zijbalk Data management > Data protection. 
• Selecteer op de pagina Data protection de selectievakjes voor:
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Voer het aantal dagen in waarvoor verwijderde data behouden moet blijven.
• Sla de wijzigingen op. 

Je hebt nu soft delete geactiveerd op je storage-account!

Data-encryptie en veilige toegang

Standaard gebruikt Azure AES-256 symmetrische encryptie at rest om data te beveiligen. Een aanvaller met fysieke toegang tot de harde schijf waarop de data staat, kan deze niet ontsleutelen zonder de encryptiesleutels. Veel organisaties hebben deze functie nodig voor beveiliging en naleving van privacyregelgeving. 

Standaard hoeft de gebruiker de extra werkdruk van sleutelbeheer niet te dragen. Azure regelt dit onder de motorkap. Je kunt er echter voor kiezen om de key vault te gebruiken en je eigen sleutels aan te leveren voor extra veiligheid:

• Typ “key vault” in de zoekbalk bovenaan de Azure-portal.
• Selecteer Key vaults.

• De pagina Key vaults toont de lijst met key vaults die je hebt aangemaakt. 
• Selecteer de knop Create in de bovenbalk. 
• Op de pagina Create a key vault:
  • Selecteer de resourcegroep waarvoor je wilt dat de sleutels in deze kluis worden gebruikt.
  • Voer de naam van de kluis en de regio in waar je deze wilt opslaan.
• Selecteer Review + Create.
• Controleer de details en selecteer Create.

Het aanmaken van de nieuwe key vault duurt even en leidt je daarna naar de bijbehorende pagina. 

Na het maken van de key vault kun je je sleutels en secrets toevoegen:

• Ga in de zijbalk naar Objects > Keys.
• Selecteer de knop Generate/Import in de bovenbalk. 
• Kies of je een nieuwe sleutel wilt genereren of importeren. Je kunt je sleutel lokaal genereren en uploaden naar Azure of de sleutel op het Azure-platform genereren. 
• Voer de naam van de nieuwe sleutel in.
• Selecteer de juiste details van de sleutel (type, grootte, algoritme, enz.). 
• Optioneel kun je ook de activatie- en vervaldatums van sleutels instellen. 

• Selecteer Create. 

Je hebt nu een sleutel toegevoegd aan je key vault. 

Geo-replicatie voor disaster recovery

Hoe veiliger je je data wilt maken (tegen technische of natuurrampen), des te meer redundantie je in je opslagsysteem opneemt. Redundantie houdt in dat dezelfde data op meerdere apparaten en/of locaties wordt gerepliceerd en brengt kosten met zich mee. Je kunt kiezen uit verschillende niveaus van redundantie: 

• Locally redundant storage (LRS): Data wordt gerepliceerd binnen hetzelfde datacenter. Dit is de goedkoopste optie. 
• Zone-redundant storage (ZRS): Dit maakt drie of meer replica’s in verschillende datacenters binnen je geografische regio. 
• Geo-redundant storage (GRS): Datacenters in verschillende geografische regio’s bewaren replica’s van je storage-account. Dit is de veiligste optie. 

Kostenbeheer en optimalisatie in Azure Blob Storage

Cloudopslag kan, ondanks alle voordelen, duur worden als je kosten niet goed beheert. In deze sectie geef ik een overzicht van hoe je kosten voor Azure Blob Storage optimaliseert en beheert. 

Azure Blob Storage-prijzen begrijpen

Azure Storage kent verschillende prijstiers afhankelijk van de opties en extra services:

• Frequentie van toegang: Vaak geraadpleegde data moet op apparaten met snellere lees- en schrijfsnelheden worden opgeslagen. Zelden geraadpleegde data kan op langzamere en goedkopere apparaten. 
• Hot: Meestal gebaseerd op moderne SSD’s: snel maar duur. Dit biedt de beste gebruikerservaring. 
• Cool: Geschikt voor infrequent geraadpleegde data zoals back-ups. Soms ook gebruikt voor grote bestanden zoals video’s, die duur zijn op hot storage. 
• Archive: Data die slechts zelden hoeft te worden benaderd, wordt gearchiveerd. Traditioneel worden archieven op tapes opgeslagen. Opslagkosten zijn laag, maar ophalen is duur (vanwege sequentiële toegang). 
• Redundantie: Hoe veiliger je je data wilt maken (tegen technische of natuurrampen), hoe meer redundantie je inbouwt. Redundantie betekent dat dezelfde data op meerdere apparaten en/of locaties wordt gerepliceerd en brengt kosten met zich mee.
• Locally redundant storage (LRS): Data wordt gerepliceerd binnen hetzelfde datacenter. Dit is de goedkoopste optie. 
• Zone-redundant storage (ZRS): Dit maakt drie of meer replica’s in verschillende datacenters binnen je geografische regio. 
• Geo-redundant storage (GRS): Datacenters in verschillende geografische regio’s bewaren replica’s van je storage-account. Dit is de veiligste optie. 
• Datatransfer: 
• Binnen dezelfde regio kun je data doorgaans gratis tussen Azure-services verplaatsen. 
• Data-ingress (data naar Azure Storage verplaatsen) is ook meestal gratis. 
• Data-egress (data uit Azure verplaatsen), zoals internetgebruikers die je data benaderen, brengt kosten met zich mee. De egress-kosten zijn doorgaans volumegerelateerd. 

Tips voor kostenoptimalisatie

Op basis van bovenstaande raad ik enkele best practices aan om te voorkomen dat cloudopslagkosten uit de hand lopen. 

• Maak gebruik van de verschillende opslagtypes die we bespraken. Verplaats infrequent geraadpleegde data naar goedkopere opslagtiers, zoals Cool of Archive. 

• Een caching-service zoals een CDN kan ook de latentie verbeteren. Zo kun je grote bestanden, zoals video’s, in Cool-opslag bewaren. 
• Schakel lifecycle policies in en stel ze goed in om ongebruikte blobs te verplaatsen naar goedkopere opslagtiers. 

Problemen oplossen met Azure Blob Storage

Hoewel Azure Storage veelgebruikt is, treden er soms fouten op. 

Veelvoorkomende problemen bij blobuploads

Netwerkproblemen en permissiefouten komen het meest voor. Trage verbindingen en verkeerd ingestelde proxies leiden vaak tot netwerkfouten; die los je het best op door je verbinding en configuratie te controleren. 

Fouten bij het uploaden van grote bestanden zijn ook gebruikelijk. Een kort verlies van netwerkconnectiviteit kan de upload laten vastlopen. Om dit aan te pakken, controleer Azures retry policies en configureer ze naar behoefte. Een andere pragmatische oplossing is om grote uploads op te knippen in kleinere deelblokken. Upload elk deel afzonderlijk met de Put Block-operatie. 

Permissiefouten ontstaan wanneer je toegangssleutels of tokens, of Entra ID, niet geautoriseerd zijn om de gewenste bewerking (bijv. lezen of schrijven) op de storagecontainer of het account uit te voeren. Mogelijk zijn je sleutels vernieuwd of is je token verlopen. De containermanager kan je helpen de juiste toegangsrechten te verkrijgen. 

Gebruik van blobopslag monitoren

Azure bevat verschillende tools om de prestaties van Azure Storage te monitoren. We behandelen twee veelgebruikte opties: 

• Metrics onder Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage heeft een geïntegreerde monitoringtool. Toegang krijgen: 

• Selecteer op de pagina Storage account Monitoring > Metrics
• De pagina Metrics toont een grafiek, die in eerste instantie leeg is. Je moet kiezen welke informatie in de grafiek moet worden weergegeven. 

• Selecteer in de dropdownbalk (onder Scope) bovenaan de grafiek de opslagentiteit die je wilt monitoren:
  • Kies onder Metric Namespace of je (storage) Account of Blob kiest.
  • Kies onder Metric een relevante metriek, zoals Blob count, Ingress, Capacity, Transactions, enz.
  • Pas rechtsboven het tijdsbereik aan waarover je de metriek wilt monitoren.
  • De resulterende grafiek toont de prestaties van de opslagentiteit met de gekozen metriek over de gekozen periode.

Azure Monitor 

Azure Monitor is een overkoepelende tool waarmee je verschillende Azure-resources kunt monitoren. Toegang tot Azure Monitor:

• Typ monitor in de zoekbalk bovenaan de Azure-portal. 
• Selecteer Monitor in de zoekresultaten.

• Selecteer op de Monitor-startpagina in de zijbalk Insights > Storage accounts. 

• Selecteer op de pagina Monitor | Storage accounts het storage-account waarvoor je de inzichten wilt zien. 
• De pagina Insights toont diverse nuttige metrieken, zoals transacties per opslagtype, latentie, beschikbaarheid en meer. 

• Bovenaan de pagina kun je het tijdsbereik aanpassen waarover de metrieken worden getoond. 
• Gebruik de knop Customize in de bovenbalk om de lay-out van de tabellen op de pagina aan te passen. 

Conclusie

Cloudopslag is een integraal onderdeel van moderne software. In dit artikel bespraken we hoe je aan de slag gaat met Azure Blob Storage en hoe je het gebruikt om blobs te uploaden en downloaden. We behandelden ook praktische aspecten van Blob Storage, zoals toegangsrechten beheren en gebruik monitoren om kosten in de hand te houden. 

Microsofts Azure en Amazons AWS bieden veel overlappende services. Wil je bepalen wat het best bij jouw behoeften past? Lees dan onze AWS vs. Azure-vergelijking. Heb je binnenkort een sollicitatiegesprek waarin Azure aan bod komt? Bekijk dan onze relevante interviewvragen!