Azure Blob Storage: como fazer upload, proteger e gerenciar seus dados

Acessando e protegendo o Azure Blob Storage

Segurança é prioridade em sistemas de armazenamento corporativos. Há várias formas de acessar o Azure Blob Storage com segurança, como tokens SAS, chaves de acesso e contas corporativas. 

Controle de acesso com tokens SAS

Em produção, você restringe o acesso a arquivos e dados no Blob Storage — normalmente, eles não devem ser públicos. As Shared Access Signatures (SAS) oferecem um método seguro para gerenciar o acesso aos seus dados. 

O SAS funciona via tokens anexados ao URL do recurso que você quer compartilhar. O token inclui o tipo de permissão (ler, escrever, excluir etc.), a validade do token e os protocolos (HTTP e/ou HTTPS) permitidos para acessar o recurso. 

Por exemplo, se o URL de um blob for: 

https://my_account.blob.core.windows.net/my_container/my_file

Após anexar o token, ele fica assim:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

Os passos abaixo mostram como gerar um token SAS para um container específico pelo portal do Azure. 

• Acesse a página da Storage account.
• No menu à esquerda, em Data storage, selecione Containers. Essa página lista os containers desta storage account. 
• Encontre a linha do container para o qual você quer gerar o token. 
• Clique nos três pontos na coluna mais à direita. 

• Selecione Generate SAS no menu. 

Na janela Generate SAS:

• Escolha o método de assinatura: 
• Chave de conta (account key) ou user delegation key. 
• Para este tutorial, use a account key para assinar o SAS. 
• A user delegation key é baseada no Azure Active Directory e vinculada a um usuário ID via Microsoft Entra. 
• Selecione os tipos de permissão autorizados para este token:
• Leitura, escrita, exclusão etc. 
• Para este tutorial, conceda apenas leitura. 
• Defina início e expiração da validade do token.
• Escolha os protocolos de IP pelos quais o cliente poderá acessar seus dados. 
• Clique em Generate SAS token and URL. 

Agora você pode acessar um blob privado usando o token e a URL gerados. Ao tentar acessar um blob privado sem os tokens corretos, você recebe um erro XML: “The specified resource does not exist.”

Usando Microsoft Entra ID para autenticação

O Microsoft Entra ID centraliza identidades e papéis e permite acesso granular aos recursos do Azure. Além de tokens SAS e chaves, é outra opção (mais segura) para gerenciar acesso a entidades do Azure Blob Storage. Você pode conceder permissões específicas a usuários ou grupos por meio de papéis — isso é o Role-Based Access Control (RBAC). 

O RBAC facilita o controle fino de acesso com papéis como Owner, Contributor e Reader. Você pode definir permissões em vários níveis, como na Storage account inteira ou em containers individuais. 

Por exemplo, para uma storage account específica, você pode atribuir a um usuário o papel de Storage Blob Data Reader. Esse usuário poderá ler blobs naquela conta, mas não escrever ou listar todos os blobs. 

Você também pode integrar o Azure Blob Storage com sistemas de autenticação corporativos, usando Entra IDs para autenticar usuários. Usuários e apps corporativos no Azure já possuem (ou podem obter) Entra IDs, facilitando a gestão centralizada com credenciais existentes. 

Note que Microsoft Entra ID é o novo nome do Azure Active Directory (AD).

Na próxima seção, mostro como atribuir papéis a usuários e gerenciar o acesso às entidades do Blob Storage. 

Configurando o Role-Based Access Control (RBAC)

Vou mostrar como configurar o acesso atribuindo papéis em um Storage Container. O processo para Storage Accounts é parecido. 

• Na página do Storage container, no menu lateral, selecione Access Control (IAM). 
• Na página de Access Control, clique em Add na barra superior.
• Selecione Add role assignment no menu.

• Em Add role assignment, na aba Role, digite “blob” na busca. Isso mostra os papéis pré-configurados relevantes para recursos de Blob Storage. 

Você pode escolher entre três tipos de papéis para Blob Storage:

• Storage Blob Data Reader: acesso somente leitura a containers e dados. 
• Storage Blob Data Contributor: pode ler, escrever e excluir recursos. 
• Storage Blob Data Owner: acesso total aos recursos de armazenamento. 

Observe que papéis são herdados. Por exemplo, se você atribuir “Owner” em uma Storage Account, a pessoa também será owner dos Containers dessa conta. 

• Para o exemplo, escolha Storage Blob Data Contributor e clique em Next. 
• Em Add role assignment, na aba Members , clique em Select members para escolher quem receberá o papel selecionado. 

• No painel Select members, digite o nome do usuário ou app. Selecione o membro adequado nos resultados e clique em Select no rodapé. 
• Clique em Review + assign para concluir. 

Recursos avançados do Azure Blob Storage

Já vimos o básico do Azure Blob Storage. Quando quiser avançar, considere as estratégias abaixo. 

Gerenciamento de ciclo de vida de blobs

Dados acessados com frequência devem ficar em camadas de acesso rápido, como Hot. Dados raramente acessados podem ir para camadas mais lentas e econômicas, como Archive. 

O desafio é identificar dinamicamente quais blobs deixaram de ser acessados com frequência para movê-los a um storage mais barato. Para fazer isso automaticamente, o Azure oferece o recurso de Lifecycle management. Com ele, dá para mover blobs dinamicamente para camadas mais baratas quando não estão sendo modificados ativamente.

O Lifecycle management é configurado no nível da Storage Account. Veja como ativar e criar uma regra para mover blobs de Hot para Cool após 30 dias de inatividade: 

• Na página da Storage Account, no menu lateral, selecione Data management > Lifecycle management
• A página mostra a lista de regras ativas. 

• Clique em Add a rule na barra superior. 
• Em Add a rule, selecione:
  • Um nome para a regra
  • O escopo da regra
  • O tipo e subtipo de blobs aos quais ela se aplica
• Selecione Next.
• A regra define que se o blob foi criado ou modificado há mais de N dias (você informa o valor de N), o Azure executa uma ação (à sua escolha):
  • Escolha a condição no primeiro bloco, em If. Em More than (days ago), informe 30.
  • No bloco seguinte, em Then, escolha a ação — Move to cool storage.

• Adicione a regra.

Versionamento e soft delete

Em qualquer sistema de armazenamento, é essencial se recuperar de erros e ações não intencionais. O Azure Blob Storage ajuda com versionamento e soft delete.

Versionamento 

É útil restaurar versões anteriores de um arquivo caso você salve alterações incorretas. O versionamento de blobs permite reter automaticamente versões antigas quando você modifica um blob. Para ativar:

• Na página da Storage account, selecione Data management > Data protection no menu lateral. 
• Em Data protection, em Tracking, marque Enable versioning for blobs
• Selecione se deseja:
  • Reter todas as versões anteriores.
  • Excluir versões antigas após alguns dias. 

• Salve as alterações. 

Pronto, o versionamento está ativo na sua conta!

Soft delete 

Quem nunca excluiu o arquivo errado? É essencial poder recuperar os dados nesses casos. 

O soft delete para blobs retém dados excluídos por um número de dias definido. Durante esse período, você pode restaurar o item. Após o prazo, a exclusão é permanente. Isso protege contra exclusões e sobrescritas acidentais.

Para ativar e usar o soft delete: 

• Na Storage account, selecione Data management > Data protection. 
• Em Data protection, marque:
  • Enable soft delete for blobs
  • Enable soft delete for containers
• Defina o número de dias de retenção.
• Salve as alterações. 

Pronto, o soft delete está ativo na sua conta!

Criptografia de dados e acesso seguro

Por padrão, o Azure usa criptografia simétrica AES-256 em repouso para manter os dados seguros. Um invasor com acesso físico ao disco não consegue decifrar os dados sem as chaves. Muitas organizações precisam disso por requisitos de segurança e conformidade. 

Por padrão, você não precisa gerenciar as chaves. O Azure cuida disso nos bastidores. Porém, é possível usar o Key Vault e fornecer suas próprias chaves para mais controle:

• No portal do Azure, pesquise “key vault” na barra superior.
• Selecione Key vaults.

• A página Key vaults lista seus cofres de chaves. 
• Clique em Create na barra superior. 
• Na página Create a key vault:
  • Selecione o resource group para o qual as chaves deste cofre serão usadas.
  • Informe o nome do cofre e a região onde será armazenado.
• Clique em Review + Create.
• Revise os detalhes e clique em Create.

A criação do cofre pode levar alguns minutos e, depois, você será direcionado à página dele. 

Após criar o Key Vault, adicione suas chaves e segredos:

• No menu lateral, vá em Objects > Keys.
• Clique em Generate/Import na barra superior. 
• Escolha gerar ou importar uma nova chave. Você pode gerar localmente e enviar ao Azure ou gerar diretamente na plataforma. 
• Informe o nome da chave.
• Selecione tipo, tamanho, algoritmo etc. 
• Opcionalmente, defina datas de ativação e expiração. 

• Clique em Create. 

Pronto, você adicionou uma chave ao seu key vault. 

Geo-replicação para recuperação de desastres

Quanto maior a necessidade de segurança dos seus dados (contra falhas técnicas ou desastres naturais), maior redundância você deve incorporar ao sistema. Redundância significa replicar os mesmos dados em vários dispositivos e/ou locais — e isso tem custo. Você pode escolher entre níveis de redundância: 

• Locally redundant storage (LRS): dados replicados dentro do mesmo data center. Opção mais barata. 
• Zone-redundant storage (ZRS): três ou mais réplicas em data centers diferentes na mesma região geográfica. 
• Geo-redundant storage (GRS): data centers em regiões geográficas distintas mantêm réplicas da sua storage account. Opção mais segura. 

Gestão e otimização de custos no Azure Blob Storage

Armazenamento em nuvem, apesar de todos os benefícios, pode ficar caro se os custos não forem bem gerenciados. Nesta seção, faço um panorama de como otimizar e controlar gastos no Azure Blob Storage. 

Entendendo a precificação do Azure Blob Storage

O Azure Storage tem diferentes faixas de preço, conforme opções e serviços adicionais:

• Frequência de acesso: dados acessados com frequência devem ficar em dispositivos com leitura/gravação mais rápidas. Já dados raramente acessados podem ficar em dispositivos mais lentos e baratos. 
• Hot: geralmente em SSDs modernos — rápidos, porém caros. Melhor experiência para o usuário. 
• Cool: indicado para dados acessados com pouca frequência, como backups. Às vezes é usado para arquivos grandes (como vídeos), caros para manter em hot. 
• Archive: dados acessados muito raramente são arquivados. Convencionalmente, em fitas; custo de armazenamento baixo, mas recuperação cara (acesso sequencial). 
• Redundância: quanto mais segurança contra falhas e desastres, mais redundância — e maior o custo.
• Locally redundant storage (LRS): dados replicados no mesmo data center. Opção mais barata. 
• Zone-redundant storage (ZRS): três ou mais réplicas em data centers diferentes na mesma região. 
• Geo-redundant storage (GRS): réplicas em regiões geográficas distintas. Opção mais segura. 
• Transferência de dados: 
• Normalmente, transferir dados na mesma região entre serviços do Azure é gratuito. 
• Ingress (entrada de dados no Azure Storage) também costuma ser gratuito. 
• Egress (saída de dados do Azure), como usuários na internet acessando seus dados, gera custos — normalmente por volume. 

Dicas de otimização de custos

Com base no que vimos, seguem algumas boas práticas para evitar que os custos saiam do controle. 

• Aproveite as diferentes camadas de storage. Mova dados pouco acessados para Cool ou Archive. 

• Um serviço de cache como um CDN pode ajudar a reduzir latência. Isso permite manter arquivos grandes, como vídeos, em Cool. 
• Habilite e configure políticas de ciclo de vida para mover blobs inativos para camadas de menor custo. 

Solução de problemas no Azure Blob Storage

Embora o Azure Storage seja amplamente utilizado, erros podem acontecer. 

Problemas comuns em uploads de blobs

Problemas de rede e erros de permissão estão entre os mais comuns. Conexões lentas e proxies mal configurados costumam gerar falhas, geralmente resolvidas verificando conexão e ajustes. 

Erros ao enviar arquivos grandes também são comuns. Uma queda momentânea na rede pode travar o upload. Para contornar, confira as políticas de retry do Azure e configure conforme necessário. Outra solução prática é quebrar uploads grandes em partes menores e enviar cada bloco separadamente com a operação Put Block. 

Erros de permissão ocorrem quando suas chaves, tokens ou Entra ID não estão autorizados à operação desejada (por exemplo, ler ou escrever) no container ou na conta. É possível que as chaves tenham sido renovadas ou o token expirado. O responsável pelo container pode ajudar a conceder os acessos corretos. 

Monitorando o uso do blob storage

O Azure inclui várias ferramentas para monitorar o desempenho do Storage. Vamos ver duas opções comuns: 

• Metrics dentro do Azure Storage 
• Azure Monitor

Azure Storage Metrics

O Azure Storage tem uma ferramenta integrada de monitoramento. Para acessar: 

• Na página da Storage account, selecione Monitoring > Metrics
• A página Metrics mostra um gráfico inicialmente vazio. Você precisa escolher o que exibir. 

• Na barra de seleção (em Scope) no topo do gráfico, escolha a entidade de storage a monitorar:
  • Em Metric Namespace, selecione Account ou Blob.
  • Em Metric, escolha uma métrica relevante, como Blob count, Ingress, Capacity, Transactions etc.
  • No canto superior direito, ajuste o período de tempo desejado.
  • O gráfico resultante mostra o desempenho usando a métrica escolhida no período selecionado.

Azure Monitor 

O Azure Monitor é uma ferramenta de alto nível para monitorar vários recursos do Azure. Para acessá-lo:

• No portal, pesquise por monitor na barra superior. 
• Selecione Monitor nos resultados.

• Na home do Monitor, no menu lateral, selecione Insights > Storage accounts. 

• Em Monitor | Storage accounts, selecione a storage account para ver os insights. 
• A página de Insights mostra métricas úteis, como transações por tipo de storage, latência, disponibilidade e mais. 

• No topo, personalize o intervalo de tempo das métricas. 
• Use o botão Customize na barra superior para alterar o layout das tabelas. 

Conclusão

Armazenamento em nuvem é parte essencial do software moderno. Neste artigo, vimos como começar com o Azure Blob Storage e como usá-lo para enviar e baixar blobs. Também cobrimos aspectos práticos, como gerenciar acessos e monitorar o uso para controlar custos. 

A Microsoft Azure e a Amazon AWS oferecem muitos serviços semelhantes. Para decidir qual atende melhor às suas necessidades, confira nossa comparação entre AWS e Azure. E se você tem uma entrevista envolvendo serviços Azure, temos uma lista de perguntas relevantes para você!