Azure Blob Storage: Cách tải lên, bảo mật và quản lý dữ liệu của bạn

Truy cập và bảo mật Azure Blob Storage

Bảo mật là tối quan trọng trong các hệ thống lưu trữ doanh nghiệp. Có nhiều cách để truy cập Azure Blob Storage một cách an toàn, như token SAS, access key và tài khoản doanh nghiệp. 

Kiểm soát truy cập với token SAS

Trong môi trường sản xuất, bạn sẽ giới hạn quyền truy cập vào tệp và dữ liệu lưu trong Blob Storage. Thông thường, bạn không muốn dữ liệu được công khai. Shared Access Signatures (SAS) cung cấp một phương thức an toàn để quản lý quyền truy cập dữ liệu Blob Storage. 

SAS hoạt động thông qua token, được gắn vào URL của tài nguyên bạn muốn chia sẻ. Token bao gồm thông tin về loại quyền (đọc, ghi, xóa, v.v.), thời hạn hiệu lực của token và các giao thức (HTTP và/hoặc HTTPS) được phép truy cập tài nguyên. 

Ví dụ, nếu URL của blob là: 

https://my_account.blob.core.windows.net/my_container/my_file

Sau khi gắn token, nó sẽ trông như sau:

https://my_account.blob.core.windows.net/my_container/my_file?sp=r&st=TIME&OTHER_PARAMETERS

Các bước dưới đây cho thấy cách dùng cổng Azure để tạo token SAS cho một container cụ thể. 

• Đi tới trang Storage account.
• Trong menu trái, dưới Data storage, chọn Containers. Trang này có bảng danh sách các container thuộc tài khoản lưu trữ này. 
• Tìm hàng có container bạn muốn tạo token. 
• Chọn biểu tượng ba chấm ở cột ngoài cùng bên phải của hàng đó. 

• Chọn Generate SAS từ menu bật lên. 

Trong cửa sổ Generate SAS:

• Chọn phương thức ký: 
• Account key hoặc user delegation key. 
• Trong hướng dẫn này, dùng account key để ký SAS. 
• User delegation key dựa trên Azure Active Directory và liên kết với ID người dùng qua Microsoft Entra. 
• Chọn loại quyền bạn muốn cấp bằng token này:
• Đọc, ghi, xóa, v.v. 
• Trong hướng dẫn này, chỉ cấp quyền đọc. 
• Nhập thời gian bắt đầu và hết hạn hiệu lực của token.
• Chọn các giao thức IP mà client có thể dùng để truy cập dữ liệu của bạn. 
• Generate SAS token and URL. 

Giờ bạn có thể truy cập một blob riêng tư bằng token và URL vừa tạo. Khi bạn cố truy cập blob riêng tư mà không có token phù hợp, bạn sẽ nhận lỗi XML: “The specified resource does not exist.”

Dùng Microsoft Entra ID để xác thực

Microsoft Entra ID quản lý danh tính và vai trò người dùng tập trung, cho phép kiểm soát truy cập chi tiết tới tài nguyên Azure. Bên cạnh token SAS và key, nó cung cấp một tùy chọn (an toàn hơn) khác để quản lý truy cập tới các thực thể Azure Blob Storage. Bạn có thể cấp quyền cụ thể cho từng người dùng hoặc nhóm bằng cách gán vai trò phù hợp. Đây gọi là Role-Based Access Control (RBAC). 

RBAC hỗ trợ kiểm soát truy cập chi tiết với các vai trò như Owner, Contributor và Reader. Bạn có thể xác định các quyền này ở nhiều cấp độ, như toàn bộ Storage account hoặc từng container riêng lẻ. 

Ví dụ, với một tài khoản lưu trữ cụ thể, bạn có thể gán cho một người dùng vai trò Storage Blob Data Reader. Người dùng đó chỉ có thể đọc blob trong tài khoản đó mà không thể thực hiện việc khác (như ghi hay liệt kê tất cả blob). 

Bạn có thể tích hợp Azure Blob Storage với hệ thống xác thực doanh nghiệp, dùng Entra ID để xác thực người dùng. Người dùng và ứng dụng doanh nghiệp trên Azure đã có (hoặc có thể có) Entra ID, giúp quản lý xác thực tập trung dễ dàng hơn bằng thông tin xác thực sẵn có của doanh nghiệp. 

Lưu ý rằng Microsoft Entra ID là tên mới của Azure Active Directory (AD).

Ở phần tiếp theo, tôi sẽ chỉ bạn cách gán vai trò cho người dùng và quản lý quyền truy cập tới các thực thể Blob Storage. 

Cấu hình Role-Based Access Control (RBAC)

Tôi sẽ chỉ bạn cách cấu hình truy cập bằng cách gán vai trò cho một Storage Container. Quy trình cho Storage Account là tương tự. 

• Từ thanh bên trên trang Storage container, chọn Access Control (IAM). 
• Trên trang Access Control, chọn nút Add trên thanh trên cùng.
• Chọn Add role assignment từ menu thả xuống.

• Trên trang Add role assignment, trong tab Role, gõ “blob” vào thanh tìm kiếm. Bạn sẽ thấy các vai trò được cấu hình sẵn phù hợp cho tài nguyên Blob Storage. 

Bạn có thể chọn từ ba loại vai trò cho Blob Storage:

• Storage Blob Data Reader: Vai trò này chỉ có quyền đọc container và dữ liệu blob. 
• Storage Blob Data Contributor: Vai trò này có thể đọc, ghi và xóa tài nguyên. 
• Storage Blob Data Owner: Chủ sở hữu có toàn quyền với tài nguyên lưu trữ. 

Lưu ý các vai trò được thừa kế. Ví dụ, nếu bạn gán cho một người dùng vai trò “Owner” cho một Storage Account, người đó cũng trở thành chủ sở hữu của các Container trong tài khoản đó. 

• Tiếp tục ví dụ, chọn Storage Blob Data Contributor và chọn Next. 
• Trên trang Add role assignment, trong tab Members , nhấp liên kết Select members để chọn các thành viên bạn muốn gán vai trò đã chọn ở bước trước. 

• Trong khung bên Select members, gõ tên người dùng hoặc ứng dụng. Chọn thành viên phù hợp từ kết quả tìm kiếm. Nhấn nút Select ở cuối khung bên. 
• Chọn Review + assign để hoàn tất việc gán vai trò. 

Tính năng nâng cao của Azure Blob Storage

Chúng ta đã xem các kiến thức cơ bản của Azure Blob Storage, nhưng khi muốn tiến xa hơn, dưới đây là một số chiến lược cần cân nhắc. 

Quản lý vòng đời blob

Dữ liệu thường xuyên được truy cập nên lưu ở các lớp lưu trữ truy cập nhanh như Hot. Dữ liệu ít truy cập có thể lưu ở lớp chậm hơn nhưng tiết kiệm hơn, như Archive. 

Thách thức là xác định động các blob nào không còn được truy cập thường xuyên để chuyển sang lớp lưu trữ rẻ hơn. Để tự động hóa việc này, Azure có tính năng Lifecycle management. Tính năng này cho phép tự động chuyển blob sang lưu trữ rẻ hơn khi chúng không còn được chỉnh sửa tích cực.

Lifecycle management được triển khai ở cấp Storage Account. Các bước dưới đây cho thấy cách kích hoạt và dùng nó để thêm quy tắc chuyển blob từ Hot sang Cool sau 30 ngày không hoạt động: 

• Trên trang Storage Account, từ thanh bên trái, chọn Data management > Lifecycle management
• Trang Lifecycle management hiển thị danh sách các quy tắc đang hoạt động. 

• Chọn nút Add a rule trên thanh trên cùng. 
• Trên trang Add a rule, chọn:
  • Tên quy tắc
  • Phạm vi áp dụng
  • Loại và phân loại blob được áp dụng
• Chọn Next.
• Quy tắc nêu rằng nếu blob được tạo hoặc sửa đổi lần cuối cách đây N ngày (bạn cần nhập giá trị N), Azure sẽ thực hiện hành động (bạn chọn) với blob đó:
  • Chọn điều kiện ở khối đầu tiên, dưới mục If. Trong trường More than (days ago), nhập số ngày: 30.
  • Ở khối tiếp theo, dưới mục Then, chọn hành động - Move to cool storage.

• Thêm quy tắc.

Phiên bản và xóa mềm

Trong bất kỳ hệ thống lưu trữ nào, việc khắc phục lỗi người dùng và thao tác ngoài ý muốn là điều thiết yếu. Versioning và soft delete là hai cách Azure Blob Storage hỗ trợ bạn hoàn tác sai sót. 

Versioning 

Khả năng khôi phục phiên bản trước của tệp rất hữu ích nếu bạn vô tình lưu thay đổi sai. Blob versioning cho phép tự động giữ lại phiên bản cũ khi bạn chỉnh sửa một blob. Để bật versioning:

• Trên trang Storage account, chọn Data management > Data protection từ thanh bên. 
• Trên trang Data protection, dưới mục Tracking, đánh dấu Enable versioning for blobs
• Chọn một trong các tùy chọn:
  • Giữ lại tất cả phiên bản trước.
  • Xóa các phiên bản cũ sau một số ngày nhất định. 

• Lưu thay đổi. 

Versioning đã được bật trên tài khoản lưu trữ của bạn!

Xóa mềm (Soft-delete) 

Chúng ta ai cũng từng lỡ xóa nhầm dữ liệu. Khả năng khôi phục dữ liệu bị mất trong trường hợp này là rất hữu ích. 

Tính năng soft delete cho blob sẽ giữ lại dữ liệu đã xóa trong một số ngày nhất định. Trong thời gian lưu giữ này, bạn có thể khôi phục thực thể đã xóa mềm. Sau thời hạn, dữ liệu sẽ bị xóa vĩnh viễn. Điều này bảo vệ dữ liệu khỏi việc xóa và ghi đè ngoài ý muốn.

Để kích hoạt và sử dụng xóa mềm: 

• Trên trang Storage account, chọn Data management > Data protection từ thanh bên. 
• Trên trang Data protection, chọn các ô sau:
  • Bật xóa mềm cho blobs
  • Bật xóa mềm cho containers
• Nhập số ngày lưu giữ dữ liệu đã xóa.
• Lưu thay đổi. 

Bạn đã kích hoạt xóa mềm trên tài khoản lưu trữ!

Mã hóa dữ liệu và truy cập an toàn

Theo mặc định, Azure dùng mã hóa đối xứng AES-256 khi lưu trữ để giữ an toàn cho dữ liệu. Kẻ tấn công có quyền truy cập vật lý vào ổ cứng lưu dữ liệu cũng không thể giải mã nếu không có khóa. Nhiều tổ chức cần tính năng này để đáp ứng an ninh và tuân thủ quy định về quyền riêng tư. 

Theo mặc định, người dùng không cần xử lý khối lượng công việc bổ sung để duy trì khóa mã hóa. Azure xử lý phía sau. Tuy nhiên, bạn có thể chọn dùng key vault và cung cấp khóa của riêng bạn để tăng cường bảo mật:

• Trên cổng Azure, gõ “key vault” vào thanh tìm kiếm phía trên.
• Chọn Key vaults.

• Trang Key vaults hiển thị danh sách các key vault bạn đã tạo. 
• Chọn nút Create trên thanh trên cùng. 
• Trên trang Create a key vault:
  • Chọn resource group mà bạn muốn các khóa trong vault này được sử dụng.
  • Nhập tên vault và khu vực lưu trữ.
• Chọn Review + Create.
• Kiểm tra chi tiết và chọn Create.

Việc tạo key vault mới sẽ mất một lúc và sau đó chuyển bạn đến trang của nó. 

Sau khi tạo key vault, bạn có thể thêm khóa và bí mật của mình:

• Từ thanh bên, vào Objects > Keys.
• Chọn nút Generate/Import trên thanh trên cùng. 
• Chọn tạo mới hoặc nhập một khóa. Bạn có thể tạo khóa cục bộ và tải lên Azure hoặc tạo khóa trực tiếp trên nền tảng Azure. 
• Nhập tên khóa mới.
• Chọn chi tiết phù hợp của khóa (loại, kích thước, thuật toán, v.v.). 
• Tùy chọn: đặt ngày kích hoạt và hết hạn của khóa. 

• Chọn Create. 

Bạn đã thêm một khóa vào key vault của mình. 

Sao chép địa lý (Geo-replication) cho khắc phục thảm họa

Dữ liệu của bạn càng cần an toàn (trước rủi ro kỹ thuật hoặc thiên tai), bạn càng cần nhiều dự phòng (redundancy) trong hệ thống lưu trữ. Dự phòng là việc sao chép cùng một dữ liệu trên nhiều thiết bị và/hoặc vị trí và sẽ phát sinh chi phí. Bạn có thể chọn các mức dự phòng khác nhau: 

• Locally redundant storage (LRS): Dữ liệu được sao chép trong cùng một trung tâm dữ liệu. Đây là tùy chọn rẻ nhất. 
• Zone-redundant storage (ZRS): Tạo ba bản sao trở lên trên các trung tâm dữ liệu khác nhau trong cùng khu vực địa lý của bạn. 
• Geo-redundant storage (GRS): Các trung tâm dữ liệu ở nhiều vùng địa lý lưu bản sao của tài khoản lưu trữ của bạn. Đây là tùy chọn an toàn nhất. 

Quản lý và tối ưu chi phí trong Azure Blob Storage

Lưu trữ đám mây, dù có nhiều lợi ích, vẫn có thể tốn kém nếu không quản lý chi phí đúng cách. Phần này, tôi sẽ tổng quan cách tối ưu và quản lý chi phí cho Azure Blob Storage. 

Hiểu giá thành Azure Blob Storage

Azure Storage có nhiều lớp giá tùy theo các tùy chọn và dịch vụ bổ sung được cung cấp:

• Tần suất truy cập: Dữ liệu được truy cập thường xuyên cần lưu trên thiết bị có tốc độ đọc/ghi nhanh hơn. Ngược lại, dữ liệu ít truy cập có thể lưu trên thiết bị chậm hơn và rẻ hơn. 
• Hot: Thường được xây dựng trên SSD hiện đại, nhanh nhưng đắt. Mang lại trải nghiệm tốt nhất. 
• Cool: Phù hợp cho dữ liệu truy cập không thường xuyên như bản sao lưu. Đôi khi cũng dùng cho tệp lớn như video, vốn tốn kém nếu lưu trên hot storage. 
• Archive: Dữ liệu chỉ cần truy cập rất hiếm khi được lưu trữ lưu trữ (archive). Theo cách truyền thống, archive được lưu trên băng từ, chi phí lưu thấp nhưng việc truy xuất đắt (do truy cập tuần tự). 
• Dự phòng: Dữ liệu cần an toàn hơn trước rủi ro kỹ thuật hoặc thiên tai thì càng cần nhiều dự phòng. Dự phòng là việc sao chép cùng dữ liệu trên nhiều thiết bị và/hoặc vị trí và sẽ phát sinh chi phí.
• Locally redundant storage (LRS): Dữ liệu được sao chép trong cùng một trung tâm dữ liệu. Rẻ nhất. 
• Zone-redundant storage (ZRS): Tạo ba bản sao trở lên trên các trung tâm dữ liệu khác nhau trong cùng khu vực. 
• Geo-redundant storage (GRS): Các trung tâm dữ liệu trên nhiều vùng địa lý lưu bản sao tài khoản lưu trữ. An toàn nhất. 
• Truyền dữ liệu: 
• Thông thường, truyền dữ liệu trong cùng khu vực giữa các dịch vụ Azure là miễn phí. 
• Data ingress (truyền dữ liệu vào Azure Storage) cũng thường miễn phí. 
• Data egress (truyền dữ liệu ra khỏi Azure), như người dùng internet truy cập dữ liệu của bạn, sẽ phát sinh chi phí. Chi phí egress thường phụ thuộc vào lưu lượng. 

Mẹo tối ưu chi phí

Dựa trên nội dung ở trên, tôi khuyến nghị một số thực tiễn tốt để ngăn chi phí lưu trữ đám mây leo thang mất kiểm soát. 

• Tận dụng các loại lưu trữ khác nhau đã đề cập. Chuyển dữ liệu ít truy cập sang lớp rẻ hơn như Cool hoặc Archive. 

• Một dịch vụ bộ nhớ đệm như CDN cũng có thể giúp cải thiện độ trễ. Điều này cho phép bạn lưu trữ các tệp lớn như video trên lưu trữ Cool. 
• Bật và đặt chính sách vòng đời phù hợp để chuyển các blob không dùng sang lớp lưu trữ chi phí thấp hơn. 

Khắc phục sự cố Azure Blob Storage

Mặc dù Azure Storage là sản phẩm được dùng rộng rãi, đôi khi vẫn xảy ra lỗi. 

Các vấn đề thường gặp khi tải blob

Sự cố mạng và lỗi quyền truy cập là những vấn đề phổ biến nhất. Kết nối chậm và proxy cấu hình sai thường dẫn tới lỗi mạng, tốt nhất nên xử lý bằng cách kiểm tra kết nối và cấu hình của bạn. 

Việc cố tải lên tệp lớn cũng thường gây lỗi. Mất kết nối tạm thời có thể làm việc tải lên bị treo. Để giải quyết, hãy xem chính sách retry của Azure và cấu hình khi cần. Một giải pháp thực tế khác là chia nhỏ các tệp lớn thành các phần nhỏ. Tải lên từng phần bằng thao tác Put Block. 

Lỗi quyền truy cập xảy ra khi access key hoặc token của bạn, hay Entra ID, không được cấp phép thực hiện thao tác mong muốn (ví dụ: đọc hoặc ghi dữ liệu) với container hoặc tài khoản lưu trữ. Có thể key của bạn đã được làm mới hoặc token đã hết hạn. Người quản lý container có thể hỗ trợ bạn cấp quyền phù hợp. 

Giám sát mức sử dụng blob storage

Azure bao gồm nhiều công cụ để giám sát hiệu năng Azure Storage. Chúng ta sẽ đề cập đến hai lựa chọn phổ biến nhất: 

• Metrics trong Azure Storage 
• Azure Monitor

Azure Storage Metrics

Azure Storage đi kèm công cụ giám sát tích hợp. Để truy cập công cụ này: 

• Từ trang Storage account, chọn Monitoring > Metrics
• Trang Metrics hiển thị một biểu đồ, ban đầu trống. Bạn cần chọn thông tin để hiển thị trên biểu đồ này. 

• Trong thanh menu thả xuống (dưới Scope) ở trên cùng biểu đồ, chọn thực thể lưu trữ bạn muốn theo dõi:
  • Dưới mục Metric Namespace, chọn Account hoặc Blob.
  • Dưới mục Metric, chọn metric phù hợp như Blob count, Ingress, capacity, Transactions, v.v.
  • Ở góc trên bên phải, tùy chỉnh khung thời gian bạn muốn theo dõi.
  • Biểu đồ hiển thị hiệu năng của thực thể lưu trữ với metric đã chọn trong khoảng thời gian đã chọn.

Azure Monitor 

Azure Monitor là công cụ cấp cao để bạn theo dõi nhiều tài nguyên Azure. Để truy cập Azure Monitor:

• Trên cổng Azure, gõ monitor vào thanh tìm kiếm phía trên. 
• Chọn Monitor từ kết quả tìm kiếm.

• Trên trang chủ Monitor, từ thanh bên, chọn Insights > Storage accounts. 

• Trên trang Monitor | Storage accounts, chọn tài khoản lưu trữ bạn muốn xem thông tin chi tiết. 
• Trang Insights hiển thị nhiều metric hữu ích như số giao dịch theo loại lưu trữ, độ trễ, tính sẵn sàng, v.v. 

• Ở đầu trang, bạn có thể tùy chỉnh khoảng thời gian hiển thị các metric. 
• Dùng nút Customize trên thanh trên cùng để chỉnh bố cục các bảng trên trang. 

Kết luận

Lưu trữ đám mây là một phần không thể thiếu của phần mềm hiện đại. Bài viết đã thảo luận cách bắt đầu với Azure Blob Storage và cách dùng nó để tải lên, tải xuống blob. Chúng ta cũng đề cập nhiều khía cạnh thực tiễn của Blob Storage như quản lý quyền truy cập và giám sát mức sử dụng để kiểm soát chi phí. 

Azure của Microsoft và AWS của Amazon cung cấp nhiều dịch vụ tương đồng. Để quyết định đâu phù hợp hơn với nhu cầu của bạn, hãy xem so sánh AWS vs. Azure của chúng tôi. Cuối cùng, nếu bạn sắp có buổi phỏng vấn liên quan đến dịch vụ Azure, chúng tôi có bộ câu hỏi phỏng vấn phù hợp dành cho bạn!