Azure加密概述

本文介绍了Microsoft Azure如何使用加密技术。 它涵盖了主要加密领域，包括静止加密、传输中加密以及使用 Azure 密钥保管库 进行密钥管理。

静止数据加密

静态数据包括以任何数字格式驻留在物理介质上的永久性存储中的信息。 Microsoft Azure提供各种数据存储解决方案来满足不同的需求，包括文件、磁盘、Blob 和表存储。 Microsoft 还提供加密以保护 Azure SQL 数据库、Azure Cosmos DB 和 Azure Data Lake。

您可以使用AES-256加密来保护软件即服务（SaaS）、平台即服务（PaaS）和基础设施即服务（IaaS）等平台的静态数据。

有关Azure如何加密静态数据的更多信息，请参见静态数据加密。

Azure加密模型

Azure支持各种加密模型，包括服务器端加密，这些加密使用服务管理的密钥、密钥保管库中的客户管理的密钥，或客户控制的硬件上的客户管理的密钥。 通过使用客户端加密，可以在本地或另一个安全位置管理和存储密钥。

客户端加密

在Azure之外执行客户端加密。 其中包括：

  • 数据由你数据中心中运行的应用程序或服务应用加密。
  • 这些数据在Azure接收时已经加密。

通过使用客户端加密，云服务提供商无法访问加密密钥，也无法解密数据。 你完全控制了密钥。

服务器端加密

这三种服务器端加密模型提供不同的密钥管理特征：

  • 服务托管密钥：以低开销提供控制和便利性的组合。
  • 客户管理密钥：让你控制密钥，包括自带密钥（BYOK）支持，或允许你生成新的密钥。
  • 客户控制硬件中的服务托管密钥：允许您在 Microsoft 控制之外管理专有仓库中的密钥。 该模型也称为Host Your Own Key（HYOK）。

Azure 磁盘加密

重要

Azure 磁盘加密定于 2028 年 15 月 15 日停用。 在该日期之前，可以继续使用Azure 磁盘加密而不中断。 2028 年 9 月 15 日，已启用 ADE 的工作负荷将继续运行，但 VM 重启后加密磁盘将无法解锁，从而导致服务中断。

使用 主机端加密 用于新 VM。 所有已启用 ADE 的 VM（包括备份）必须在停用日期之前迁移到主机上的加密，以避免服务中断。 有关详细信息，请参阅 从 Azure 磁盘加密迁移到主机加密。

Azure默认通过使用存储服务加密（Storage Service Encryption）和服务托管密钥加密所有托管磁盘、快照和映像。 对于虚拟机，主机加密为你的虚拟机数据提供端到端加密，包括临时磁盘以及操作系统和数据磁盘缓存。 Azure还提供用于管理Azure 密钥保管库中的密钥的选项。 有关详细信息，请参阅托管磁盘加密选项概述。

Azure 存储加密

你可以在 Azure Blob 存储 和 Azure 文件共享中加密静态数据，适用于服务器端和客户端场景。

Azure 存储 加密会自动在存储前加密数据，取回数据时解密。 Azure 存储 加密使用 256 位 AES 加密，这是一种强块密码。

Azure SQL 数据库 加密

Azure SQL 数据库 是一种常规用途的关系数据库服务，支持关系数据、JSON、空间和 XML 等结构。 SQL 数据库通过 透明数据加密 （TDE） 功能和通过 Always Encrypted 功能支持服务器端加密。

透明数据加密

TDE使用数据库加密密钥（DEK）实时加密SQL Server、Azure SQL 数据库和Azure Synapse Analytics数据文件。 默认情况下，在新建Azure SQL数据库上启用 TDE。

始终加密 (Always Encrypted)

Azure SQL 中的“始终加密”功能帮助你在将数据存储到 Azure SQL 数据库 之前，先在客户端应用中加密数据。 您可以启用将本地数据库管理委派给第三方，同时保持数据的拥有者和管理者之间的分离。

单元级加密或列级加密

使用 Azure SQL 数据库，可以使用Transact-SQL将对称加密应用于数据列。 这种方法称为单元级加密或列级加密（CLE）。 你可以用它来加密特定列或单元，使用不同的加密密钥，这比TDE提供了更细致的加密能力。

Azure Cosmos DB数据库加密

Azure Cosmos DB是Microsoft全球分布式多模型数据库。 默认情况下，存储在非易失性存储（固态驱动器）中Azure Cosmos DB的用户数据使用服务管理的密钥进行加密。 可以使用 客户管理的密钥（CMK） 功能，使用自己的密钥添加第二层加密。

传输中的数据加密

Azure提供了许多机制，帮助数据在从一个地点移动到另一个地点时保持私密。

每当Azure客户流量在数据中心之间移动 - 超出Microsoft控制的物理边界时，便会使用IEEE 802.1AE MAC安全标准（也称为MACsec），在基础网络硬件中实现点到点的数据链路层加密方法。 设备先加密数据包，然后再发送数据包，防止物理“中间人”或窃听/窃听攻击。 默认情况下，此 MACsec 加密适用于在区域或区域之间行驶的所有Azure流量。

TLS 加密

Microsoft使客户能够在云服务和客户之间传输数据时使用传输层安全性（TLS）协议来保护数据。 Microsoft数据中心与连接到 Azure 服务的客户端系统协商 TLS 连接。 TLS 提供强身份验证、消息隐私和完整性。

重要

Azure转换后，需要 TLS 1.2 或更高版本才能连接到Azure服务。 大多数Azure服务于 2025 年 8 月 31 日完成此转换。 确保应用程序使用 TLS 1.2 或更高版本。

完美转发保密（PFS）通过唯一密钥保护客户客户端系统和Azure云服务之间的连接。 连接支持基于 RSA 的 2,048 位密钥长度、ECC 256 位密钥长度、SHA-384 消息身份验证和 AES-256 数据加密。

Azure 存储 事务

通过Azure门户与Azure 存储交互时，所有事务都通过 HTTPS 进行。 还可以通过 HTTPS 使用存储 REST API 与Azure 存储进行交互。 通过为存储帐户启用安全传输要求，可以在调用 REST API 时强制使用 HTTPS。

共享访问签名（SAS）可以用于委派访问 Azure 存储 对象，其中包含一个选项，可以指定只能使用 HTTPS 协议。

SMB 加密

SMB 3.0，用于访问Azure 文件存储共享、支持加密，Windows Server 2012 R2、Windows 8、Windows 8.1 和Windows 10中可用。 它支持跨区域访问，并支持桌面访问。

VPN 加密

可以通过创建安全隧道的虚拟专用网络连接到Azure，以保护通过网络发送的数据的隐私。

Azure VPN 网关

Azure VPN 网关通过公共连接在您的虚拟网络和本地位置之间，或在虚拟网络之间发送加密流量。 站点到站点 VPN 使用 IPsec 进行传输加密。

点对站点 VPN

点到站点 VPN 允许单个客户端计算机访问Azure虚拟网络。 安全套接字隧道协议 （SSTP） 创建 VPN 隧道。 有关详细信息，请参阅 配置到虚拟网络的点到站点连接。

站点到站点虚拟专用网络 (VPN)

站点到站点 VPN 网关连接通过 IPsec/IKE VPN 隧道将本地网络连接到Azure虚拟网络。 有关详细信息，请参阅 创建站点到站点连接。

使用 密钥保管库 进行密钥管理

加密依赖于正确的密钥保护和管理。 Azure提供多种关键管理解决方案，包括Azure 密钥保管库、Azure 密钥保管库托管 HSM、Azure云 HSM 和Azure支付 HSM。

密钥保管库无需配置、修补和维护硬件安全模块（HSM）和密钥管理软件。 通过使用 密钥保管库，你可以保持控制——应用程序无法直接访问你的密钥。 也可以在 HSM 中导入或生成密钥。 为了实现最强的密钥隔离保障，Azure 密钥保管库 Managed HSM 提供了一个客户拥有的安全域，Microsoft 无法访问您的密钥材料。

有关 Azure 中的密钥管理的详细信息，请参阅 Azure 中的密钥管理。

后续步骤

  • Last updated on