Chiffrement du Stockage Azure pour les données au repos

Le service Stockage Azure utilise un chiffrement côté serveur (SSE) pour chiffrer automatiquement vos données quand celles-ci sont conservées dans le cloud. Le chiffrement de Stockage Azure protège vos données et vous aide à répondre aux engagements de votre entreprise en matière de sécurité et de conformité.

Microsoft recommande d’utiliser un chiffrement côté service pour protéger vos données dans la plupart des cas. Toutefois, les bibliothèques de client du Stockage Azure pour le stockage d’objets blob et de files d’attente fournissent également un chiffrement côté client en cas de nécessité de chiffrer les données sur le client. Pour plus d’informations, consultez Chiffrement côté client pour les objets blob et les files d’attente.

À propos du chiffrement côté service du Stockage Azure

Les données dans Stockage Azure sont chiffrées et déchiffrées en toute transparence à l’aide du chiffrement AES 256 bits, un des chiffrements par blocs les plus puissants actuellement disponibles, et sont conformes à la norme FIPS 140-2. Le chiffrement du Stockage Azure est similaire au chiffrement BitLocker sur Windows.

Le chiffrement de Stockage Azure est activé pour tous les comptes de stockage, y compris les comptes de stockage classiques et Resource Manager. Le chiffrement de Stockage Azure ne peut pas être désactivé. Étant donné que vos données sont sécurisées par défaut, vous n’avez pas besoin de modifier votre code ou vos applications pour tirer parti du chiffrement du Stockage Azure.

Les données d’un compte de stockage sont chiffrées, quel que soit le niveau de performance (Standard ou Premium), le niveau d’accès (chaud ou froid) ou le modèle de déploiement (Azure Resource Manager ou Classique). Tous les objets blob de blocs nouveaux et existants, les objets blob d’ajout et les objets blob de pages sont chiffrés, y compris les objets blob du niveau archive. Toutes les options de redondance de Stockage Azure prennent en charge le chiffrement, et toutes les données dans les régions primaire et secondaire sont chiffrées quand la géoréplication est activée. Toutes les ressources de Stockage Azure sont chiffrées, y compris les objets blob, disques, fichiers, files d’attente et tables. Toutes les métadonnées d’objet sont également chiffrées.

Le chiffrement de Stockage Azure n’implique aucun coût supplémentaire.

Pour plus d’informations sur les modules cryptographiques de chiffrement de Stockage Azure, consultez API de chiffrement : nouvelle génération.

Pour plus d’informations sur le chiffrement et la gestion des clés pour les disques managés Azure, consultez Chiffrement côté serveur de disques managés Azure.

À propos de la gestion des clés de chiffrement

Par défaut, les données d'un nouveau compte de stockage sont chiffrées à l'aide de clés managées par Microsoft. Vous pouvez continuer à vous reposer sur les clés managées par Microsoft pour le chiffrement des vos données, ou vous pouvez gérer le chiffrement avec vos propres clés. Si vous choisissez de gérer le chiffrement avec vos propres clés, deux options s’offrent à vous. Vous pouvez utiliser l'un ou l'autre type de gestion des clés, ou les deux :

• Vous pouvez spécifier une clé gérée par le client à utiliser pour le chiffrement et le déchiffrement des données dans le stockage d’objets blob et dans Azure Files. ^{1, 2} clés gérées par le client doivent être stockées dans Azure Key Vault ou le modèle de sécurité matérielle (HSM) Azure Key Vault géré. Pour plus d’informations sur les clés gérées par le client, consultez Utiliser des clés gérées par le client pour gérer le chiffrement du stockage Azure.
• Vous pouvez spécifier une clé fournie par le client sur les opérations de Stockage Blob. Un client qui effectue une requête de lecture ou d’écriture sur le Stockage Blob peut inclure une clé de chiffrement dans la requête afin de contrôler la précision avec laquelle les données blob sont chiffrées et déchiffrées. Pour plus d’informations sur les clés fournies par le client, consultez Fournir une clé de chiffrement lors d’une requête au Stockage Blob.

Par défaut, un compte de stockage est chiffré avec une clé étendue au compte de stockage entier. Les étendues de chiffrement vous permettent de gérer le chiffrement à l'aide d'une clé étendue à un conteneur ou à un objet blob individuel. Vous pouvez utiliser des étendues de chiffrement pour créer des limites sécurisées entre les données qui résident dans le même compte de stockage mais qui appartiennent à des clients différents. Les étendues de chiffrement peuvent utiliser des clés gérées par Microsoft ou des clés gérées par le client. Pour plus d’informations sur les étendues de chiffrement, consultez Étendues de chiffrement pour le stockage d’objets blob.

Le tableau suivant compare les options de gestion de clés pour le chiffrement de Stockage Azure.

¹ Pour plus d’informations sur la création d’un compte qui prend en charge l’utilisation de clés gérées par le client avec Stockage File d’attente, consultez Créer un compte qui prend en charge les clés gérées par le client pour les files d’attente.
² Pour plus d’informations sur la création d’un compte qui prend en charge l’utilisation de clés gérées par le client avec Stockage Table, consultez Créer un compte qui prend en charge les clés gérées par le client pour les tables.

Chiffrer les données doublement avec le chiffrement de l’infrastructure

Les clients qui doivent s’assurer que leurs données sont sécurisées peuvent également activer le chiffrement AES 256 bits au niveau de l’infrastructure Stockage Azure. Lorsque le chiffrement d’infrastructure est activé, les données d’un compte de stockage sont chiffrées deux fois (une fois au niveau du service et une fois au niveau de l’infrastructure) avec deux algorithmes de chiffrement et deux clés différents. Le double chiffrement des données Stockage Azure permet d’éviter un scénario impliquant une possible compromission d’un algorithme ou d’une clé de chiffrement. Dans un tel scénario, la couche de chiffrement supplémentaire continue de protéger vos données.

Le chiffrement au niveau du service prend en charge l’utilisation de clés gérées par Microsoft ou de clés gérées par le client avec Azure Key Vault. Le chiffrement au niveau de l’infrastructure s’appuie sur des clés gérées par Microsoft et utilise systématiquement une clé distincte.

Pour plus d’informations sur la création d’un compte de stockage qui permet le chiffrement de l’infrastructure, consultez Créer un compte de stockage avec le chiffrement d’infrastructure activé à des fins de double chiffrement des données.

Chiffrement côté client des blobs et files d’attente

La bibliothèque de client de Stockage Blob Azure pour .NET, Java et Python prend en charge le chiffrement des données dans les applications clientes avant chargement dans Stockage Azure, et le déchiffrement des données pendant leur téléchargement sur le client. Les bibliothèques de client de Stockage File d’attente pour .NET et Python prennent également en charge le chiffrement côté client.

Les bibliothèques de client de Stockage Blob et Stockage File d’attente utilisent AES pour chiffrer les données utilisateur. Deux versions de chiffrement côté client sont disponibles dans les bibliothèques de client :

• La version 2 utilise le mode Galois/Counter Mode (GCM) avec AES. Les SDK Stockage Blob et Stockage File d’attente prennent en charge le chiffrement côté client avec v2.
• La version 1 utilise le mode Cipher Block Chaining (CBC) avec AES. Les SDK Stockage Blob, File d’attente et Stockage Table prennent en charge le chiffrement côté client avec v1.

Le tableau suivant montre quelles bibliothèques de client prennent en charge quelles versions du chiffrement côté client, et fournit des instructions pour la migration vers le chiffrement côté client v2.

Étapes suivantes

• Qu’est-ce qu’Azure Key Vault ?
• Clés gérées par le client pour le chiffrement du Stockage Azure
• Étendues de chiffrement pour le Stockage Blob
• Fournir une clé de chiffrement sur demande au Stockage Blob