私の役割サービスパッケージをAzureブロブストレージに保存するのはどれくらい安全ですか？

Question

Azure管理ポータルでは、Azureブロブストレージにアップロードされたサービスパッケージからサービスを展開することができます。これは非常に便利ですが、なんらかの第三者がBLOBストレージにアクセスし、私の役割を構成する実行可能ファイルを取得するとどうなりますか？

Azureブロブストレージにロールサービスパッケージを格納するのはどれくらい安全ですか？もしあれば、より良い選択肢は何ですか？

Answer 1

ブロブストレージに到達するための攻撃ベクトルは少数あり、それらのすべてを制御しているため、アクセスを保護するのはあなた次第です。具体的には

1. ストレージアカウントにプライマリとセカンダリの秘密鍵を保護します。これらのキーを紛失すると、ストレージアカウントが破損します。デフォルトではBLOBストレージへのアクセスはすべて認証されていなければなりません。
2. サブスクリプションのすべての管理証明書（秘密鍵）を保護する。管理証明書所有者は、サブのすべてのストレージアカウントのストレージキーを常に取得できるため、これは完全な妥協です。
3. パッケージにコンテナを固定する。コンテナをパブリックにマークすると、ストレージキーなしでアイテムを取得できます。
4. 署名付き識別子を削除するか、間違って細工されたSAS署名で無意識にアクセスを許可しないようにします。

これだけです。ブロブストレージサービス（実際には分かっていない）に実際のセキュリティ問題がないかぎり、それらはアクセスを得るための唯一の方法です。もしあなたがそれを安全にしたら、それはかなり安全であり、Windows Azureにパッケージを格納するための良い選択肢はないと思います。

最後の1つ：デフォルトでアップロードするパッケージは実際には暗号化されています。誰かがそれをダウンロードしたとしても、それを解読できる唯一のものはファブリックコントローラです。私はあなたが心配すべき他の問題があると思います。