[{"_1":2,"_71":-5,"_72":-5},"loaderData",{"_3":4,"_23":24},"root",{"_5":-5,"_6":-5,"_7":-5,"_8":9,"_10":11},"me","tenants","current_tenant","total_tenants",0,"features",{"_12":13,"_19":20},"herding",{"_14":15,"_16":15,"_17":18},"enabled",true,"admin_only","tenant_ids",[],"skytest",{"_14":15,"_16":21,"_17":22},false,[],"routes/kunnskapstema_.$theme.$slug",{"_25":26,"_29":30,"_51":50,"_68":69,"_70":21},"article",{"_27":28,"_29":30,"_31":32,"_33":34,"_35":36,"_37":38,"_39":40,"_41":42,"_43":44,"_48":49,"_51":50,"_52":53,"_65":21,"_66":67},"id","019a7738-bbc8-762c-9747-96a0b810b212","slug","azure-storage-account-herding","title","Azure - Storage Account herding","content","---\ntitle: Herding av Azure Storage-kontoer\ndescription: Beste praksis for sikker konfigurasjon av Azure Storage Accounts, inkludert nettverk, tilgang, TLS og databeskyttelse.\nkeywords: [Azure Storage, Herding, Sikkerhet, Blob Storage, Data Protection, Private Endpoint]\n---\n\n# Azure - Herding av Azure Storage-kontoer\n\n## Kortversjon\n\n- Sett Public network access til Deny og bruk Private Endpoint eller definerte nettverk \n- Deaktiver anonym tilgang og unngå bruk av kontonøkler \n- Velg StorageV2 som kontotype for støtte av moderne sikkerhetsfunksjoner \n- Aktiver Require secure transfer (HTTPS only) og bruk minst TLS 1.2 \n- Slå på Blob versioning og Soft delete for datagjenoppretting \n- Aktiver logging og vurder Microsoft Defender for Storage \n- [Sjekk vår artikkel](https://portal.helsecert.no/kunnskap/endringsprosess) for god endringsprosess.\n\n
\n\n## Bakgrunn\n\nAzure Storage-kontoer lagrer virksomhetskritiske data og brukes ofte av flere tjenester. \nFeilkonfigurasjon kan føre til datalekkasjer eller tap. \nMicrosoft anbefaler å begrense nettverkstilgang, bruke Entra ID autentisering/RBAC og aktivere databeskyttelse. \n\nDenne artikkelen beskriver anbefalte innstillinger for herding av Azure Storage basert på Microsofts dokumenterte praksis. \n\n
\n\n## Hvordan utføre endringen\n\n### 1) Nettverk og tilgang\n\n| Innstilling | Anbefalt verdi | Beskrivelse |\n|--------------|----------------|-------------|\n| Public network access | Deny | Blokker offentlig tilgang |\n| Allow trusted Microsoft services | Kun ved behov | Gi tilgang kun til nødvendige Microsoft-tjenester |\n| Allow blob anonymous access | Disabled | Hindre anonym tilgang til containere og blobs |\n| Allow storage account key access | Disabled | Bruk Entra ID eller Managed Identity i stedet |\n| Private endpoint | Enabled | Tilgang via privat IP i VNet |\n\nFremgangsmåte:\n1. Gå til Azure Portal → Storage account → Networking \n2. Sett Public network access til Deny \n3. Opprett Private Endpoint under Private endpoint connections \n4. Test at ekstern tilgang er blokkert \n5. \"Allow blob anonymous access\" og \"Allow storage account key access\" kan konfigureres under Configuration på Storage Account.\n6. \"Allow trusted Microsoft services\" kan konfigureres under Networking → Public Network Access → Public network access scope -> Enable from selected Networks → Exceptions\n\nFeil nettverksoppsett kan sperre legitime tjenester. Test alltid i et testmiljø før produksjon. \n\n
\n\n### 2) Konto-type (Account Kind)\n\nMicrosoft anbefaler bruk av StorageV2 (General-purpose v2) for alle nye kontoer. \nDenne støtter moderne sikkerhetsfunksjoner, logging og kryptering. \n\nUnngå eldre typer som GPv1/StorageV1 eller Classic, og vurder migrering av eksisterende kontoer. \n\nReferanse: [Well-Architected Framework for Azure Blob Storage](https://learn.microsoft.com/en-us/azure/well-architected/service-guides/azure-blob-storage)\n\n
\n\n### 3) TLS-versjon\n\nSett minimum TLS-versjon til 1.2 eller høyere for å hindre bruk av eldre protokoller. \n\nFremgangsmåte:\n1. Azure Portal → Storage account → Configuration \n2. Sett Minimum TLS version til 1.2 \n3. Bekreft at klienter og SDK-er støtter denne versjonen \n\nReferanse: [Security recommendations for Blob storage](https://learn.microsoft.com/en-us/azure/storage/blobs/security-recommendations)\n\n
\n\n### 4) Krev HTTPS (Secure transfer)\n\nAktiver Require secure transfer for å tvinge HTTPS og blokkere ukryptert trafikk. \n\nFremgangsmåte:\n1. Azure Portal → Storage account → Configuration \n2. Sett Secure transfer required til Enabled \n3. Test at HTTP-forespørsler blir blokkert \n\nReferanse: [Blob storage security recommendations](https://learn.microsoft.com/en-us/azure/storage/blobs/security-recommendations)\n\n
\n\n### 5) Blob versioning\n\nVersjonering beskytter mot tap ved overskriving eller sletting av data. \n\nFremgangsmåte:\n1. Azure Portal → Storage account → Data protection \n2. Aktiver Blob versioning \n3. Vurder livssyklusregler for automatisk opprydding \n\nReferanse: [Blob data protection overview](https://learn.microsoft.com/en-us/azure/storage/blobs/data-protection-overview)\n\n
\n\n### 6) Blob soft delete\n\nSoft delete gjør det mulig å gjenopprette slettede objekter i en definert periode. \n\nFremgangsmåte:\n1. Azure Portal → Storage account → Data protection \n2. Aktiver Soft delete for blobs \n3. Angi oppbevaringsperiode, for eksempel 30 dager \n4. Test at gjenoppretting fungerer \n\nReferanse: [Blob data protection overview](https://learn.microsoft.com/en-us/azure/storage/blobs/data-protection-overview)\n\n
\n\n### 7) Kryptering og nøkkelhåndtering\n\nData krypteres at-rest med Microsoft-administrerte nøkler. \nFor økt kontroll kan kundeadministrerte nøkler (CMK) brukes via Azure Key Vault. \nUnngå bruk av Shared Key Authorization og roter nøkler regelmessig. \n\nReferanse: [Azure Storage security baseline](https://learn.microsoft.com/en-us/security/benchmark/azure/baselines/storage-security-baseline)\n\n
\n\n### 8) Logging og overvåkning\n\nAktiver logging og overvåkning for å oppdage uvanlig aktivitet. \n\nAnbefalinger:\n- Aktiver diagnostikklogger for lese-, skrive- og slettoperasjoner (aktiveres under Storage Account → Monitoring → Diagnostic Settings)\n- Send logger til Log Analytics eller Event Hub \n- Aktiver Microsoft Defender for Storage for trusselvarsling \n- Gjennomgå jevnlig tilgangslogger og policyendringer \n\nReferanse: [Blob storage security recommendations](https://learn.microsoft.com/en-us/azure/storage/blobs/security-recommendations)\n\n
\n\n## Artikler og ressurser\n\n- [Security recommendations for Azure Blob Storage](https://learn.microsoft.com/en-us/azure/storage/blobs/security-recommendations) \n- [Azure Blob Storage – Well-Architected Framework](https://learn.microsoft.com/en-us/azure/well-architected/service-guides/azure-blob-storage) \n- [Data protection overview for Azure Blob Storage](https://learn.microsoft.com/en-us/azure/storage/blobs/data-protection-overview) \n- [Azure Security Benchmark: Storage](https://learn.microsoft.com/en-us/security/benchmark/azure/baselines/storage-security-baseline)\n","status","published","published_at","2025-11-12T08:55:48.883Z","updated_at","2025-11-18T12:59:00.571Z","created_at","2025-11-12T08:39:58.152Z","author",{"_27":45,"_46":47},"0198cb47-2c64-7b71-bc80-ab3f13e9403c","name","","themes",[50],"azureherding","theme","metadata",{"_31":54,"_55":56,"_63":64},"Herding av Azure Storage-kontoer","keywords",[57,58,59,60,61,62],"Azure Storage","Herding","Sikkerhet","Blob Storage","Data Protection","Private Endpoint","description","Beste praksis for sikker konfigurasjon av Azure Storage Accounts, inkludert nettverk, tilgang, TLS og databeskyttelse.","private","labels",[],"relatedArticles",[],"isBookmarked","actionData","errors"]