在 Azure blob 存儲中存儲我的角色服務 package 有多安全？

Question

Azure 管理門戶允許從之前上傳到 Azure blob 存儲的服務 package 部署服務。 這看起來很方便，但有點偏執——如果某些第三方訪問 blob 存儲並檢索構成我的角色的可執行文件怎么辦？

在 Azure blob 存儲中存儲角色服務 package 的安全性如何？ 如果有的話，有什么更好的選擇？

Answer 1

有一些攻擊向量可以訪問 blob 存儲，並且您可以控制所有這些向量，因此您可以確保訪問安全。 具體來說：

1. 保護存儲帳戶的主密鑰和輔助密鑰。 丟失這些密鑰會危及存儲帳戶。 默認情況下，所有對 blob 存儲的訪問都必須經過身份驗證。
2. 保護訂閱的所有管理證書（私鑰）。 管理證書持有者始終可以獲取 sub 中所有存儲帳戶的存儲密鑰，因此這是一種完全妥協。
3. 用 package 固定容器。 如果您將容器標記為公開，人們可以在沒有存儲密鑰的情況下獲取它。
4. 刪除任何簽名標識符或確保您不會無意中允許通過制作不當的 SAS 簽名進行訪問。

而已。 除非 blob 存儲服務存在實際的安全問題（我們目前不知道），否則這些是獲得訪問權限的唯一方法。 如果你保護它，它是非常安全的，我認為沒有更好的選擇來將 package 存儲在 Windows Azure 中。

最后一件事：您默認上傳的 package 實際上是加密的。 即使有人下載了它，唯一能解密它的就是面料 controller。 我認為您還有其他問題應該更多地擔心。