Manage Azure Storage

Giới thiệu Lab

Trong lab này bạn sẽ học cách tạo storage account cho Azure blobs và Azure files. Bạn học cách cấu hình và bảo mật blob container. Bạn cũng học cách dùng Storage Browser để cấu hình và bảo mật Azure file share.

Lab này yêu cầu một Azure subscription. Loại subscription của bạn có thể ảnh hưởng đến tính khả dụng của các tính năng trong lab. Bạn có thể thay đổi region, nhưng các bước được viết dựa trên East US.

Sơ đồ kiến trúc

Kỹ năng

• Task 1: Tạo và cấu hình storage account.
• Task 2: Tạo và cấu hình blob storage bảo mật.
• Task 3: Tạo và cấu hình Azure file storage bảo mật.

Trong task này, bạn sẽ tạo và cấu hình storage account. Storage account sẽ dùng geo-redundant storage và không có public access.

1. 1

   Đăng nhập vào Azure portal — https://portal.azure.com.

2. 2

   Tìm kiếm và chọn Storage accounts, chọn Storage accounts trong kết quả, rồi nhấn + Create.

3. 3

   Trên tab Basics của blade Create a storage account, điền các cài đặt sau (để nguyên các cài đặt còn lại theo mặc định):

   Setting	Value
   Subscription	tên Azure subscription của bạn
   Resource group	az104-rg7 (tạo mới)
   Storage account name	tên duy nhất toàn cầu, dài từ 3 đến 24 ký tự gồm chữ và số
   Region	(US) East US
   Performance	Standard (lưu ý tùy chọn Premium)
   Preferred storage type	Azure Blob Storage or Azure Data Lake Storage
   Redundancy	Geo-redundant storage (lưu ý các tùy chọn khác)
   Make read access to data available in the event of regional unavailability.	Tích vào ô này

   Bạn có biết? Nên dùng tầng hiệu suất Standard cho hầu hết các ứng dụng. Dùng tầng hiệu suất Premium cho các ứng dụng doanh nghiệp hoặc hiệu suất cao.
4. 4

   Trên tab Advanced và Security, dùng các biểu tượng thông tin để tìm hiểu thêm về các tùy chọn. Giữ nguyên giá trị mặc định.

5. 5

   Trên tab Networking, trong phần Public network access, chọn Disable. Điều này sẽ hạn chế truy cập đến trong khi vẫn cho phép truy cập ra ngoài.

6. 6

   Xem lại tab Data protection. Lưu ý chính sách soft delete retention mặc định là 7 ngày. Lưu ý bạn có thể bật versioning cho blobs. Chấp nhận các giá trị mặc định.

7. 7

   Xem lại tab Encryption. Lưu ý các tùy chọn bảo mật bổ sung. Chấp nhận các giá trị mặc định.

8. 8

   Chọn Review + create, chờ quá trình validation hoàn tất, rồi nhấn Create.

9. 9

   Sau khi storage account được triển khai, chọn Go to resource.

10. 10

    Xem lại blade Overview và các cấu hình bổ sung có thể thay đổi. Đây là các cài đặt toàn cục cho storage account. Lưu ý storage account có thể dùng cho Blob containers, File shares, Queues và Tables.

11. 11

    Trong blade Security + networking, chọn Networking. Lưu ý Public network access đang bị tắt.

    • Dưới Public network access, nhấn Manage để mở blade cấu hình Public network access.
    • Đặt Public network access thành Enabled. Đặt Public network access scope thành Enable from selected networks.
    • Trong phần Resource settings: Virtual networks, IP Addresses and exceptions, thêm địa chỉ IPv4 của máy bạn.
    • Lưu các thay đổi. Nếu có banner thông báo đề nghị liên kết network security perimeter, bạn có thể bỏ qua và tiếp tục.
12. 12

    Trong blade Data management, chọn Redundancy. Xem thông tin về vị trí trung tâm dữ liệu chính và phụ của bạn.

13. 13

    Trong blade Data management, chọn Lifecycle management, rồi chọn Add a rule.

    • Đặt tên rule là Movetocool. Lưu ý các tùy chọn để giới hạn phạm vi rule. Nhấn Next.
    • Trên trang Add rule, nếu base blobs không được sửa đổi hơn 30 ngày thì Move to cool storage. Lưu ý các lựa chọn khác.
    • Lưu ý bạn có thể cấu hình thêm điều kiện khác. Chọn Add khi đã khám phá xong.

    

Trong task này, bạn sẽ tạo blob container và tải lên một hình ảnh. Blob container là cấu trúc dạng thư mục dùng để lưu trữ dữ liệu phi cấu trúc.

Tạo Blob Container và Chính Sách Lưu Giữ Theo Thời Gian

1. 1

   Tiếp tục trong Azure portal, làm việc với storage account của bạn.

2. 2

   Trong blade Data storage, chọn Containers.

3. 3

   Nhấn + Add container và tạo container với các cài đặt sau:

   Setting	Value
   Name	data
   Public access level	Lưu ý mức truy cập được đặt thành private

   
4. 4

   Trên container của bạn, cuộn đến dấu ba chấm (...) ở ngoài cùng bên phải, chọn Access policy.

5. 5

   Nếu xuất hiện cảnh báo rằng xác thực bằng Shared Key đã bị tắt cho tài khoản, bạn có thể bỏ qua và tiếp tục.

6. 6

   Trong khu vực Immutable blob storage, chọn Add policy, đổi loại từ Legal hold sang Time-based retention.

   Setting	Value
   Policy type	Time-based retention
   Set retention period for	180 days

7. 7

   Chọn Save.

Quản Lý Tải Lên Blob

1. 8

   Trong menu bên trái của storage account, chọn Configuration và đặt Allow storage account key access thành Enabled, rồi nhấn Save.

2. 9

   Tiếp theo, điều hướng đến Access Control (IAM), nhấn Add role assignment, chọn role Storage Blob Data Contributor và role Storage File Data Privileged Contributor, gán cho tài khoản người dùng của bạn, rồi nhấn Review + assign.

3. 10

   Sau khi cấu hình quyền truy cập xong, chọn container data của bạn rồi nhấn Upload.

4. 11

   Trên blade Upload blob, mở rộng phần Advanced.

   Lưu ý: Tìm một file để tải lên. Có thể là bất kỳ loại file nào, nhưng file nhỏ là tốt nhất. Bạn có thể tải file mẫu từ thư mục AllFiles.

   Setting	Value
   Browse for files	thêm file bạn đã chọn để tải lên
   Select Advanced
   Blob type	Block blob
   Block size	4 MiB
   Access tier	Hot (lưu ý các tùy chọn khác)
   Upload to folder	securitytest
   Encryption scope	Dùng phạm vi container mặc định hiện có

5. 12

   Nhấn Upload.

6. 13

   Xác nhận đã có thư mục mới và file của bạn đã được tải lên.

7. 14

   Chọn file vừa tải lên và xem các tùy chọn dấu ba chấm (...) bao gồm Download, Delete, Change tier và Acquire lease.

8. 15

   Chọn file vừa tải lên để mở panel Overview, rồi sao chép URL bằng nút Copy to clipboard trong bảng Properties. Dán URL vào cửa sổ trình duyệt InPrivate mới.

   Bạn sẽ thấy thông báo định dạng XML ghi ResourceNotFound hoặc PublicAccessNotPermitted.

   Lưu ý: Đây là kết quả bình thường vì container bạn tạo có mức truy cập công khai được đặt thành Private (no anonymous access).

Cấu Hình Quyền Truy Cập Giới Hạn vào Blob Storage

1. 16

   Quay lại file vừa tải lên, chọn dấu ba chấm (...) ở ngoài cùng bên phải, rồi chọn Generate SAS.

2. 17

   Lưu ý banner cảnh báo rằng xác thực bằng Shared Key đã bị tắt cho tài khoản này — điều này có nghĩa là tùy chọn ký bằng Account key sẽ không khả dụng.

3. 18

   Điền các cài đặt sau (để nguyên các cài đặt còn lại theo mặc định):

   Setting	Value
   Signing method	User delegation key
   Permissions	Read (lưu ý các lựa chọn khác)
   Start date	ngày hôm qua
   Start time	giờ hiện tại
   Expiry date	ngày mai
   Expiry time	giờ hiện tại
   Allowed IP addresses	để trống

4. 19

   Nhấn Generate SAS token and URL.

5. 20

   Sao chép mục Blob SAS URL vào clipboard.

6. 21

   Mở cửa sổ trình duyệt InPrivate khác và điều hướng đến Blob SAS URL bạn vừa sao chép ở bước trước.

   Lưu ý: Bạn sẽ có thể xem nội dung của file.

Trong task này, bạn sẽ tạo và cấu hình Azure File share. Bạn sẽ dùng Storage Browser để quản lý file share.

Tạo File Share và Tải Lên File

1. 1

   Trong Azure portal, quay lại storage account của bạn, trong blade Data storage, nhấn Classic file shares.

2. 2

   Nhấn + Classic file share và trên tab Basics, đặt tên cho file share là share1.

3. 3

   Lưu ý các tùy chọn Access tier. Giữ mặc định Transaction optimized.

4. 4

   Chuyển sang tab Backup và đảm bảo Enable backup không được chọn. Chúng ta tắt backup để đơn giản hóa cấu hình lab.

5. 5

   Nhấn Review + create, rồi nhấn Create. Chờ file share triển khai xong.

6. 6

   Sau khi file share được tạo, một banner thông tin sẽ xuất hiện nhắc bật backup — bạn có thể bỏ qua thông báo này và tiếp tục.

   

Khám Phá Storage Browser và Tải Lên File

1. 7

   Quay lại storage account và chọn Storage browser. Azure Storage Browser là công cụ trên portal giúp bạn xem nhanh tất cả dịch vụ lưu trữ trong tài khoản.

2. 8

   Chọn Classic file shares và xác nhận thư mục share1 của bạn đã xuất hiện.

3. 9

   Chọn thư mục share1 và lưu ý bạn có thể dùng + Add directory. Tính năng này cho phép bạn tạo cấu trúc thư mục.

4. 10

   Nếu thấy lỗi xác thực, chọn Switch Azure AD Account (hoặc đổi phương thức xác thực thành Microsoft Entra user account) trong thanh công cụ Storage browser.

5. 11

   Chọn Upload. Duyệt đến file tùy chọn của bạn, rồi nhấn Upload.

   Lưu ý: Bạn có thể xem và quản lý file share trong Storage Browser. Hiện tại chưa có hạn chế nào.

Hạn Chế Truy Cập Mạng vào Storage Account

1. 12

   Trong portal, tìm kiếm và chọn Network foundation.

2. 13

   Dưới Virtual networks, nhấn Create. Trên tab Basics, đặt Resource group là az104-rg7 và đặt tên cho virtual network là vnet1.

3. 14

   Giữ mặc định cho các tham số còn lại, chọn Review + create, rồi nhấn Create.

4. 15

   Chờ virtual network triển khai xong, rồi chọn Go to resource.

5. 16

   Trong phần Settings, chọn blade Service endpoints.

   • Chọn Add.
   • Trong danh sách thả xuống Service, chọn Microsoft.Storage.
   • Để nguyên danh sách thả xuống Service endpoint policies ở giá trị mặc định 0 selected.
   • Trong danh sách thả xuống Subnets, tích chọn subnet Default.
   • Nhấn Add để lưu các thay đổi.
6. 17

   Quay lại storage account của bạn.

7. 18

   Trong blade Security + networking, chọn Networking.

8. 19

   Dưới Public network access, chọn Manage.

9. 20

   Chọn Add a virtual network rồi chọn Add existing network.

10. 21

    Chọn vnet1 và subnet default, rồi chọn Add.

11. 22

    Trong phần IPv4 Addresses, xóa địa chỉ IP máy của bạn. Lưu lượng được phép chỉ nên đến từ virtual network.

12. 23

    Nhớ Save các thay đổi của bạn.

    Lưu ý: Storage account bây giờ chỉ có thể được truy cập từ virtual network bạn vừa tạo.
13. 24

    Chọn Storage browser và Refresh trang. Điều hướng đến file share hoặc nội dung blob của bạn.

    Lưu ý: Bạn sẽ nhận được thông báo not authorized to perform this operation. Bạn không kết nối từ virtual network. Có thể mất vài phút để thay đổi có hiệu lực. Bạn vẫn có thể xem file share nhưng không xem được file hoặc blob trong storage account.

    

Dọn Dẹp Tài Nguyên

Nếu bạn đang làm việc với subscription của riêng mình, hãy dành một phút để xóa các tài nguyên lab. Điều này đảm bảo tài nguyên được giải phóng và chi phí được tối thiểu hóa. Cách dễ nhất để xóa tài nguyên lab là xóa resource group của lab.

• Trong Azure portal, chọn resource group, chọn Delete the resource group, nhập tên resource group, rồi nhấn Delete. Khi hộp thoại xác nhận thứ hai xuất hiện nêu rằng việc xóa resource group và các tài nguyên phụ thuộc là hành động vĩnh viễn, nhấn Delete lần nữa để hoàn tất.

# Using Azure PowerShell
Remove-AzResourceGroup -Name resourceGroupName

# Using the CLI
az group delete --name resourceGroupName

Tổng Kết

• Azure storage account chứa tất cả các đối tượng dữ liệu Azure Storage của bạn: blobs, files, queues và tables. Storage account cung cấp một namespace duy nhất cho dữ liệu Azure Storage có thể truy cập từ bất kỳ đâu trên thế giới qua HTTP hoặc HTTPS.

• Azure storage cung cấp nhiều mô hình dự phòng bao gồm Locally redundant storage (LRS), Zone-redundant storage (ZRS) và Geo-redundant storage (GRS).

• Azure blob storage cho phép bạn lưu trữ lượng lớn dữ liệu phi cấu trúc trên nền tảng lưu trữ dữ liệu của Microsoft. Blob là viết tắt của Binary Large Object, bao gồm các đối tượng như hình ảnh và file đa phương tiện.

• Azure file Storage cung cấp bộ lưu trữ dùng chung cho dữ liệu có cấu trúc. Dữ liệu có thể được tổ chức theo thư mục.

• Immutable storage cung cấp khả năng lưu trữ dữ liệu ở trạng thái ghi một lần, đọc nhiều lần (WORM). Chính sách immutable storage có thể theo thời gian hoặc theo legal-hold.