你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Data Box 确保只有经过授权的实体能够查看、修改或删除你的数据，为数据保护提供安全的解决方案。 本文介绍了帮助保护每个 Data Box 解决方案组件及其存储的数据的 Azure Data Box 安全功能。
注意
本文介绍如何删除设备或服务中的个人数据，并且可用于为 GDPR 下的义务提供支持。 有关 GDPR 的常规信息，请参阅 Microsoft 信任中心的 GDPR 部分和服务信任门户的 GDPR 部分。
通过组件运行的数据流
Microsoft Azure Data Box 解决方案由四个彼此交互的主要组件构成：
- Azure 中托管的 Azure Data Box 服务 – 用于创建设备订单、配置设备，然后跟踪订单完成状态的管理服务。
- Data Box 设备 – 寄送给你的，用于将本地数据导入到 Azure 的传输设备。
- 连接到设备的客户端/主机 – 基础结构中的客户端，它们连接到 Data Box 设备，并包含需要保护的数据。
- 云存储 – Azure 云中存储数据的位置。 该位置通常是链接到所创建的 Azure Data Box 资源的存储帐户。
下图显示了通过 Azure Data Box 解决方案将导入订单的本地数据流到 Azure。 解决方案中的各种安全功能也突出显示。
下图显示了 Data Box 的导出订单数据流。
生成日志，并在数据流经此解决方案时跟踪事件数据。 有关详细信息，请转到：
安全功能
Data Box 确保只有经过授权的实体能够查看、修改或删除你的数据，为数据保护提供安全的解决方案。 此解决方案的安全功能适用于该磁盘，以及用于确保磁盘中存储的数据安全性的关联服务。
Data Box 设备保护
Data Box 设备由以下功能提供保护：
- 一种坚固的设备外壳，可防止冲击、易失运输和不利的环境条件。
- 硬件和软件篡改检测，可以防止进一步的设备操作。
- 内置入侵检测系统，用于标识对设备进行未经授权的物理访问。
- Semper Secure Flash 技术与闪存中的硬件信任根（RoT）集成，确保固件完整性并启用安全更新，而无需修改硬件。
- 受信任的平台模块 (TPM)，用于执行基于硬件的安全相关功能。 TPM 管理和保护需要在设备上保留的机密和数据。
- 执行限制仅允许专有的特定于 Data Box 的软件执行。
- 默认锁定的启动状态。
- 设备的访问通过解锁密钥和加密密钥来控制。 可以使用自己的客户管理密钥来保护密钥。 有关详细信息，请参阅在 Azure Data Box 的 Azure Key Vault 中使用客户管理的密钥。
- 访问凭据，用于将数据复制到和复制出设备。 对 Azure 门户中“设备凭据”页的每次访问都会记录在活动日志中。
- 可以使用自己的密码进行设备和共享访问。 有关详细信息，请参阅教程：订购 Azure Data Box。
- 一种坚固的设备外壳，可防止冲击、易失运输和不利的环境条件。
- 硬件和软件篡改检测，可以防止进一步的设备操作。
- 受信任的平台模块 (TPM)，用于执行基于硬件的安全相关功能。 TPM 管理和保护需要在设备上保留的机密和数据。
- 将执行限制为专用于 Data Box 的专有软件。
- 默认情况下，启动进入锁定状态。
- 设备的访问通过解锁密钥和加密密钥来控制。 可以使用自己的客户管理密钥来保护密钥。 有关详细信息，请参阅在 Azure Data Box 的 Azure Key Vault 中使用客户管理的密钥。
- 访问凭据，用于将数据复制到和复制出设备。 对 Azure 门户中“设备凭据”页的每次访问都会记录在活动日志中。
- 可以使用自己的密码进行设备和共享访问。 有关详细信息，请参阅教程：订购 Azure Data Box。
通过证书与设备建立信任关系
Data Box 设备允许在连接到本地 Web 界面和 Blob 存储时使用自己的证书。 有关详细信息，请参阅 将自己的证书用于 Data Box 设备。
Data Box 数据保护
流入和流出 Data Box 的数据由以下功能提供保护：
- AES 256 位加密用于数据静止态。 在高安全性环境中，可以使用基于软件的双重加密。 有关详细信息，请参阅教程：订购 Azure Data Box。
- 基于软件的加密由基于 RAID 控制器的硬件加密增强。
- 可以为传输中数据使用加密的协议。 从数据服务器向它复制数据时，建议使用具有加密功能的 SMB 3.0 来保护数据。
- 将数据上传到 Azure 后，就可以安全地擦除设备中的数据。 数据擦除符合 NIST 800-88r1 标准中 ATA 硬盘驱动器的附录 A 中的准则。 数据擦除事件将记录在订单历史记录中。
- 用于静态数据的 AES 256 位加密。 在高安全性环境中，可以使用基于软件的双重加密。 有关详细信息，请参阅教程：订购 Azure Data Box。
- 可以为传输中数据使用加密的协议。 从数据服务器向它复制数据时，建议使用具有加密功能的 SMB 3.0 来保护数据。
- 将数据上传到 Azure 后，就可以安全地擦除设备中的数据。 数据擦除符合 NIST 800-88r1 标准中 ATA 硬盘驱动器的附录 A 中的准则。 数据擦除事件将记录在订单历史记录中。
Data Box 服务保护
Data Box 服务受以下功能的保护。
- 访问 Data Box 服务需要启用 Data Box 的 Azure 订阅。 单个订阅限制对 Azure 门户中功能的访问权限。
- 由于 Data Box 服务托管在 Azure 中，因此受 Azure 安全功能的保护。 有关 Microsoft Azure 提供的安全功能的详细信息，请转到 Microsoft Azure 信任中心。
- 可以通过使用 Azure 角色来控制对 Data Box 订单的访问。 有关详细信息，请参阅设置对 Data Box 订单的访问控制
- Data Box 服务存储用于解锁设备的密码。
- Data box 服务存储订单详细信息和状态。 Data Box 服务在作业达到终端状态或删除订单时删除此信息。
管理个人数据
Azure Data Box 收集并显示个人信息仅限于服务中的以下关键实例：
通知设置 - 创建订单时，将通知设置配置为使用用户的电子邮件地址。 此信息对管理员可见。 Data Box 服务在作业达到终端状态或删除订单时删除此信息。
订单详细信息 – 创建订单后，用户的电子邮件地址、电子邮件和联系信息将存储在 Azure 门户中。 此信息包括：
联系人姓名
电话号码
Email
街道地址
城市
邮政编码
状态
国家/地区/省/区域
承运商帐号
运输跟踪号
Data Box 服务在作业达到终端状态或删除订单时删除订单详细信息。
送货地址 – 订单下达后，Data Box 服务向发货合作伙伴（如 UPS 或 DHL）提供送货地址。
有关详细信息，请在信任中心查看 Microsoft 隐私策略。
安全准则参考
Data Box 中实现了以下安全准则：
| 准则 | 说明 |
|---|---|
| IEC 60529 IP52 | 水和灰尘防护 |
| ISTA 2A | 可变传输条件耐力 |
| NIST SP 800-147 | 安全固件更新 |
| FIPS 140-2 级别 2 | 数据保护 |
| NIST SP 800-88r1 中 ATA 硬盘驱动器的附录 A | 数据清理 |
安全清除媒体清理详细信息
在我们的设备上执行的安全擦除过程符合 NIST SP 800-88r1 ，以下是实现的详细信息：
| 装置 | 数据擦除类型 | 使用的工具 |
|---|---|---|
| Azure Data Box | 在公共云中：加密擦除 在政府云中：加密擦除 + 磁盘重写 |
ARCCONF 工具 |
| Azure Data Box 120 | 在公共云和政府云中：块擦除 | ARCCONF 工具 |
| Azure Data Box 525 | 在公共云和政府云中：块擦除 | ARCCONF 工具 |
| Azure Data Box Disk | 在公共云和政府云中：块擦除 | MSECLI 工具 |
后续步骤
- 查看 Data Box 要求。
- 了解 Data Box 限制。
- 在 Azure 门户中快速部署 Azure Data Box。