Azure

Azure Storage Account

Allgemeine Infos

Ein Storage Account ist die Verwaltungseinheit für Azure Storage. Er stellt einen global eindeutigen Namen (3 bis 24 Zeichen, nur Kleinbuchstaben und Ziffern) und Endpunkte wie <konto>.blob.core.windows.net oder <konto>.file.core.windows.net bereit. Dahinter liegen Blob Storage, Azure Files, Queue Storage und Table Storage.

Kontotypen: Standard General Purpose v2 (GPv2) ist der empfohlene Typ für fast alle Szenarien. Für hohe Transaktionsraten oder geringe Latenz gibt es Premium-Konten für Block-Blobs, Dateifreigaben und Page-Blobs auf SSD. Den Kontotyp kannst Du nach dem Anlegen nicht mehr ändern.

Retirements: Klassische Konten (ASM) wurden am 31. August 2024 eingestellt. General Purpose v1 (GPv1) wird im Oktober 2026 eingestellt, neue GPv1-Konten lassen sich seit September 2026 nicht mehr anlegen. Verbleibende GPv1-Konten migriert Microsoft automatisch auf GPv2, was laut Microsoft zu höheren Kosten führen kann, weil sich die Transaktionspreise unterscheiden. Auch die alten BlobStorage-Konten sollen auf GPv2 umgestellt werden.

Funktionsweise & Details

Die wichtigsten Einstellungen eines Kontos:

  1. Leistung: Standard (HDD-basiert, alle Dienste) oder Premium (SSD, je nach Typ nur ein Dienst).
  2. Redundanz: LRS (drei Kopien in einem Rechenzentrum), ZRS (über drei Verfügbarkeitszonen), GRS und RA-GRS (zusätzlich in die Partnerregion), GZRS und RA-GZRS (Zonen plus Partnerregion). Georedundanz gibt es nur für GPv2.
  3. Zugriffsebene für Blobs: Standardwert Hot, Cool oder Cold, einzelne Blobs auch Archive.
  4. Authentifizierung: Microsoft Entra ID mit Azure RBAC (empfohlen), SAS-Token oder Kontoschlüssel (Shared Key). Shared Key lässt sich pro Konto deaktivieren.
  5. Netzwerk: Öffentlicher Zugriff aus allen Netzen, aus ausgewählten VNets und IPs oder deaktiviert mit Private Endpoints.
  6. Datenschutz: Soft Delete für Blobs, Container und Dateifreigaben, Versionierung, Point-in-Time-Restore und Unveränderlichkeitsrichtlinien.

Verschlüsselung im Ruhezustand ist immer aktiv, wahlweise mit Microsoft-verwalteten oder eigenen Schlüsseln aus Key Vault. Betroffene GPv1-Konten findest Du per Azure-Resource-Graph-Abfrage auf kind != StorageV2.

Vorteile & Nutzen

  • Ein Konto bündelt mehrere Speicherdienste mit gemeinsamer Redundanz, Netzwerk- und Sicherheitskonfiguration.
  • Die Redundanzstufe ist frei wählbar und lässt sich bei Standard-Konten weitgehend nachträglich ändern, je nach Bedarf an Verfügbarkeit und Budget.
  • Entra-ID-Authentifizierung mit RBAC ersetzt geteilte Kontoschlüssel und macht Zugriffe personen- oder identitätsbezogen nachvollziehbar.
  • Lebenszyklusregeln und Zugriffsebenen senken Kosten automatisch, ohne dass Anwendungen angepasst werden müssen.

Praxisbeispiel

Ein Hersteller von Industriewaagen mit 250 Mitarbeitenden nutzt seit Jahren mehrere Storage Accounts für Messdaten-Exporte, darunter zwei alte GPv1-Konten. Eine Resource-Graph-Abfrage im Sommer 2026 zeigt diese Konten, die IT stellt sie vor dem Retirement-Termin in einem Schritt ohne Ausfallzeit auf GPv2 um und setzt dabei die Standard-Zugriffsebene bewusst auf Cool. Gleichzeitig schaltet sie den öffentlichen Netzwerkzugriff ab, deaktiviert Shared Key und vergibt der Exportanwendung eine Managed Identity mit der Rolle Storage Blob Data Contributor.

Worauf sollte man achten?

  • Prüfe den Bestand auf GPv1- und BlobStorage-Konten und stelle sie selbst auf GPv2 um. Setze dabei die Standard-Zugriffsebene, sonst drohen unerwartete Kosten.
  • Deaktiviere den Kontoschlüssel-Zugriff, wo Anwendungen Entra ID unterstützen, und rotiere verbleibende Schlüssel regelmäßig.
  • Schalte den öffentlichen Netzwerkzugriff für interne Daten ab und nutze Private Endpoints mit passender privater DNS-Zone.
  • Aktiviere Soft Delete für Blobs, Container und Freigaben, bevor Du produktive Daten ablegst.
  • Der Kontoname ist global eindeutig und Teil der URL. Lege eine Namenskonvention fest, bevor Teams eigene Konten anlegen.

Lizenz & Verfügbarkeit

Pay-as-you-go über das Azure-Abonnement nach gespeicherter Datenmenge, Redundanzstufe, Zugriffsebene, Transaktionen und Datenübertragung. Reservierungen für Blob- und Files-Kapazität sind möglich. GPv1 wird im Oktober 2026 eingestellt (Neuanlage seit September 2026 gesperrt), klassische Konten seit 31. August 2024. Stand: Oktober 2026.

Fazit

Der Storage Account ist die Basis vieler Azure-Dienste. Nutze ausschließlich GPv2 oder Premium, sichere Zugriffe über Entra ID und Private Endpoints und wähle die Redundanz nach Schutzbedarf.

Weiterführende Links

Verwandte Artikel