Un almacenamiento inmutable de copias de seguridad es imprescindible para proteger los datos críticos del negocio frente a eliminaciones, modificaciones y ciberataques. Con Azure Blob Storage, los administradores de TI y los MSP pueden configurar la protección Write Once, Read Many (WORM) con bloqueos temporales para esos datos.

Esta guía explica paso a paso cómo configurar un almacenamiento de copias de seguridad inmutable (protegido con WORM) en Azure Blob mediante políticas de retención basadas en tiempo.

¿Buscas una guía visual sencilla? Mira «Cómo configurar un almacenamiento inmutable de copias de seguridad con Azure Blob y bloqueos temporales» para conocer todos los detalles.

Configurar un almacenamiento inmutable de copias de seguridad con distintos métodos

Configurar un almacenamiento inmutable de copias de seguridad es un proceso de tres pasos. El primero es bastante sencillo, mientras que los pasos 2 y 3 se pueden completar con Azure CLI, PowerShell o la herramienta AzCopy.

Requisitos previos:

Antes de empezar, asegúrate de cumplir estos requisitos:

• Una suscripción activa de Azure con permisos para crear cuentas de almacenamiento
• El rol de colaborador o Storage Blob Data Owner
• El módulo Az de PowerShell o Azure CLI
• El proveedor de recursos de Azure Microsoft.Storage debe estar registrado.

Consejo: El etiquetado de endpoints, el seguimiento mediante GPO o registro y los requisitos de auditoría son opcionales, pero resultan muy útiles. Puedes configurarlos con los métodos complementarios disponibles.

Paso 1: crea una cuenta de almacenamiento compatible con blobs inmutables

Para poder alojar y configurar contenedores inmutables, primero hay que crear una cuenta de almacenamiento compatible con la inmutabilidad a nivel de versión.

Para crear la cuenta adecuada, sigue estos pasos:

1. Abre Azure Portal y ve a Cuentas de almacenamiento > Crear.
2. Configura estas opciones:
   • Rendimiento: Estándar
   • Redundancia: localmente redundante o georredundante
   • Habilitar espacio de nombres jerárquico: opcional (para Azure Data Lake)
3. En Avanzado > Protección de datos, modifica lo siguiente:
   • Activa la compatibilidad con inmutabilidad a nivel de versión.
   • Activa la eliminación temporal de blobs (opcional, para mayor protección).

Importante: Si no activas ambos ajustes, pueden surgir problemas al aplicar las políticas. Tienes más información en la sección Aspectos a tener en cuenta.

4. Completa la configuración y aprovisiona la cuenta de almacenamiento.

Paso 2: crea un contenedor inmutable con un bloqueo temporal

Para crear un contenedor inmutable puedes usar Azure CLI o PowerShell.

Método A: Azure CLI

Azure CLI es una herramienta de línea de comandos multiplataforma que permite conectarse a Azure y ejecutar comandos sobre los recursos de Azure.

📌 Casos de uso: Azure CLI es ideal para:

• Entornos multiplataforma
• Pipelines de DevOps
• Automatización de tareas mediante scripts de shell
• Administradores de TI que gestionan recursos de Azure en remoto o desde terminales SSH

Ejecuta este comando:

az storage container create \
–name secure-backups \
–account-name mystorageaccount \
–auth-mode loginaz storage container immutability-policy set \
–account-name mystorageaccount \
–container-name secure-backups \
–period 30 \
–allow-protected-append-write true
Activar el bloqueo temporal:
az storage container legal-hold set \
–account-name mystorageaccount \
–container-name secure-backups \
–tags «WORM-Protection»

La política impide la eliminación o la sobrescritura durante el número de días indicado.

Método B: PowerShell

📌 Casos de uso: PowerShell es ideal para administradores de TI y MSP que gestionan endpoints Windows.

Abre PowerShell como administrador y ejecuta este comando:

Paso 3: sube los datos de la copia de seguridad al contenedor bloqueado

Una vez configurado el contenedor inmutable, ya puedes subir tus datos al contenedor protegido. Este paso es necesario para completar la copia de seguridad. Para subir los datos puedes usar Azure CLI o AzCopy.

Opción A: Azure CLI

📌 Casos de uso: usa Azure CLI para subidas de poco volumen y entornos multiplataforma.

az storage blob upload \
–account-name mystorageaccount \
–container-name secure-backups \
–name daily-backup-2025-07-01.bak \
–file "C:\Backups\2025-07-01.bak" \
–auth-mode login

Opción B: herramienta AzCopy

AzCopy es una utilidad de línea de comandos que copia blobs o archivos hacia y desde una cuenta de almacenamiento.

📌 Casos de uso: AzCopy es la mejor opción para:

• Transferencias de datos de gran volumen o alta velocidad a Azure Blob Storage
• Trabajos de copia de seguridad automatizados, configuraciones de recuperación ante desastres o subidas masivas iniciales
• Subidas mediante token SAS en lugar de un inicio de sesión completo en Azure

Ejecuta este comando en AzCopy:

AzCopy.exe copy "C:\Backups" «https://mystorageaccount.blob.core.windows.net/secure-backups?<SAS>» –recursive

Aspectos a tener en cuenta

Métodos complementarios para mejorar tu estrategia de almacenamiento de copias de seguridad

Una vez configurado el almacenamiento inmutable de copias de seguridad, puedes reforzar tu estrategia y su seguridad con los siguientes métodos:

Cómo verificar y auditar la configuración de inmutabilidad

Verificar y auditar los ajustes de inmutabilidad es muy útil para los equipos de TI que necesitan documentación que demuestre que los datos de copia de seguridad son inmutables y se conservan correctamente. Los métodos siguientes también sirven para detectar errores de configuración antes de que afecten al cumplimiento.

Para verificar y auditar la configuración de inmutabilidad puedes usar Azure CLI, PowerShell o Azure Portal. Ejecuta los comandos correspondientes según la herramienta que elijas:

Azure CLI

az storage container show \
–name secure-backups \
–account-name mystorageaccount \
–query properties.immutabilityPolicy

PowerShell

Get-AzStorageContainerImmutabilityPolicy -Context
$ctx -ContainerName «secure-backups»

Azure Portal

1. Ve a Contenedor > Control de acceso (IAM)
2. Comprueba la política de inmutabilidad, la fecha de retención y el estado de anexado.

Cómo validar la copia de seguridad local con el Editor del Registro

Puedes hacer seguimiento de los endpoints que contienen copias de seguridad mediante modificaciones en el registro. Para ello, abre el Editor del Registro y sigue estos pasos:

1. Ve a HKEY_LOCAL_MACHINE\SOFTWARE\Org\ImmutableBackup
2. Modifica estas claves:
   • LastBackupDate (String) = «2025-07-01T22:00:00Z»
   • ContainerURI (String) = «https://mystorageaccount.blob.core.windows.net/secure-backups»

Cuando se usan en scripts personalizados o herramientas de informes, estas claves validan el cumplimiento de la política en cada dispositivo.

Cómo proteger el origen de las copias de seguridad con una directiva de grupo

Si tus copias de seguridad se crean en los endpoints antes de enviarse a Azure, es fundamental evitar manipulaciones locales. Las directivas de grupo impiden que los usuarios eliminen, modifiquen o alteren los archivos de copia de seguridad antes de que entre en juego la inmutabilidad.

Para activar la protección del origen de las copias de seguridad:

1. Abre el Editor de directivas de grupo local.
2. Ve a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Copias de seguridad de Windows
3. Activa Desactivar la capacidad de eliminar archivos de copia de seguridad.
4. Exige el servicio de instantáneas de volumen (VSS) para las copias de seguridad.
5. Aplica la directiva a todos los endpoints correspondientes para evitar eliminaciones accidentales antes de enviar los datos al contenedor inmutable.

Cómo usar CMD y la CLI para la validación operativa

Valida el acceso al contenedor y la integridad de los archivos:

dir \\mystorageaccount.file.core.windows.net\secure-backups

Comprueba el acceso de AzCopy:

AzCopy.exe login
AzCopy.exe jobs list

Verifica la política de inmutabilidad del blob (mediante REST):

curl -X GET https://<account>.blob.core.windows.net/<container>?restype=container&comp=immutabilitypolicy

Otras consideraciones sobre el almacenamiento inmutable de copias de seguridad

Los datos guardados en almacenamiento inmutable son críticos y hay que tratarlos con cuidado para evitar pérdidas. Ten en cuenta también lo siguiente:

¿Retención legal o bloqueo temporal?

La retención legal impide eliminar o modificar los datos de copia de seguridad de forma indefinida, mientras que el bloqueo temporal lo impide durante un plazo determinado. Elegir el bloqueo correcto ayuda a evitar eliminaciones prematuras, crecimiento innecesario del almacenamiento e incumplimientos normativos.

¿Se puede modificar un almacenamiento inmutable de copias de seguridad?

Los contenedores inmutables no se pueden renombrar ni eliminar hasta que caduquen todos los bloqueos. Planificar bien los periodos de retención y las retenciones legales es clave para evitar costes de almacenamiento innecesarios y entornos desordenados.

¿Se pueden subir archivos de copia de seguridad después de aplicar el bloqueo?

Una vez bloqueado el contenedor, ya no es posible modificar ni eliminar los blobs. Sube siempre primero la copia de seguridad, verifica que se ha completado y aplica después la inmutabilidad. Si el bloqueo se aplica demasiado pronto, las subidas parciales o interrumpidas pueden quedar inaccesibles o no válidas.

¿Necesito GRS o RA-GRS para mi copia de seguridad inmutable?

Los datos inmutables suelen ser información crítica del negocio, por lo que contar con almacenamiento georredundante (GRS) o GRS de solo lectura (RA-GRS) resulta muy conveniente. Ambas opciones ofrecen replicación del almacenamiento de Azure en caso de fallo regional.

Solución de problemas habituales

La política no se aplica

Si las políticas de bloqueo temporal o de retención legal no se aplican como esperabas, comprueba que la inmutabilidad a nivel de versión esté activada en la cuenta de almacenamiento correspondiente.

Falla la subida del blob

La subida de blobs puede fallar por varios motivos: cadenas de conexión incorrectas, tokens SAS no válidos o archivos demasiado grandes. Para solucionarlo, confirma los permisos del usuario y usa el blob de anexos cuando corresponda.

Errores de AzCopy

Si te encuentras con problemas en AzCopy, comprueba que los permisos del contenedor coincidan con el tipo de blob y que el token SAS siga siendo válido. También puedes consultar la guía de Microsoft Feature sobre problemas concretos de AzCopy.

No se puede eliminar el contenedor

Si no puedes eliminar un contenedor, comprueba si hay un bloqueo temporal activo o una retención legal. Los contenedores con una política activa no se pueden eliminar ni modificar.

Servicios de NinjaOne para proteger tu almacenamiento inmutable de copias de seguridad

Los servicios de NinjaOne ayudan a los equipos de TI y a los MSP a automatizar, auditar y validar los flujos de trabajo de almacenamiento inmutable en entornos grandes. Estas son algunas de las formas en las que NinjaOne puede ayudarte:

Protege tus archivos de copia de seguridad con almacenamiento inmutable

El almacenamiento inmutable protege tus archivos de copia de seguridad frente al ransomware, las amenazas internas y la pérdida de datos durante un periodo determinado. El proceso de tres pasos para configurarlo es sencillo y flexible. Con esta guía, los administradores de TI y los MSP pueden elegir las opciones que mejor encajen con su organización.

Temas relacionados:

• ¿Qué es el almacenamiento en el cloud?
• Las 10 mejores soluciones de copia de seguridad en el cloud
• ¿Qué es una copia de seguridad inmutable?
• Casos reales de pérdidas de datos devastadoras (y consejos para recuperarse)
• Métodos de protección de datos para equipos de TI y MSP