Onveranderlijke back-upopslag is essentieel om kritieke bedrijfsgegevens te beschermen tegen verwijdering, wijzigingen en cyberaanvallen. Met Azure Blob Storage kunnen IT-beheerders en MSP’s Write Once, Read Many (WORM)-bescherming met time-based locks instellen voor dergelijke gegevens.

Deze gids geeft stapsgewijze instructies voor het configureren van onveranderlijke (WORM-beschermde) back-upopslag in Azure Blob met behulp van time-based retentiebeleid.

Op zoek naar een eenvoudige visuele uitleg? Bekijk “Zo stelt u onveranderlijke back-upopslag in met Azure Blob en time-based locks” voor meer details.

Onveranderlijke back-upopslag instellen via verschillende methoden

Het instellen van onveranderlijke back-upopslag verloopt in drie stappen. De eerste stap is vrij eenvoudig, terwijl stap 2 en 3 kunnen worden uitgevoerd met Azure CLI, PowerShell of de AzCopy-tool.

Vereisten:

Controleer voordat u verdergaat of u aan de volgende voorwaarden voldoet:

• Een actief Azure-abonnement met rechten om storage accounts aan te maken
• De rol Inzender of Storage Blob Data Owner
• De PowerShell Az-module of Azure CLI
• Azure Resource Provider: Microsoft.Storage moet geregistreerd zijn.

Tip: endpoint-tagging, GPO-/registerregistratie en auditvereisten zijn optioneel, maar waardevol. U kunt deze instellen met de beschikbare ondersteunende methoden.

Stap 1: maak een storage account met ondersteuning voor onveranderlijke blobs

Gebruikers moeten eerst een storage account met ondersteuning voor version-level immutability aanmaken voordat ze onveranderlijke containers kunnen hosten en configureren.

Volg deze stappen om het juiste account aan te maken:

1. Open de Azure Portal en ga naar Opslagaccounts > Maken.
2. Configureer de volgende opties:
   • Prestaties: Standaard
   • Redundantie: lokaal redundant of geo-redundant
   • Hiërarchische naamruimte inschakelen: optioneel (voor Azure Data Lake)
3. Pas onder Geavanceerd > Gegevensbescherming het volgende aan:
   • Schakel ondersteuning voor version-level immutability in.
   • Schakel voorlopig verwijderen van blobs in (optioneel, voor extra bescherming).

Belangrijk: als u beide instellingen niet inschakelt kan dit problemen opleveren bij de handhaving. Lees hier meer over in het onderdeel Waar u op moet letten.

4. Rond de configuratie af en richt het storage account in.

Stap 2: maak een onveranderlijke container met een time-based lock

Om een onveranderlijke container aan te maken, kunt u Azure CLI of PowerShell gebruiken.

Methode A: Azure CLI

Azure CLI is een platformonafhankelijke opdrachtregeltool waarmee gebruikers verbinding maken met Azure en opdrachten uitvoeren op Azure-resources.

📌 Toepassingen: Azure CLI is ideaal voor:

• Platformonafhankelijke omgevingen
• DevOps-pipelines
• Taakautomatisering via shellscripts
• IT-beheerders die Azure-resources op afstand of via SSH-terminals beheren

Voer deze opdracht uit:

az storage container create \
--name secure-backups \
--account-name mystorageaccount \
--auth-mode loginaz storage container immutability-policy set \
--account-name mystorageaccount \
--container-name secure-backups \
--period 30 \
--allow-protected-append-write true
Time-based lock inschakelen:
az storage container legal-hold set \
--account-name mystorageaccount \
--container-name secure-backups \
--tags "WORM-Protection"

Het beleid voorkomt verwijdering of overschrijving gedurende het opgegeven aantal dagen.

Methode B: PowerShell

📌 Toepassingen: PowerShell is ideaal voor IT-beheerders en MSP’s die Windows-endpoints beheren.

Open PowerShell als administrator en voer deze opdracht uit:

Stap 3: upload de back-upgegevens naar de vergrendelde container

Zodra een gebruiker een onveranderlijke container heeft geconfigureerd, kan hij zijn gegevens naar de beveiligde container uploaden. Dat is nodig om het back-upproces te voltooien. Voor het uploaden van gegevens kan hij Azure CLI of AzCopy gebruiken.

Optie A: Azure CLI

📌 Toepassingen: gebruik Azure CLI voor kleinschalige uploads en platformonafhankelijke omgevingen.

az storage blob upload \
--account-name mystorageaccount \
--container-name secure-backups \
--name daily-backup-2025-07-01.bak \
--file "C:\Backups\2025-07-01.bak" \
--auth-mode login

Optie B: AzCopy-tool

AzCopy is een opdrachtregelprogramma waarmee u blobs of bestanden naar en van een storage account kopieert.

📌 Toepassingen: de AzCopy-tool is het meest geschikt voor:

• Grootschalige of snelle gegevensoverdracht naar Azure Blob Storage
• Geautomatiseerde back-uptaken, disaster recovery-configuraties of eerste bulkuploads
• Uploaden via een SAS-token in plaats van een volledige Azure-aanmelding

Voer deze opdracht uit in AzCopy:

AzCopy.exe copy "C:\Backups" "https://mystorageaccount.blob.core.windows.net/secure-backups?<SAS>" --recursive

Waar u op moet letten

Aanvullende methoden om uw back-upstrategie te versterken

Zodra u onveranderlijke back-upopslag hebt ingesteld, kunt u uw back-upstrategie en -beveiliging verder versterken met de onderstaande methoden:

Onveranderlijkheidsinstellingen controleren en auditen

Het controleren en auditen van onveranderlijkheidsinstellingen is waardevol voor IT-teams die documentatie nodig hebben om aan te tonen dat back-upgegevens onveranderlijk zijn en correct worden bewaard. De onderstaande methoden zijn ook handig om verkeerde configuraties op te sporen voordat ze gevolgen hebben voor de compliance.

Om onveranderlijkheidsinstellingen te controleren en te auditen, kunnen gebruikers kiezen tussen Azure CLI, PowerShell of de Azure Portal. Voer de juiste opdrachten uit op basis van de tool die u kiest:

Azure CLI

az storage container show \
--name secure-backups \
--account-name mystorageaccount \
--query properties.immutabilityPolicy

PowerShell

Get-AzStorageContainerImmutabilityPolicy -Context
$ctx -ContainerName "secure-backups"

Azure Portal

1. Ga naar Container > Toegangsbeheer (IAM)
2. Controleer het onveranderlijkheidsbeleid, de bewaardatum en de append-status.

Lokale back-ups valideren met de Register-editor

Gebruikers kunnen via registerwijzigingen bijhouden welke endpoints back-ups bevatten. Open daarvoor de Register-editor en volg deze stappen:

1. Ga naar HKEY_LOCAL_MACHINE\SOFTWARE\Org\ImmutableBackup
2. Pas de volgende sleutels aan:
   • LastBackupDate (String) = "2025-07-01T22:00:00Z"
   • ContainerURI (String) = "https://mystorageaccount.blob.core.windows.net/secure-backups"

In aangepaste scripts of rapportagetools valideren deze sleutels de naleving van het beleid per device.

Bescherming van de back-upbron afdwingen met een group policy

Als uw back-ups op endpoints worden gemaakt voordat ze naar Azure worden verstuurd, is het cruciaal om lokale manipulatie te voorkomen. Group policies verhinderen dat gebruikers back-upbestanden verwijderen, wijzigen of manipuleren voordat de onveranderlijkheid van kracht wordt.

Zo schakelt u bescherming van de back-upbron in:

1. Open de Editor voor lokaal groepsbeleid.
2. Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Windows Back-up
3. Schakel De mogelijkheid om back-upbestanden te verwijderen uitschakelen in.
4. Stel de Volumeschaduwkopieservice verplicht voor back-ups.
5. Pas dit toe op alle relevante endpoints om te voorkomen dat gegevens per ongeluk worden verwijderd voordat ze naar de onveranderlijke container worden gestuurd.

CMD en CLI gebruiken voor operationele validatie

Valideer de toegang tot de container en de integriteit van de bestanden:

dir \\mystorageaccount.file.core.windows.net\secure-backups

Controleer de AzCopy-toegang:

AzCopy.exe login
AzCopy.exe jobs list

Controleer het onveranderlijkheidsbeleid van de blob (via REST):

curl -X GET https://<account>.blob.core.windows.net/<container>?restype=container&comp=immutabilitypolicy

Extra aandachtspunten bij onveranderlijke back-upopslag

Gegevens in onveranderlijke opslag zijn kritiek en moeten zorgvuldig worden behandeld om gegevensverlies te voorkomen. Houd rekening met de volgende aandachtspunten:

Kiest u voor een legal hold of een time-based lock?

Een legal hold voorkomt het verwijderen of wijzigen van back-upgegevens voor onbepaalde tijd, terwijl een time-based lock dat gedurende een vastgestelde periode doet. Met de juiste vergrendeling voorkomt u voortijdige verwijdering van gegevens, een overvolle opslag en schendingen van de compliance.

Kunt u onveranderlijke back-upopslag wijzigen?

Onveranderlijke containers kunnen niet worden hernoemd of verwijderd zolang de vergrendelingen niet zijn verlopen. Plan uw bewaartermijnen en legal holds zorgvuldig om onnodige opslagkosten en rommelige omgevingen te voorkomen.

Kunt u back-upbestanden uploaden nadat de vergrendeling is afgedwongen?

Zodra een container vergrendeld is, kunnen gebruikers blobs niet meer wijzigen of verwijderen. Upload daarom altijd eerst uw back-up, controleer of deze volledig is en activeer pas daarna de onveranderlijkheid. Gedeeltelijke of onderbroken uploads kunnen ontoegankelijk of ongeldig worden als de vergrendeling te vroeg wordt afgedwongen.

Heb ik GRS of RA-GRS nodig voor mijn onveranderlijke back-up?

Onveranderlijke gegevens zijn vaak cruciale bedrijfsinformatie en daarom is geo-redundante opslag (GRS) of alleen-lezen GRS (RA-GRS) zeer nuttig. Beide bieden replicatieopties voor Azure-opslag voor het geval zich een regionale storing voordoet.

Veelvoorkomende problemen oplossen

Beleid wordt niet toegepast

Als time-based of legal hold-beleid niet wordt toegepast zoals verwacht, controleer dan of version-level immutability is ingeschakeld voor het betreffende storage account.

Blob-upload mislukt

Blob-uploads kunnen om verschillende redenen mislukken, zoals onjuiste connection strings, ongeldige SAS-tokens en grote bestanden. Controleer in dat geval de gebruikersrechten en gebruik waar nodig de append blob.

AzCopy-fouten

Als u problemen met AzCopy ondervindt, controleer dan of de containerrechten overeenkomen met het blobtype en of het SAS-token nog geldig is. U kunt ook de handleiding van Microsoft Feature voor specifieke AzCopy-problemen raadplegen.

Container kan niet worden verwijderd

Als u een container niet kunt verwijderen, controleer dan of er een actieve time-based lock of legal hold van kracht is. Gebruikers kunnen containers met een actief beleid niet verwijderen of wijzigen.

NinjaOne-diensten om uw onveranderlijke back-upopslag te beschermen

NinjaOne-diensten ondersteunen IT-teams en MSP’s bij het automatiseren, auditen en valideren van workflows voor onveranderlijke opslag in grote omgevingen. Dit zijn enkele manieren waarop NinjaOne kan helpen:

Beveilig uw back-upbestanden met onveranderlijke back-upopslag

Onveranderlijke opslag beschermt uw back-upbestanden gedurende een bepaalde periode tegen ransomware, interne dreigingen en gegevensverlies. Het instellen van onveranderlijke back-upopslag gebeurt in drie eenvoudige en flexibele stappen. Met deze gids kunnen IT-beheerders en MSP’s de beste opties voor hun organisatie kiezen.

Gerelateerde onderwerpen:

• Wat is cloudopslag?
• De 10 beste cloudback-upoplossingen
• Wat is een onveranderlijke back-up?
• Waargebeurde verhalen over verwoestend gegevensverlies (en tips voor herstel)
• Methoden voor gegevensbescherming voor IT- & MSP-teams