Azure Blob 保护是什么
Azure 对象存储的数据保护是一组可以叠加的能力：Blob 与容器的软删除让删除后的数据在保留期内可恢复，版本控制让每次覆盖留痕，不可变策略（时间锁与法定保留）在期限内禁止修改和删除。三层分别对应误删、误覆盖与篡改勒索，按业务要求组合使用才完整。
基本信息
| 适用平台 | Azure Storage（Blob） |
|---|---|
| 软删除范围 | Blob 软删除与容器软删除是两个独立开关，需要分别开启 |
| 版本控制 | 开启后覆盖对象会保留历史版本 |
| 不可变策略 | 时间锁：期限内禁止修改删除且不可缩短；法定保留：按事件解除 |
| 前提条件 | 容器级不可变策略依赖版本控制已开启 |
| 配置方式 | Portal、az CLI、ARM/Bicep 模板 |
| 计费 | 软删除数据与历史版本占用照常计费 |
典型使用场景
- 防误删：容器或对象被删后在保留期内恢复
- 防误覆盖：开启版本控制后回退到写入前的内容
- 合规留存：用不可变策略满足审计要求的保留期限
- 勒索防护：让关键前缀在期限内无法被删除或被加密覆盖
- 对账与排查：通过历史版本比对定位内容被谁在何时改过
az CLI 开启保护
az CLI 开启保护
# 开启 Blob 软删除，保留 14 天
az storage account blob-service-properties update --account-name mystore --enable-delete-retention true --delete-retention-days 14
# 开启容器软删除（独立开关，容易被漏掉）
az storage account blob-service-properties update --account-name mystore --enable-container-delete-retention true --container-delete-retention-days 14
# 开启版本控制
az storage account blob-service-properties update --account-name mystore --enable-versioning true
# 回看当前配置，确认三项都真正生效
az storage account blob-service-properties show --account-name mystore保护能力对照
| 能力 | 作用 | 注意 |
|---|---|---|
| Blob 软删除 | 对象删除或覆盖后在保留期内可恢复 | 与容器软删除是两个独立开关 |
| 容器软删除 | 整个容器被删后可恢复 | 只开 Blob 软删除不覆盖容器级删除 |
| 版本控制 | 每次覆盖保留历史版本 | 占用空间持续计费，需要生命周期配合 |
| 时间锁 | 保留期内禁止修改与删除 | 一旦锁定，保留期不可缩短 |
| 法定保留 | 按事件解除保留 | 与合规流程挂钩，解除要留记录 |
软删除的保留期一到数据就彻底消失：勒索场景只靠软删除不够，必须用不可变策略在期限内锁定数据。
启用不可变策略前先与合规和发布流程对齐：时间锁的保留期不可缩短，设错会长时间阻塞正常的发布与清理动作。
CLI 参数名随 Azure CLI 版本变化，执行前用 az storage account blob-service-properties update --help 核对本机版本的参数。