Vytvořte účet, který podporuje klíče spravované zákazníkem pro tabulky a fronty

Azure Storage šifruje všechny uložené údaje v klidovém stavu v účtu úložiště. Ve výchozím nastavení Queue storage a Table storage používají klíč, který je přiřazen k službě a spravován Microsoftem. Můžete se také rozhodnout použít klíče spravované zákazníkem k šifrování dat ve frontách nebo tabulkách. Pro použití klíčů spravovaných zákazníkem s frontami a tabulkami musíte nejprve vytvořit úložný účet, který používá šifrovací klíč zaměřený na účet, nikoli na službu. Poté, co vytvoříte účet úložiště, který pro data front a tabulek používá šifrovací klíč účtu, můžete pro tento účet úložiště nakonfigurovat klíče spravované zákazníkem.

Tento článek popisuje, jak vytvořit úložný účet, který závisí na klíči přiřazeném k danému účtu. Když je účet poprvé vytvořen, Microsoft použije klíč účtu k zašifrování dat v účtu a Microsoft spravuje klíč. Následně můžete nastavit klíče spravované zákazníkem pro účet tak, abyste využili těchto výhod, včetně možnosti zadat vlastní klíče, aktualizovat verzi klíče, otáčet klíče a rušit přístupové kontroly.

Vytvořte si účet, který používá šifrovací klíč účtu

Musíte nastavit nový úložný účet tak, aby používal šifrovací klíč účtu pro fronty a tabulky v době, kdy účet skladování vytvoříte. Rozsah šifrovacího klíče nelze po vytvoření účtu změnit.

Úložný účet musí být typu všeobecného účelu v2. Úložný účet můžete vytvořit a nastavit tak, aby spoléhal na šifrovací klíč účtu pomocí portálu Azure, PowerShellu, Azure CLI nebo šablony Azure Resource Manager.

Chcete-li se dozvědět více o vytvoření úložného účtu, viz Vytvořit úložný účet.

Note

Při vytvoření úložného účtu lze volitelně nakonfigurovat pouze úložiště front a tabulek tak, aby šifrovala data pomocí šifrovacího klíče účtu. Blob storage a Azure Files vždy používají šifrovací klíč účtu k šifrování dat.

Pro vytvoření úložného účtu, který závisí na šifrovacím klíči účtu v portálu Azure, postupujte podle těchto kroků:

V vyhledávacím poli nahoře v portálu Azure vyhledejte a vyberte Storage accounts.
Na stránce Účty úložiště vyberte Nový.
Vyplňte pole na záložce Základy .
Na kartě Pokročilé vyhledejte část Tabulky a fronty a vyberte možnost Povolit podporu klíčů spravovaných zákazníkem.

Pro použití PowerShellu k vytvoření úložného účtu, který závisí na šifrovacím klíči účtu, ujistěte se, že máte nainstalovaný modul Azure PowerShell verze 3.4.0 nebo novější. Další informace najdete v tématu Instalace modulu Azure PowerShell.

Dále vytvořte obecný účet úložiště v2 voláním příkazu New-AzStorageAccount s příslušnými parametry:

Zadejte možnost -EncryptionKeyTypeForQueue a nastavte její hodnotu na Account, aby se k šifrování dat v úložišti front použil šifrovací klíč účtu.
Zahrňte možnost -EncryptionKeyTypeForTable a nastavte její hodnotu na Account, aby se k šifrování dat v úložišti Table použil šifrovací klíč účtu.

Následující příklad ukazuje, jak vytvořit účet úložiště StorageV2 pro obecné účely, který je nakonfigurován pro geograficky redundantní úložiště s přístupem pro čtení (RA-GRS) a používá šifrovací klíč účtu k šifrování dat pro úložiště front i tabulek. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Pro použití Azure CLI k vytvoření úložného účtu, který závisí na šifrovacím klíči účtu, ujistěte se, že máte nainstalovaný Azure CLI verze 2.0.80 nebo novější. Další informace najdete v tématu Instalace Azure CLI.

Dále vytvořte obecný účet pro úložiště v2 zavoláním příkazu az storage account create s příslušnými parametry:

Zadejte možnost --encryption-key-type-for-queue a nastavte její hodnotu na Account, aby se k šifrování dat v úložišti front použil šifrovací klíč účtu.
Zahrňte možnost --encryption-key-type-for-table a nastavte její hodnotu na Account, aby se k šifrování dat v úložišti Table použil šifrovací klíč účtu.

Následující příklad ukazuje, jak vytvořit účet úložiště verze 2 pro obecné účely, který je nakonfigurován pro geograficky redundantní úložiště s přístupem pro čtení (RA-GRS) a používá šifrovací klíč účtu k šifrování dat v úložišti front i tabulek. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

Následující příklad JSON vytvoří účet úložiště StorageV2 pro obecné účely, který je nakonfigurovaný pro geograficky redundantní úložiště s přístupem pro čtení (RA-GRS) a používá šifrovací klíč účtu k šifrování dat v úložišti front i tabulek. Nezapomeňte nahradit zástupné hodnoty v úhlových závorkách vlastními hodnotami:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Poté, co si vytvoříte účet, který spoléhá na šifrovací klíč účtu, můžete nakonfigurovat klíče spravované zákazníkem, které jsou uloženy v Azure Key Vault nebo v Key Vault Managed Hardware Security Model (HSM). Chcete-li se dozvědět, jak ukládat klíče spravované zákazníkem v klíčovém trezoru, viz Konfigurovat šifrování s klíči spravovanými zákazníkem uloženými v Azure Key Vault. Chcete-li se dozvědět, jak ukládat klíče spravované zákazníky v spravovaném HSM, viz Konfigurovat šifrování s klíči spravovanými zákazníky uloženými v Azure Key Vault Managed HSM.

Ověřte šifrovací klíč účtu

Po vytvoření účtu můžete ověřit, že úložný účet používá šifrovací klíč, který je omezen na daný účet, pomocí portálu Azure, PowerShellu nebo Azure CLI.

Pro ověření, že služba v úložném účtu používá šifrovací klíč, který je omezen na účet v Azure portálu, postupujte podle těchto kroků:

Na webu Azure Portal přejděte ke svému novému účtu úložiště.
V sekci Bezpečnost + Sítě vyberte Šifrování.
Pokud byl úložný účet vytvořen tak, aby spoléhal na šifrovací klíč účtu, uvidíte na záložce Šifrování, že zákaznické klíče lze povolit pro všechny čtyři služby Azure Storage: bloby, soubory, tabulky a fronty.

Pro ověření, že služba v úložném účtu používá šifrovací klíč účtu pomocí PowerShell, zavolejte příkaz Get-AzStorageAccount . Tento příkaz vrací sadu vlastností úložného účtu a jejich hodnoty. Vyhledejte pole Encryption u každé služby v rámci vlastnosti KeyType a ověřte, že je nastaveno na Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Pro ověření, že služba v úložném účtu používá šifrovací klíč účtu s Azure CLI, zavolejte příkaz az storage account show. Tento příkaz vrací sadu vlastností úložného účtu a jejich hodnoty. Vyhledejte pole keyType pro každou službu ve vlastnosti encryption a ověřte, že je nastaveno na Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

Poté, co ověříte, že úložný účet používá šifrovací klíč, který je omezen na daný účet, můžete povolit zákaznicky spravované klíče pro účet. Všechny čtyři služby Azure Storage – bloby, soubory, tabulky a fronty – pak použijí zákaznicky spravovaný klíč pro šifrování.

Ceny a fakturace

Úložný účet vytvořený pro použití šifrovacího klíče zaměřeného na tento účet je fakturován za kapacitu ukládání tabulek a transakce jinou rychlostí než účet, který používá výchozí klíč zaměřený na službu. Podrobnosti najdete v článku Ceny služby Azure Table Storage.

Další kroky

Váš názor

Byla tato stránka užitečná?

Last updated on 2026-09-02