Konfigurujte šifrování v klidu pomocí klientem spravovaných klíčů pro Azure Files

✔️ Platí pro: Klasické sdílené složky SMB a NFS vytvořené s poskytovatelem prostředků Microsoft.Storage

✖️ Nevztahuje se na: Sdílené složky vytvořené pomocí poskytovatele prostředků Microsoft.FileShares

Azure šifruje všechna data v úložném účtu v nečinném stavu, včetně dat z Azure Files, pomocí šifrování AES-256. Ve výchozím nastavení Microsoft spravuje šifrovací klíče pro účet úložiště. Pro větší kontrolu nad šifrovacími klíči používejte klíče spravované zákazníkem (CMK) místo klíčů spravovaných Microsoftem, abyste chránili a kontrolovali přístup k šifrovacímu klíči, který šifruje vaše data. Tento článek vysvětluje, jak nakonfigurovat klíče spravované zákazníkem pro Azure Files úlohy. Přehled šifrování v klidu a možnosti klíče najdete v článku Šifrování v klidu pro Azure Files.

Když nastavujete klíče spravované zákazníkem pro úložný účet, data Azure Files v tomto účtu jsou automaticky šifrována pomocí zákaznického klíče. Nevyžaduje se souhlas akcionáře zvlášť pro každou akcii.

Pro použití klíče v Azure Key Vault ve stejném Microsoft Entra tenantu jako storage account vyplňte tyto sekce v pořadí:

1. Vytvořte nebo nakonfigurujte klíčový trezor
2. Vytvořte nebo importujte šifrovací klíč
3. Vytvořte spravovanou identitu a přidělte oprávnění
4. Nastavte klíče spravované zákazníkem na úložném účtu
5. Ověřte konfiguraci

Pro další klíčová místa viz tyto sekce:

• Pro použití klíče v Azure Key Vault Managed HSM (Hardware Security Module) viz Použití klíče v Azure Key Vault Managed HSM.
• K použití klíče v trezoru klíčů v jiném tenantovi viz O klíčích spravovaných zákazníky mezi tenanty.

Vytvořte nebo nakonfigurujte klíčový trezor

Pro povolení klíčů spravovaných zákazníkem potřebujete Azure storage účet spolu s Azure Key Vault s zapnutou ochranou proti vymazání. Můžete použít existující trezor klíčů nebo vytvořit nový. Účet úložiště a trezor klíčů můžou být v různých oblastech nebo předplatných ve stejném tenantovi Microsoft Entra. Pro scénáře mezi tenanty viz Informace o klíčích spravovaných zákazníky mezi tenanty.

Portal

Pokud chcete vytvořit nový trezor klíčů pomocí portálu Azure, postupujte takto:

1. Na portálu Azure vyhledejte trezory klíčů a vyberte Create.
2. Vyplňte požadovaná pole (předplatné, skupina prostředků, název, oblast).
3. V části Možnosti obnovení vyberte Povolit ochranu před vymazáním.
4. Vyberte možnost Zkontrolovat a vytvořita poté vyberte možnost Vytvořit.

Pokud chcete použít existující trezor klíčů, postupujte takto:

1. Přejděte do trezoru klíčů na webu Azure Portal.
2. V nabídce služby v části Nastavení vyberte Vlastnosti.
3. V části Ochrana proti vyprázdnění vyberte Povolit ochranu před vyprázdněním a pak vyberte Uložit.
4. Ujistěte se, že je ve vašem trezoru klíčů aktivováno měkké odstranění. Ve výchozím nastavení je povolená pro nové trezory klíčů.

PowerShell

Pokud chcete vytvořit nový trezor klíčů s povolenou ochranou před vymazáním, spusťte následující cmdlet. Nahraďte <key-vault-name>, <resource-group> a <region> svými vlastními hodnotami.

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

Pokud chcete pro existující trezor klíčů povolit ochranu před vymazáním, spusťte následující cmdlet. Nahraďte <key-vault-name> a <resource-group> nahraďte vlastními hodnotami.

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

Azure CLI

Pokud chcete vytvořit nový trezor klíčů s povolenou ochranou před vymazáním, spusťte následující příkaz. Nahraďte <key-vault-name>, <resource-group> a <region> svými vlastními hodnotami.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Pokud chcete u existujícího trezoru klíčů povolit ochranu před vymazáním, spusťte následující příkaz. Nahraďte <key-vault-name> a <resource-group> nahraďte vlastními hodnotami.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Přiřazení role Key Vault kryptografického důstojníka

K vytváření a správě klíčů v Key Vault potřebujete roli Key Vault Crypto Officer na Key Vault. Tuto roli si přidělte sami pomocí portálu Azure, PowerShellu nebo Azure CLI. Pokud už tuto roli máte v klíčovém trezoru, přeskočte tuto sekci a přejděte na Vytvořit nebo importovat šifrovací klíč.

Potřebujete mít na úrovni trezoru klíčů (key vault) roli Vlastník nebo Správce přístupu uživatelů role RBAC, abyste mohli přiřadit roli Key Vault Crypto Officer. V případě potřeby se obraťte na správce.

Portal

Pokud chcete přiřadit roli Key Vault Crypto Officer sami sobě pomocí portálu Azure, postupujte takto:

1. Přejděte do trezoru klíčů.
2. V nabídce služby vyberte Řízení přístupu (IAM).
3. V části Udělte přístup k tomuto prostředku vyberte Přiřadit roli.
4. Vyhledejte a vyberte Key Vault Crypto Officer a pak vyberte Dalšim.
5. V části Přiřadit přístup vyberte Uživatele, skupinu nebo aplikační objekt.
6. V části Členové zvolte +Vybrat členy.
7. Vyhledejte a vyberte vlastní účet a pak zvolte Vybrat.
8. Vyberte Zkontrolovat a přiřadit a pak znovu zkontrolovat a přiřadit .

PowerShell

Pokud chcete přiřadit roli Key Vault Crypto Officer sami sobě pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <key-vault-name> vlastní hodnotou.

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Azure CLI

Pokud chcete přiřadit roli Key Vault Crypto Officer sami sobě pomocí Azure CLI, spusťte následující příkazy. Nahraďte <key-vault-name> vlastní hodnotou.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Vytvořte nebo importujte šifrovací klíč

Potřebujete KLÍČ RSA nebo RSA-HSM velikosti 2048, 3072 nebo 4096. Vygenerujte nebo importujte klíč RSA v trezoru klíčů. Než vygenerujete klíč, ujistěte se, že máte v Key Vaultu roli Key Vault Crypto Officer.

Portal

Pro vytvoření nového šifrovacího klíče RSA pomocí portálu Azure postupujte podle těchto kroků:

1. Přejděte do trezoru klíčů na webu Azure Portal.
2. V nabídce služby v části Objekty vyberte Klíče.
3. Vyberte Generovat/import. V části Možnosti vyberte Generovat.
4. Zadejte název klíče. Názvy klíčů můžou obsahovat pouze alfanumerické znaky a pomlčky.
5. Nastavte typ klíče na RSA a velikost klíče RSA na 2048, 3072 nebo 4096.
6. Vyberte Vytvořit.

Pro import existujícího šifrovacího klíče RSA pomocí portálu Azure postupujte podle těchto kroků:

1. Přejděte do trezoru klíčů na webu Azure Portal.
2. V nabídce služby v části Objekty vyberte Klíče.
3. Vyberte Generovat/import. V části Možnosti vyberte Importovat.
4. Vyberte svůj klíč, který chcete nahrát.
5. Zadejte název klíče. Názvy klíčů můžou obsahovat pouze alfanumerické znaky a pomlčky.
6. Nastavte typ klíče na RSA.
7. Vyberte Vytvořit.

PowerShell

Pokud chcete vytvořit klíč RSA pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <key-vault-name> a <key-name> nahraďte vlastními hodnotami. Pro Size, uveďte 2048, 3072 nebo 4096.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Pokud chcete importovat existující šifrovací klíč RSA pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <key-vault-name>, <key-name> a <key-path> svými vlastními hodnotami. První řádek vyzývá k zadání hesla ke souboru klíčů. Pokud klíčový soubor nemá heslo, vynechte Read-Host řádek a řádek KeyFilePassword.

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Azure CLI

Pokud chcete vytvořit klíč RSA pomocí Azure CLI, spusťte následující příkaz. Nahraďte <key-vault-name> a <key-name> nahraďte vlastními hodnotami. Pro --size, uveďte 2048, 3072 nebo 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Pokud chcete importovat existující šifrovací klíč RSA pomocí Azure CLI, spusťte následující příkaz. Nahraďte <key-vault-name>, <key-name>a <key-path><key-password> vlastními hodnotami. Pokud soubor klíče nemá heslo, parametr vynecháte --pem-password .

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

Vytvoření spravované identity a přiřazení oprávnění

Účet úložiště potřebuje spravovanou identitu k ověření v trezoru klíčů. Pomocí spravované identity může účet úložiště bezpečně přistupovat k šifrovacímu klíči ve vašem trezoru klíčů bez uložení přihlašovacích údajů.

Vytvořte spravovanou identitu přiřazenou uživatelem a udělte této identitě roli uživatele šifrovacích služeb Key Vault Crypto Service Encryption v Key Vault.

Vytvořit uživatelsky přiřazenou spravovanou identitu

Spravovanou identitu přiřazenou uživatelem můžete vytvořit pomocí portálu Azure, Azure PowerShell nebo Azure CLI.

Portal

Pro vytvoření uživatelem přiřazené spravované identity pomocí portálu Azure postupujte podle těchto kroků:

1. Vyhledejte spravované identity a vyberte Vytvořit.
2. Zvolte předplatné, skupinu prostředků, oblast a název.
3. Vyberte možnost Zkontrolovat a vytvořita poté vyberte možnost Vytvořit.

PowerShell

Pokud chcete vytvořit spravovanou identitu přiřazenou uživatelem pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <resource-group>, <identity-name> a <region> svými vlastními hodnotami.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Azure CLI

Pokud chcete vytvořit spravovanou identitu přiřazenou uživatelem pomocí Azure CLI, spusťte následující příkaz. Nahraďte <resource-group>, <identity-name> a <region> svými vlastními hodnotami.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Přiřazení role uživatele šifrování šifrovací služby Key Vault spravované identitě

Přiřaďte roli uživatel šifrovací služby Key Vault spravované identitě, kterou jste vytvořili pomocí Azure portal, PowerShellu nebo Azure CLI.

Portal

Pokud chcete přiřadit roli Key Vault šifrovacího uživatele kryptografických služeb spravované identitě pomocí portálu Azure, postupujte takto:

1. Přejděte do trezoru klíčů na webu Azure Portal.
2. V nabídce služby vyberte Řízení přístupu (IAM).
3. V části Udělte přístup k tomuto prostředku vyberte Přiřadit roli.
4. Vyhledejte a vyberte Šifrovací uživatel služby Key Vault a pak vyberte Další.
5. V části Přiřadit přístup kvyberte spravovanou identitu.
6. V části Členové zvolte +Vybrat členy.
7. Otevře se okno Vybrat spravované identity . V části Spravovaná identita vyberte Spravovaná identita přiřazená uživateli.
8. Vyberte spravovanou identitu, kterou jste vytvořili, a pak zvolte Vybrat.
9. Vyberte Zkontrolovat a přiřadit a pak znovu zkontrolovat a přiřadit .

PowerShell

Pokud chcete přiřadit roli Key Vault Uživatele šifrování kryptografických služeb spravované identitě přiřazené uživatelem pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <resource-group>, <identity-name> a <key-vault-name> svými vlastními hodnotami.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Azure CLI

Pokud chcete přiřadit roli Key Vault Uživatele šifrování kryptografických služeb spravované identitě přiřazené uživatelem pomocí Azure CLI, spusťte následující příkazy. Nahraďte <resource-group>, <identity-name> a <key-vault-name> svými vlastními hodnotami.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Nakonfigurujte klíče spravované zákazníkem v účtu úložiště

S využitím trezoru klíčů, klíče a spravované identity můžete pro účet úložiště povolit klíče spravované zákazníkem.

Pokud nespecifikujete verzi klíče, účet úložiště používá automatickou aktualizaci verze klíče (doporučeno). Pro ruční aktualizaci verze klíče zadejte verzi klíče.

Important

Pro účty úložiště, které jsou přidružené k perimetru zabezpečení sítě, by měl být klíčový trezor ideálně ve stejném perimetru zabezpečení sítě. Pokud tomu tak není, musíte nakonfigurovat profil hraniční sítě trezoru klíčů, aby s ním mohl účet úložiště komunikovat.

Konfigurace klíčů spravovaných zákazníkem pro existující účet úložiště

Klíče spravované zákazníkem můžete nakonfigurovat u existujícího účtu úložiště pomocí portálu Azure, Azure PowerShell nebo Azure CLI.

Portal

Pokud chcete nakonfigurovat klíče spravované zákazníkem na existujícím účtu úložiště pomocí portálu Azure, postupujte takto. Tyto kroky používají automatickou aktualizaci verze klíče. Pro ruční aktualizaci verze klíče vyberte v kroku 4 možnost Zadat identifikátor URI klíče a zadejte identifikátor URI klíče, který obsahuje verzi klíče.

1. Přejděte do svého účtu úložiště.
2. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
3. Pro typ šifrování vyberte Klíče spravované zákazníkem. Pokud už je účet úložiště nakonfigurovaný pro CMK, vyberte Změnit klíč.
4. V případě šifrovacího klíče vyberte možnost Vybrat z trezoru klíčů.
5. Vyberte vyberte úložiště klíčů a klíč. Pro typ úložiště klíčů vyberte Key vault. Vyberte si trezor klíčů a klíč a pak zvolte Vybrat.
6. Jako typ identity zvolte Uživatelem přiřazené , aby se použila dříve vytvořená spravovaná identita přiřazená uživatelem.
7. Vyberte identitu. Vyhledejte a vyberte uživatelem přiřazenou spravovanou identitu a poté vyberte Přidat.
8. Vyberte Uložit.

PowerShell

Pokud chcete nakonfigurovat klíče spravované zákazníkem pro existující účet úložiště pomocí Azure PowerShell s automatickou aktualizací verze klíče (doporučeno), spusťte následující rutinu. Nahraďte <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name> a <key-name> vlastními hodnotami.

Následující cmdlet používá dříve vytvořenou uživatelem přiřazenou spravovanou identitu. Pokud chcete místo toho použít systémovou identitu úložného účtu, nastavte IdentityType na SystemAssigned a odstraňte řádky Get-AzUserAssignedIdentity, UserAssignedIdentityId a KeyVaultUserAssignedIdentityId.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Pro použití ruční aktualizace verzí klíče místo automatické aktualizace přidejte KeyVersion = $key.Version do $accountParams.

Azure CLI

Pokud chcete nakonfigurovat klíče spravované zákazníkem u existujícího účtu úložiště pomocí Azure CLI s automatickou aktualizací verze klíče (doporučeno), spusťte následující příkazy. Nahraďte <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name> a <key-name> vlastními hodnotami.

Následující příkaz používá dříve vytvořenou spravovanou identitu přiřazenou uživatelem. Pokud chcete místo toho použít systémovou identitu účtu úložiště, nastavte --identity-type na SystemAssigned a vynechte proměnnou IDENTITY_RESOURCE_ID, --user-identity-id a --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Pokud chcete místo automatické aktualizace použít ruční aktualizaci klíčové verze, přidejte --encryption-key-version <key-version> do příkazu az storage account update.

Konfigurace klíčů spravovaných zákazníkem pro nový účet úložiště

Klíče spravované zákazníkem můžete nakonfigurovat při vytváření nového účtu úložiště pomocí portálu Azure, Azure PowerShell nebo Azure CLI.

Během vytváření účtu úložiště nemůžete použít identitu přiřazenou systémem, protože tato identita neexistuje, dokud se účet úložiště nevytvořil. Musíte použít spravovanou identitu přiřazenou uživatelem.

Portal

Pokud chcete nakonfigurovat klíče spravované zákazníkem pro nový účet úložiště pomocí portálu Azure, postupujte takto. Tyto kroky používají automatickou aktualizaci verze klíče. Pro ruční aktualizaci verze klíče vyberte v kroku 2 možnost Zadat klíč z URI a zadejte identifikátor URI klíče, který obsahuje verzi klíče.

1. Na kartě Šifrování během vytváření účtu úložiště vyberte klíče spravované zákazníkem (CMK) pro typ šifrování.

2. Pro šifrující klíč vyberte Vybrat trezor klíčů a klíč.

3. Pro Předplatné vyberte předplatné, které obsahuje váš trezor klíčů. Portál může automaticky zvolit jiné předplatné.

4. Pro Typ úložiště klíčů vyberte Key vault.

5. Vyberte si trezor klíčů a klíč.

6. V části Identita přiřazená uživatelem zvolte Vybrat identitu. Otevře se okno Vybrat uživatelem přiřazenou spravovanou identitu .

7. Vyhledejte a vyberte uživatelem přiřazenou spravovanou identitu, kterou jste vytvořili. Nové účty úložiště nemůžou používat spravovanou identitu přiřazenou systémem.

8. Vyberte Přidat.

   

9. Dokončete zbývající karty, vyberte Zkontrolovat a vytvořit a poté zvolte Vytvořit.

PowerShell

Pokud chcete vytvořit nový účet úložiště s klíči spravovanými zákazníkem pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> a <region> vlastními hodnotami. Můžete zadat různé hodnoty pro Kind a SkuName.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

Pro použití manuální aktualizace verzí klíče místo automatické přidejte KeyVersion = $key.Version do $accountParams.

Azure CLI

Pokud chcete vytvořit nový účet úložiště s klíči spravovanými zákazníkem pomocí Azure CLI, spusťte následující příkazy. Nahraďte <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> a <region> vlastními hodnotami. Můžete zadat různé hodnoty pro --kind a --sku.

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Pokud chcete místo automatické aktualizace použít ruční aktualizaci verze klíče, přidejte --encryption-key-version <key-version> do příkazu az storage account create.

Ověření konfigurace

Po povolení klíčů spravovaných zákazníkem ověřte, že je v účtu úložiště správně nakonfigurované šifrování. Můžete to udělat pomocí portálu Azure, Azure PowerShell nebo Azure CLI.

Portal

Pokud chcete ověřit konfiguraci účtu úložiště pomocí portálu Azure, postupujte takto:

1. Přejděte ke svému účtu úložiště na webu Azure Portal.
2. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
3. Potvrďte, že typ šifrování ukazuje klíče spravované zákazníkem.
4. Ověřte správnost informací v části Výběr klíče .

PowerShell

Pokud chcete ověřit konfiguraci účtu úložiště pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <resource-group> a <storage-account-name> nahraďte vlastními hodnotami.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Ověřte, že KeySource je Microsoft.Keyvault a že KeyVaultProperties zobrazuje URI trezoru klíčů a název klíče.

Azure CLI

Pokud chcete ověřit konfiguraci pomocí Azure CLI, spusťte následující příkaz. Nahraďte <resource-group> a <storage-account-name> nahraďte vlastními hodnotami.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Ověřte, že keySource je Microsoft.Keyvault a v části keyVaultProperties se zobrazuje URI trezoru klíčů a název klíče.

Použití klíče ve službě Azure Key Vault Managed HSM

Zákaznicky spravovaný klíč můžete uložit v Azure Key Vault Managed HSM místo Azure Key Vault. Kroky se liší od sekcí Key Vault v těchto ohledech:

• Spravované HSM používá vlastní lokální řízení přístupu založené na rolích (RBAC). Role přiřazujete na spravovaném HSM, ne v Azure RBAC na klíčovém trezoru. Omezte rozsah přiřazení role pro účet úložiště na tento klíč, aby spravovaná identita mohla používat pouze tento klíč.
• Klíče ve spravovaném HSM jsou RSA-HSM klíče. Použijte klíč o velikosti 2048, 3072 nebo 4096.
• Úložný účet používá URI spravovaného HSM místo URI trezoru klíčů.

Než začnete, ujistěte se, že máte tyto položky:

• Spravovaný HSM, který je zřízený a aktivovaný. Pro kroky viz Quickstart: Nastavení a aktivace spravovaného HSM pomocí Azure CLI.
• Ochrana proti trvalému odstranění je povolena na spravovaném HSM. Pokud není zapnutá ochrana proti vymazání, konfigurace úložného účtu selže s chybou Keyvault policy recoverable is not set. Ochranu před vyprázdněním nelze vypnout poté, co ji zapnete. Za smazaný spravovaný modul HSM se nadále účtují poplatky až do konce doby uchovávání. Další informace naleznete v článku Měkké odstranění a ochrana proti vymazání u spravovaného HSM.
• Lokální RBAC role na spravovaném HSM, která umožňuje vytvářet klíče, například Managed HSM Crypto User.
• Spravovaná identita přiřazená uživatelem. Pro kroky viz Vytvořit uživatelem přiřazenou spravovanou identitu.

Vytvořte klíč ve spravovaném HSM, přiřaďte roli Managed HSM Crypto Service Encryption User ke spravované identitě a nastavte úložný účet tak, aby používal tento klíč. Přiřazení rolí může trvat několik minut, než se projeví. Pokud konfigurace úložného účtu selže s chybou autorizace, počkejte pár minut a zkuste to znovu.

Portal

Pro vytvoření klíče a přiřazení role použijte kroky PowerShell nebo Azure CLI. Pak nakonfigurujte úložný účet v portálu Azure:

1. Přejděte do svého účtu úložiště.
2. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
3. Pro typ šifrování vyberte Klíče spravované zákazníkem. Pokud je úložný účet již nastaven pro klíče spravované zákazníkem, vyberte Změnit klíč.
4. Pro šifrovací klíč vyberte Vybrat z trezoru klíčů a poté Výběr trezoru klíčů a klíče.
5. Pro typ úložiště klíčů vyberte Managed HSM.
6. Vyberte spravované HSM a klíč a poté zvolte Vybrat.
7. Pro Typ identity vyberte Uživatelem přiřazené a poté vyberte spravovanou identitu přiřazenou uživatelem.
8. Vyberte Uložit.

PowerShell

Spusťte následující příkazy. Nahraďte <hsm-name>, <key-name>, <resource-group>, <identity-name> a <storage-account-name> vlastními hodnotami.

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Ve spravovaném HSM Add-AzKeyVaultKey s typem klíče RSA vytvoří klíč RSA-HSM.

Azure CLI

Spusťte následující příkazy. Nahraďte <hsm-name>, <key-name>, <identity-name>, <resource-group> a <storage-account-name> vlastními hodnotami.

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Pro vytvoření nového úložného účtu, který používá klíč ve spravovaném HSM, postupujte podle kroků v části Konfigurovat zákaznicky spravované klíče pro nový úložný účet. Použijte URI spravovaného HSM jako URI trezoru klíčů.

Informace o klíčích spravovaných zákazníkem napříč tenanty

Mnoho poskytovatelů služeb vytvářejících nabídky Software jako služba (SaaS) v Azure chce svým zákazníkům nabídnout možnost správy vlastních šifrovacích klíčů. Klíče spravované zákazníkem umožňují poskytovateli služby šifrovat data zákazníka pomocí šifrovacího klíče, který spravuje zákazník poskytovatele služby a který není přístupný poskytovateli služby. V Azure může zákazník poskytovatele služeb použít Azure Key Vault ke správě svých šifrovacích klíčů ve svém vlastním tenantu a předplatném Microsoft Entra.

Služby a prostředky platformy Azure, které vlastní poskytovatel služeb a které se nacházejí v tenantovi poskytovatele služeb, vyžadují přístup k klíči z tenanta zákazníka k provádění operací šifrování a dešifrování.

Následující obrázek znázorňuje šifrování uložených dat s federovanou identitou v pracovním postupu pro klíč spravovaný zákazníkem mezi tenanty, který zahrnuje poskytovatele služby a jeho zákazníka.

V předchozím příkladu existují dva tenanti Microsoft Entra: tenanta nezávislého poskytovatele služeb (Tenant 1) a tenanta zákazníka (Tenant 2). Tenant 1 hostí služby platformy Azure a Tenant 2 hostí klíčový trezor zákazníka.

Registraci víceklientské aplikace vytvoří poskytovatel služeb v Tenant 1. Federované identitní pověření je vytvořeno v této aplikaci s použitím spravované identity přiřazené uživatelem. Poté je zákazníkovi sdělen název a identifikátor aplikace.

Uživatel s příslušným oprávněním nainstaluje aplikaci poskytovatele služeb v zákaznickém tenantovi, Tenant 2. Uživatel pak udělí zástupci služby přidružené k nainstalované aplikaci přístup ke klíčovému trezoru zákazníka. Zákazník také uloží šifrovací klíč nebo klíč spravovaný zákazníkem do trezoru klíčů. Zákazník sdílí umístění klíče (URL adresu klíče) s poskytovatelem služby.

Poskytovatel služeb teď má:

• ID aplikace pro víceklientskou aplikaci nainstalovanou v tenantovi zákazníka, kterému byl udělen přístup ke klíči spravovanému zákazníkem.
• Řízená identita nakonfigurovaná jako přihlašovací údaj v multitenantní aplikaci.
• Umístění klíče v klíčovém trezoru zákazníka.

S těmito třemi parametry poskytovatel služeb zřizuje prostředky Azure v Tenant 1, které je možné šifrovat pomocí klíče spravovaného zákazníkem v Tenant 2.

Pojďme výše uvedené komplexní řešení rozdělit do tří fází:

1. Poskytovatel služby konfiguruje identity.
2. Zákazník udělí víceklientské aplikaci poskytovatele služeb přístup k šifrovacímu klíči ve službě Azure Key Vault.
3. Poskytovatel služeb šifruje data v Azure prostředku pomocí klíče spravovaného zákazníkem.

Operace ve fázi 1 by byla jednorázová instalace většiny aplikací poskytovatele služeb. Operace ve fázích 2 a 3 by se opakovaly pro každého zákazníka.

Fáze 1 – Poskytovatel služeb konfiguruje aplikaci Microsoft Entra.

Krok	Description	Minimální role v Azure RBAC	Minimální role v Microsoft Entra RBAC
1.	Vytvořte novou registraci multitenantní aplikace Microsoft Entra, nebo začněte s již existující registrací aplikace. Poznamenejte si ID aplikace (ID klienta) registrace aplikace pomocí portálu Azure, Microsoft Graph API, Azure PowerShell nebo Azure CLI	None	Vývojář aplikace
2.	Vytvořte uživatelsky přiřazenou spravovanou identitu (pro použití jako federovaný identitní přihlašovací údaj). Azure portal / Azure CLI / Azure PowerShell/ Šablony Azure Resource Manageru	Přispěvatel pro spravovanou identitu	None
3.	Nakonfigurujte spravovanou identitu přiřazenou uživatelem jako pověření federované identity v aplikaci, aby mohla zosobnit identitu aplikace. Referenční informace k rozhraní Graph API/ Portál Azure/ Azure CLI/ Azure PowerShell	None	Vlastník aplikace
4.	Sdílejte název aplikace a ID aplikace se zákazníkem, aby mohl aplikaci nainstalovat a autorizovat.	None	None

Úvahy pro poskytovatele služeb

• Šablony Azure Resource Manager (ARM) nejsou doporučeny pro vytváření aplikací Microsoft Entra.
• Stejnou víceuživatelskou aplikaci lze použít k přístupu k klíčům v libovolném počtu tenantů, jako Tenant 2, Tenant 3, Tenant 4 a tak dále. V každém tenantovi se vytvoří nezávislá instance aplikace, která má stejné ID aplikace, ale jiné ID objektu. Každá instance této aplikace je tedy autorizovaná nezávisle. Zvažte, jak je objekt aplikace použitý pro tuto funkci využit k rozdělení vaší aplikace mezi všechny zákazníky.
  • Aplikace může mít maximálně 20 federovaných identitních pověření, což vyžaduje, aby poskytovatel služeb sdílel federované identity mezi svými zákazníky. Další informace o aspektech návrhu a omezeních federovaných identit najdete v tématu Konfigurace aplikace pro důvěru externího zprostředkovatele identity.
• Ve výjimečných scénářích může poskytovatel služeb používat jeden objekt aplikace pro zákazníka, ale to vyžaduje značné náklady na údržbu pro správu aplikací ve velkém měřítku napříč všemi zákazníky.
• V tenantovi poskytovatele služeb není možné automatizovat Publisher Verification.

Fáze 2 – Zákazník autorizuje přístup k trezoru klíčů

Krok	Description	Nejméně privilegované role Azure RBAC	Role s minimálními oprávněními Microsoft Entra
1.	Doporučeno: Poslat uživatele k přihlášení do vaší aplikace. Pokud se uživatel může přihlásit, pak v jejich tenantovi existuje hlavní služba pro vaši aplikaci. Použijte Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell nebo Azure CLI k vytvoření hlavní služby. Vytvořte URL pro souhlas správce a udělte souhlas pro celého tenanta k vytvoření objektu služby pomocí ID aplikace.	None	Uživatelé s oprávněními k instalaci aplikací
2.	Vytvořte službu Azure Key Vault a klíč, který se používá jako klíč spravovaný zákazníkem.	Uživatel musí mít přiřazenu roli Key Vault Contributor, aby mohl vytvořit úložiště klíčů. Uživatel musí mít přiřazenou roli Key Vault Crypto Officer, aby mohl přidat klíč do klíčového trezoru.	None
3.	Udělení přístupu identitě aplikace, pro kterou byl udělen souhlas, do Azure klíčového trezoru přiřazením role Uživatel šifrování kryptografických služeb Key Vault	Pokud chcete aplikaci přiřadit roli Uživatel šifrování služby Key Vault, musíte mít přiřazenou roli Správce přístupu.	None
4.	Zkopírujte adresu URL trezoru klíčů a název klíče do konfigurace klíčů spravovaných zákazníkem v nabídce SaaS.	None	None

Note

Pokud chcete autorizovat přístup ke spravovanému HSM pro šifrování pomocí klíčů spravovaných zákazníkem, podívejte se tady na příklad účtu úložiště. Další informace o správě klíčů pomocí spravovaného HSM najdete v tématu Spravování spravovaného HSM pomocí Azure CLI

Úvahy pro zákazníky poskytovatelů služeb

• V tenantu zákazníka Tenant 2 může správce nastavit zásady, které blokují uživatelům, kteří nejsou správci, instalaci aplikací. Tyto zásady můžou zabránit uživatelům, kteří nejsou správci, ve vytváření služebních identit. Pokud je taková politika nastavena, musí být zapojeni uživatelé s oprávněními k vytváření principálů služeb.
• Přístup k Azure Key Vault může být autorizován pomocí Azure RBAC nebo zásad přístupu. Při udělování přístupu k trezoru klíčů se ujistěte, že používáte aktivní mechanismus pro váš trezor klíčů.
• Registrace aplikace Microsoft Entra má ID aplikace (ID klienta). Když je aplikace nainstalovaná ve vašem tenantovi, vytvoří se principál služby. Hlavní objekt služby sdílí stejné ID aplikace jako registrace aplikace, ale generuje své vlastní ID objektu. Když autorizujete aplikaci, aby měla přístup k prostředkům, možná budete muset použít službu principal Name nebo vlastnost ObjectID.

Fáze 3 – Poskytovatel služeb šifruje data v prostředku Azure pomocí klíče spravovaného zákazníkem.

Po dokončení fází 1 a 2 může poskytovatel služeb nakonfigurovat šifrování na prostředku Azure pomocí klíče a trezoru klíčů v tenantovi zákazníka a prostředku Azure v tenantovi ISV. Poskytovatel služeb může nakonfigurovat klíče spravované zákazníkem napříč tenanty pomocí klientských nástrojů podporovaných daným prostředkem Azure, pomocí šablony ARM nebo pomocí rozhraní REST API.

Nakonfigurujte klíče spravované zákazníkem pro více nájemců

Tato část popisuje, jak nakonfigurovat klíč spravovaný zákazníkem napříč tenanty a šifrovat zákaznická data. Naučíte se šifrovat zákaznická data v prostředku v Tenantu1 pomocí klíče spravovaného zákazníkem uloženým v trezoru klíčů v Tenant2. Můžete použít Azure Portal, Azure PowerShell nebo Azure CLI.

Portal

Přihlaste se k portálu Azure a postupujte takto.

Zprostředkovatel služeb konfiguruje identity.

Následující kroky provádí poskytovatel služeb v tenantovi poskytovatele služeb Tenant1.

Poskytovatel služeb vytvoří novou registraci aplikace pro více nájemců.

Můžete buď vytvořit novou registraci aplikace Microsoft Entra pro více tenantů, nebo začít s existující registrací aplikace s více tenanty. Pokud začínáte s již existující registrací aplikace, poznamenejte si ID aplikace (ID klienta) této aplikace.

Chcete-li vytvořit novou registraci:

1. Vyhledejte Microsoft Entra ID v hledacím poli. Vyhledejte a vyberte rozšíření Microsoft Entra ID.

2. V levém podokně vyberte Spravovat > Registrace aplikací.

3. Vyberte + Nová registrace.

4. Zadejte název pro registraci aplikace a vyberte Účet v jakémkoli organizačním adresáři (Jakýkoli Microsoft Entra adresář – Víceklientský).

5. Vyberte Zaregistrovat.

6. Poznamenejte si ApplicationId/ClientId aplikace.

   

Poskytovatel služby vytváří spravovanou identitu přiřazenou uživatelem.

Vytvořte uživatelem přiřazenou spravovanou identitu, která bude použita jako federovaná identitní pověření.

1. Vyhledejte Managed Identities v poli pro vyhledávání. Vyhledejte a vyberte rozšíření Managed Identities.

2. Vyberte + Vytvořit.

3. Uveďte skupinu prostředků, oblast a název pro spravovanou identitu.

4. Vyberte možnost Zkontrolovat + vytvořit.

5. Při úspěšném nasazení si poznamenejte Azure ResourceId spravované identity přiřazené uživatelem, která je dostupná v části Properties. Příklady:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

Poskytovatel služeb nastaví uživatelem přiřazenou spravovanou identitu jako federované pověření v aplikaci.

Nakonfigurujte uživatelsky přiřazenou spravovanou identitu jako přihlašovací údaje federované identity v aplikaci, aby mohla reprezentovat identitu aplikace.

1. Přejděte na Microsoft Entra ID > Registrace vaší aplikace >.

2. Vyberte Certifikáty a tajné kódy.

3. Vyberte federované přihlašovací údaje.

   

4. Vyberte + Přidat přihlašovací údaje.

5. Ve scénáři federovaných přihlašovacích údajů vyberte Spravovaná identita.

6. Klikněte na Vybrat spravovanou identitu. V podokně vyberte předplatné. V části Spravovaná identita vyberte Spravovaná identita přiřazená uživateli. V políčku Vybrat vyhledejte spravovanou identitu, kterou jste vytvořili dříve, a poté klikněte na možnost Vybrat ve spodní části panelu.

   

7. Pod Podrobnosti o přihlašovacích údajích zadejte název a volitelný popis pro přihlašovací údaje a vyberte Přidat.

   

PowerShell

Pro používání Azure PowerShell ke konfiguraci tenanta ISV nainstalujte nejnovější modul Az. Další informace o instalaci PowerShellu najdete v tématu Instalace Azure PowerShellu ve Windows pomocí modulu PowerShellGet.

• Pokud se rozhodnete používat Azure PowerShell lokálně:
  • Nainstalujte nejnovější verzi modulu Az PowerShell.
  • Připojte se ke svému účtu Azure pomocí rutiny Connect-AzAccount .
• Pokud se rozhodnete použít Azure Cloud Shell:
  • Další informace najdete v přehledu služby Azure Cloud Shell .

Zprostředkovatel služeb konfiguruje identity.

Následující kroky provádí poskytovatel služeb (ISV) v tenantovi poskytovatele služeb, Tenant1.

Poskytovatel služeb se přihlásí k Azure.

V Azure PowerShell se přihlaste k tenantovi ISV a nastavte aktivní předplatné na předplatné ISV.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

Poskytovatel služeb vytvoří novou registraci aplikace pro více nájemců.

Vyberte název pro svou registrovanou aplikaci pro více tenantů v Tenant1 a vytvořte aplikaci s více tenanty na portálu Azure.

Název, který zadáte pro aplikaci s více tenanty, používá zákazník k identifikaci aplikace v Tenant2. Poznamenejte si ID objektu a ID aplikace. Budete potřebovat tyto hodnoty v následujících krocích.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

Poskytovatel služby vytváří spravovanou identitu přiřazenou uživatelem.

Přihlaste se do tenanta ISV a pak vytvořte uživatelsky přiřazenou spravovanou identitu, které bude použito jako oprávnění federované identity. Chcete-li vytvořit novou uživatelsky přiřazenou spravovanou identitu, musíte mít přidělenou roli, která zahrnuje akci Microsoft.ManagedIdentity/userAssignedIdentities/write.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

Poskytovatel služeb nastaví uživatelem přiřazenou spravovanou identitu jako federované pověření v aplikaci.

Nakonfigurujte uživatelsky přiřazenou spravovanou identitu jako přihlašovací údaje federované identity v aplikaci, aby mohla reprezentovat identitu aplikace.

Pokud chcete nakonfigurovat přihlašovací údaje federované identity z PowerShellu, nejprve nainstalujte verzi 6.3.0 nebo novější modulu Az.Resources .

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

Azure CLI

• Použijte prostředí Bash v Azure Cloud Shellu. Další informace najdete v tématu Začínáme s Azure Cloud Shellem.

  

• Pokud dáváte přednost tomu, aby byly referenční příkazy CLI spouštěny místně, nainstalujte Azure CLI. Pokud používáte Windows nebo macOS, zvažte spuštění Azure CLI v kontejneru Docker. Další informace najdete v tématu Jak spustit Azure CLI v kontejneru Docker.

  • Pokud používáte místní instalaci, přihlaste se k Azure CLI pomocí příkazu az login. Chcete-li dokončit proces ověřování, postupujte podle kroků zobrazených ve vašem terminálu. Další možnosti přihlášení najdete v tématu Ověřování v Azure pomocí Azure CLI.

  • Když budete vyzváni, nainstalujte rozšíření Azure CLI při prvním použití. Další informace o rozšířeních najdete v tématu Použití a správa rozšíření pomocí Azure CLI.

  • Spusťte az version, abyste zjistili verzi a závislé knihovny, které jsou nainstalovány. Pokud chcete upgradovat na nejnovější verzi, spusťte az upgrade.

Zprostředkovatel služeb konfiguruje identity.

Následující kroky provádí poskytovatel služeb v tenantovi poskytovatele služeb Tenant1.

Poskytovatel služby se přihlásí do Azure

Přihlaste se k Azure, abyste mohli používat Azure CLI.

az login

Poskytovatel služeb vytvoří novou registraci aplikace pro více nájemců.

Vyberte název pro vaši aplikaci s více tenanty v Tenant1 a vytvořte aplikaci s více tenanty v portálu Azure.

Název, který zadáte pro aplikaci s více tenanty, používá zákazník k identifikaci aplikace v Tenant2. Zkopírujte ID aplikace (nebo ID klienta), ID objektu aplikace a také ID tenanta aplikace. Tyto hodnoty budete potřebovat v následujících krocích.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

Poskytovatel služby vytváří spravovanou identitu přiřazenou uživatelem.

Přihlaste se do tenanta ISV a pak vytvořte uživatelsky přiřazenou spravovanou identitu, které bude použito jako oprávnění federované identity. Chcete-li vytvořit novou uživatelsky přiřazenou spravovanou identitu, musíte mít přidělenou roli, která zahrnuje akci Microsoft.ManagedIdentity/userAssignedIdentities/write.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

Poskytovatel služeb nastaví uživatelem přiřazenou spravovanou identitu jako federované pověření v aplikaci.

Spusťte metodu az ad app federated-credential create pro konfiguraci federované identity certifikátu v aplikaci a vytvoření důvěryhodného vztahu s externím poskytovatelem identity.

Použijte api://AzureADTokenExchange jako hodnotu audience ve federovaném identitním pověření. Podívejte se na referenci API pro více podrobností.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Poskytovatel služeb sdílí ID aplikace se zákazníkem.

Vyhledejte ID aplikace (ID klienta) u víceklientské aplikace a sdílejte ho se zákazníkem.

Zákazník udělí aplikaci poskytovatele služeb přístup k klíči v trezoru klíčů.

Následující kroky provádí zákazník ve svém tenantu Tenant2. Zákazník může použít portál Azure, Azure PowerShell nebo Azure CLI.

Uživatel, který provádí kroky, musí být administrátor s privilegovanou rolí, například administrátor aplikace, administrátor cloudové aplikace nebo globální administrátor.

Portal

Přihlaste se k portálu Azure a postupujte takto.

Zákazník nainstaluje aplikaci poskytovatele služeb do tenanta zákazníka.

Pokud chcete nainstalovat registrovanou aplikaci poskytovatele služeb v tenantovi zákazníka, vytvoříte hlavní službu s ID aplikace z registrovaného programu. Služebního principála můžete vytvořit jedním z následujících způsobů:

• Použijte Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell, nebo Azure CLI k ručnímu vytvoření servisního principu.
• Vytvořte URL souhlasu správce a udělte souhlas na úrovni tenanta pro vytvoření servisního principála. Budete jim muset poskytnout ID vaší aplikace.

Zákazník vytváří úložiště klíčů

Aby bylo možné vytvořit úložiště klíčů, musí být uživatelskému účtu přidělena role Key Vault Contributor nebo jiná role, která umožňuje vytvoření úložiště klíčů.

1. V nabídce portálu Azure nebo na domovské stránce vyberte + Vytvořit prostředek. Do vyhledávacího pole zadejte Klíčové trezory. Ze seznamu výsledků vyberte Key vaults. Na stránce Úložiště klíčů vyberte možnost Vytvořit.

2. Na záložce Základy vyberte předplatné. Pod Skupinou prostředků vyberte Vytvořit novou a zadejte název skupiny prostředků.

3. Zadejte jedinečný název trezoru klíčů.

4. Vyberte oblast a cenovou úroveň.

5. Povolte ochranu před vymazáním pro nové úložiště klíčů.

6. Na kartě Zásady přístupu vyberte řízení přístupu na základě rolí v Azure pro model oprávnění.

7. Vyberte Zkontrolovat a vytvořit a pak Vytvořit.

   

Poznamenejte si název trezoru klíčů a jeho identifikátor URI. Aplikace, které přistupují k trezoru klíčů, musí používat tento identifikátor URI.

Další informace najdete v tématu Rychlý start – Vytvoření služby Azure Key Vault pomocí webu Azure Portal.

Zákazník přiřadí roli Key Vault Crypto Officer na uživatelský účet.

Tento krok zajišťuje, že můžete vytvářet šifrovací klíče.

1. Přejděte do svého trezoru klíčů a vyberte Řízení přístupu (IAM) z levého panelu.
2. V části Udělte přístup k tomuto prostředku vyberte Přiřadit roli.
3. Vyhledejte a vyberte Key Vault Crypto Officer.
4. V části Členové vyberte Uživatele, skupinu nebo služební principál.
5. Vyberte Členy a vyhledejte svůj uživatelský účet.
6. Vyberte Zkontrolovat + přiřadit.

Zákazník vytvoří šifrovací klíč.

Pokud chcete vytvořit šifrovací klíč, musí mít účet uživatele přiřazenou roli kryptografického důstojníka služby Key Vault nebo jinou roli, která umožňuje vytvoření klíče.

1. Na stránce vlastností služby Key Vault vyberte Klíče.
2. Vyberte Generovat/import.
3. Na obrazovce Vytvořit klíč zadejte název klíče. U ostatních hodnot ponechte jejich výchozí nastavení.
4. Vyberte Vytvořit.
5. Zkopírujte klíč URI.

Zákazník udělí aplikaci poskytovatele služeb přístup k trezoru klíčů.

Přiřaďte roli Azure RBAC Key Vault Crypto Service Encryption User registrované aplikaci poskytovatele služeb, aby mohla přistupovat k trezoru klíčů.

1. Přejděte do svého trezoru klíčů a vyberte Řízení přístupu (IAM) z levého panelu.
2. V části Udělte přístup k tomuto prostředku vyberte Přiřadit roli.
3. Vyhledejte a vyberte uživatele služby šifrování Key Vault Crypto Service.
4. V části Členové vyberte Uživatele, skupinu nebo služební principál.
5. Vyberte Členy a vyhledejte název aplikace, kterou jste nainstalovali od poskytovatele služeb.
6. Vyberte Zkontrolovat + přiřadit.

Nyní můžete nakonfigurovat klíče spravované zákazníkem s použitím URI úložiště klíčů a klíče.

PowerShell

Chcete-li použít Azure PowerShell ke konfiguraci tenantu klienta, nainstalujte nejnovější modul Az. Další informace o instalaci PowerShellu najdete v tématu Instalace Azure PowerShellu ve Windows pomocí modulu PowerShellGet.

• Pokud se rozhodnete používat Azure PowerShell lokálně:
  • Nainstalujte nejnovější verzi modulu Az PowerShell.
  • Připojte se ke svému účtu Azure pomocí rutiny Connect-AzAccount .
• Pokud se rozhodnete použít Azure Cloud Shell:
  • Další informace najdete v přehledu služby Azure Cloud Shell .

Zákazník se přihlásí k Azure

V Azure PowerShellu se přihlaste k tenantovi zákazníka a nastavte aktivní předplatné na předplatné zákazníka.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

Zákazník nainstaluje aplikaci poskytovatele služeb do tenanta zákazníka.

Jakmile obdržíte ID aplikace poskytovatele služeb pro více tenantů, nainstalujte aplikaci v tenantovi Tenant2 vytvořením objektu hlavní služby.

V tenantovi, ve kterém plánujete vytvořit trezor klíčů, spusťte následující příkazy.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

Zákazník vytváří úložiště klíčů

K vytvoření trezoru klíčů musí být zákaznickému účtu přiřazena role Přispěvatel do trezorů klíčů nebo jiná role, která umožňuje vytváření trezoru klíčů.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Zákazník přiřadí roli Key Vault Crypto Officer na uživatelský účet.

Přiřaďte roli Key Vault Crypto Officer uživatelskému účtu. Tento krok zajišťuje, že uživatel může vytvořit úložiště klíčů a šifrovací klíče. Níže uvedený příklad přiřadí roli aktuálně přihlášenému uživateli.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

Zákazník vytvoří šifrovací klíč.

Pokud chcete vytvořit šifrovací klíč, musí mít účet uživatele přiřazenou roli kryptografického důstojníka služby Key Vault nebo jinou roli, která umožňuje vytvoření klíče.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

Zákazník udělí aplikaci poskytovatele služeb přístup k trezoru klíčů.

Přiřaďte roli Azure RBAC Key Vault Crypto Service Encryption User registrované aplikaci poskytovatele služeb prostřednictvím servisního principu, který jste vytvořili dříve, aby mohl přistupovat k trezoru klíčů.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Nyní můžete nakonfigurovat klíče spravované zákazníkem s použitím URI úložiště klíčů a klíče.

Azure CLI

• Použijte prostředí Bash v Azure Cloud Shellu. Další informace najdete v tématu Začínáme s Azure Cloud Shellem.

  

• Pokud dáváte přednost tomu, aby byly referenční příkazy CLI spouštěny místně, nainstalujte Azure CLI. Pokud používáte Windows nebo macOS, zvažte spuštění Azure CLI v kontejneru Docker. Další informace najdete v tématu Jak spustit Azure CLI v kontejneru Docker.

  • Pokud používáte místní instalaci, přihlaste se k Azure CLI pomocí příkazu az login. Chcete-li dokončit proces ověřování, postupujte podle kroků zobrazených ve vašem terminálu. Další možnosti přihlášení najdete v tématu Ověřování v Azure pomocí Azure CLI.

  • Když budete vyzváni, nainstalujte rozšíření Azure CLI při prvním použití. Další informace o rozšířeních najdete v tématu Použití a správa rozšíření pomocí Azure CLI.

  • Spusťte az version, abyste zjistili verzi a závislé knihovny, které jsou nainstalovány. Pokud chcete upgradovat na nejnovější verzi, spusťte az upgrade.

Zákazník se přihlásí k Azure.

Přihlaste se k Azure, abyste mohli používat Azure CLI.

az login

Zákazník nainstaluje aplikaci poskytovatele služeb do tenanta zákazníka.

Jakmile obdržíte ID aplikace poskytovatele služeb s více tenanty, nainstalujte aplikaci do tenanta 2 pomocí následujícího příkazu. Instalace aplikace vytvoří služební identitu ve vašem tenantovi.

V tenantovi, ve kterém plánujete vytvořit trezor klíčů, spusťte následující příkazy.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

Zákazník vytváří úložiště klíčů

K vytvoření trezoru klíčů musí být zákaznickému účtu přiřazena role Přispěvatel do trezorů klíčů nebo jiná role, která umožňuje vytváření trezoru klíčů.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

Zákazník přiřadí roli Key Vault Crypto Officer na uživatelský účet.

Tento krok zaručuje, že můžete vytvořit úložiště klíčů a šifrovací klíče.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

Zákazník vytvoří šifrovací klíč.

Pokud chcete vytvořit šifrovací klíč, musí mít účet uživatele přiřazenou roli kryptografického důstojníka služby Key Vault nebo jinou roli, která umožňuje vytvoření klíče.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

Zákazník udělí aplikaci poskytovatele služeb přístup k trezoru klíčů.

Přiřaďte roli Azure RBAC Key Vault Crypto Service Encryption User registrované aplikaci poskytovatele služeb prostřednictvím servisního principálu, který jste vytvořili dříve, aby registrovaná aplikace mohla přistupovat k trezoru klíčů.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Nyní můžete nakonfigurovat klíče spravované zákazníkem s použitím URI úložiště klíčů a klíče.

Poskytovatel služby konfiguruje klíče spravované zákazníkem pro existující úložný účet

Do této chvíle jste multitenant aplikaci nakonfigurovali na tenantu ISV, nainstalovali aplikaci na tenantu zákazníka a nakonfigurovali trezor klíčů a klíč na tenantu zákazníka. Dále můžete nakonfigurovat klíče spravované zákazníkem na existujícím úložném účtu s klíčem z tenantu zákazníka.

Následující příklady ukazují, jak nakonfigurovat klíče spravované zákazníkem na existujícím úložném účtu pomocí uživatelem přiřazené spravované identity k autorizaci přístupu k trezoru klíčů. Můžete také použít systémově přiřazenou spravovanou identitu k nakonfigurování klíčů spravovaných zákazníkem na existujícím úložném účtu. V obou případech musí spravovaná identita mít odpovídající oprávnění pro přístup k trezoru klíčů. Další informace najdete v tématu Ověřování ve službě Azure Key Vault.

Když konfigurujete šifrování pomocí klientem spravovaných klíčů pro stávající úložný účet, můžete zvolit automatickou aktualizaci verze klíče používanou pro šifrování vždy, když je v příslušném trezoru klíčů dostupná nová verze. Pro povolení této funkce vynechte verzi klíče z URI klíče. Alternativně můžete explicitně nastavit verzi klíče, která se použije pro šifrování, dokud nebude verze klíče ručně aktualizována. Zahrnutí verze klíče do identifikátoru URI klíče konfiguruje klíče spravované zákazníkem pro ruční aktualizaci verze klíče.

Portal

Pro konfiguraci klíčů spravovaných zákazníky napříč uživateli pro existující úložný účet v portálu Azure postupujte podle těchto kroků:

1. Přejděte do svého účtu úložiště.

2. V části Zabezpečení a sítě vyberte Šifrování. Ve výchozím nastavení je správa klíčů nastavena na klíče spravované Microsoft.

3. Vyberte možnost Klíče spravované zákazníkem .

4. Zvolte možnost Vybrat ze služby Key Vault .

5. Vyberte Enter key URI a zadejte URI klíče. Vynechte verzi klíče z identifikátoru URI, pokud chcete, aby Azure Files automaticky kontroloval, zda je k dispozici nová verze klíče, a aktualizoval ji.

6. Vyberte předplatné, které obsahuje trezor a klíč.

7. V poli Typ identity vyberte User-assigned a poté zadejte spravovanou identitu s federovaným přihlašovacím údajem, které jste dříve vytvořili.

8. Rozbalte sekci Pokročilé a vyberte víceklientskou registrovanou aplikaci, kterou jste dříve vytvořili v tenantovi ISV.

   

9. Uložte změny.

Poté, co zadáte klíč z klíčového trezoru v tenantu zákazníka, Azure portál oznámí, že klíče spravované zákazníkem jsou nakonfigurovány s tímto klíčem. Také to označuje, že je povolena automatická aktualizace verze klíče a zobrazuje verzi klíče, která je aktuálně používána pro šifrování. Portál také zobrazuje typ spravované identity použité k autorizaci přístupu k trezoru klíčů, hlavní ID spravované identity a ID aplikace multitenant aplikace.

PowerShell

Pro konfiguraci klíčů spravovaných zákazníky napříč tenanty pro existující úložný účet pomocí PowerShell nejprve nainstalujte PowerShell modul Az.Storage verze 5.1.0 nebo vyšší. Tento modul je nainstalován s modulem Az PowerShell verze 9.1.0 nebo vyšší.

Dále zavolejte Set-AzStorageAccount, zadejte ID zdroje pro uživatelem přiřazenou spravovanou identitu, kterou jste dříve nastavili v předplatném ISV, a ID aplikace (klienta) pro víceklientskou aplikaci, kterou jste dříve nakonfigurovali v předplatném ISV. Zadejte identifikátor URI trezoru klíčů zákazníka a název klíče z tohoto trezoru.

Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Azure CLI

Pro konfiguraci mezinájemních klientem spravovaných klíčů pro existující úložný účet s Azure CLI nejprve nainstalujte Azure CLI verze 2.42.0 nebo novější. Další informace o instalaci Azure CLI najdete v tématu Jak nainstalovat Azure CLI.

Dále zavolejte az storage account update a zadejte ID prostředku pro spravovanou identitu přiřazenou uživatelem, kterou jste dříve nakonfigurovali v předplatném ISV, a ID aplikace (klienta) pro víceklientskou aplikaci, kterou jste dříve nakonfigurovali v předplatném ISV. Zadejte identifikátor URI trezoru klíčů zákazníka a název klíče z tohoto trezoru.

Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Poskytovatel služby vytváří nový účet úložiště zašifrovaný klíčem zákazníka

Můžete také vytvořit nový úložný účet v tenantu ISV a nakonfigurovat klíče spravované zákazníkem s klíčem z tenantu zákazníka.

Při konfiguraci klíčů spravovaných zákazníkem při vytváření účtu úložiště musíte použít existující spravovanou identitu přiřazenou uživatelem k autorizaci přístupu k trezoru klíčů. Spravovaná identita přiřazená uživatelem musí mít příslušná oprávnění pro přístup k trezoru klíčů. Další informace najdete v tématu Ověřování ve službě Azure Key Vault.

Když konfigurujete šifrování pomocí klientem spravovaných klíčů pro nový úložný účet, můžete zvolit automatickou aktualizaci verze klíče používané pro šifrování kdykoli je v příslušném trezoru klíčů dostupná nová verze. Chcete-li to provést, vynechte verzi klíče z identifikátoru URI klíče. Alternativně můžete explicitně zadat verzi klíče, která se má použít pro šifrování, dokud se verze klíče neaktualizuje ručně. Zahrnutí verze klíče do identifikátoru URI klíče konfiguruje klíče spravované zákazníkem pro ruční aktualizaci verze klíče.

Portal

Pokud chcete nakonfigurovat klíče spravované zákazníkem napříč tenanty pro nový účet úložiště na webu Azure Portal, postupujte takto:

1. V Azure portálu přejděte na stránku Storage accounts v tenantu ISV a vyberte tlačítko Vytvořit pro vytvoření nového účtu.

2. Postupujte podle kroků uvedených v Vytvoření klasického sdílení souborů a vyplňte pole na záložkách Základy, Pokročilé, Sítě a Ochrana dat.

3. Na kartě Šifrování uveďte, pro které služby chcete povolit podporu klíčů spravovaných zákazníkem, v poli Povolit podporu klíčů spravovaných zákazníkem.

4. V poli Typ šifrování vyberte klíče spravované zákazníkem (CMK).

5. V poli Šifrovací klíč zvolte Zadat klíč z trezoru klíčů a zadejte identifikátor URI klíče. Vynechte verzi klíče z identifikátoru URI, pokud chcete, aby Azure Files automaticky kontroloval novou verzi klíče a aktualizoval se.

6. V poli Uživatelem přiřazená identita vyhledejte uživatelem přiřazenou spravovanou identitu, kterou jste vytvořili dříve v tenantovi nezávislého dodavatele softwaru.

7. Rozbalte sekci Pokročilé a vyberte víceklientskou registrovanou aplikaci, kterou jste dříve vytvořili v tenantovi ISV.

   

8. Vyberte tlačítko Zkontrolovat a ověřte a vytvořte účet.

PowerShell

Pokud chcete nakonfigurovat klíče spravované zákazníkem napříč tenanty pro nový účet úložiště v PowerShellu, nejprve nainstalujte modul Az.Storage PowerShell verze 5.1.0 nebo novější. Tento modul je nainstalován s modulem Az PowerShell verze 9.1.0 nebo vyšší.

Dále zavolejte New-AzStorageAccount s uvedením ID zdroje pro uživatelem přiřazenou spravovanou identitu, kterou jste dříve nastavili v předplatném ISV, a ID aplikace (klienta) pro víceklientskou aplikaci, kterou jste dříve nakonfigurovali v předplatném ISV. Zadejte identifikátor URI trezoru klíčů zákazníka a název klíče z tohoto trezoru.

Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Azure CLI

Pokud chcete nakonfigurovat klíče spravované zákazníkem napříč tenanty pro nový účet úložiště pomocí Azure CLI, nejprve nainstalujte Azure CLI verze 2.42.0 nebo novější. Další informace o instalaci Azure CLI najdete v tématu Jak nainstalovat Azure CLI.

Dále zavolejte az storage account create, zadejte resource ID pro uživatelem přiřazenou spravovanou identitu, kterou jste dříve nastavili v předplatném ISV, a aplikační (klientské) ID multitenant aplikace, kterou jste dříve konfigurovali v předplatném ISV. Zadejte identifikátor URI trezoru klíčů zákazníka a název klíče z tohoto trezoru.

Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Klíče spravované zákazníkem můžete také nakonfigurovat ruční aktualizací verze klíče při vytváření nového účtu úložiště. Pokud to chcete provést, při specifikaci identifikátoru URI klíče zahrňte verzi klíče.

Pro otočení nebo změnu klíče, odebrání přístupu nebo návrat ke klíčům spravovaným Microsoft použijte kroky v následujících sekcích. Tyto kroky jsou stejné pro klíče spravované zákazníkem mezi nájemci.

Rotace klíčů

Pravidelné obměně šifrovacího klíče omezuje riziko ohrožení, pokud by došlo k ohrožení klíče. Šifrování účtu úložiště, který používá klíče spravované zákazníkem, se dají obměňovat dvěma způsoby:

• Otočte verzi klíče – Vytvořte novou verzi stejného klíče v trezoru klíčů. Název klíče zůstane stejný, ale verze se změní.
• Změňte klíč – Přepněte účet úložiště tak, aby používal zcela jiný klíč (s jiným názvem) ve stejném nebo jiném trezoru klíčů.

Important

Azure zkontroluje trezor klíčů kvůli nové verzi klíče pouze jednou denně. Po otočení klíče počkejte 24 hodin před zakázáním předchozí verze klíče.

Otočení verze klíče

V případě osvědčených postupů zabezpečení obměňte verzi klíče alespoň jednou za dva roky.

Automatická rotace verzí klíče (doporučeno)

Pokud konfigurujete klíče spravované zákazníkem bez specifikace verze klíče (výchozí), Azure automaticky denně kontroluje nové verze klíčů. Pokud v trezoru klíčů vytvoříte novou verzi klíče, Azure ji během 24 hodin vyzvedne. Můžete také nakonfigurovat automatické obměně klíčů v Azure Key Vault tak, aby se vygenerovaly nové verze klíčů podle plánu.

Ruční rotace verze klíče

Pokud při konfiguraci klíčů spravovaných zákazníkem nastavíte verzi klíče, Azure použije tuto konkrétní verzi a automaticky nekontroluje nové verze. Konfiguraci účtu úložiště musíte aktualizovat ručně, aby odkazovala na novou verzi klíče.

Portal

Pokud chcete ručně provést rotaci verze klíče pomocí portálu Azure, postupujte podle těchto kroků:

1. Přejděte do trezoru klíčů. V nabídce služby v části Objekty vyberte Klíče.
2. Vyberte klíč a poté novou verzi klíče. Zkopírujte hodnotu Key Identifier. Hodnota zahrnuje i verzi klíče.
3. Přejděte do svého účtu úložiště. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
4. Vyberte Změnit klíč.
5. Pro šifrovací klíč vyberte Zadat identifikátor URI klíče a poté vložte identifikátor klíče do Key URI.
6. Vyberte Uložit.

PowerShell

Chcete-li ručně rotovat verzi klíče pomocí Azure PowerShell, spusťte následující cmdlet. Nahraďte <resource-group>, <storage-account-name>a <key-vault-name><key-name> vlastními hodnotami.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLI

Pokud chcete ručně otočit verzi klíče pomocí Azure CLI, spusťte následující příkazy. Nahraďte <storage-account-name>, <resource-group>a <key-vault-name><key-name> vlastními hodnotami.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Změna klíče

Pokud chcete přepnout účet úložiště tak, aby používal zcela jiný klíč, vytvořte nebo naimportujte nový klíč v trezoru klíčů (viz Vytvoření nebo import šifrovacího klíče) a potom aktualizujte konfiguraci šifrování účtu úložiště tak, aby používal nový klíč.

Portal

Pokud chcete změnit klíč pomocí portálu Azure, postupujte takto:

1. Přejděte do svého účtu úložiště.
2. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
3. Vyberte Změnit klíč.
4. Vyberte vyberte úložiště klíčů a klíč. Pro typ Key Store vyberte Key vault. Vyberte si trezor klíčů a nový klíč, a pak zvolte Vybrat.
5. Vyberte Uložit.

PowerShell

Chcete-li změnit klíč pomocí Azure PowerShell, spusťte následující cmdlet. Nahraďte <resource-group>, <storage-account-name>a <key-vault-name><new-key-name> vlastními hodnotami.

Cmdlet nastaví KeyVersion na prázdnou hodnotu, čímž zapne automatickou aktualizaci verze klíče (doporučeno). Pokud vynecháte KeyVersion a účet úložiště používá verzi klíče, kterou jste dříve určil, cmdlet tuto verzi ponechá a selže, protože tato verze pro nový klíč neexistuje. Pro použití ruční aktualizace verze klíče nastavte KeyVersion na $key.Version.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLI

Pokud chcete změnit klíč pomocí Azure CLI, spusťte následující příkazy. Nahraďte <storage-account-name>, <resource-group>a <key-vault-name><new-key-name> vlastními hodnotami.

Příkaz nastaví --encryption-key-version na prázdnou hodnotu, čímž zapne automatickou aktualizaci verze klíče (doporučeno). Pokud vynecháte --encryption-key-version a úložný účet používá verzi klíče, kterou jste dříve zadali, příkaz si tuto verzi ponechá a selže, protože tato verze pro nový klíč neexistuje. Pro manuální aktualizaci verze klíče místo toho nastavte --encryption-key-version na verzi nového klíče.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Odvolání přístupu k datům sdílené složky zakázáním klíče

Přístup k šifrovaným datům sdílených souborů můžete zablokovat deaktivací nebo smazáním klíče spravovaného zákazníkem. Přístup není okamžitě zablokován. Může trvat několik minut po deaktivaci klíče pro provoz datové roviny, než operace datové roviny začnou selhávat. Když je klíč zakázaný, všechny operace roviny dat Azure Files selžou s HTTP 403 (Zakázáno), včetně:

• Výpis adresářů a souborů
• Vytvořte, získejte nebo nastavte adresář či soubor
• Získejte nebo nastavte metadata souboru
• Nastavit rozsah, kopírovat soubor, přejmenovat soubor

Pokud chcete odvolat přístup k datům sdílené složky, zakažte klíč v trezoru klíčů pomocí portálu Azure, Azure PowerShell nebo Azure CLI. Znovu povolte klíč k obnovení přístupu.

Portal

Pokud chcete klíč zakázat pomocí portálu Azure, postupujte takto:

1. Přejděte do trezoru klíčů na webu Azure Portal.
2. V nabídce služby v části Objekty vyberte Klíče.
3. Klikněte pravým tlačítkem myši na klíč a vyberte Zakázat.

PowerShell

Pokud chcete klíč zakázat pomocí Azure PowerShell, spusťte následující rutinu. Nahraďte <key-vault-name> a <key-name> nahraďte vlastními hodnotami.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Azure CLI

Pokud chcete klíč zakázat pomocí Azure CLI, spusťte následující příkaz. Nahraďte <key-vault-name> a <key-name> nahraďte vlastními hodnotami.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Přepnutí zpět na klíče spravované Microsoftem

Pokud už klíče spravované zákazníkem nepotřebujete, můžete účet úložiště přepnout zpět na použití Microsoft spravovaných klíčů pro šifrování pomocí portálu Azure, Azure PowerShell nebo Azure CLI.

Portal

Pokud chcete přepnout zpět na Microsoft spravované klíče pomocí portálu Azure, postupujte takto:

1. Přejděte ke svému účtu úložiště na webu Azure Portal.
2. V nabídce služby v části Zabezpečení a sítě vyberte Šifrování.
3. Změňte typ šifrování na klíče spravované Microsoftem.
4. Vyberte Uložit.

PowerShell

Chcete-li přepnout zpět na Microsoft-spravované klíče s využitím Azure PowerShell, spusťte následující cmdlet. Nahraďte <resource-group> a <storage-account-name> nahraďte vlastními hodnotami.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Azure CLI

Pokud chcete přepnout zpět na Microsoft spravované klíče pomocí Azure CLI, spusťte následující příkaz. Nahraďte <resource-group> a <storage-account-name> nahraďte vlastními hodnotami.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage

Související obsah

• Šifrování uložených dat pro Azure Files
• Zabezpečte své sdílené složky Azure
• Co je Azure Key Vault?