Použití klíčů spravovaných zákazníkem ve službě Azure Key Vault pro službu Import/Export

Azure Import/Export chrání klíče BitLockeru používané k uzamčení jednotek prostřednictvím šifrovacího klíče. Ve výchozím nastavení jsou klíče Nástroje BitLocker šifrované pomocí klíčů spravovaných Microsoftem. Pro další kontrolu nad šifrovacími klíči můžete také poskytnout klíče spravované zákazníkem.

Klíče spravované zákazníkem musí být vytvořené a uložené ve službě Azure Key Vault. Další informace o službě Azure Key Vault najdete v tématu Co je Azure Key Vault?

Tento článek ukazuje, jak používat klíče spravované zákazníkem se službou Import/Export na webu Azure Portal.

Požadavky

Než začnete, ujistěte se, že:

1. Vytvořili jste úlohu importu nebo exportu podle pokynů.

   • Vytvořte úlohu importu pro objekty blob.
   • Vytvořte úlohu importu pro soubory.
   • Vytvoření úlohy exportu pro objekty blob

2. Máte existující službu Azure Key Vault s klíčem, který můžete použít k ochraně klíče BitLockeru. Informace o vytvoření trezoru klíčů pomocí webu Azure Portal najdete v tématu Rychlý start: Vytvoření služby Azure Key Vault pomocí webu Azure Portal.

   • Měkké odstranění a neodstraňovat natrvalo jsou nastaveny ve stávající službě Key Vault. Tyto vlastnosti nejsou ve výchozím nastavení povoleny. Pokud chcete tyto vlastnosti povolit, přečtěte si oddíly s názvem Povolení obnovitelného odstranění a povolení ochrany před vymazáním v jednom z následujících článků:

     • Jak použít dočasné odstranění pomocí PowerShellu
     • Použití obnovitelného odstranění s rozhraním příkazového řádku

   • Existující trezor klíčů by měl mít klíč RSA o velikosti 2048 nebo více. Další informace o klíčích najdete v tématu O klíčích.

   • Trezor klíčů musí být ve stejné oblasti jako účet úložiště pro vaše data.

   • Pokud nemáte existující službu Azure Key Vault, můžete ji také vytvořit přímo, jak je popsáno v následující části.

Povolení klíčů

Konfigurace klíče spravovaného zákazníkem pro službu Import/Export je volitelná. Ve výchozím nastavení služba Import/Export používá k ochraně vašeho klíče BitLocker klíč spravovaný Microsoftem. Pokud chcete na webu Azure Portal povolit klíče spravované zákazníkem, postupujte takto:

1. Přejděte do okna Přehled pro úlohu Import.

2. V pravém podokně vyberte Zvolit způsob šifrování klíčů BitLockeru.

   

3. V okně Šifrování můžete zobrazit a zkopírovat klíč nástroje BitLocker pro zařízení. V části Typ šifrování můžete zvolit, jak chcete chránit klíč Nástroje BitLocker. Ve výchozím nastavení se používá spravovaný klíč Microsoftu.

   

4. Máte možnost zadat klíč spravovaný zákazníkem. Po výběru klíče spravovaného zákazníkem vyberte trezor klíčů a klíč.

   

5. V okně Vybrat klíč ze služby Azure Key Vault se předplatné vyplní automaticky. V případě trezoru klíčů můžete z rozevíracího seznamu vybrat existující trezor klíčů.

   

6. Můžete také vybrat vytvořit nový trezor klíčů. V okně Vytvořit trezor klíčů zadejte skupinu prostředků a název trezoru klíčů. Přijměte všechny ostatní výchozí hodnoty. Vyberte Zkontrolovat a vytvořit.

   

7. Zkontrolujte informace přidružené k trezoru klíčů a vyberte Vytvořit. Počkejte několik minut, než se vytvoření trezoru klíčů dokončí.

   

8. Ve službě Azure Key Vault můžete vybrat klíč v existujícím trezoru klíčů.

9. Pokud jste vytvořili nový trezor klíčů, vyberte Vytvořit nový a vytvořte klíč. Velikost klíče RSA může být 2048 nebo vyšší.

   

   Pokud při vytváření trezoru klíčů není povolená ochrana obnovitelného odstranění a vymazání, bude trezor klíčů aktualizován tak, aby měl povolenou obnovitelné odstranění a ochranu před vymazáním.

10. Zadejte název klíče, přijměte ostatní výchozí hodnoty a vyberte Vytvořit.

    

11. Vyberte verzi a pak zvolte Vybrat. Zobrazí se oznámení o vytvoření klíče v trezoru klíčů.

    

V okně Šifrování uvidíte trezor klíčů a klíč vybraný pro klíč spravovaný zákazníkem.

Důležité

Spravované klíče Microsoftu můžete zakázat a přejít na klíče spravované zákazníkem v libovolné fázi úlohy importu a exportu. Po vytvoření klíče spravovaného zákazníkem ale nemůžete klíč spravovaný zákazníkem zakázat.

Řešení chyb klíčů spravovaných zákazníkem

Pokud se zobrazí nějaké chyby související s klíčem spravovaným zákazníkem, při řešení potíží použijte následující tabulku:

Kód chyby	Detaily	Obnovitelný?
CmkErrorAccessOdvolán	Přístup k klíči spravovanému zákazníkem je odvolán.	Ano, zkontrolujte, jestli: Key Vault stále obsahuje MSI v zásadách přístupu. Zásady přístupu mají povolená oprávnění Get, Wrap a Unwrap. Pokud je trezor klíčů ve virtuální síti za bránou firewall, zkontrolujte, jestli je povolená možnost Povolit důvěryhodné služby Microsoftu. Zkontrolujte, jestli se MSI prostředku úlohy resetovala na None pomocí rozhraní API. Pokud ano, nastavte hodnotu zpět na Identity = SystemAssigned. Tím se znovu vytvoří identita prostředku úlohy. Po vytvoření nové identity povolte GetWrapa Unwrap oprávnění k nové identitě v zásadách přístupu trezoru klíčů.
ChybaKlíčZakázán	Klíč spravovaný zákazníkem je zakázaný.	Ano, povolením klíčové verze
CmkErrorKeyNotFound	Nelze najít klíč spravovaný zákazníkem.	Ano, pokud byl klíč odstraněn, ale je stále v období vyprázdnění, pomocí Zrušit odstranění klíče v trezoru. Jiný Ano, pokud má zákazník zálohovaný klíč a obnoví ho. Ne, spíš naopak.
CmkErrorVaultNenalezeno	Trezor klíčů spravovaného zákazníkem nebyl nalezen.	Pokud se trezor klíčů odstranil: Ano, pokud je v době ochrany před vymazáním, postupujte podle kroků v Obnovení trezoru klíčů. Ne, pokud je nad rámec doby ochrany před vymazáním. Pokud však byl trezor klíčů migrován do jiného nájemce, ano, lze jej obnovit jedním z následujících kroků: Vraťte trezor klíčů zpět ke starému tenantovi. Nastavte Identity = None a pak nastavte hodnotu zpět na Identity = SystemAssigned. Tím se odstraní a znovu vytvoří identita, jakmile je vytvořena nová identita. Povolte Get, Wrap a Unwrap oprávnění k nové identitě v zásadách přístupu trezoru klíčů.

Další kroky

• Co je Azure Key Vault?