Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Tento článek obsahuje podrobné pokyny ke konfiguraci šifrování dat pro flexibilní server Azure Database for PostgreSQL.
Důležité
Při vytváření serveru se můžete rozhodnout použít klíč spravovaný systémem nebo klíč spravovaný zákazníkem pro šifrování dat. Po provedení takového rozhodnutí a vytvoření serveru nemůžete přepínat mezi těmito dvěma možnostmi.
V tomto článku se dozvíte, jak vytvořit nový server a nakonfigurovat jeho možnosti šifrování dat. Pro stávající servery, které používají šifrovací klíč spravovaný zákazníkem pro šifrování dat, se naučíte:
- Výběr jiné spravované identity přiřazené uživatelem pro službu pro přístup k šifrovacímu klíči
- Určení jiného šifrovacího klíče nebo otočení šifrovacího klíče, který se aktuálně používá pro šifrování dat
Informace o šifrování dat v kontextu Azure Database for PostgreSQL najdete v tématu Šifrování dat.
Konfigurace šifrování dat pomocí klíče spravovaného systémem během zřizování serveru
Použití webu Azure Portal:
Během zřizování nového Azure Database for PostgreSQL flexibilního serveru nakonfigurujte šifrování dat na kartě Zabezpečení. U šifrovacího klíče dat vyberte možnost klíč spravovaný službou.
Pokud povolíte zřízení geograficky redundantního úložiště zálohování společně se serverem, změní se aspekt karty Zabezpečení mírně, protože server používá dva samostatné šifrovací klíče. Jedním z klíčů je primární oblast, ve které server nasazujete, a jedním klíčem je spárovaná oblast, do které se zálohy serveru asynchronně replikují.
Konfigurace šifrování dat pomocí klíče spravovaného zákazníkem během zřizování serveru
Použití webu Azure Portal:
- Pokud ji ještě nemáte, vytvořte spravovanou identitu přiřazenou uživatelem. Pokud má váš server povolené geograficky redundantní zálohy, musíte vytvořit dvě různé identity. Každá z těchto identit přistupuje ke každému ze dvou šifrovacích klíčů dat.
Poznámka:
I když to není nutné, aby se zachovala regionální odolnost, vytvořte identitu spravovanou uživatelem ve stejné oblasti jako váš server. Pokud má váš server povolenou redundanci geografického zálohování, vytvořte druhou identitu spravovanou uživatelem ve spárované oblasti serveru.
- Pokud ještě nemáte vytvořené úložiště klíčů, vytvořte Azure Key Vault nebo vytvořte spravovaný HSM. Ujistěte se, že splňujete požadavky. Před konfigurací úložiště klíčů a před vytvořením klíče a přiřazením požadovaných oprávnění spravované identitě přiřazené uživatelem také postupujte podle doporučení . Pokud má váš server povolené geograficky redundantní zálohy, musíte vytvořit druhé úložiště klíčů. Toto druhé úložiště klíčů uchovává šifrovací klíč dat, který šifruje zálohy zkopírované do spárované oblasti serveru.
Poznámka:
Musíte nasadit úložiště klíčů, které uchovává šifrovací klíč dat ve stejné oblasti jako váš server. Pokud má váš server povolenou redundanci geografického zálohování, musíte vytvořit úložiště klíčů, které uchovává šifrovací klíč dat pro geograficky redundantní zálohy ve spárované oblasti serveru.
Vytvořte klíč v úložišti klíčů. Pokud má váš server povolené geograficky redundantní zálohy, potřebujete na každém úložišti klíčů jeden klíč. Pomocí jednoho z těchto klíčů zašifrujete všechna data vašeho serveru (včetně všech systémových a uživatelských databází, dočasných souborů, protokolů serveru, segmentů protokolů zápisu a záloh). Pomocí druhého klíče zašifrujete kopie záloh, které se asynchronně kopírují přes spárovanou oblast vašeho serveru.
Během zřizování nového Azure Database for PostgreSQL flexibilního serveru nakonfigurujte šifrování dat na kartě Zabezpečení. U šifrovacího klíče dat vyberte přepínač Klíč spravovaný zákazníkem.
Pokud povolíte zřízení geograficky redundantního úložiště zálohování společně se serverem, změní se aspekt karty Zabezpečení mírně, protože server používá dva samostatné šifrovací klíče. Jedním z klíčů je primární oblast, ve které server nasazujete, a jedním klíčem je spárovaná oblast, do které se zálohy serveru asynchronně replikují.
Ve spravované identitě přiřazené uživatelem vyberte Změnit identitu.
V seznamu spravovaných identit přiřazených uživatelem vyberte ten, který má váš server použít pro přístup k šifrovacímu klíči dat uloženému v Azure Key Vault.
Vyberte Přidat.
Pokud chcete, aby služba automaticky aktualizovala odkaz na nejaktuálnější verzi vybraného klíče, vyberte možnost Použít automatickou aktualizaci verze klíče, kdykoli se aktuální verze otočí ručně nebo automaticky. Informace o výhodách používání automatických aktualizací verzí klíčů najdete v tématu Automatická aktualizace verze klíče.
Vyberte klávesu.
Předplatné se automaticky vyplní názvem předplatného, na kterém se má váš server vytvořit. Úložiště klíčů, které uchovává šifrovací klíč dat, musí existovat ve stejném předplatném jako server.
V části Typ úložiště klíčů vyberte přepínač odpovídající typu úložiště klíčů, do kterého chcete šifrovací klíč dat uložit. V tomto příkladu zvolte Trezor klíčů, ale prostředí je podobné, pokud zvolíte Managed HSM.
Rozbalte trezor klíčů (nebo spravovaný HSM, pokud jste vybrali tento typ úložiště) a vyberte instanci, ve které existuje šifrovací klíč dat.
Poznámka:
Když rozbalíte rozevírací seznam, zobrazí se text Žádné dostupné položky. Trvá několik sekund, než vypíše všechny instance trezoru klíčů, které jsou nasazené ve stejné oblasti jako server.
Rozbalte klíč a vyberte název klíče, který chcete použít pro šifrování dat.
Pokud jste nevybrali možnost Použít automatickou aktualizaci verze klíče, musíte také vybrat konkrétní verzi klíče. Uděláte to tak, že rozbalíte verzi a vyberete identifikátor verze klíče, který chcete použít pro šifrování dat.
Vyberte Vybrat.
Nakonfigurujte všechna ostatní nastavení nového serveru a vyberte Zkontrolovat a vytvořit.
Konfigurace šifrování dat pomocí klíče spravovaného zákazníkem na existujících serverech
Při vytváření serveru se rozhodnete, jestli pro šifrování dat použijete systémový spravovaný klíč nebo klíč spravovaný zákazníkem. Po provedení takového rozhodnutí a vytvoření serveru nemůžete přepínat mezi těmito dvěma možnostmi. Jedinou alternativou, pokud chcete přejít z jedné na druhou, je nutné obnovit všechny zálohy, které jsou k dispozici na nový server. Při konfiguraci obnovení můžete změnit konfiguraci šifrování dat nového serveru.
U stávajících serverů, které jste nasadili s šifrováním dat pomocí klíče spravovaného zákazníkem, můžete provést několik změn konfigurace. Můžete změnit odkazy na klíče používané k šifrování a odkazy na spravované identity přiřazené uživatelem, které služba používá pro přístup ke klíčům uloženým v úložištích klíčů.
Musíte aktualizovat odkazy na klíč, které používá flexibilní server Azure Database for PostgreSQL:
- Když se klíč uložený v úložišti klíčů otočí ručně nebo automaticky a flexibilní server Azure Database for PostgreSQL ukazuje na konkrétní verzi klíče. Pokud odkazujete na klíč, ale ne na konkrétní verzi klíče (to znamená, že používáte povolenou automatickou aktualizaci verze klíče ), služba automaticky odkazuje na nejnovější verzi klíče pokaždé, když je klíč ručně nebo automaticky otočený.
- Pokud chcete použít stejný nebo jiný klíč uložený v jiném úložišti klíčů.
Musíte aktualizovat spravované identity přiřazené uživatelem, které váš flexibilní server Azure Database for PostgreSQL používá pro přístup k šifrovacím klíčům vždy, když chcete použít jinou identitu.
Použití webu Azure Portal:
Vyberte flexibilní server Azure Database for PostgreSQL.
V nabídce prostředků v části Zabezpečení vyberte Šifrování dat.
Pokud chcete změnit spravovanou identitu přiřazenou uživatelem, kterou server používá pro přístup k úložišti klíčů, rozbalte rozevírací seznam Spravovaná identita přiřazená uživatelem a vyberte některou z dostupných identit.
Poznámka:
Rozevírací seznam zobrazuje pouze identity, které jsou přiřazené k flexibilnímu serveru Azure Database for PostgreSQL. I když se nevyžaduje, abyste zachovali regionální odolnost, vyberte identity spravované uživatelem ve stejné oblasti jako váš server. Pokud má váš server povolenou redundanci geografického zálohování, druhá identita spravovaná uživatelem, která se používá pro přístup k šifrovacímu klíči dat pro geograficky redundantní zálohy, by měla existovat ve spárované oblasti serveru.
Pokud spravovaná identita přiřazená uživatelem, kterou chcete použít pro přístup k šifrovacímu klíči dat, není přiřazená k vašemu Azure Database for PostgreSQL flexibilnímu serveru a neexistuje jako prostředek Azure s odpovídajícím objektem v Microsoft Entra ID, vytvořte ho výběrem možnosti Vytvořit.
Na panelu Vytvořit spravovanou identitu přiřazenou uživatelem zadejte podrobnosti o spravované identitě přiřazené uživatelem, kterou chcete vytvořit, a automaticky ji přiřaďte k flexibilnímu serveru Azure Database for PostgreSQL pro přístup k šifrovacímu klíči dat.
Pokud spravovaná identita přiřazená uživatelem, kterou chcete použít pro přístup k šifrovacímu klíči dat, není přiřazená k vašemu Azure Database for PostgreSQL flexibilnímu serveru, ale existuje jako prostředek Azure s odpovídajícím objektem v Microsoft Entra ID, přiřaďte ji výběrem možnosti Vybrat.
V seznamu spravovaných identit přiřazených uživatelem vyberte ten, který má váš server použít pro přístup k šifrovacímu klíči dat uloženému v Azure Key Vault.
Vyberte Přidat.
Pokud chcete, aby služba automaticky aktualizovala odkaz na nejnovější verzi vybraného klíče, kdykoli se aktuální verze otočí ručně nebo automaticky, vyberte možnost Použít automatickou aktualizaci verze klíče . Informace o výhodách používání automatických aktualizací verzí klíčů najdete v tématu [automatická aktualizace verze klíče](.). /security/security-data-encryption.md##CMK aktualizace verze klíče).
Pokud klíč otočíte a nepovolíte automatickou aktualizaci verze klíče. Nebo pokud chcete použít jiný klíč, aktualizujte flexibilní server služby Azure Database for PostgreSQL tak, aby odkazoval na novou verzi klíče nebo nový klíč. Uděláte to tak, že zkopírujete identifikátor prostředku klíče a vložíte ho do pole Identifikátor klíče .
Pokud má uživatel, který přistupuje k webu Azure Portal, oprávnění pro přístup ke klíči uloženému v úložišti klíčů, můžete použít alternativní přístup k výběru nového klíče nebo nové verze klíče. Uděláte to tak, že v metodě výběru klíče vyberete přepínač Vybrat klíč .
Vyberte „Select key“.
Předplatné se automaticky vyplní názvem předplatného, na kterém se má váš server vytvořit. Úložiště klíčů, které uchovává šifrovací klíč dat, musí existovat ve stejném předplatném jako server.
V části Typ úložiště klíčů vyberte přepínač odpovídající typu úložiště klíčů, do kterého chcete šifrovací klíč dat uložit. V tomto příkladu zvolte Trezor klíčů, ale prostředí je podobné, pokud zvolíte Managed HSM.
Rozbalte trezor klíčů (nebo spravovaný HSM, pokud jste vybrali tento typ úložiště) a vyberte instanci, ve které existuje šifrovací klíč dat.
Poznámka:
Když rozbalíte rozevírací seznam, zobrazí se text Žádné dostupné položky. Trvá několik sekund, než vypíše všechny instance trezoru klíčů, které jsou nasazené ve stejné oblasti jako server.
Rozbalte klíč a vyberte název klíče, který chcete použít pro šifrování dat.
Pokud jste nevybrali možnost Použít automatickou aktualizaci verze klíče, musíte také vybrat konkrétní verzi klíče. Uděláte to tak, že rozbalíte verzi a vyberete identifikátor verze klíče, který chcete použít pro šifrování dat.
Vyberte Vybrat.
Až budete s změnami spokojeni, vyberte Uložit.
