Konfigurace klíčů spravovaných zákazníkem v rámci stejného nájemce pro již existující účet úložiště

Azure Storage šifruje všechna data uložená v klidu v účtu úložiště. Ve výchozím nastavení se data šifrují pomocí klíčů spravovaných Microsoftem. Pokud chcete mít větší kontrolu nad šifrovacími klíči, můžete spravovat vlastní klíče. Klíče spravované zákazníkem musí být uložené ve službě Azure Key Vault nebo ve spravovaném modelu hardwarového zabezpečení služby Key Vault (HSM).

Tento článek ukazuje, jak nakonfigurovat šifrování pomocí klíčů spravovaných zákazníkem pro existující účet úložiště, když jsou účet úložiště a trezor klíčů ve stejném tenantovi. Klíče spravované zákazníkem jsou uložené v trezoru klíčů.

Informace o konfiguraci klíčů spravovaných zákazníkem pro nový účet úložiště najdete v tématu Konfigurace klíčů spravovaných zákazníkem v trezoru klíčů Azure pro nový účet úložiště.

Informace o konfiguraci šifrování pomocí klíčů spravovaných zákazníkem uložených ve spravovaném HSM najdete v tématu Konfigurace šifrování pomocí klíčů spravovaných zákazníkem uložených ve spravovaném HSM služby Azure Key Vault.

Poznámka

Azure Key Vault a Azure Key Vault Managed HSM podporují stejná rozhraní API a správcovská rozhraní pro konfiguraci zákazníkem spravovaných klíčů. Všechny akce podporované pro Azure Key Vault se podporují také pro spravovaný HSM služby Azure Key Vault.

Konfigurace trezoru klíčů

K ukládání klíčů spravovaných zákazníkem můžete použít nový nebo existující trezor klíčů. Účet úložiště a trezor klíčů můžou být v různých oblastech nebo předplatných ve stejném tenantu. Další informace o službě Azure Key Vault najdete v tématu Přehled služby Azure Key Vault a co je Azure Key Vault?

Použití klíčů spravovaných zákazníkem s šifrováním služby Azure Storage vyžaduje, aby pro trezor klíčů byla povolena ochrana obnovitelného odstranění i vymazání. Soft delete je ve výchozím nastavení povolené při vytváření nového key vaultu a nedá se zakázat. Ochranu před vymazáním můžete povolit buď při vytváření trezoru klíčů, nebo po jeho vytvoření.

Azure Key Vault podporuje autorizaci s Azure RBAC prostřednictvím modelu oprávnění Azure RBAC. Microsoft doporučuje používat model oprávnění Azure RBAC místo zásad přístupu trezoru klíčů. Další informace najdete v tématu Udělení oprávnění aplikacím pro přístup k trezoru klíčů Azure pomocí Azure RBAC.

Azure Portal

Informace o vytvoření trezoru klíčů pomocí webu Azure Portal najdete v tématu Rychlý start: Vytvoření trezoru klíčů pomocí webu Azure Portal. Při vytváření trezoru klíčů vyberte Povolit ochranu před vymazáním, jak je znázorněno na následujícím obrázku.

Pokud chcete u existujícího trezoru klíčů povolit ochranu před vymazáním, postupujte takto:

1. Na webu Azure Portal přejděte ke svému trezoru klíčů.
2. V části Nastavení zvolte Vlastnosti.
3. V části Ochrana před smazáním zvolte Povolit ochranu před smazáním.

PowerShell

Pokud chcete vytvořit nový trezor klíčů pomocí PowerShellu, nainstalujte verzi 2.0.0 nebo novější modulu Az.KeyVault PowerShellu. Potom zavolejte New-AzKeyVault a vytvořte nový trezor klíčů. Ve verzi 2.0.0 a novějších modulu Az.KeyVault je ve výchozím nastavení povoleno měkké odstranění při vytváření nového trezoru klíčů.

Následující příklad vytvoří nové úložiště klíčů s povoleným měkkým odstraněním a ochranou před vymazáním. Model oprávnění trezoru klíčů je nastavený tak, aby používal Azure RBAC. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

$rgName = "<resource_group>"
$location = "<location>"
$kvName = "<key-vault>"

$keyVault = New-AzKeyVault -Name $kvName `
    -ResourceGroupName $rgName `
    -Location $location `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Informace o povolení ochrany před vymazáním v existujícím trezoru klíčů pomocí PowerShellu najdete v přehledu obnovení služby Azure Key Vault.

Po vytvoření trezoru klíčů budete muset sami sobě přiřadit roli kryptografického důstojníka služby Key Vault . Tato role umožňuje vytvořit klíč v trezoru klíčů. Následující příklad přiřadí tuto roli uživateli v rámci trezoru klíčů.

New-AzRoleAssignment -SignInName "<user-email>" `
    -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $keyVault.ResourceId

Další informace o přiřazování role RBAC pomocí PowerShellu najdete v tématu Přiřazení rolí Azure pomocí Azure PowerShellu.

Azure CLI

Pokud chcete vytvořit nový trezor klíčů pomocí Azure CLI, zavolejte az keyvault create. Následující příklad vytvoří nové úložiště klíčů s povoleným měkkým odstraněním a ochranou před vymazáním. Model oprávnění trezoru klíčů je nastavený tak, aby používal Azure RBAC. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

rgName="<resource_group>"
location="<location>"
kvName="<key-vault>"

az keyvault create \
    --name $kvName \
    --resource-group $rgName \
    --location $location \
    --enable-purge-protection \
    --enable-rbac-authorization

Informace o povolení ochrany před vymazáním existujícího trezoru klíčů pomocí Azure CLI najdete v přehledu obnovení služby Azure Key Vault.

Po vytvoření trezoru klíčů budete muset sami sobě přiřadit roli kryptografického důstojníka služby Key Vault . Tato role umožňuje vytvořit klíč v trezoru klíčů. Následující příklad přiřadí tuto roli uživateli v rámci trezoru klíčů.

kvResourceId=$(az keyvault show --resource-group $rgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --assignee "<user-email>" \
    --role "Key Vault Crypto Officer" \
    --scope $kvResourceId

Další informace o přiřazení role RBAC pomocí Azure CLI najdete v tématu Přiřazení rolí Azure pomocí Azure CLI.

Přidání klíče

Dále přidejte klíč do trezoru klíčů. Než klíč přidáte, ujistěte se, že jste si přiřadili roli kryptografického důstojníka služby Key Vault .

Šifrování Azure Storage podporuje RSA a RSA-HSM klíče velikosti 2048, 3072 a 4096. Další informace o podporovaných typech klíčů najdete v tématu O klíčích.

Azure Portal

Informace o tom, jak přidat klíč pomocí webu Azure Portal, najdete v tématu Rychlý start: Nastavení a načtení klíče ze služby Azure Key Vault pomocí webu Azure Portal.

PowerShell

Pokud chcete přidat klíč pomocí PowerShellu, zavolejte Add-AzKeyVaultKey. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

$keyName = "<key-name>"

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName `
    -Name $keyName `
    -Destination 'Software'

Azure CLI

Pokud chcete přidat klíč pomocí Azure CLI, zavolejte az keyvault key create. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

keyName="<key-name>"

az keyvault key create \
    --name $keyName \
    --vault-name $kvName

Volba spravované identity pro autorizaci přístupu k trezoru klíčů

Když povolíte klíče spravované zákazníkem pro existující účet úložiště, musíte zadat spravovanou identitu, která se má použít k autorizaci přístupu k trezoru klíčů, který tento klíč obsahuje. Spravovaná identita musí mít oprávnění pro přístup k klíči v trezoru klíčů.

Spravovaná identita, která autorizuje přístup k trezoru klíčů, může být spravovaná identita přiřazená uživatelem nebo spravovaná identita přiřazená systémem. Další informace o systémově přiřazených a uživatelem přiřazených spravovaných identitách najdete v tématu Typy spravovaných identit.

Použití spravované identity přiřazené uživatelem k autorizaci přístupu

Když povolíte klíče spravované zákazníkem pro nový účet úložiště, musíte zadat spravovanou identitu přiřazenou uživatelem. Existující účet úložiště podporuje použití spravované identity přiřazené uživatelem nebo spravované identity přiřazené systémem ke konfiguraci klíčů spravovaných zákazníkem.

Když nakonfigurujete klíče spravované zákazníkem pomocí spravované identity přiřazené uživatelem, použije se spravovaná identita přiřazená uživatelem k autorizaci přístupu k trezoru klíčů, který tento klíč obsahuje. Před konfigurací klíčů spravovaných zákazníkem musíte vytvořit identitu přiřazenou uživatelem.

Spravovaná identita přiřazená uživatelem je samostatný prostředek Azure. Další informace o spravovaných identitách přiřazených uživatelem najdete v tématu Typy spravovaných identit. Informace o vytváření a správě spravované identity přiřazené uživatelem najdete v tématu Správa spravovaných identit přiřazených uživatelem.

Spravovaná identita přiřazená uživatelem musí mít oprávnění pro přístup k klíči v trezoru klíčů. Přiřaďte roli Key Vault Crypto Service Encryption User uživatelsky přiřazené spravované identitě v rámci trezoru klíčů, aby byly uděleny tyto oprávnění.

Azure Portal

Než budete moci nakonfigurovat klíče spravované zákazníkem s použitím spravované identity přiřazené uživatelem, musíte této identitě přiřadit roli uživatelem přiřazeného uživatele šifrovací služby Key Vault, a to v rozsahu pro trezor klíčů. Tato role uděluje oprávnění spravované identity přiřazené uživatelem pro přístup k klíči v trezoru klíčů. Další informace o přiřazování rolí Azure RBAC pomocí webu Azure Portal najdete v tématu Přiřazení rolí Azure pomocí webu Azure Portal.

Při konfiguraci klíčů spravovaných zákazníkem pomocí webu Azure Portal můžete vybrat existující identitu přiřazenou uživatelem prostřednictvím uživatelského rozhraní portálu.

PowerShell

Následující příklad ukazuje, jak načíst spravovanou identitu přiřazenou uživatelem a přiřadit k ní požadovanou roli RBAC s vymezeným trezorem klíčů. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech:

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> `
    -ResourceGroupName $rgName

$principalId = $userIdentity.PrincipalId

New-AzRoleAssignment -ObjectId $principalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

Azure CLI

Následující příklad ukazuje, jak načíst spravovanou identitu přiřazenou uživatelem a přiřadit k ní požadovanou roli RBAC s vymezeným trezorem klíčů. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech:

identityResourceId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query id \
    --output tsv)

principalId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-principal-type ServicePrincipal

Použití spravované identity přiřazené systémem k autorizaci přístupu

Spravovaná identita přiřazená systémem je přidružená k instanci služby Azure, v tomto případě k účtu Azure Storage. Před použitím spravované identity přiřazené systémem musíte k účtu úložiště explicitně přiřadit spravovanou identitu přiřazenou systémem k autorizaci přístupu k trezoru klíčů, který obsahuje klíč spravovaný zákazníkem.

K autorizaci přístupu k trezoru klíčů můžou použít pouze existující účty úložiště identitu přiřazenou systémem. Nové účty úložiště musí používat identitu přiřazenou uživatelem, pokud jsou klíče spravované zákazníkem nakonfigurované při vytváření účtu.

Spravovaná identita přiřazená systémem musí mít oprávnění pro přístup k klíči v trezoru klíčů. Přiřaďte roli uživatele šifrování šifrovací služby Key Vault spravované identitě přiřazené systémem s oborem trezoru klíčů, aby bylo možné udělit tato oprávnění.

Azure Portal

Předtím, než můžete nakonfigurovat klíče spravované zákazníkem se systémem přidělenou spravovanou identitou, musíte této identitě přiřadit roli uživatele šifrování služby Key Vault Crypto v rámci trezoru klíčů. Tato role uděluje oprávnění spravované identity přiřazené systémem pro přístup ke klíči v trezoru klíčů. Další informace o přiřazování rolí Azure RBAC pomocí webu Azure Portal najdete v tématu Přiřazení rolí Azure pomocí webu Azure Portal.

Když nakonfigurujete klíče spravované zákazníkem pomocí Azure portálu se systémem přiřazenou spravovanou identitou, je spravovaná identita přiřazena k účtu úložiště automaticky za vás.

PowerShell

Pokud chcete přiřadit spravovanou identitu přiřazenou systémem k vašemu účtu úložiště, nejprve zavolejte Set-AzStorageAccount:

$accountName = "<storage-account>"

$storageAccount = Set-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -AssignIdentity

Dále přiřaďte systémem přiřazené spravované identitě požadovanou roli RBAC s rozsahem vymezeným pro trezor klíčů. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech:

$principalId = $storageAccount.Identity.PrincipalId

New-AzRoleAssignment -ObjectId $storageAccount.Identity.PrincipalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

Azure CLI

Pokud chcete ověřit přístup k trezoru klíčů pomocí spravované identity přiřazené systémem, nejprve přiřaďte spravovanou identitu přiřazenou systémem k účtu úložiště voláním příkazu az storage account update:

accountName="<storage-account>"

az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --assign-identity

Dále přiřaďte systémem přiřazené spravované identitě požadovanou roli RBAC s rozsahem vymezeným pro trezor klíčů. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech:

principalId=$(az storage account show --name $accountName \
    --resource-group $rgName \
    --query identity.principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId

Konfigurace klíčů spravovaných zákazníkem pro existující účet

Když nakonfigurujete šifrování pomocí klíčů spravovaných zákazníkem pro existující účet úložiště, můžete zvolit automatickou aktualizaci verze klíče používané pro šifrování služby Azure Storage vždy, když je v přidruženém trezoru klíčů dostupná nová verze. Alternativně můžete explicitně zadat verzi klíče, která se má použít pro šifrování, dokud se verze klíče neaktualizuje ručně.

Když se změní verze klíče bez ohledu na to, jestli se automaticky nebo ručně, změní se ochrana kořenového šifrovacího klíče, ale data ve vašem účtu Azure Storage zůstanou zašifrovaná vždy. Na vaší straně není potřeba žádná další akce, která zajistí, že jsou vaše data chráněná. Rotace verze klíče nemá vliv na výkon. S rotací klíčové verze nejsou spojeny žádné prostoje.

Když konfigurujete klíče spravované zákazníkem pro existující účet úložiště, můžete k autorizaci přístupu do úložiště klíčů použít buď spravovanou identitu přiřazenou systémem, nebo spravovanou identitu přiřazenou uživatelem.

Poznámka

Pokud chcete klíč otočit, vytvořte novou verzi klíče ve službě Azure Key Vault. Azure Storage nezpracuje obměnu klíčů, takže budete muset spravovat obměnu klíče v trezoru klíčů. V Azure Key Vaultu můžete nakonfigurovat automatické otáčení klíče nebo otočení klíče ručně.

Konfigurace šifrování pro automatickou aktualizaci verzí klíčů

Azure Storage může automaticky aktualizovat klíč spravovaný zákazníkem, který se používá k šifrování, aby používal nejnovější verzi klíče z trezoru klíčů. Azure Storage denně kontroluje novou verzi klíče v trezoru klíčů. Jakmile bude k dispozici nová verze, azure Storage automaticky začne používat nejnovější verzi klíče pro šifrování.

Důležité

Azure Storage kontroluje trezor klíčů pro novou verzi klíče jen jednou denně. Při otočení klíče nezapomeňte před zakázáním starší verze počkat 24 hodin.

Azure Portal

Pokud chcete nakonfigurovat klíče spravované zákazníkem pro existující účet s automatickou aktualizací verze klíče na webu Azure Portal, postupujte následovně:

1. Přejděte ke svému účtu úložiště.

2. V části Zabezpečení a sítě vyberte Šifrování. Ve výchozím nastavení je správa klíčů nastavená na Microsoft-Managed Keys, jak je znázorněno na následujícím obrázku.

   

3. Vyberte možnost Klíče spravované zákazníkem. Pokud byl účet dříve nakonfigurován pro Customer-Managed Keys s ruční aktualizací verze klíče, vyberte možnost Změnit klíč na spodní části stránky.

4. Zvolte možnost Vybrat ze služby Key Vault .

5. Vyberte trezor klíčů a klíč.

6. Vyberte trezor klíčů obsahující klíč, který chcete použít. Můžete také vytvořit nový trezor klíčů.

7. Vyberte klíč z trezoru klíčů. Můžete také vytvořit nový klíč.

   

8. Vyberte typ identity, který se má použít k ověření přístupu k trezoru klíčů. Mezi možnosti patří systémově přiřazený (výchozí) nebo přiřazený uživatelem. Další informace o jednotlivých typech spravované identity najdete v tématu Typy spravovaných identit.

   1. Pokud vyberete systémově přiřazenou spravovanou identitu účtu úložiště, systém automaticky vytvoří tuto identitu, pokud ještě neexistuje.
   2. Pokud vyberete Uživatelem přiřazené, musíte vybrat existující identitu přiřazenou uživatelem, která má oprávnění pro přístup k trezoru klíčů. Informace o vytvoření identity přiřazené uživatelem najdete v tématu Správa spravovaných identit přiřazených uživatelem.

   

9. Uložte provedené změny.

Jakmile klíč zadáte, Azure Portal indikuje, že je povolená automatická aktualizace verze klíče a zobrazuje verzi klíče, která se aktuálně používá k šifrování. Portál také zobrazuje typ spravované identity, který se používá k autorizaci přístupu k trezoru klíčů, a ID principálu pro spravovanou identitu.

PowerShell

Pokud chcete nakonfigurovat klíče spravované zákazníkem pro existující účet s automatickou aktualizací verze klíče pomocí PowerShellu, nainstalujte modul Az.Storage verze 2.0.0 nebo novější.

Potom zavolejte Set-AzStorageAccount a aktualizujte nastavení šifrování účtu úložiště. Zahrňte parametr KeyvaultEncryption pro povolení klíčů spravovaných zákazníkem pro účet úložiště a nastavte KeyVersion na prázdný text tak, aby se povolila automatická aktualizace verze klíče. Pokud byl účet úložiště dříve nakonfigurován pro klíče spravované zákazníkem s konkrétní verzí klíče, nastaví-li se verze klíče na prázdný řetězec, umožní to automatickou aktualizaci verze klíče do budoucna.

$accountName = "<storage-account>"

# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion "" `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -KeyvaultEncryption `
    -KeyName $key.Name `
    -KeyVersion "" `
    -KeyVaultUri $keyVault.VaultUri

Azure CLI

Pokud chcete nakonfigurovat klíče spravované zákazníkem pro existující účet s automatickou aktualizací verze klíče pomocí Azure CLI, nainstalujte Azure CLI verze 2.4.0 nebo novější. Další informace najdete v tématu Instalace Azure CLI.

Dále zavolejte az storage account update a aktualizujte nastavení šifrování účtu úložiště. --encryption-key-source Zahrňte parametr a nastavte ho na Microsoft.Keyvault povolení klíčů spravovaných zákazníkem pro účet a nastavte encryption-key-version ho na prázdný řetězec, aby se povolila automatická aktualizace verze klíče. Pokud byl účet úložiště dříve nakonfigurován pro klíče spravované zákazníkem s konkrétní verzí klíče, nastaví-li se verze klíče na prázdný řetězec, umožní to automatickou aktualizaci verze klíče do budoucna.

accountName="<storage-account>"

keyVaultUri=$(az keyvault show \
    --name $kvName \
    --resource-group $rgName \
    --query properties.vaultUri \
    --output tsv)

# Use this form of the command with a user-assigned managed identity.
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-name $keyName \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri \
    --key-vault-user-identity-id $identityResourceId

# Use this form of the command with a system-assigned managed identity.
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --encryption-key-name $keyName \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri

Konfigurace šifrování pro ruční aktualizaci verzí klíčů

Pokud dáváte přednost ruční aktualizaci verze klíče, pak explicitně zadejte verzi v době, kdy nakonfigurujete šifrování pomocí klíčů spravovaných zákazníkem. V takovém případě Azure Storage při vytvoření nové verze v trezoru klíčů automaticky neaktualizuje verzi klíče. Pokud chcete použít novou verzi klíče, musíte ručně aktualizovat verzi používanou pro šifrování služby Azure Storage.

Azure Portal

Pokud chcete nakonfigurovat klíče spravované zákazníkem s ruční aktualizací verze klíče na webu Azure Portal, zadejte identifikátor URI klíče včetně verze. Chcete-li zadat klíč jako identifikátor URI, postupujte takto:

1. Pokud chcete najít identifikátor URI klíče na webu Azure Portal, přejděte do trezoru klíčů a vyberte nastavení Klíče . Vyberte požadovaný klíč a pak zvolte možnost pro zobrazení jeho verzí. Výběrem verze klíče zobrazíte nastavení pro danou verzi.

2. Zkopírujte hodnotu pole Identifikátor klíče , které poskytuje identifikátor URI.

   

3. V nastavení šifrovacího klíče pro váš účet úložiště zvolte možnost Zadat identifikátor URI klíče .

4. Vložte identifikátor URI, který jste zkopírovali do pole Identifikátor URI klíče . Vynechte verzi klíče z URI, aby se umožnila automatická aktualizace verze klíče.

   

5. Zadejte předplatné, které obsahuje trezor klíčů.

6. Zadejte spravovanou identitu přiřazenou systémem nebo přiřazenou uživatelem.

7. Uložte provedené změny.

PowerShell

Pokud chcete nakonfigurovat klíče spravované zákazníkem s ruční aktualizací verze klíče, při konfiguraci šifrování pro účet úložiště explicitně zadejte verzi klíče. Zavolejte Set-AzStorageAccount k aktualizaci nastavení šifrování účtu úložiště, jak ukazuje následující příklad, a zahrňte možnost -KeyvaultEncryption pro povolení klíčů spravovaných zákazníkem pro účet úložiště.

Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

$accountName = "<storage-account>"

# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version

Když ručně aktualizujete verzi klíče, musíte aktualizovat nastavení šifrování účtu úložiště tak, aby používala novou verzi. Nejprve zavolejte Get-AzKeyVaultKey a získejte nejnovější verzi klíče. Potom zavolejte Set-AzStorageAccount a aktualizujte nastavení šifrování účtu úložiště tak, aby používala novou verzi klíče, jak je znázorněno v předchozím příkladu.

Azure CLI

Pokud chcete nakonfigurovat klíče spravované zákazníkem s ruční aktualizací verze klíče, při konfiguraci šifrování pro účet úložiště explicitně zadejte verzi klíče. Voláním příkazu az storage account update aktualizujte nastavení šifrování účtu úložiště, jak je znázorněno v následujícím příkladu. Zahrňte parametr --encryption-key-source a nastavte ho na Microsoft.Keyvault pro povolení klíčů řízených zákazníkem pro účet.

Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami.

accountName="<storage-account>"

keyVaultUri=$(az keyvault show \
    --name $kvName \
    --resource-group $rgName \
    --query properties.vaultUri \
    --output tsv)

keyVersion=$(az keyvault key list-versions \
    --name $keyName \
    --vault-name $kvName \
    --query [-1].kid \
    --output tsv | cut -d '/' -f 6)

# Use this form of the command with a user-assigned managed identity
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-name $keyName \
    --encryption-key-version $keyVersion \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri \
    --key-vault-user-identity-id $identityResourceId

# Use this form of the command with a system-assigned managed identity
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --encryption-key-name $keyName \
    --encryption-key-version $keyVersion \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri

Když ručně aktualizujete verzi klíče, musíte aktualizovat nastavení šifrování účtu úložiště tak, aby používala novou verzi. Nejprve se dotazujte na identifikátor URI trezoru klíčů voláním příkazu az keyvault show a verze klíče voláním příkazu az keyvault key list-versions. Potom zavolejte az storage account update a aktualizujte nastavení šifrování účtu úložiště tak, aby používala novou verzi klíče, jak je znázorněno v předchozím příkladu.

Změna klíče

Klíč, který používáte pro šifrování Azure Storage, můžete kdykoli změnit.

Poznámka

Když změníte klíč nebo verzi klíče, ochrana kořenového šifrovacího klíče se změní, ale data ve vašem účtu Azure Storage zůstanou zašifrovaná vždy. Na vaší straně není nutná žádná další akce, která zajistí, že jsou vaše data chráněná. Změna klíče nebo otočení verze klíče nemá vliv na výkon. Nedochází k žádnému výpadku při změně klíče nebo obměně jeho verze.

Azure Portal

Pokud chcete změnit klíč pomocí webu Azure Portal, postupujte takto:

1. Přejděte do svého účtu úložiště a zobrazte nastavení šifrování .
2. Vyberte trezor klíčů a zvolte nový klíč.
3. Uložte provedené změny.

PowerShell

Pokud chcete změnit klíč pomocí PowerShellu, zavolejte Set-AzStorageAccount a zadejte název a verzi nového klíče. Pokud je nový klíč v jiném trezoru klíčů, musíte také aktualizovat identifikátor URI trezoru klíčů.

Azure CLI

Pokud chcete změnit klíč pomocí Azure CLI, zavolejte az storage account update a zadejte název a verzi nového klíče. Pokud je nový klíč v jiném trezoru klíčů, musíte také aktualizovat identifikátor URI trezoru klíčů.

Pokud je nový klíč v jiném trezoru klíčů, musíte spravované identitě udělit přístup k klíči v novém trezoru. Pokud se rozhodnete pro ruční aktualizaci verze klíče, musíte také aktualizovat identifikátor URI trezoru klíčů.

Odvolání přístupu k účtu úložiště, který používá klíče spravované zákazníkem

Pokud chcete dočasně odvolat přístup k účtu úložiště, který používá klíče spravované zákazníkem, zakažte klíč, který se aktuálně používá v trezoru klíčů. Zakázání a opětovné povolení klíče nemá žádný dopad na výkon ani nezpůsobuje žádný výpadek.

Po zakázání klíče nemůžou klienti volat operace, které čtou nebo zapisují do objektu blob nebo do jeho metadat. Informace o tom, které operace selžou, najdete v tématu Odvolání přístupu k účtu úložiště, který používá klíče spravované zákazníkem.

Pozor

Když klíč v trezoru klíčů zakážete, data ve vašem účtu Azure Storage zůstanou zašifrovaná, ale budou nepřístupná, dokud klíč znovu neschováte.

Azure Portal

Pokud chcete pomocí webu Azure Portal zakázat klíč spravovaný zákazníkem, postupujte takto:

1. Přejděte do trezoru klíčů, který tento klíč obsahuje.

2. V části Objekty vyberte Klíče.

3. Klikněte pravým tlačítkem myši na klíč a vyberte Zakázat.

   

PowerShell

Pokud chcete odvolat klíč spravovaný zákazníkem pomocí PowerShellu, zavolejte příkaz Update-AzKeyVaultKey , jak je znázorněno v následujícím příkladu. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami k definování proměnných nebo použít proměnné definované v předchozích příkladech.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Azure CLI

Pokud chcete odvolat klíč spravovaný zákazníkem pomocí Azure CLI, zavolejte příkaz az keyvault key set-attributes , jak je znázorněno v následujícím příkladu. Nezapomeňte nahradit zástupné hodnoty v hranatých závorkách vlastními hodnotami k definování proměnných nebo použít proměnné definované v předchozích příkladech.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Přepnutí zpět na klíče spravované Microsoftem

Klíče spravované zákazníkem můžete kdykoli přepnout zpět na klíče spravované Microsoftem pomocí webu Azure Portal, PowerShellu nebo Azure CLI.

Azure Portal

Pokud chcete přejít z klíčů spravovaných zákazníkem zpět na klíče spravované Microsoftem na webu Azure Portal, postupujte takto:

1. Přejděte ke svému účtu úložiště.

2. V části Zabezpečení a sítě vyberte Šifrování.

3. Změňte typ šifrování na klíče spravované Microsoftem.

   

PowerShell

Pokud chcete přepnout z klíčů spravovaných zákazníkem zpět na klíče spravované Microsoftem pomocí PowerShellu, zavolejte Set-AzStorageAccount s -StorageEncryption možností, jak je znázorněno v následujícím příkladu. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Azure CLI

Pokud chcete přepnout z klíčů spravovaných zákazníkem zpět na klíče spravované Microsoftem pomocí Azure CLI, zavolejte az storage account update a nastavte --encryption-key-source parameter na hodnotu Microsoft.Storage, jak je znázorněno v následujícím příkladu. Nezapomeňte nahradit zástupné hodnoty v závorkách vlastními hodnotami a použít proměnné definované v předchozích příkladech.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage

Další kroky

• Šifrování služby Azure Storage pro neaktivní uložená data
• Klíče spravované zákazníkem pro šifrování služby Azure Storage
• Konfigurace klíčů spravovaných zákazníkem v trezoru klíčů Azure pro nový účet úložiště