Vom Kunden verwaltete Schlüssel (CMKs) für Microsoft Foundry

Die CMK-Verschlüsselung (Customer Managed Key) in Microsoft Foundry ermöglicht Ihnen die Kontrolle über die Verschlüsselung Ihrer Daten. Verwenden Sie CMKs, um eine zusätzliche Schutzebene hinzuzufügen und die Complianceanforderungen mit Azure Key Vault oder Azure Managed HSM-Integration zu erfüllen.

Microsoft Foundry bietet robuste Verschlüsselungsfunktionen, einschließlich der Möglichkeit, CMKs zu verwenden, die in Key Vault oder verwaltetem HSM gespeichert sind, um Ihre vertraulichen Daten zu schützen. CMK-Verschlüsselung gilt für ruhende Daten, die in den zugeordneten Speicherkonten der Foundry-Ressource gespeichert sind, einschließlich Projektartefakten, hochgeladenen Dateien und Auswertungsdaten.

In diesem Artikel wird erläutert, wie Sie die CMK-Verschlüsselung mithilfe von Key Vault oder verwaltetem HSM für Ihre Foundry-Ressource konfigurieren.

Hinweis

Aufgrund von Kapazitätsbeschränkungen in der zugrunde liegenden Azure KI-Suche Infrastruktur ist die CMK-Verschlüsselung (Customer-Managed Key) derzeit nur in ausgewählten Regionen verfügbar. Eine Liste der unterstützten Regionen finden Sie unter Azure KI-Suche regionale Verfügbarkeit.

Vorteile von CMKs

  • Die Möglichkeit, Ihre eigenen Schlüssel zum Verschlüsseln von Daten im Ruhezustand zu verwenden.
  • Integration in Organisationssicherheits- und Compliancerichtlinien.
  • Die Möglichkeit zum Drehen oder Widerrufen von Schlüsseln zur erweiterten Kontrolle über den Zugriff auf verschlüsselte Daten.

Voraussetzungen

Zum Konfigurieren eines CMK für Foundry benötigen Sie Folgendes:

  • Ein aktives Azure-Abonnement zum Erstellen und Verwalten von Azure Ressourcen.

  • Ein vorhandener Schlüsseltresor oder verwaltetes HSM zum Speichern Ihrer Schlüssel. Diese Anforderungen gelten auch:

    • Stellen Sie den Schlüsselspeicher und die Foundry-Ressource in derselben Azure Region bereit.
    • Aktivieren Sie den Soft-Delete- und Purge-Schutz für den Schlüsselspeicher, um vom Kunden verwaltete Schlüssel vor versehentlichem oder böswilligem Löschen zu schützen (erforderlich von Azure).

    Informationen zum Erstellen eines Schlüsseltresors finden Sie unter Quickstart: Erstellen eines Schlüsseltresors mithilfe des Azure Portals. Informationen zum Erstellen eines verwalteten HSM finden Sie unter Quickstart: Bereitstellen und Aktivieren eines verwalteten HSM mithilfe des Azure-Portals.

  • Eine Konfiguration für verwaltete Identitäten:

  • Schlüsselspeicherberechtigungen:

    • Weisen Sie für Key Vault mit Azure RBAC die rolle Key Vault Crypto User der verwalteten Identität zu.
    • Erteilen Sie für Key Vault mit Tresorzugriffsrichtlinien schlüsselspezifische Berechtigungen für die verwaltete Identität, z. B. unwrapKey und wrapKey.
    • Weisen Sie für Managed HSM die Rolle "Managed HSM Crypto User" der verwalteten Identität im entsprechenden Gültigkeitsbereich zu. Weitere Informationen finden Sie unter Verwaltetes HSM lokale RBAC-eingebaute Rollen.

  • Ausreichende Azure Berechtigungen:

    • Sie benötigen entweder die Rolle „Eigentümer“ oder „Benutzerzugriffsadministrator“ in dem Schlüsseltresor, um RBAC-Rollen zuzuweisen. Bei verwaltetem HSM kann die Rolle des Managed HSM-Administrators lokale RBAC-Rollen zuweisen.
    • Rolle "Beitragender" oder "Besitzer" in der Foundry-Ressource, um Verschlüsselungseinstellungen zu konfigurieren.

Bevor Sie ein CMK konfigurieren, stellen Sie sicher, dass Sie Ihre Ressourcen in einer unterstützten Region bereitstellen. Weitere Informationen zur regionalen Unterstützung von Foundry-Funktionen finden Sie unter Microsoft Foundry-Funktionalitäten in verschiedenen Cloud-Regionen.

Konfigurationen für Schlüsselspeichernetzwerke

Wenn Sie private Netzwerke mit Ihrer Foundry-Ressource verwenden, unterstützt der vom Kunden bereitgestellte Azure Key Vault oder verwaltetes HSM, das die CMK hostt, die folgenden Konfigurationen:

  • Private4 Verbindungspunkt mit aktiviertem „Vertrauenswürdige Microsoft-Dienste zulassen“: Der Schlüsselspeicher verwendet einen privaten Endpunkt für die Konnektivität und ermöglicht auch den Zugriff von vertrauenswürdigen Microsoft-Diensten. Dies ist die empfohlene Konfiguration für Umgebungen, die private Konnektivität erfordern.
  • "Vertrauenswürdige Microsoft-Dienste zulassen" aktiviert (ohne privaten Endpunkt): Der Schlüsselspeicher ermöglicht den Zugriff von vertrauenswürdigen Microsoft-Dienste über den öffentlichen Endpunkt. Aktivieren Sie diese Einstellung, um sicherzustellen, dass die Foundry-Ressource auf den Schlüsselspeicher für Verschlüsselungsvorgänge zugreifen kann.

Informationen zum Konfigurieren des Zugriffs auf vertrauenswürdige Dienste finden Sie unter Configure Azure Key Vault Firewalls und virtuellen Netzwerken oder Managed HSM network security.

Schritte zum Konfigurieren eines CMK

Schritt 1: Erstellen oder Importieren eines Schlüssels im Schlüsselspeicher

So generieren Sie einen Schlüssel in Azure Key Vault:

  1. Im Azure-Portal, wechseln Sie zu Ihrem Schlüsselarchiv.

  2. Wählen Sie unter "Einstellungen" die Option "Schlüssel" aus.

  3. Wählen Sie +Generieren/Importieren aus.

  4. Geben Sie einen Schlüsselnamen ein, wählen Sie den Schlüsseltyp (z. B. RSA oder HSM-gesichert) aus, und konfigurieren Sie die Schlüsselgröße (Mindestens 2048-Bit- und Ablaufdetails).

  5. Wählen Sie "Erstellen" aus, um den neuen Schlüssel zu speichern.

    Der neue Schlüssel wird in der Schlüsselliste angezeigt.

Informationen zum Generieren eines Schlüssels in Azure verwalteten HSM finden Sie unter Create an HSM key.

Beachten Sie die folgenden Überlegungen:

  • Projekte können von Microsoft verwalteten Schlüsseln auf CMKs aktualisiert werden, aber nicht rückgängig gemacht werden.
  • Projekt-CMKs können nur zu Schlüsseln im gleichen Schlüsselspeicher aktualisiert werden.
  • Speicherbezogene Gebühren für die CMK-Verschlüsselung werden während der Aufbewahrung mit vorläufigem Löschen fortgesetzt.

Weitere Informationen finden Sie unter "Informationen zu Schlüsseln".

So importieren Sie einen Schlüssel in Key Vault:

  1. Wechseln Sie in Ihrem Schlüsseltresor zum Abschnitt Schlüssel.

  2. Wählen Sie +Generieren/Importieren aus, und wählen Sie dann die Option "Importieren " aus.

  3. Laden Sie das Schlüsselmaterial hoch, und stellen Sie die erforderlichen Details für die Schlüsselkonfiguration bereit.

  4. Folgen Sie den Anweisungen, um den Importvorgang abzuschließen.

Informationen zum Importieren eines Schlüssels in verwaltetes HSM finden Sie unter Importieren von HSM-geschützten Schlüsseln in verwaltetes HSM.

Schritt 2: Erteilen von Schlüsselspeicherberechtigungen für verwaltete Identitäten

Konfigurieren Sie geeignete Berechtigungen für die vom System zugewiesene oder vom Benutzer zugewiesene verwaltete Identität für den Zugriff auf den Schlüsselspeicher:

Key Vault

  1. Im Azure-Portal, wechseln Sie zu Ihrem Schlüsselarchiv.

  2. Wählen Sie Access Control (IAM) aus.

  3. Wählen Sie +Rollenzuweisung hinzufügen.

  4. Weisen Sie die Rolle „Key Vault Crypto-Benutzer“ der vom System zugewiesenen verwalteten Identität der Foundry-Ressource oder der vom Benutzer zugewiesenen verwalteten Identität zu.

    Die verwaltete Identität wird in der Liste der Rollenzuweisungen für den Schlüsseltresor angezeigt.

Verwaltetes HSM

Verwaltetes HSM verwendet ein separates, lokales RBAC-System von Azure RBAC. Zuweisen von Rollen mithilfe az keyvault role assignment create oder der verwalteten HSM-Datenebene:

  1. Weisen Sie als verwalteter HSM-Administrator die Rolle "Managed HSM Crypto User " der vom System zugewiesenen oder vom Benutzer zugewiesenen verwalteten Identität der Foundry-Ressource zu. Ordnen Sie die Aufgabe dem Schlüssel oder dem passenden Umfang für Ihr Szenario zu.

  2. Überprüfen Sie die Aufgabe mit az keyvault role assignment list.

Weitere Informationen finden Sie unter Verwaltete HSM-Zugriffssteuerung.

Schritt 3: Aktivieren des CMK in Foundry

Sie können CMKs entweder während der Erstellung einer Foundry-Ressource oder durch Aktualisieren einer vorhandenen Ressource aktivieren. Während der Ressourcenerstellung leitet Sie der Assistent dazu an, eine benutzer- oder systemzugewiesene verwaltete Identität zu verwenden. Es führt Sie auch dazu, einen Schlüsseltresor oder ein verwaltetes HSM auszuwählen, in dem Ihr Schlüssel gespeichert ist.

Wenn Sie eine vorhandene Foundry-Ressource aktualisieren, führen Sie die folgenden Schritte aus, um ein CMK zu aktivieren:

  1. Öffnen Sie im portal Azure die Foundry-Ressource.

  2. Wechseln Sie zur Ressourcenverwaltungsverschlüsselung>.

  3. Wählen Sie kundenverwaltete Schlüssel als Verschlüsselungstyp aus.

  4. Geben Sie die Schlüsselspeicher-URL (Schlüsseltresor-URL oder verwaltete HSM-URL) und den Schlüsselnamen ein.

  5. Wählen Sie "Speichern" aus.

Um die Konfiguration zu überprüfen, wechseln Sie zu Ressourcenverwaltung>Verschlüsselung und bestätigen Sie, dass vom Kunden verwaltete Schlüssel als aktiver Verschlüsselungstyp mit dem angezeigten Schlüsselspeicher und dem Schlüsselnamen angezeigt wird.

Tresorzugriff: Azure RBAC im Vergleich zu Tresorzugriffsrichtlinien

Azure Key Vault unterstützt zwei Modelle zum Verwalten von Zugriffsberechtigungen:

  • Azure RBAC (empfohlen):

    • Stellt die zentrale Zugriffssteuerung mithilfe von Microsoft Entra Rollen bereit.
    • Vereinfacht die Berechtigungsverwaltung für Ressourcen über Azure hinweg.
    • Erfordert die rolle "Key Vault Crypto User".

  • Tresorzugriffsrichtlinien:

    • Ermöglichen Sie eine präzise Zugriffssteuerung speziell für Key Vault Ressourcen.
    • Eignen sich für Konfigurationen, bei denen legacy- oder isolierte Berechtigungseinstellungen erforderlich sind.

Wählen Sie das Modell aus, das den Anforderungen Ihrer Organisation entspricht. Verwenden Sie für neue Bereitstellungen Azure RBAC. Verwenden Sie Tresorzugriffsrichtlinien nur, wenn vorhandene Organisationsanforderungen diese mandatieren.

Azure Managed HSM verwendet ein eigenes lokales RBAC-System, das von Azure RBAC getrennt ist. Weisen Sie für verwaltetes HSM die Rolle "Managed HSM Crypto User" der verwalteten Identität zu. Weitere Informationen finden Sie unter Verwaltetes HSM lokale RBAC-eingebaute Rollen.

Überwachen und Rotieren von Schlüsseln

Um optimale Sicherheit und Compliance zu gewährleisten, implementieren Sie die folgenden Methoden:

  • Enable diagnostics: Überwachen Sie die Schlüsselverwendung und Zugriffsaktivität, indem Sie die Diagnoseprotokollierung in Azure Monitor oder Log Analytics für Ihren Schlüsseltresor oder verwaltetes HSM aktivieren.
  • Regelmäßiges Drehen von Schlüsseln: Erstellen Sie regelmäßig eine neue Version Ihres Schlüssels in Ihrem Schlüsselspeicher. Aktualisieren Sie die Foundry-Ressource, um auf die neueste Schlüsselversion in den Verschlüsselungseinstellungen zu verweisen.
  • Verständnis der Auswirkungen der Schlüsselwiderrufung: Wenn Sie ein CMK widerrufen oder löschen, sind die mit diesem Schlüssel verschlüsselten Daten nicht zugänglich, bis der Schlüssel wiederhergestellt wird. Löschen Sie den Schlüsselspeicher oder die Schlüsselversion nicht, ohne zuerst zu überprüfen, ob die Daten nicht mehr benötigt werden.

Problembehandlung

Problem Auflösung
403 Verboten beim Aktivieren von CMK Prüfen Sie für Key Vault, ob die verwaltete Identität über die Key Vault Crypto User-Rolle (RBAC) oder die Berechtigungen unwrapKey und wrapKey (Tresorzugriffsrichtlinien) verfügt. Überprüfen Sie für Managed HSM, ob die verwaltete Identität über die Rolle "Managed HSM Crypto User" im entsprechenden Bereich verfügt.
Schlüsselspeicher nicht gefunden Vergewissern Sie sich, dass sich der Schlüsseltresor oder das verwaltete HSM in derselben Azure-Region wie die Foundry-Ressource befindet.
Schlüsselversion wird nicht unterstützt Verwenden Sie einen RSA-Schlüssel mit einer Mindestgröße von 2048 Bit.
Daten, auf die nach der Sperrung des Schlüssels nicht zugegriffen werden kann Stellen Sie die Schlüsselversion in Ihrem Schlüsselspeicher wieder her. Auf Daten kann nicht zugegriffen werden, bis der Schlüssel wiederhergestellt wird. Wenden Sie sich an Azure-Support, wenn der Schlüsselspeicher gelöscht wurde.

Verwandte Inhalte

  • Last updated on