Ereignisse
31. März, 23 Uhr - 2. Apr., 23 Uhr
Das größte Fabric-, Power BI- und SQL-Lernereignis. 31. März – 2. April. Verwenden Sie Code FABINSIDER, um $400 zu sparen.
Jetzt registrierenDieser Browser wird nicht mehr unterstützt.
Führen Sie ein Upgrade auf Microsoft Edge durch, um die neuesten Features, Sicherheitsupdates und den technischen Support zu nutzen.
Sie können Ihren eigenen Verschlüsselungsschlüssel verwenden, um die Daten Ihres Speicherkontos zu schützen. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, wird dieser zum Schützen und Steuern des Zugriffs auf den Schlüssel verwendet, mit dem Ihre Daten verschlüsselt werden. Vom Kunden verwaltete Schlüssel ermöglichen eine höhere Flexibilität bei der Verwaltung von Zugriffssteuerungen.
Sie müssen einen der folgenden Azure-Schlüsselspeicher verwenden, um Ihre kundenseitig verwalteten Schlüssel zu speichern:
Sie können entweder Ihre eigenen Schlüssel erstellen und im Schlüsseltresor oder im verwalteten HSM speichern, oder Sie können mit den Azure Key Vault-APIs Schlüssel generieren. Das Speicherkonto und der Schlüsseltresor oder das verwaltete HSM können sich in verschiedenen Microsoft Entra-Mandanten, -Regionen und -Abonnements befinden.
Hinweis
Azure Key Vault und über Azure Key Vault verwaltete HSMs unterstützen dieselben APIs und Verwaltungsschnittstellen für die Konfiguration kundenseitig verwalteter Schlüssel. Jede Aktion, die für Azure Key Vault unterstützt wird, wird auch für ein über Azure Key Vault verwaltetes HSM unterstützt.
Das folgende Diagramm zeigt, wie Azure Storage Microsoft Entra ID und einen Schlüsseltresor oder ein verwaltetes HSM verwendet, um Anforderungen mit dem vom Kunden verwalteten Schlüssel zu stellen:
In der folgenden Liste werden die nummerierten Schritte im Diagramm erläutert:
Die dem Speicherkonto zugeordnete verwaltete Identität muss mindestens über diese Berechtigungen verfügen, um in Azure Key Vault auf einen kundenseitig verwalteten Schlüssel zugreifen zu können:
Weitere Informationen zu Schlüsselberechtigungen finden Sie unter Schlüsseltypen, Algorithmen und Vorgänge.
Azure Policy bietet eine integrierte Richtlinie, die erfordert, dass Speicherkonten kundenseitig verwaltete Schlüssel für Blob Storage und Azure Files-Workloads verwenden. Weitere Informationen finden Sie in Integrierte Azure Policy-Richtliniendefinitionen im Abschnitt Speicher.
In Queue Storage und Table Storage gespeicherte Daten werden nicht automatisch durch einen kundenseitig verwalteten Schlüssel geschützt, wenn Schlüssel dieser Art für das Speicherkonto aktiviert wurden. Sie können diese Dienste optional beim Erstellen des Speicherkontos konfigurieren, um sie in diese Schutzmaßnahme einzubeziehen.
Weitere Informationen zur Erstellung eines Speicherkontos, für das vom Kunden verwaltete Schlüssel für Warteschlangen und Tabellen unterstützt werden, finden Sie unter Erstellen eines Kontos, das kundenseitig verwaltete Schlüssel für Tabellen und Warteschlangen unterstützt.
Daten in Blob Storage und Azure Files sind immer durch kundenseitig verwaltete Schlüssel geschützt, wenn diese für das Speicherkonto konfiguriert werden.
Wenn Sie kundenseitig verwaltete Schlüssel für ein Speicherkonto konfigurieren, umschließt Azure Storage den Stammdaten-Verschlüsselungsschlüssel für das Konto im zugeordneten Schlüsseltresor oder im verwalteten HSM mit dem kundenseitig verwalteten Schlüssel. Der Schutz des Stammverschlüsselungsschlüssels ändert sich, aber die Daten in Ihrem Azure Storage-Konto bleiben jederzeit verschlüsselt. Es sind keine zusätzlichen Maßnahmen Ihrerseits erforderlich, um sicherzustellen, dass Ihre Daten weiterhin verschlüsselt sind. Der Schutz durch kundenseitig verwaltete Schlüssel wird sofort wirksam.
Sie können jederzeit zwischen kundenseitig verwalteten Schlüsseln und von Microsoft verwalteten Schlüsseln wechseln. Weitere Informationen zu von Microsoft verwalteten Schlüsseln finden Sie unter Informationen zur Verwaltung von Verschlüsselungsschlüsseln.
Für den Schlüsseltresor oder das verwaltete HSM, in dem der Schlüssel gespeichert wird, muss sowohl vorläufiges Löschen als auch der Löschschutz aktiviert sein. Die Azure Storage-Verschlüsselung unterstützt RSA- und RSA-HSM-Schlüssel mit einer Größe von 2.048, 3.072 und 4.096 Bit. Weitere Informationen über Schlüssel finden Sie unter Informationen zu Schlüsseln.
Die Verwendung eines Schlüsseltresors oder eines verwalteten HSM verursacht Kosten. Weitere Informationen finden Sie auf der Seite Key Vault – Preise.
Sie können kundenseitig verwaltete Schlüssel mit dem Schlüsseltresor und dem Speicherkonto in demselben Mandanten oder in verschiedenen Microsoft Entra-Mandanten konfigurieren. Informationen zum Konfigurieren der Azure Storage-Verschlüsselung mit kundenseitig verwalteten Schlüsseln, wenn sich der Schlüsseltresor und das Speicherkonto in denselben Mandanten befinden, finden Sie in einem der folgenden Artikel:
Wenn Sie kundenseitig verwaltete Schlüssel mit einem Schlüsseltresor im selben Mandanten aktivieren, müssen Sie eine verwaltete Identität angeben, mit der der Zugriff auf den Schlüsseltresor autorisiert wird, der den Schlüssel enthält. Bei der verwalteten Identität kann es sich um eine vom Benutzer zugewiesene oder eine vom System zugewiesene verwaltete Identität handeln:
Weitere Informationen zu systemseitig zugewiesenen verwalteten Identitäten finden Sie unter Verwaltete Identitäten für Azure-Ressourcen. Informationen zum Erstellen und Verwalten einer benutzerseitig zugewiesenen verwalteten Identität finden Sie unter Benutzerseitig zugewiesene verwaltete Identitäten verwalten.
Informationen zum Konfigurieren der Azure Storage-Verschlüsselung mit kundenseitig verwalteten Schlüsseln, wenn sich der Schlüsseltresor und das Speicherkonto in verschiedenen Microsoft Entra-Mandanten befinden, finden Sie in einem der folgenden Artikel:
Sie können kundenseitig verwaltete Schlüssel mit einem über Azure Key Vault verwalteten HSM für ein neues oder vorhandenes Konto konfigurieren. Außerdem können Sie kundenseitig verwaltete Schlüssel mit einem verwalteten HSM konfigurieren, das sich im selben Mandanten wie das Speicherkonto oder in einem anderen Mandanten befindet. Der Prozess zum Konfigurieren von kundenseitig verwalteten Schlüsseln in einem verwalteten HSM ist derselbe wie der zum Konfigurieren von kundenseitig verwalteten Schlüsseln in einem Schlüsseltresor, aber die Berechtigungen unterscheiden sich geringfügig. Weitere Informationen finden Sie unter Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in über Azure Key Vault verwalteten HSM gespeichert sind.
Das Befolgen bewährter kryptografischer Methoden bedeutet, dass Sie den Schlüssel, der Ihr Speicherkonto schützt, regelmäßig rotieren, in der Regel mindestens alle zwei Jahre. Azure Storage ändert den Schlüssel im Schlüsseltresor nie, aber Sie können eine Schlüsselrotationsrichtlinie konfigurieren, um den Schlüssel entsprechend Ihren Complianceanforderungen zu rotieren. Weitere Informationen finden Sie unter Konfigurieren der automatischen Kryptografieschlüsselrotation in Azure Key Vault.
Nachdem der Schlüssel im Schlüsseltresor rotiert wurde, muss die Konfiguration der kundenseitig verwalteten Schlüssel für Ihr Speicherkonto aktualisiert werden, um die neue Schlüsselversion zu verwenden. Kundenseitig verwaltete Schlüssel unterstützen sowohl die automatische als auch die manuelle Aktualisierung der Schlüsselversion für den Schlüssel, der das Konto schützt. Sie können entscheiden, welchen Ansatz Sie verwenden möchten, wenn Sie kundenseitig verwaltete Schlüssel konfigurieren oder ihre Konfiguration aktualisieren.
Wenn Sie den Schlüssel oder die Schlüsselversion ändern, ändert sich der Schutz des Stammverschlüsselungsschlüssels, die Daten in Ihrem Azure Storage-Konto bleiben jederzeit verschlüsselt. Es sind keine zusätzlichen Maßnahmen Ihrerseits erforderlich, um sicherzustellen, dass Ihre Daten geschützt sind. Das Rotieren der Schlüsselversion hat keine Auswirkungen auf die Leistung. Mit dem Rotieren der Schlüsselversion ist keine Downtime verbunden.
Wichtig
Um einen Schlüssel zu rotieren, erstellen Sie eine neue Version des Schlüssels im Schlüsseltresor oder im verwalteten HSM entsprechend Ihren Complianceanforderungen. Azure Storage behandelt die Schlüsseldrehung nicht, somit müssen Sie die Drehung des Schlüssels im Schlüsseltresor verwalten.
Wenn Sie den Schlüssel rotieren, der für kundenseitig verwaltete Schlüssel verwendet wird, wird diese Aktion derzeit nicht in den Azure Monitor-Protokollen für Azure Storage protokolliert.
Um einen kundenseitig verwalteten Schlüssel bei Verfügbarkeit einer neuen Version automatisch zu aktualisieren, lassen Sie die Schlüsselversion aus, wenn Sie die Verschlüsselung mit kundenseitig verwalteten Schlüsseln für das Speicherkonto konfigurieren. Wenn die Schlüsselversion weggelassen wird, überprüft Azure Storage den Schlüsseltresor oder das verwaltete HSM täglich auf eine neue Version eines kundenseitig verwalteten Schlüssels. Falls eine neue Schlüsselversion verfügbar ist, nutzt Azure Storage automatisch die neueste Version des Schlüssels.
Azure Storage überprüft den Schlüsseltresor nur einmal täglich auf eine neue Schlüsselversion. Wenn Sie einen Schlüssel drehen, warten Sie 24 Stunden, bevor Sie die ältere Version deaktivieren.
Wenn das Speicherkonto zuvor für die manuelle Aktualisierung der Schlüsselversion konfiguriert wurde und Sie es in ein automatisches Update ändern möchten, müssen Sie die Schlüsselversion möglicherweise explizit in eine leere Zeichenfolge ändern. Ausführliche Informationen dazu finden Sie unter Konfigurieren der Verschlüsselung für die automatische Aktualisierung von Schlüsselversionen.
Zur Verwendung einer bestimmten Version eines Schlüssels für die Azure Storage-Verschlüsselung geben Sie diese Schlüsselversion beim Aktivieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln für das Speicherkonto an. Wenn Sie die Schlüsselversion angeben, verwendet Azure Storage diese Version für die Verschlüsselung, bis Sie die Schlüsselversion manuell aktualisieren.
Wenn die Schlüsselversion direkt angegeben wird, müssen Sie das Speicherkonto manuell für die Verwendung des neuen Schlüsselversions-URI aktualisieren, nachdem eine neue Version erstellt wurde. Informationen dazu, wie Sie das Speicherkonto für die Verwendung einer neuen Version des Schlüssels aktualisieren, finden Sie unter Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in Azure Key Vault gespeichert sind und Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in einem verwalteten Azure Key Vault Managed-HSM gespeichert sind.
Um den Zugriff auf ein Speicherkonto zu widerrufen, das kundenseitig verwaltete Schlüssel verwendet, deaktivieren Sie den Schlüssel im Schlüsseltresor. Wie Sie den Schlüssel deaktivieren können, erfahren Sie unter Widerrufen des Zugriffs auf ein Speicherkonto, das kundenseitig verwaltete Schlüssel verwendet.
Nachdem der Schlüssel deaktiviert wurde, können Clients keine Vorgänge mehr aufrufen, die von einer Ressource oder ihren Metadaten lesen oder darauf schreiben. Der Versuch, diese Operationen aufzurufen, schlägt für alle Benutzer mit dem Fehlercode 403 (Verboten) fehl.
Stellen Sie den Zugriff auf den vom Kunden verwalteten Schlüssel wieder her, um diese Vorgänge erneut aufzurufen.
Alle Datenvorgänge, die nicht in den folgenden Abschnitten aufgeführt sind, können nach dem Entzug von kundenverwalteten Schlüsseln oder nach der Deaktivierung oder Löschung eines Schlüssels ausgeführt werden.
Zum Widerrufen des Zugriffs auf von Kunden verwaltete Schlüssel können Sie PowerShell oder die Azure-Befehlszeilenschnittstelle verwenden.
include=metadata
für den Anforderungs-URI erfolgtx-ms-meta-name
erfolgtMit von Kunden verwalteten Schlüsseln kann auch die Verschlüsselung von verwalteten Azure-Datenträgern verwaltet werden. Das Verhalten der von Kunden verwalteten Schlüssel unterscheidet sich für verwaltete Datenträger von dem für Azure Storage-Ressourcen. Weitere Informationen finden Sie unter Serverseitige Verschlüsselung von Azure Managed Disks (Windows) bzw. Serverseitige Verschlüsselung von Azure Managed Disks (Linux).
Ereignisse
31. März, 23 Uhr - 2. Apr., 23 Uhr
Das größte Fabric-, Power BI- und SQL-Lernereignis. 31. März – 2. April. Verwenden Sie Code FABINSIDER, um $400 zu sparen.
Jetzt registrierenTraining
Modul
Sichern Ihres Azure-Speicherkontos - Training
Erfahren Sie, wie Azure Storage ein mehrstufiges Sicherheitsmodell bereitstellt, um Ihre Daten mit Zugriffsschlüsseln, sicheren Netzwerken und der Advanced Threat Protection-Überwachung zu schützen
Zertifizierung
Microsoft Certified: Azure Database Administrator Associate - Certifications
Verwalten einer SQL Server-Datenbankinfrastruktur für Cloud-, lokale und hybride relationale Datenbanken auf Grundlage der Microsoft PaaS-Angebote für relationale Datenbanken.
Dokumentation
Azure Storage-Verschlüsselung für ruhende Daten
Azure Storage schützt Ihre Daten, indem der Dienst diese automatisch verschlüsselt, bevor diese in der Cloud gespeichert werden. Sie können von Microsoft verwaltete Schlüssel für die Verschlüsselung der Daten in Ihrem Speicherkonto nutzen oder die Verschlüsselung mit Ihren eigenen Schlüsseln verwalten.
Hier erfahren Sie, wie Sie ein Speicherkonto erstellen, das die Konfiguration von kundenseitig verwalteten Schlüsseln für Tabellen und Warteschlangen unterstützt. Verwenden Sie die Azure-Befehlszeilenschnittstelle (Azure CLI) oder eine Azure Resource Manager-Vorlage zum Erstellen eines Speicherkontos, das den Kontoverschlüsselungsschlüssel zur Azure Storage-Verschlüsselung verwendet. Anschließend können Sie kundenseitig verwaltete Schlüssel für das Konto konfigurieren.
Erstellen und Verwalten von Verschlüsselungsbereichen - Azure Storage
Erfahren Sie, wie Sie einen Verschlüsselungsbereich erstellen, um Blobdaten auf Container- oder Blobebene zu isolieren.