Verschlüsseln von verwalteten Datenträgern mit mandantenübergreifenden kundenseitig verwalteten Schlüsseln

  • Artikel

In diesem Artikel wird die Erstellung einer Lösung behandelt, in der Sie verwaltete Datenträger mit kundenseitig verwalteten Schlüsseln mit einer Azure Key Vault-Instanz verschlüsseln, die in einem anderen Microsoft Entra-Mandanten gespeichert ist. Diese Konfiguration kann ideal für verschiedene Szenarien sein, z. B. für Azure-Support für Dienstanbieter, die ihren Kunden eigene Verschlüsselungsschlüssel anbieten möchten, wobei Ressourcen aus dem Mandanten des Dienstanbieters mit Schlüsseln aus dem Mandanten des Kunden verschlüsselt werden.

Ein Datenträgerverschlüsselungssatz mit Verbundidentität in einem mandantenübergreifenden CMK-Workflow umfasst Dienstanbieter-/ISV-Mandantenressourcen (Datenträgerverschlüsselungssatz, verwaltete Identitäten und App-Registrierungen) und Kundenmandantenressourcen (Unternehmens-Apps, Benutzerrollenzuweisungen und Schlüsseltresor). In diesem Fall ist die Azure-Quellressource der Datenträgerverschlüsselungssatz des Dienstanbieters.

Wenn Sie Fragen zu mandantenübergreifenden kundenseitig verwalteten Schlüsseln mit verwalteten Datenträgern haben, senden Sie eine E-Mail an crosstenantcmkvteam@service.microsoft.com.

Einschränkungen

  • Managed Disks und die Key Vault-Instanz des Kunden müssen sich in der gleichen Region befinden, können aber zu verschiedenen Abonnements gehören.
  • Dieses Feature unterstützt keine Ultra Disks oder verwaltete Azure SSD Premium v2-Datenträger.
  • Dieses Feature ist in Microsoft Azure, das von 21Vianet- oder Government-Clouds betrieben wird, nicht verfügbar.

Informationen zu mandantenübergreifenden kundenseitig verwalteten Schlüsseln

Viele Dienstanbieter, die Software as a Service (SaaS)-Angebote auf Azure erstellen, möchten ihren Kunden die Möglichkeit bieten, ihre eigenen Verschlüsselungsschlüssel zu verwalten. Kundenseitig verwaltete Schlüssel ermöglichen es einem Dienstanbieter, die Daten seines Kunden mithilfe eines Verschlüsselungsschlüssels zu verschlüsseln, der von diesem Kunden verwaltet wird und auf den der Dienstanbieter nicht zugreifen kann. In Azure können Kund*innen von Dienstanbietern ihre Verschlüsselungsschlüssel mithilfe von Azure Key Vault in ihren eigenen Microsoft Entra-Mandanten und -Abonnements verwalten.

Azure-Plattformdienste und -ressourcen, die dem Dienstanbieter gehören und sich in seinem Mandanten befinden, benötigen Zugriff auf den Schlüssel vom Mandanten des Kunden, um die Verschlüsselungs-/Entschlüsselungsvorgänge durchführen zu können.

Die folgende Abbildung zeigt eine Verschlüsselung ruhender Daten mit Verbundidentität in einem mandantenübergreifenden CMK-Workflow, der einen Dienstanbieter und seinen Kunden umfasst.

Screenshot showing a cross-tenant CMK with a federated identity.

Im obigen Beispiel gibt es zwei Microsoft Entra-Mandanten: den Mandanten eines unabhängigen Dienstanbieters (Mandant 1) und den Kundenmandanten (Mandant 2). Mandant 1 hostet Azure-Plattformdienste und Mandant 2 hostet den Schlüsseltresor des Kunden.

Eine mehrmandantenfähige Anwendungsregistrierung wird durch den Dienstanbieter in Mandant 1 erstellt. Mithilfe einer benutzerseitig zugewiesenen verwalteten Identität werden Verbundidentitätsinformationen für diese Anwendung erstellt. Anschließend werden der Name und die Anwendungs-ID der App für den Kunden freigegeben.

Ein Benutzer mit den entsprechenden Rechten installiert die Anwendung des Dienstanbieters im Mandanten des Kunden, Mandant 2. Anschließend gewährt ein Benutzer dem der installierten Anwendung zugeordneten Dienstprinzipal Zugriff auf den Schlüsseltresor des Kunden. Der Kunde speichert auch den Verschlüsselungsschlüssel, oder kundenseitig verwalteten Schlüssel, im Schlüsseltresor. Der Kunde gibt den Schlüsselspeicherort (die URL des Schlüssels) für den Dienstanbieter frei.

Der Dienstanbieter hat jetzt Folgendes:

  • Eine Anwendungs-ID für eine mehrmandantenfähige Anwendung, die im Mandanten von Kund*innen installiert ist und der Zugriff auf den vom Kunden verwalteten Schlüssel gewährt wurde.
  • Eine verwaltete Identität, die als Berechtigungsnachweis für die mehrmandantenfähige Anwendung konfiguriert ist.
  • Den Speicherort des Schlüssels im Schlüsseltresor des Kunden.

Mit diesen drei Parametern stellt der Dienstanbieter Azure-Ressourcen in Mandant 1 bereit, die mit dem kundenseitig verwalteten Schlüssel in Mandant 2 verschlüsselt werden können.

Jetzt unterteilen wir die vorstehende End-to-End-Lösung in drei Phasen:

  1. Der Dienstanbieter konfiguriert Identitäten.
  2. Der Kunde gewährt der mehrmandantenfähigen App des Dienstanbieters Zugriff auf einen Verschlüsselungsschlüssel in Azure Key Vault.
  3. Der Dienstanbieter verschlüsselt Daten in einer Azure-Ressource mithilfe des kundenseitig verwalteten Schlüssels.

Vorgänge in Phase 1 wären ein einmaliges Setup für die meisten Dienstanbieteranwendungen. Vorgänge in den Phasen 2 und 3 würden für jeden Kunden wiederholt.

Phase 1: Der Dienstanbieter konfiguriert eine Microsoft Entra-Anwendung.

Schritt BESCHREIBUNG Minimale Rolle in Azure RBAC (Role-Based Access Control, rollenbasierte Zugriffssteuerung) Minimale Rolle in Microsoft Entra RBAC
1. Erstellen Sie eine neue mehrmandantenfähige Microsoft Entra-Anwendungsregistrierung oder beginnen Sie mit einer bestehenden Anwendungsregistrierung. Beachten Sie die Anwendungs-ID (Client-ID) der Anwendungsregistrierung über das Azure-Portal, die Microsoft Graph-API, Azure PowerShell oder Azure CLI. Keine Anwendungsentwickler
2. Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität (zur Verwendung als Verbundidentitätsanmeldeinformationen).
Azure-Portal / Azure CLI / Azure PowerShell/ Azure Resource Manager-Vorlagen		 Mitwirkende*r für verwaltete Identität None
3. Konfigurieren Sie die benutzerseitig zugewiesene verwaltete Identität als Verbundidentitätsinformationen für die Anwendung, damit sie die Identität der Anwendung wechseln kann.
Graph-API-Referenz/ Azure-Portal/ Azure CLI/ Azure PowerShell		 Keine Besitzer der Anwendung
4. Geben Sie den Anwendungsnamen und die Anwendungs-ID für den Kunden frei, damit er die Anwendung installieren und autorisieren kann. Keine Keine

Überlegungen für Dienstanbieter

  • Azure Ressource Manager (ARM)-Vorlagen werden für die Erstellung von Microsoft Entra-Anwendungen nicht empfohlen.
  • Dieselbe mehrmandantenfähige Anwendung kann verwendet werden, um auf Schlüssel in einer beliebigen Anzahl von Mandanten zuzugreifen, wie z. B. Mandant 2, Mandant 3, Mandant 4 und so weiter. In jedem Mandanten wird eine unabhängige Instanz der Anwendung erstellt, die dieselbe Anwendungs-ID, aber eine andere Objekt-ID, enthält. Jede Instanz dieser Anwendung wird somit unabhängig autorisiert. Berücksichtigen Sie, wie das für dieses Feature verwendete Anwendungsobjekt verwendet wird, um Ihre Anwendung für alle Kunden zu partitionieren.
  • In seltenen Fällen kann ein Dienstanbieter ein einziges Anwendungsobjekt pro Kund*in verwenden, was jedoch erhebliche Wartungskosten für die Verwaltung von Anwendungen in großem Umfang für alle Kund*innen erfordert.
  • Es ist nicht möglich, die Herausgeberüberprüfung im Mandant des Dienstanbieters zu automatisieren.

Phase 2 – Der Kunde autorisiert den Zugriff auf den Schlüsseltresor

Schritt BESCHREIBUNG Azure RBAC-Rollen mit den geringstmöglichen Berechtigungen Microsoft Entra-Rollen mit den geringsten Berechtigungen
1.
  • Empfohlen: Senden Sie dies dem Benutzer zum Anmelden bei Ihrer App. Wenn der Benutzer sich anmelden kann, gibt es in seinem Mandanten einen Dienstprinzipal für Ihre App.
  • Verwenden Sie Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell oder Azure CLI zum Erstellen des Dienstprinzipals.
  • Erstellen Sie eine Administrator-Zustimmungs-URL und erteilen Sie mithilfe der Anwendungs-ID mandantenweite Zustimmung zum Erstellen des Dienstprinzipals.
    		•  Keine Benutzer mit Berechtigungen zum Installieren von Anwendungen
    2. Erstellen Sie einen Azure Key Vault und einen Schlüssel, der als kundenseitig verwalteter Schlüssel verwendet wird. Ein Benutzer muss der Rolle Key Vault-Mitwirkender zugewiesen werden, um den Schlüsseltresor erstellen zu können.

    Ein Benutzer muss der Rolle Key Vault-Kryptografiebeauftragter zugewiesen werden, um dem Schlüsseltresor einen Schlüssel hinzufügen zu können.    		 Keine
    3. Gewähren des Zugriffs auf die genehmigte Anwendungsidentität für den Azure-Schlüsseltresor durch Zuweisen der Rolle Kryptografiedienstverschlüsselung für Schlüsseltresore Um der Anwendung die Rolle Kryptografiedienstverschlüsselung für Schlüsseltresore zuweisen zu können, müssen Sie der Rolle Benutzerzugriffsadministrator zugewiesen worden sein. Keine
    4. Kopieren Sie die Schlüsseltresor-URL und den Schlüsselnamen in die Konfiguration von kundenseitig verwalteten Schlüsseln des SaaS-Angebots. Keine Keine

    Hinweis

    Ein Beispiel für die Autorisierung des Zugriffs auf das verwaltete HSM zur Verschlüsselung mit CMK finden Sie hier. Weitere Informationen zum Verwalten von Schlüsseln mit verwaltetem HSM finden Sie unter Verwalten eines verwalteten HSM mithilfe der Azure CLI.

    Überlegungen für Kunden von Dienstanbietern

    • Im Kundenmandanten, Mandant 2, kann ein Administrator Richtlinien festlegen, damit Nicht-Administratorbenutzer Anwendungen nicht installieren können. Diese Richtlinien können verhindern, dass Nicht-Administratorbenutzer Dienstprinzipale erstellen. Wenn eine solche Richtlinie konfiguriert ist, müssen Benutzer*innen mit der Berechtigung zum Erstellen von Dienstprinzipalen beteiligt sein.
    • Der Zugriff auf Azure Key Vault kann mithilfe von Azure RBAC oder Zugriffsrichtlinien autorisiert werden. Stellen Sie beim Gewähren des Zugriffs auf einen Schlüsseltresor sicher, dass Sie den aktiven Mechanismus für Ihren Schlüsseltresor verwenden.
    • Eine Microsoft Entra-Anwendungsregistrierung hat eine Anwendungs-ID (Client-ID). Wenn die Anwendung in Ihrem Mandanten installiert ist, wird ein Dienstprinzipal erstellt. Der Dienstprinzipal gibt dieselbe Anwendungs-ID als App-Registrierung frei, generiert aber seine eigene Objekt-ID. Wenn Sie die Anwendung für den Zugriff auf Ressourcen autorisieren, müssen Sie möglicherweise die Eigenschaft Name oder ObjectID des Dienstprinzips verwenden.

    Phase 3: Der Dienstanbieter verschlüsselt Daten in einer Azure-Ressource mithilfe des kundenseitig verwalteten Schlüssels.

    Nachdem die Phasen 1 und 2 abgeschlossen sind, kann der Dienstanbieter die Verschlüsselung auf der Azure-Ressource mit dem Schlüssel und dem Schlüsseltresor im Mandant des Kunden und der Azure-Ressource im Mandant des ISV konfigurieren. Der Dienstanbieter kann mandantenübergreifende kundenseitig verwaltete Schlüssel mit den von dieser Azure-Ressource unterstützten Client-Tools, mit einer ARM-Vorlage oder mit der REST-API konfigurieren.

    Konfigurieren von mandantenübergreifenden kundenseitig verwalteten Schlüsseln

    In diesem Abschnitt wird beschrieben, wie Sie einen mandantenübergreifenden kundenseitig verwalteten Schlüssel (Customer-Managed Key, CMK) konfigurieren und Kundendaten verschlüsseln. Sie erfahren, wie Sie Kundendaten in einer Ressource in Mandant1 mit einem CMK verschlüsseln, der in einem Schlüsseltresor in Mandant2 gespeichert ist. Hierfür können Sie das Azure-Portal, Azure PowerShell oder die Azure-Befehlszeilenschnittstelle (Azure CLI) verwenden.

    Melden Sie sich beim Azure-Portal an, und führen Sie die folgenden Schritte aus.

    Der Dienstanbieter konfiguriert Identitäten

    Die folgenden Schritte werden vom Dienstanbieter im Mandanten Mandant1 des Dienstanbieters ausgeführt.

    Der Dienstanbieter erstellt eine neue Registrierung für die mehrinstanzenfähige App.

    Sie können entweder eine neue Registrierung für die mehrinstanzenfähige Microsoft Entra-Anwendung erstellen oder mit einer vorhandenen Registrierung einer mehrinstanzenfähigen Anwendung beginnen. Wenn Sie mit einer vorhandenen Anwendungsregistrierung beginnen, beachten Sie die Anwendungs-ID (Client-ID) der Anwendung.

    So erstellen Sie eine neue Registrierung:

    1. Suchen Sie im Suchfeld nach Microsoft Entra ID. Suchen Sie die Microsoft Entra ID-Erweiterung, und wählen Sie sie aus.

    2. Wählen Sie im linken Bereich Verwalten > App-Registrierungen aus.

    3. Wählen Sie + Neue Registrierung aus.

    4. Geben Sie den Namen für die Anwendungsregistrierung an, und wählen Sie Konto in einem beliebigen Organisationsverzeichnis (Beliebiges Microsoft Entra-Verzeichnis – mehrinstanzenfähig) aus.

    5. Wählen Sie Registrieren aus.

    6. Beachten Sie die ApplicationId/ClientId der Anwendung.

      Screen shot showing how to create a new multi-tenant application registration.

    Der Dienstanbieter erstellt eine benutzerseitig zugewiesene verwaltete Identität

    Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität, die als Verbundidentitätsanmeldeinformationen verwendet werden soll.

    1. Suchen Sie im Suchfeld nach Verwaltete Identitäten. Suchen Sie die Erweiterung Verwaltete Identitäten, und wählen Sie sie aus.

    2. Wählen Sie + Erstellen aus.

    3. Geben Sie die Ressourcengruppe, die Region und den Namen für die verwaltete Identität an.

    4. Klicken Sie auf Überprüfen + erstellen.

    5. Beachten Sie bei erfolgreicher Bereitstellung die Azure Ressourcen-ID der benutzerseitig zugewiesenen verwalteten Identität, die unter Eigenschaften verfügbar ist. Beispiel:

      /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

      Screen shot showing how to create a resource group and a user-assigned managed identity.

    Der Dienstanbieter konfiguriert die benutzerseitig zugewiesene verwaltete Identität als Verbundanmeldeinformationen für die Anwendung

    Konfigurieren Sie eine benutzerseitig zugewiesene verwaltete Identität als Verbundidentitätsinformationen für die Anwendung, damit sie die Identität der Anwendung wechseln kann.

    1. Navigieren Sie zu Microsoft Entra ID > App-Registrierungen > Ihre Anwendung.

    2. Wählen Sie Zertifikate & Geheimnisse aus.

    3. Wählen Sie Verbundanmeldeinformationen aus.

      Screen shot showing how to navigate to Certificate and secrets.

    4. Wählen Sie + Anmeldeinformationen hinzufügen aus.

    5. Wählen Sie unter dem Szenario „Verbundanmeldeinformationen“ die Option Kundenseitig verwaltete Schlüssel aus.

    6. Klicken Sie auf Verwaltete Identität auswählen. Wählen Sie im Bereich das Abonnement aus. Wählen Sie unter Verwaltete Identität die Option Benutzerseitig zugewiesene verwaltete Identität aus. Suchen Sie im Feld Auswählen nach der zuvor erstellten verwalteten Identität, und klicken Sie unten im Bereich auf Auswählen.

      Screen shot showing how to select a managed identity.

    7. Geben Sie unter Details zu Anmeldeinformationen einen Namen und eine optionale Beschreibung für die Anmeldeinformationen an, und wählen Sie Hinzufügen aus.

      Screen shot showing how to add a credential.

    Der Dienstanbieter gibt die Anwendungs-ID für den Kunden frei

    Suchen Sie die Anwendungs-ID (Client-ID) der mehrinstanzenfähigen Anwendung, und geben Sie sie für den Kunden frei.

    Der Kunde gewährt der App des Dienstanbieters Zugriff auf den Schlüssel im Schlüsseltresor

    Die folgenden Schritte werden vom Kunden in seinem Mandanten, Mandant2, ausgeführt. Der Kunde kann das Azure-Portal, Azure PowerShell oder die Azure-Befehlszeilenschnittstelle (Azure CLI) verwenden.

    Der Benutzer, der die Schritte ausführt, muss ein Administrator mit einer privilegierten Rolle sein, z. B. Anwendungsadministrator, Cloudanwendungsadministrator oder Globaler Administrator.

    Melden Sie sich beim Azure-Portal an, und führen Sie die folgenden Schritte aus.

    Der Kunde installiert die Dienstanbieteranwendung im Kundenmandanten

    Zum Installieren der registrierten Anwendung des Dienstanbieters im Mandanten des Kunden erstellen Sie einen Dienstprinzipal mit der Anwendungs-ID aus der registrierten App. Sie können den Dienstprinzipal auf eine der folgenden Arten erstellen:

    Der Kunde erstellt einen Schlüsseltresor

    Zum Erstellen des Schlüsseltresors muss dem Konto des Benutzers die Rolle Key Vault-Mitwirkender oder eine andere Rolle zugewiesen werden, die die Erstellung eines Schlüsseltresors erlaubt.

    1. Wählen Sie im Menü des Azure-Portals oder auf der Startseite die Option + Ressource erstellen aus. Geben Sie im Suchfeld den Begriff Schlüsseltresore ein. Wählen Sie in der Ergebnisliste den Eintrag Schlüsseltresore aus. Wählen Sie auf der Seite Schlüsseltresore die Option Erstellen aus.

    2. Wählen Sie auf der Registerkarte Grundlagen ein Abonnement aus. Wählen Sie unter Ressourcengruppe die Option Neu erstellen aus, und geben Sie einen Namen für die Ressourcengruppe ein.

    3. Geben Sie einen eindeutigen Namen für den Schlüsseltresor ein.

    4. Wählen Sie eine Region und einen Tarif aus.

    5. Aktivieren Sie den Löschschutz für den neuen Schlüsseltresor.

    6. Wählen Sie auf der Registerkarte Zugriffsrichtlinie für das Berechtigungsmodell die Option Rollenbasierte Zugriffssteuerung in Azure aus.

    7. Wählen Sie Überprüfen + erstellen und danach Erstellen aus.

      Screen shot showing how to create a key vault.

    Notieren Sie sich den Namen des Schlüsseltresors und die URI. Anwendungen, die auf Ihren Schlüsseltresor zugreifen, müssen diesen URI verwenden.

    Weitere Informationen finden Sie unter Schnellstart – Erstellen einer Azure Key Vault-Instanz über das Azure-Portal.

    Der Kunde weist einem Benutzerkonto die Rolle „Key Vault-Kryptografiebeauftragter“ zu.

    Mit diesem Schritt wird sichergestellt, dass Sie Verschlüsselungsschlüssel erstellen können.

    1. Navigieren Sie zu Ihrem Schlüsseltresor, und wählen Sie im linken Bereich Access Control (IAM) aus.
    2. Wählen Sie unter Zugriff auf diese Gruppe gewähren die Option Rollenzuweisung hinzufügen aus.
    3. Suchen Sie nach der Rolle Key Vault-Kryptografiebeauftragter, und wählen Sie sie aus.
    4. Wählen Sie unter Mitglieder die Option Benutzer, Gruppe oder Dienstprinzipal aus.
    5. Wählen Sie Mitglieder aus, und suchen Sie nach Ihrem Benutzerkonto.
    6. Wählen Sie Überprüfen und zuweisen aus.

    Der Kunde erstellt einen Verschlüsselungsschlüssel

    Zum Erstellen des Verschlüsselungsschlüssels muss dem Konto des Benutzers die Rolle Key Vault-Kryptografiebeauftragter oder eine andere Rolle zugewiesen werden, die die Erstellung eines Schlüssels erlaubt.

    1. Wählen Sie auf der Seite „Key Vault-Eigenschaften“ die Option Schlüssel aus.
    2. Wählen Sie die Option Generieren/Importieren aus.
    3. Geben Sie auf dem Bildschirm Schlüssel erstellen einen Namen für den Schlüssel an. Behalten Sie bei den anderen Optionen die Standardwerte bei.
    4. Klicken Sie auf Erstellen.
    5. Kopieren Sie den Schlüssel-URI.

    Der Kunde gewährt der Dienstanbieteranwendung Zugriff auf den Schlüsseltresor

    Weisen Sie die Azure RBAC-Rolle Kryptografiedienstverschlüsselung für Schlüsseltresore der registrierten Anwendung des Dienstanbieters zu, damit sie auf den Schlüsseltresor zugreifen kann.

    1. Navigieren Sie zu Ihrem Schlüsseltresor, und wählen Sie im linken Bereich Access Control (IAM) aus.
    2. Wählen Sie unter Zugriff auf diese Gruppe gewähren die Option Rollenzuweisung hinzufügen aus.
    3. Suchen Sie nach der Option Kryptografiedienstverschlüsselung für Schlüsseltresore, und wählen Sie sie aus.
    4. Wählen Sie unter Mitglieder die Option Benutzer, Gruppe oder Dienstprinzipal aus.
    5. Wählen Sie Mitglieder aus, und suchen Sie nach dem Namen der Anwendung, die Sie aus dem Dienstanbieter installiert haben.
    6. Wählen Sie Überprüfen und zuweisen aus.

    Jetzt können Sie kundenseitig verwaltete Schlüssel mit dem Schlüsseltresor-URI und dem Schlüssel konfigurieren.

    Erstellen eines Datenträgerverschlüsselungssatzes

    Nachdem Sie nun Ihre Azure Key Vault-Instanz erstellt und die erforderlichen Microsoft Entra-Konfigurationen ausgeführt haben, stellen Sie einen Datenträgerverschlüsselungssatz für die mandantenübergreifende Verwendung bereit, und ordnen Sie ihm einem Schlüssel im Schlüsseltresor zu. Verwenden Sie hierzu das Azure-Portal, Azure PowerShell oder die Azure CLI. Sie können auch eine ARM-Vorlage oder die REST-API verwenden.

    Wenn Sie das Azure-Portal nutzen möchten, melden Sie sich beim Azure-Portal an, und führen Sie die folgenden Schritte aus:

    1. Wählen Sie + Ressource erstellen aus, suchen Sie nach Datenträgerverschlüsselungssatz, und wählen Sie Erstellen > Datenträgerverschlüsselungssatzaus.

    2. Wählen Sie unter Projektdetails das Abonnement und die Ressourcengruppe aus, in der der Datenträgerverschlüsselungssatz erstellt werden soll.

    3. Geben Sie unter Details zur Instanz einen Namen für den Datenträgerverschlüsselungssatz an.

      Screenshot showing how to enter the project and instance details to create a new disk encryption set.

    4. Wählen Sie die Region aus, in der der Datenträgerverschlüsselungssatz erstellt werden soll.

    5. Wählen Sie als Verschlüsselungstyp die Option Verschlüsselung ruhender Daten mit einem kundenseitig verwalteten Schlüssel aus.

    6. Wählen Sie unter Verschlüsselungsschlüssel das Optionsfeld Schlüssel aus URI eingeben aus, und geben Sie dann den im Mandanten des Kunden erstellten Schlüssel-URI des Schlüssels ein.

    7. Wählen Sie unter Benutzerseitig zugewiesene Identität die Option Wählen Sie eine Identität aus.

    8. Wählen Sie die benutzerseitig zugewiesene verwaltete Identität aus, die Sie zuvor im Mandanten des ISV erstellt haben, und wählen Sie dann Hinzufügen aus.

    9. Wählen Sie unter Mehrinstanzenfähige Anwendung die Option Anwendung auswählen aus.

    10. Wählen Sie die registrierte mehrinstanzenfähige Anwendung aus, die Sie zuvor im Mandanten des ISV erstellt haben, und klicken Sie auf Auswählen.

    11. Klicken Sie auf Überprüfen + erstellen.

    Verwenden einer ARM-Vorlage

    {
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "desname": {
      "defaultValue": "<Enter ISV disk encryption set name>",
      "type": "String"
    },
    "region": {
      "defaultValue": "WestCentralUS",
      "type": "String"
    },
    "userassignedmicmk": {
      "defaultValue": "/subscriptions/<Enter ISV Subscription Id>/resourceGroups/<Enter ISV resource group name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<Enter ISV User Assigned Identity Name>",
      "type": "String"
    },
    "cmkfederatedclientId": {
      "defaultValue": "<Enter ISV Multi-Tenant App Id>",
      "type": "String"
    },
    "keyVaultURL": {
      "defaultValue": "<Enter Client Key URL>",
      "type": "String"
    },
    "encryptionType": {
      "defaultValue": "EncryptionAtRestWithCustomerKey",
      "type": "String"
    }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.Compute/diskEncryptionSets",
      "apiVersion": "2021-12-01",
      "name": "[parameters('desname')]",
      "location": "[parameters('region')]",
      "identity": {
        "type": "UserAssigned",
        "userAssignedIdentities": {
          "[parameters('userassignedmicmk')]": {}
        }
      },
      "properties": {
        "activeKey": {
          "keyUrl": "[parameters('keyVaultURL')]"
        },
        "federatedClientId": "[parameters('cmkfederatedclientId')]",
        "encryptionType": "[parameters('encryptionType')]"
      }
    }
  ]
}

    REST-API

    Verwenden Sie Bearertoken als Autorisierungsheader und Anwendung/JSON als Inhaltstyp in BODY. (Filtern Sie auf der Registerkarte „Netzwerk“ nach management.azure, wenn Sie eine ARM-Anforderung im Portal ausführen.)

    PUT https://management.azure.com/subscriptions/<Enter ISV Subscription Id>/resourceGroups/<Enter ISV Resource Group Name>/providers/Microsoft.Compute/diskEncryptionSets/<Enter ISV Disk Encryption Set Name>?api-version=2021-12-01
Authorization: Bearer ...
Content-Type: application/json

{
  "name": "<Enter ISV disk encryption set name>",
  "id": "/subscriptions/<Enter ISV Subscription Id>/resourceGroups/<Enter ISV resource group name>/providers/Microsoft.Compute/diskEncryptionSets/<Enter ISV disk encryption set name>/",
  "type": "Microsoft.Compute/diskEncryptionSets",
  "location": "westcentralus",
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
"/subscriptions/<Enter ISV Subscription Id>/resourceGroups/<Enter ISV resource group name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<Enter ISV User Assigned Identity Name>
": {}
    }
  },
  "properties": {
    "activeKey": {
      "keyUrl": "<Enter Client Key URL>"
    },
    "encryptionType": "EncryptionAtRestWithCustomerKey",
    "federatedClientId": "<Enter ISV Multi-Tenant App Id>"
  }
}

    Nächste Schritte

    Weitere Informationen: