Activer le chiffrement des données avec des clés gérées par le client dans Azure Cosmos DB for PostgreSQL

S’APPLIQUE À : Azure Cosmos DB for PostgreSQL (avec l’extension de base de données Citus pour PostgreSQL)

Prérequis

• Compte Azure Cosmos DB for PostgreSQL existant.
  • Si vous n’avez pas d’abonnement Azure, créez-en un.
  • Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.
  • Vous pouvez également essayer Azure Cosmos DB gratuitement avant de vous engager.

Activer le chiffrement des données avec des clés gérées par le client

Important

Créez toutes les ressources suivantes dans la même région où votre cluster Azure Cosmos DB for PostgreSQL est déployé.

1. Créez une identité managée affectée par l’utilisateur. Actuellement, Azure Cosmos DB for PostgreSQL prend uniquement en charge les identités managées affectées par l’utilisateur.

2. Créez une Azure Key Vault et ajoutez une stratégie d’accès à l’identité managée affectée par l’utilisateur créée avec les autorisations de clé suivantes : Get, Unwrap Key et Wrap Key.

3. Générez une clé dans le coffre de clés(types de clés pris en charge : RSA 2048, 3071, 4096).

4. Sélectionnez l’option de chiffrement de clé gérée par le client lors de la création du cluster Azure Cosmos DB for PostgreSQL, puis sélectionnez l’identité managée affectée par l’utilisateur, le coffre de clés et la clé créées aux étapes 1, 2 et 3.

Procédure détaillée

Identité managée affectée par l’utilisateur

1. Recherchez Identités managées dans la barre de recherche globale.

   

2. Créez une identité managée affectée par l’utilisateur dans la même région que votre cluster Azure Cosmos DB for PostgreSQL.

   

En savoir plus sur l’Identité managée affectée par l’utilisateur.

Key Vault

L’utilisation de clés gérées par le client avec Azure Cosmos DB for PostgreSQL vous oblige à définir deux propriétés sur l’instance Azure Key Vault que vous prévoyez d’utiliser pour héberger vos clés de chiffrement : Suppression réversible et Protection de purge.

1. Si vous créez une instance Azure Key Vault, activez ces propriétés lors de la création :

   

2. Si vous utilisez une instance Azure Key Vault existante, vous pouvez vérifier que ces propriétés sont activées en examinant la section Propriétés dans le Portail Azure. Si une de ces propriétés n’est pas activée, consultez les sections intitulées « Activation de la suppression réversible » et « Activation de la protection de purge » dans l’un des articles suivants.

   • Guide pratique pour utiliser la suppression réversible avec Power​Shell.
   • Guide pratique pour utiliser la suppression réversible avec Azure CLI.

3. Le coffre de clés doit être configuré avec un délai de 90 jours pour Jours de conservation des coffres supprimés. Si le coffre de clés existant est configuré avec une valeur inférieure, vous devrez en créer un autre, car un coffre de clés ne peut pas être modifié après avoir été créé.

   Important

   Votre instance Azure Key Vault doit autoriser l’accès public depuis tous les réseaux.

Ajouter une stratégie d’accès au coffre de clés

1. Dans le Portail Azure, accédez à l’instance Azure Key Vault que vous prévoyez d’utiliser pour héberger vos clés de chiffrement. Sélectionnez Configuration de l’accès dans le menu de gauche. Vérifiez que la stratégie d’accès au coffre est sélectionnée sous Modèle d’autorisation, puis sélectionnez Accéder aux stratégies d’accès.

   

2. Sélectionnez + Créer.

3. Dans l’onglet Autorisations sous le menu déroulant Autorisations de clé, sélectionnez des autorisations d’accès Get, Unwrap Key et Wrap Key.

   

4. Dans l’onglet Principal, sélectionnez l’identité managée affectée par l’utilisateur que vous avez créée à l’étape des prérequis.

5. Naviguez vers Vérifier + créer, sélectionnez Créer.

Créer/importer une clé

1. Dans le Portail Azure, accédez à l’instance Azure Key Vault que vous prévoyez d’utiliser pour héberger vos clés de chiffrement.

2. Sélectionnez Clés dans le menu de gauche, puis sélectionnez + Générer/importer.

   

3. La clé gérée par le client à utiliser pour chiffrer la clé de chiffrement de données peut uniquement être de type Clé RSA. Toutes les tailles de clé RSA 2048, 3072 et 4096 sont prises en charge.

4. La date d’activation de la clé (si définie) doit être une date et une heure passées. La date d'expiration (si définie) doit correspondre à une date et une heure ultérieures.

5. La clé doit être dans l’état activé.

6. Si vous importez une clé existante dans le coffre de clés, veillez à ce qu'elle respecte les formats de fichiers pris en charge (.pfx, .byok, .backup).

7. Si vous effectuez une rotation manuelle de la clé, l’ancienne version de la clé ne doit pas être supprimée pendant au moins 24 heures.

Activer le chiffrement de la clé gérée par le client (CMK) lors du provisionnement d’un nouveau cluster

Portail

1. Lors du provisionnement d’un nouveau cluster Azure Cosmos DB for PostgreSQL, après avoir fourni les informations nécessaires sous l’onglet Informations de base et Mise en réseau, accédez à l’onglet Chiffrement.

2. Sélectionnez Clé gérée par le client sous l’option Clé de chiffrement des données.

3. Sélectionnez l’identité managée affectée par l’utilisateur créée dans la section précédente.

4. Sélectionnez le coffre de clés créé à l’étape précédente, dont la stratégie d’accès à l’identité gérée par l’utilisateur a été sélectionnée à l’étape précédente.

5. Sélectionnez la clé créée à l’étape précédente, puis Vérifier+créer.

6. Une fois le cluster créé, vérifiez que le chiffrement des clés CMK est activé en accédant au panneau Chiffrement des données du cluster Azure Cosmos DB for PostgreSQL dans le portail Azure.

Remarque

Le chiffrement des données ne peut être configuré que lors de la création d’un cluster et ne peut pas être mis à jour sur un cluster existant. Une solution de contournement pour mettre à jour la configuration du chiffrement sur un cluster existant consiste à effectuer une restauration du cluster et à configurer le chiffrement des données lors de la création du cluster nouvellement restauré.

Modèle ARM

   {
       "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "serverGroupName": {
               "type": "string"
           },
           "location": {
               "type": "string"
           },
           "administratorLoginPassword": {
               "type": "secureString"
           },
           "previewFeatures": {
               "type": "bool"
           },
           "postgresqlVersion": {
               "type": "string"
           },
           "coordinatorVcores": {
               "type": "int"
           },
           "coordinatorStorageSizeMB": {
               "type": "int"
           },
           "numWorkers": {
               "type": "int"
           },
           "workerVcores": {
               "type": "int"
           },
           "workerStorageSizeMB": {
               "type": "int"
           },
           "enableHa": {
               "type": "bool"
           },
           "enablePublicIpAccess": {
               "type": "bool"
           },
           "serverGroupTags": {
               "type": "object"
           },
           "userAssignedIdentityUrl": {
               "type": "string"
           },
           "encryptionKeyUrl": {
               "type": "string"
           }
       },
       "variables": {},
       "resources": [
           {
               "name": "[parameters('serverGroupName')]",
               "type": "Microsoft.DBforPostgreSQL/serverGroupsv2",
               "kind": "CosmosDBForPostgreSQL",
               "apiVersion": "2020-10-05-privatepreview",
               "identity":
               {
                   "type": "UserAssigned",
                   "userAssignedIdentities":
                   {
                       "/subscriptions/04b0358b-392b-41d6-899e-b75cb292321e/resourcegroups/yogkuleuapcmkmarlintest/providers/Microsoft.ManagedIdentity/userAssignedIdentities/marlincmktesteus2euapuai1": {}
                   }
               },
               "location": "[parameters('location')]",
               "tags": "[parameters('serverGroupTags')]",
               "properties": {
                   "createMode": "Default",
                   "administratorLogin": "citus",
                   "administratorLoginPassword": "[parameters('administratorLoginPassword')]",
                   "backupRetentionDays": 35,
                   "enableMx": false,
                   "enableZfs": false,
                   "previewFeatures": "[parameters('previewFeatures')]",
                   "postgresqlVersion": "[parameters('postgresqlVersion')]",
                   "dataencryption":
                   {
                       "primaryKeyUri": "[parameters('encryptionKeyUrl')]",
                       "primaryUserAssignedIdentityId": "[parameters('userAssignedIdentityUrl')]",
                       "type": "AzureKeyVault"
                   },
                   "serverRoleGroups": [
                       {
                           "name": "",
                           "role": "Coordinator",
                           "serverCount": 1,
                           "serverEdition": "GeneralPurpose",
                           "vCores": "[parameters('coordinatorVcores')]",
                           "storageQuotaInMb": "[parameters('coordinatorStorageSizeMB')]",
                           "enableHa": "[parameters('enableHa')]"
                       },
                       {
                           "name": "",
                           "role": "Worker",
                           "serverCount": "[parameters('numWorkers')]",
                           "serverEdition": "MemoryOptimized",
                           "vCores": "[parameters('workerVcores')]",
                           "storageQuotaInMb": "[parameters('workerStorageSizeMB')]",
                           "enableHa": "[parameters('enableHa')]",
                           "enablePublicIpAccess": "[parameters('enablePublicIpAccess')]"
                       }
                   ]
               },
               "dependsOn": []
           }
       ],
       "outputs": {}
   }

Haute disponibilité

Quand le chiffrement de la clé CMK est activé sur le cluster principal, tous les nœuds haute disponibilité de secours sont automatiquement chiffrés par la clé du cluster principal.

Modification de la configuration du chiffrement en effectuant une restauration à un instant dans le passé (PITR)

La configuration du chiffrement peut être changée pour passer du chiffrement géré par le service au chiffrement géré par le client ou vice versa lors de l’exécution d’une opération de restauration (à un instant dans le passé) du cluster.

Portail

1. Accédez au panneau Chiffrement des données, puis sélectionnez Lancer l’opération de restauration. Vous pouvez aussi effectuer une restauration à un instant dans le passé en sélectionnant l’option Restaurer dans le panneau Vue d’ensemble.

2. Vous pouvez modifier/configurer le chiffrement des données sous l’onglet Chiffrement de la page de restauration du cluster.

Modèle ARM

   {
       "$schema": "http://schema.management.azure.com/schemas/2014-04-01-preview/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "location": {
               "type": "string"
           },
           "sourceLocation": {
               "type": "string"
           },
           "subscriptionId": {
               "type": "string"
           },
           "resourceGroupName": {
               "type": "string"
           },
           "serverGroupName": {
               "type": "string"
           },
           "sourceServerGroupName": {
               "type": "string"
           },
           "restorePointInTime": {
               "type": "string"
           },
           "encryptionKeyUrl": {
               "type": "string"
           },
           "userAssignedIdentityUrl": {
               "type": "string"
           }
       },
       "variables": {
           "api": "2020-02-14-privatepreview"
       },
       "resources": [
           {
               "apiVersion": "2020-10-05-privatepreview",
               "location": "[parameters('location')]",
               "name": "[parameters('serverGroupName')]",
               "identity":
               {
                   "type": "UserAssigned",
                   "userAssignedIdentities":
                   {
                       "/subscriptions/04b0358b-392b-41d6-899e-b75cb292321e/resourcegroups/yogkuleuapcmkmarlintest/providers/Microsoft.ManagedIdentity/userAssignedIdentities/marlincmktesteus2euapuai1": {}
                   }
               },
               "properties": {
                   "createMode": "PointInTimeRestore",
                   "sourceServerGroupName": "[parameters('sourceServerGroupName')]",
                   "pointInTimeUTC": "[parameters('restorePointInTime')]",
                   "sourceLocation": "[parameters('location')]",
                   "sourceSubscriptionId": "[parameters('subscriptionId')]",
                   "sourceResourceGroupName": "[parameters('resourceGroupName')]",
                   "enableMx": false,
                   "enableZfs": false,
                   "dataencryption":
                   {
                       "primaryKeyUri": "[parameters('encryptionKeyUrl')]",
                       "primaryUserAssignedIdentityId": "[parameters('userAssignedIdentityUrl')]",
                       "type": "AzureKeyVault"
                   },
               }
               "type": "Microsoft.DBforPostgreSQL/serverGroupsv2"
           }
       ]
   }

Surveiller la clé gérée par le client dans Key Vault

Pour surveiller l'état de la base de données et activer les alertes liées à la perte d'accès au protecteur TDE (Transparent Data Encryption), configurez les fonctionnalités Azure suivantes :

• Azure Resource Health : une base de données inaccessible qui a perdu l’accès à la clé du client est affichée comme étant « Inaccessible » après que la première connexion à la base de données a été refusée.

• Journal d’activité : lorsque l’accès à la clé client dans le Key Vault géré par le client échoue, des entrées sont ajoutées au Journal d’activité. La création d'alertes pour ces événements vous permettra de rétablir l'accès dès que possible.

• Groupes d’actions : définissez ces groupes afin qu’ils vous envoient des notifications et des alertes basées sur vos préférences.

Étapes suivantes

• En savoir plus sur le chiffrement des données avec des clés gérées par le client
• Consultez Limites et limitations des clés CMK dans Azure Cosmos DB for PostgreSQL