Configurer le chiffrement des données dans Azure Database pour PostgreSQL serveur flexible

Cet article fournit des instructions pas à pas pour configurer le chiffrement des données pour un serveur flexible Azure Database pour PostgreSQL.

Important

Vous pouvez décider d’utiliser une clé gérée par le système ou une clé gérée par le client pour le chiffrement des données uniquement lors de la création du serveur. Une fois cette décision prise et créé le serveur, vous ne pouvez pas basculer entre les deux options.

Dans cet article, vous apprendrez à créer un serveur et à configurer ses options de chiffrement des données. Pour les serveurs existants qui utilisent la clé de chiffrement gérée par le client pour le chiffrement des données, vous apprenez :

• Comment sélectionner une identité managée affectée par un autre utilisateur pour le service afin d’accéder à la clé de chiffrement.
• Comment spécifier une autre clé de chiffrement ou comment faire pivoter la clé de chiffrement actuellement utilisée pour le chiffrement des données.

Pour en savoir plus sur le chiffrement des données dans le contexte de Azure Database pour PostgreSQL, consultez chiffrement des données.

Configurer le chiffrement des données avec une clé gérée par le système pendant l’approvisionnement du serveur

Portal

Utilisez le portail Azure :

1. Lors de l’approvisionnement d’un nouveau serveur flexible Azure Database pour PostgreSQL, configurez le chiffrement des données sous l’onglet Sécurité. Pour la clé de chiffrement des données, sélectionnez l’option clé gérée par le service.

   

2. Si vous activez le stockage de sauvegarde géoredondant à approvisionner avec le serveur, l’aspect de l’onglet Sécurité change légèrement, car le serveur utilise deux clés de chiffrement distinctes. Une clé concerne la région primaire dans laquelle vous déployez votre serveur, et une clé concerne la région jumelée vers laquelle les sauvegardes de serveur sont répliquées de manière asynchrone.

   

CLI

Vous pouvez activer le chiffrement des données à l’aide d’une clé de chiffrement affectée par le système lors de l’approvisionnement d’un nouveau serveur à l’aide de la commande az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Note

Il n’existe aucun paramètre spécial dans la commande précédente pour spécifier que le serveur doit être créé avec une clé affectée par le système pour le chiffrement des données. Le chiffrement des données à l’aide d’une clé affectée par le système est l’option par défaut. En outre, vous devez terminer la commande avec d’autres paramètres dont la présence et les valeurs varient en fonction de la façon dont vous souhaitez configurer d’autres fonctionnalités du serveur approvisionné.

Configurer le chiffrement des données avec une clé gérée par le client pendant l’approvisionnement du serveur

Portal

Utilisez le portail Azure :

1. Créez une identité managée affectée par l’utilisateur, si vous n’en avez pas encore. Si vos sauvegardes géoredondantes sont activées, vous devez créer deux identités différentes. Chacune de ces identités accède à chacune des deux clés de chiffrement de données.

Note

Bien qu’il ne soit pas nécessaire de maintenir la résilience régionale, créez l’identité managée par l’utilisateur dans la même région que votre serveur. Si la redondance de géo-sauvegarde est activée sur votre serveur, créez la deuxième identité managée par l’utilisateur dans la région jumelée du serveur.

1. Créez un Azure Key Vault ou créez un HSM managé, si vous n'avez pas encore créé de magasin de clés. Assurez-vous que vous répondez aux exigences. Suivez également les recommandations avant de configurer le magasin de clés, puis avant de créer la clé et d’attribuer les autorisations requises à l’identité managée affectée par l’utilisateur. Si les sauvegardes géoredondantes sont activées pour votre serveur, vous devez créer un deuxième magasin de clés. Ce deuxième magasin de clés conserve la clé de chiffrement des données qui chiffre vos sauvegardes copiées dans la région jumelée du serveur.

Note

Vous devez déployer le magasin de clés qui conserve la clé de chiffrement des données dans la même région que votre serveur. Si la redondance de géo-sauvegarde est activée sur votre serveur, vous devez créer le magasin de clés qui conserve la clé de chiffrement des données pour les sauvegardes géoredondantes dans la région jumelée du serveur.

1. Créez une clé dans votre magasin de clés. Si vos sauvegardes géoredondantes sont activées, vous avez besoin d’une clé sur chacun des magasins de clés. En utilisant l’une de ces clés, vous chiffrez toutes les données de votre serveur (y compris toutes les bases de données système et utilisateur, les fichiers temporaires, les journaux d’activité du serveur, les segments de journaux d’écriture avant et les sauvegardes). En utilisant la deuxième clé, vous chiffrez les copies des sauvegardes qui sont copiées de manière asynchrone sur la région jumelée de votre serveur.

2. Lors de l’approvisionnement d’un nouveau serveur flexible Azure Database pour PostgreSQL, configurez le chiffrement des données sous l’onglet Sécurité. Pour la clé de chiffrement des données, sélectionnez la case d’option de clé gérée par le client.

   

3. Si vous activez le stockage de sauvegarde géoredondant à approvisionner avec le serveur, l’aspect de l’onglet Sécurité change légèrement, car le serveur utilise deux clés de chiffrement distinctes. Une clé concerne la région primaire dans laquelle vous déployez votre serveur, et une clé concerne la région jumelée vers laquelle les sauvegardes de serveur sont répliquées de manière asynchrone.

   

4. Dans Identité managée affectée par l’utilisateur, sélectionnez Modifier l’identité.

   

5. Dans la liste des identités managées affectées par l’utilisateur, sélectionnez celle que vous souhaitez que votre serveur utilise pour accéder à la clé de chiffrement des données stockée dans un Azure Key Vault.

   

6. Sélectionnez Ajouter.

   

7. Sélectionnez Utiliser la mise à jour automatique de la version de la clé, si vous préférez laisser le service mettre automatiquement à jour la référence à la version la plus récente de la clé choisie, chaque fois que la version actuelle est pivotée manuellement ou automatiquement. Pour comprendre les avantages de l’utilisation des mises à jour automatiques de version de clé, consultez la mise à jour automatique de la version de clé.

   

8. Sélectionnez Sélectionner une clé.

   

9. Le champ abonnement est automatiquement rempli avec le nom de l’abonnement sur lequel votre serveur est sur le point d’être créé. Le magasin de clés qui conserve la clé de chiffrement des données doit exister dans le même abonnement que le serveur.

   

10. Dans le champ Type de magasin de clés, sélectionnez la case d’option correspondant au type de magasin de clés dans lequel vous envisagez de stocker la clé de chiffrement des données. Dans cet exemple, choisissez Key Vault, mais l’expérience est similaire si vous choisissez HSM managé.

    

11. Développez Coffre de clés (ou HSM managé, si vous avez sélectionné ce type de stockage), puis sélectionnez l’instance dans laquelle existe la clé de chiffrement des données.

    

    Note

    Lorsque vous développez la zone du menu déroulant, elle affiche Aucun élément disponible. Il faut quelques secondes pour que toutes les instances du coffre de clés déployées dans la même région que le serveur soient listées.

12. Développez Clé, puis sélectionnez le nom de la clé que vous souhaitez utiliser pour le chiffrement des données.

    

13. Si vous n’avez pas sélectionné Utiliser la mise à jour automatique de la version de la clé, vous devez également sélectionner une version spécifique de la clé. Pour ce faire, développez Version et sélectionnez l’identificateur de la version de la clé que vous souhaitez utiliser pour le chiffrement des données.

    

14. Sélectionnez Sélectionner.

    

15. Configurez tous les autres paramètres du nouveau serveur et sélectionnez Vérifier + créer.

    

CLI

Utilisez la commande az postgres flexible-server create pour activer le chiffrement des données avec la clé de chiffrement affectée par l’utilisateur, lors de l’approvisionnement d’un nouveau serveur.

Si les sauvegardes géoredondantes ne sont pas activées sur votre serveur :

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Note

Vous devez fournir d’autres paramètres pour terminer la commande précédente. La présence et les valeurs de ces paramètres varient selon la façon dont vous souhaitez configurer d’autres fonctionnalités du serveur approvisionné.

Si les sauvegardes géoredondantes sont activées sur votre serveur :

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Note

Vous devez fournir d’autres paramètres pour terminer la commande précédente. La présence et les valeurs de ces paramètres varient selon la façon dont vous souhaitez configurer d’autres fonctionnalités du serveur approvisionné.

Configurer le chiffrement des données avec une clé gérée par le client sur des serveurs existants

Vous décidez d’utiliser une clé gérée par le système ou une clé gérée par le client pour le chiffrement des données lors de la création du serveur. Une fois cette décision prise et créé le serveur, vous ne pouvez pas basculer entre les deux options. La seule alternative, si vous souhaitez passer d’une option à l’autre, nécessite la restauration de l’une des sauvegardes disponibles du serveur sur un nouveau serveur. Lors de la configuration de la restauration, vous pouvez modifier la configuration de chiffrement des données du nouveau serveur.

Pour les serveurs existants que vous avez déployés avec le chiffrement des données à l’aide d’une clé gérée par le client, vous pouvez apporter plusieurs modifications de configuration. Vous pouvez modifier les références aux clés utilisées pour le chiffrement et les références aux identités managées affectées par l’utilisateur que le service utilise pour accéder aux clés conservées dans les magasins de clés.

Vous devez mettre à jour les références à une clé utilisées par votre serveur flexible Azure Database pour PostgreSQL :

• Lorsque la clé stockée dans le magasin de clés est pivotée, manuellement ou automatiquement, et que votre serveur flexible Azure Database pour PostgreSQL pointe vers une version spécifique de la clé. Si vous pointez vers une clé, mais pas vers une version spécifique de la clé (c’est-à-dire lorsque vous utilisez la mise à jour automatique de la version de clé activée), le service référence automatiquement la version la plus récente de la clé chaque fois que la clé est manuellement ou pivotée automatiquement.
• Lorsque vous souhaitez utiliser la même clé ou une clé différente stockée dans un autre magasin de clés.

Vous devez mettre à jour les identités managées attribuées par l’utilisateur que votre serveur flexible Azure Database pour PostgreSQL utilise pour accéder aux clés de chiffrement chaque fois que vous souhaitez utiliser une autre identité.

Portal

Utilisez le portail Azure :

1. Sélectionnez votre serveur flexible Azure Database pour PostgreSQL.

2. Dans le menu des ressources, sous la section Sécurité , sélectionnez Chiffrement des données.

   

3. Pour modifier l’identité managée attribuée par l’utilisateur que le serveur utilise pour accéder au magasin de clés, développez la liste déroulante Identité managée attribuée par l’utilisateur, puis sélectionnez l’une des identités disponibles.

   

   Note

   La zone de liste déroulante affiche uniquement les identités affectées par votre serveur flexible Azure Database pour PostgreSQL. Bien qu’il ne soit pas nécessaire de maintenir la résilience régionale, sélectionnez des identités managées par l’utilisateur dans la même région que votre serveur. Si la redondance de géo-sauvegarde de votre serveur est activée, la deuxième identité managée par l’utilisateur, utilisée pour accéder à la clé de chiffrement des données pour les sauvegardes géoredondantes, doit exister dans la région jumelée du serveur.

4. Si l'identité managée affectée par l'utilisateur que vous souhaitez utiliser pour accéder à la clé de chiffrement des données n'est pas affectée à votre serveur flexible Azure Database pour PostgreSQL et qu'elle n'existe pas en tant que ressource Azure avec son objet correspondant dans Microsoft Entra ID, créez-la en sélectionnant Créer.

   

5. Dans le panneau Créer une identité managée affectée par l’utilisateur, entrez les détails de l’identité managée affectée par l’utilisateur que vous souhaitez créer, puis affectez-la automatiquement à votre serveur flexible Azure Database pour PostgreSQL pour accéder à la clé de chiffrement des données.

   

6. Si l'identité managée affectée par l'utilisateur que vous souhaitez utiliser pour accéder à la clé de chiffrement des données n'est pas affectée à votre serveur flexible Azure Database pour PostgreSQL, mais qu'elle existe en tant que ressource Azure avec son objet correspondant dans Microsoft Entra ID, affectez-la en sélectionnant Sélectionner.

   

7. Dans la liste des identités managées affectées par l’utilisateur, sélectionnez celle que vous souhaitez que votre serveur utilise pour accéder à la clé de chiffrement des données stockée dans un Azure Key Vault.

   

8. Sélectionnez Ajouter.

   

9. Sélectionnez Utiliser la mise à jour automatique de la version de la clé si vous souhaitez que le service met automatiquement à jour la référence à la version la plus récente de la clé choisie chaque fois que la version actuelle est pivotée manuellement ou automatiquement. Pour comprendre les avantages de l’utilisation des mises à jour automatiques de version de clé, consultez [mise à jour automatique de version de clé](.. /security/security-data-encryption.md##CMK mises à jour de version de clé).

   

10. Si vous faites pivoter la clé et que vous n’activez pas Utiliser la mise à jour automatique de la version de la clé. Ou si vous souhaitez utiliser une autre clé, mettez à jour votre serveur flexible Azure Database pour PostgreSQL afin qu’il pointe vers la nouvelle version de clé ou la nouvelle clé. Pour ce faire, copiez l’identificateur de ressource de la clé et collez-le dans la zone d’identificateur de clé .

    

11. Si l’utilisateur accédant au portail Azure dispose des autorisations nécessaires pour accéder à la clé stockée dans le magasin de clés, vous pouvez utiliser une autre approche pour choisir la nouvelle clé ou la nouvelle version de la clé. Pour ce faire, dans Méthode de sélection de clé, sélectionnez la case d’option Sélectionner une clé.

    

12. Sélectionnez Sélectionner une clé.

    

13. Le champ abonnement est automatiquement rempli avec le nom de l’abonnement sur lequel votre serveur est sur le point d’être créé. Le magasin de clés qui conserve la clé de chiffrement des données doit exister dans le même abonnement que le serveur.

    

14. Dans le champ Type de magasin de clés, sélectionnez la case d’option correspondant au type de magasin de clés dans lequel vous envisagez de stocker la clé de chiffrement des données. Dans cet exemple, choisissez Key Vault, mais l’expérience est similaire si vous choisissez HSM managé.

    

15. Développez Coffre de clés (ou HSM managé, si vous avez sélectionné ce type de stockage), puis sélectionnez l’instance dans laquelle existe la clé de chiffrement des données.

    

    Note

    Lorsque vous développez la zone du menu déroulant, elle affiche Aucun élément disponible. Il faut quelques secondes pour que toutes les instances du coffre de clés déployées dans la même région que le serveur soient listées.

16. Développez Clé, puis sélectionnez le nom de la clé que vous souhaitez utiliser pour le chiffrement des données.

    

17. Si vous n’avez pas sélectionné Utiliser la mise à jour automatique de la version de la clé, vous devez également sélectionner une version spécifique de la clé. Pour ce faire, développez Version et sélectionnez l’identificateur de la version de la clé que vous souhaitez utiliser pour le chiffrement des données.

    

18. Sélectionnez Sélectionner.

    

19. Lorsque vous êtes satisfait des modifications, sélectionnez Enregistrer.

    

CLI

Utilisez la commande az postgres flexible-server update pour configurer le chiffrement des données avec la clé de chiffrement affectée par l’utilisateur, pour un serveur existant.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Note

Vous devrez peut-être inclure d’autres paramètres avec la commande précédente. La présence et les valeurs de ces paramètres dépendent de la façon dont vous souhaitez configurer d’autres fonctionnalités du serveur existant.

Que vous souhaitiez modifier uniquement l’identité managée affectée par l’utilisateur utilisée pour accéder à la clé, ou que vous souhaitiez modifier uniquement la clé utilisée pour le chiffrement des données, ou que vous souhaitiez modifier les deux en même temps, vous devez fournir les paramètres --identity et --key (ou --backup-identity pour --backup-key les sauvegardes géoredondantes). Si vous fournissez un seul paramètre, vous obtenez l’une des erreurs suivantes :

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Si la clé que vous spécifiez avec le --key paramètre (ou --backup-key pour les sauvegardes géoredondantes) n’existe pas, ou si l’identité managée affectée par l’utilisateur dont vous passez l’identificateur --identity de ressource au paramètre (ou --backup-identity pour les sauvegardes géoredondantes) n’a pas les autorisations requises pour accéder à la clé, vous obtenez l’erreur suivante :

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Si vos sauvegardes géoredondantes sont activées, vous pouvez configurer la clé utilisée pour le chiffrement des sauvegardes géoredondantes et l’identité utilisée pour accéder à cette clé. Pour ce faire, utilisez les paramètres --backup-identity et --backup-key.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Si vous transmettez les paramètres --backup-identity et --backup-key à la az postgres flexible server update commande, puis reportez-vous à un serveur existant qui n’a pas de sauvegarde géoredondante activée, vous obtenez l’erreur suivante :

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Si vous ajoutez des identités aux paramètres --identity et --backup-identity, et qu’elles sont valides, le système les ajoute automatiquement à la liste des identités managées attribuées par l’utilisateur associées à votre serveur flexible Azure Database pour PostgreSQL. Cette action se produit même si la commande échoue ultérieurement avec une autre erreur. Dans ce cas, vous pouvez utiliser les commandes az postgres flexible-server identity pour répertorier, affecter ou supprimer les identités managées affectées par l’utilisateur affectées à votre serveur flexible Azure Database pour PostgreSQL. Pour en savoir plus sur la configuration des identités managées affectées par l’utilisateur dans votre serveur flexible Azure Database pour PostgreSQL, consultez associer des identités managées affectées par l’utilisateur à des serveurs existants, dissocier les identités managées affectées par l’utilisateur à des serveurs existants et afficher les identités managées affectées par l’utilisateur associées.

Contenu connexe

• Chiffrement des données