Mengonfigurasi kunci yang dikelola pelanggan HSM untuk DBFS menggunakan Azure CLI

Artikel
05/23/2024

Catatan

Fitur ini hanya tersedia dalam paket Premium.

Anda dapat menggunakan Azure CLI untuk mengonfigurasi kunci enkripsi Anda sendiri untuk mengenkripsi akun penyimpanan ruang kerja. Artikel ini menjelaskan cara mengonfigurasi kunci Anda sendiri dari Azure Key Vault Managed HSM. Untuk instruksi tentang menggunakan kunci dari vault Azure Key Vault, lihat Mengonfigurasi kunci yang dikelola pelanggan untuk DBFS menggunakan Azure CLI.

Penting

Key Vault harus berada di penyewa Azure yang sama dengan ruang kerja Azure Databricks Anda.

Untuk informasi selengkapnya tentang kunci yang dikelola pelanggan untuk DBFS, lihat Kunci yang dikelola pelanggan untuk akar DBFS.

Menginstal ekstensi Azure Databricks CLI

Instal Azure CLI.
Instal ekstensi Azure Databricks CLI.
```
az extension add --name databricks
```

Menyiapkan ruang kerja Azure Databricks baru atau yang sudah ada untuk enkripsi

Ganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri. <workspace-name> adalah nama sumber daya yang ditampilkan di portal Microsoft Azure.

az login
az account set --subscription <subscription-id>

Siapkan enkripsi selama pembuatan ruang kerja:

az databricks workspace create --name <workspace-name> --location <workspace-location> --resource-group <resource-group> --sku premium --prepare-encryption

Siapkan ruang kerja yang ada untuk enkripsi:

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --prepare-encryption

Perhatikan bidang principalId di bagian storageAccountIdentity dari keluaran perintah. Anda akan memberikannya sebagai nilai identitas terkelola saat mengonfigurasi penetapan peran di Key Vault Anda.

Untuk informasi selengkapnya tentang perintah Azure CLI untuk ruang kerja Azure Databricks, lihat referensi perintah ruang kerja az databricks.

Membuat HSM Terkelola Azure Key Vault dan kunci HSM

Anda dapat menggunakan Azure Key Vault Managed HSM yang sudah ada atau membuat dan mengaktifkan yang baru berikut Mulai Cepat: Memprovisikan dan mengaktifkan HSM Terkelola menggunakan Azure CLI. Azure Key Vault Managed HSM harus mengaktifkan Perlindungan Penghapusan Menyeluruh .

Untuk membuat kunci HSM, ikuti Membuat kunci HSM.

Mengonfigurasi penetapan peran HSM Terkelola

Konfigurasikan penetapan peran untuk Key Vault Managed HSM sehingga ruang kerja Azure Databricks Anda memiliki izin untuk mengaksesnya. Ganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri.

az keyvault role assignment create \
        --role "Managed HSM Crypto Service Encryption User" \
        --scope "/" \
        --hsm-name <hsm-name> \
        --assignee-object-id <managed-identity>

Ganti <managed-identity> dengan nilai principalId yang Anda catat ketika mempersiapkan ruang kerja untuk enkripsi.

Mengonfigurasi enkripsi dengan kunci yang dikelola pelanggan

Konfigurasikan ruang kerja Azure Databricks Anda untuk menggunakan kunci yang Anda buat di Azure Key Vault Anda.

Ganti nilai tempat penampung dengan nilai Anda sendiri.

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --key-source Microsoft.KeyVault --key-name <key> --key-vault <hsm-uri> --key-version <key-version>

Menonaktifkan kunci yang dikelola pelanggan

Saat Anda menonaktifkan kunci yang dikelola pelanggan, akun penyimpanan Anda sekali lagi dienkripsi dengan kunci yang dikelola Microsoft.

Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan menggunakan variabel yang ditentukan dalam contoh sebelumnya.

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --key-source Default

Bagikan melalui