Mengonfigurasi kunci yang dikelola pelanggan di penyewa yang sama untuk akun penyimpanan yang ada
Artikel
Azure Storage mengenkripsi semua data di akun penyimpanan ketika tidak aktif. Secara default, data dienkripsi dengan kunci yang dikelola Microsoft. Untuk kontrol lebih lanjut atas kunci enkripsi, Anda dapat mengelola kunci Anda sendiri. Kunci yang dikelola pelanggan harus disimpan di Azure Key Vault atau Key Vault Managed Hardware Security Model (HSM).
Artikel ini menunjukkan cara mengonfigurasi enkripsi dengan kunci yang dikelola pelanggan untuk akun penyimpanan yang ada saat akun penyimpanan dan brankas kunci berada di penyewa yang sama. Kunci yang dikelola pelanggan disimpan di brankas kunci.
Azure Key Vault dan Azure Key Vault Managed HSM mendukung API dan antarmuka manajemen yang sama untuk konfigurasi kunci yang dikelola pelanggan. Tindakan apa pun yang didukung untuk Azure Key Vault juga didukung untuk Azure Key Vault Managed HSM.
Mengonfigurasi brankas kunci
Anda dapat menggunakan brankas kunci baru atau yang ada untuk menyimpan kunci yang dikelola pelanggan. Akun penyimpanan dan key vault mungkin berada di kawasan atau langganan yang berbeda di penyewa yang sama. Untuk mempelajari Azure Key Vault lebih lanjut, lihat Ringkasan Azure Key Vault dan Apa yang dimaksud dengan Azure Key Vault?.
Menggunakan kunci yang dikelola pelanggan dengan enkripsi Azure Storage mengharuskan penghapusan sementara dan perlindungan hapus menyeluruh diaktifkan untuk brankas kunci. Penghapusan sementara diaktifkan secara default saat Anda membuat brankas kunci baru dan tidak dapat dinonaktifkan. Anda dapat mengaktifkan perlindungan hapus menyeluruh baik saat membuat brankas kunci atau setelah dibuat.
Untuk mengaktifkan perlindungan hapus menyeluruh pada brankas kunci yang ada, ikuti langkah-langkah berikut:
Navigasi ke brankas kunci Anda di portal Microsoft Azure.
Di bawah Pengaturan, pilih Properti.
Di bagian Perlindungan hapus menyeluruh, pilih Aktifkan perlindungan hapus menyeluruh.
Untuk membuat brankas kunci baru dengan PowerShell, instal modul Az.KeyVault PowerShell versi 2.0.0 atau yang lebih baru. Kemudian panggil New-AzKeyVault untuk membuat brankas kunci baru. Dengan modul Az.KeyVault versi 2.0.0 dan yang lebih baru, penghapusan sementara diaktifkan secara default saat Anda membuat brankas kunci baru.
Contoh berikut membuat brankas kunci baru dengan penghapusan sementara dan perlindungan penghapusan menyeluruh diaktifkan. Model izin brankas kunci diatur untuk menggunakan Azure RBAC. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri.
Untuk mempelajari cara mengaktifkan perlindungan hapus menyeluruh pada brankas kunci yang ada dengan PowerShell, lihat ringkasan pemulihan Azure Key Vault.
Setelah membuat brankas kunci, Anda harus menetapkan peran Petugas Kripto Key Vault untuk diri Anda sendiri. Peran ini memungkinkan Anda membuat kunci di brankas kunci. Contoh berikut menetapkan peran ini kepada pengguna, yang dilingkupkan ke brankas kunci:
Untuk membuat brankas kunci baru menggunakan Azure CLI, panggil az keyvault create. Contoh berikut membuat brankas kunci baru dengan penghapusan sementara dan perlindungan penghapusan menyeluruh diaktifkan. Model izin brankas kunci diatur untuk menggunakan Azure RBAC. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri.
Untuk mempelajari cara mengaktifkan perlindungan hapus menyeluruh pada brankas kunci yang ada dengan Azure CLI, lihat ringkasan pemulihan Azure Key Vault.
Setelah membuat brankas kunci, Anda harus menetapkan peran Petugas Kripto Key Vault untuk diri Anda sendiri. Peran ini memungkinkan Anda membuat kunci di brankas kunci. Contoh berikut menetapkan peran ini kepada pengguna, yang dilingkupkan ke brankas kunci:
kvResourceId=$(az keyvault show --resource-group $rgName \
--name $kvName \
--query id \
--output tsv)
az role assignment create --assignee "<user-email>" \
--role "Key Vault Crypto Officer" \
--scope $kvResourceId
Selanjutnya, tambahkan kunci ke brankas kunci. Sebelum Anda menambahkan kunci, pastikan Anda telah menetapkan sendiri peran Petugas Kripto Key Vault.
Enkripsi Azure Storage mendukung kunci RSA dan RSA-HSM dengan ukuran 2048, 3072, dan 4096. Untuk informasi selengkapnya mengenai jenis kunci yang didukung, lihat Tentang kunci.
Untuk menambahkan kunci dengan PowerShell, panggil Add-AzKeyVaultKey. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan menggunakan variabel yang ditentukan dalam contoh sebelumnya.
Untuk menambahkan kunci dengan Azure CLI, panggil az keyvault key create. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri.
Pilih identitas terkelola untuk mengotorisasi akses ke brankas kunci
Saat mengaktifkan kunci yang dikelola pelanggan untuk akun penyimpanan yang ada, Anda harus menentukan identitas terkelola yang akan digunakan untuk mengotorisasi akses ke brankas kunci yang berisi kunci. Identitas terkelola harus memiliki izin untuk mengakses kunci dalam brankas kunci.
Identitas terkelola yang mengotorisasi akses ke brankas kunci dapat berupa identitas terkelola yang ditetapkan pengguna atau yang ditetapkan sistem. Untuk mempelajari lebih lanjut identitas terkelola yang ditetapkan sistem versus identitas terkelola yang ditetapkan pengguna, lihat Jenis identitas terkelola.
Menggunakan identitas terkelola yang ditetapkan pengguna untuk mengotorisasi akses
Saat mengaktifkan kunci yang dikelola pelanggan untuk akun penyimpanan baru, Anda harus menentukan identitas terkelola yang ditetapkan pengguna. Akun penyimpanan yang ada mendukung penggunaan identitas terkelola yang ditetapkan pengguna atau identitas terkelola yang ditetapkan sistem untuk mengonfigurasi kunci yang dikelola pelanggan.
Saat Anda mengonfigurasi kunci yang dikelola pelanggan dengan identitas terkelola yang ditetapkan pengguna, identitas terkelola yang ditetapkan pengguna digunakan untuk mengotorisasi akses ke brankas kunci yang berisi kunci. Anda harus membuat identitas yang ditetapkan pengguna sebelum Anda mengonfigurasi kunci yang dikelola pelanggan.
Identitas terkelola yang ditetapkan pengguna adalah sumber daya Azure mandiri. Untuk mempelajari lebih lanjut identitas terkelola yang ditetapkan pengguna, lihat Jenis identitas terkelola. Untuk mempelajari cara membuat dan mengelola identitas terkelola yang ditetapkan pengguna, lihat Mengelola identitas terkelola yang ditetapkan pengguna.
Identitas terkelola yang ditetapkan pengguna harus memiliki izin yang sesuai untuk mengakses kunci di brankas kunci. Tetapkan peran Pengguna Enkripsi Layanan Kripto Key Vault ke identitas terkelola yang ditetapkan pengguna dengan cakupan brankas kunci untuk memberikan izin ini.
Sebelum Anda dapat mengonfigurasi kunci yang dikelola pelanggan dengan identitas terkelola yang ditetapkan pengguna, Anda harus menetapkan peran Pengguna Enkripsi Layanan Kripto Key Vault ke identitas terkelola yang ditetapkan pengguna, yang dilingkupkan ke brankas kunci. Peran ini memberikan izin identitas terkelola yang ditetapkan pengguna untuk mengakses kunci di brankas kunci. Untuk informasi selengkapnya tentang menetapkan peran Azure RBAC dengan portal Azure, lihat Menetapkan peran Azure menggunakan portal Azure.
Saat mengonfigurasi kunci yang dikelola pelanggan dengan portal Azure, Anda dapat memilih identitas yang ditetapkan pengguna yang sudah ada melalui antarmuka pengguna portal.
Contoh berikut menunjukkan cara mengambil identitas terkelola yang ditetapkan pengguna dan menetapkan peran RBAC yang diperlukan, yang dilingkupkan ke brankas kunci. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan untuk menggunakan variabel yang ditentukan dalam contoh sebelumnya:
Contoh berikut menunjukkan cara mengambil identitas terkelola yang ditetapkan pengguna dan menetapkan peran RBAC yang diperlukan, yang dilingkupkan ke brankas kunci. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan untuk menggunakan variabel yang ditentukan dalam contoh sebelumnya:
identityResourceId=$(az identity show --name <user-assigned-identity> \
--resource-group $rgName \
--query id \
--output tsv)
principalId=$(az identity show --name <user-assigned-identity> \
--resource-group $rgName \
--query principalId \
--output tsv)
az role assignment create --assignee-object-id $principalId \
--role "Key Vault Crypto Service Encryption User" \
--scope $kvResourceId \
--assignee-principal-type ServicePrincipal
Menggunakan identitas terkelola yang ditetapkan sistem untuk mengotorisasi akses
Identitas terkelola yang ditetapkan sistem dikaitkan dengan instans layanan Azure, dalam hal ini adalah akun Azure Storage. Anda harus secara eksplisit menetapkan identitas terkelola yang ditetapkan sistem ke akun penyimpanan sebelum Anda dapat menggunakan identitas terkelola yang ditetapkan sistem untuk mengotorisasi akses ke brankas kunci yang berisi kunci yang dikelola pelanggan.
Hanya akun penyimpanan yang sudah ada yang dapat menggunakan identitas yang ditetapkan sistem untuk mengotorisasi akses ke brankas kunci. Akun penyimpanan baru harus menggunakan identitas yang ditetapkan pengguna, jika kunci yang dikelola pelanggan dikonfigurasi pada pembuatan akun.
Identitas terkelola yang ditetapkan sistem harus memiliki izin untuk mengakses kunci di brankas kunci. Tetapkan peran Pengguna Enkripsi Layanan Kripto Key Vault ke identitas terkelola yang ditetapkan sistem dengan cakupan brankas kunci untuk memberikan izin ini.
Sebelum Anda dapat mengonfigurasi kunci yang dikelola pelanggan dengan identitas terkelola yang ditetapkan sistem, Anda harus menetapkan peran Pengguna Enkripsi Layanan Kripto Key Vault ke identitas terkelola yang ditetapkan sistem, yang dilingkupkan ke brankas kunci. Peran ini memberikan izin identitas terkelola yang ditetapkan sistem untuk mengakses kunci di brankas kunci. Untuk informasi selengkapnya tentang menetapkan peran Azure RBAC dengan portal Azure, lihat Menetapkan peran Azure menggunakan portal Azure.
Saat Anda mengonfigurasi kunci yang dikelola pelanggan dengan portal Azure menggunakan identitas terkelola yang ditetapkan sistem, identitas terkelola yang ditetapkan sistem ditetapkan ke akun penyimpanan untuk Anda secara rahasia.
Untuk menetapkan identitas terkelola yang ditetapkan sistem ke akun penyimpanan Anda, pertama-tama panggil Set-AzStorageAccount:
Selanjutnya, tetapkan ke identitas terkelola yang ditetapkan sistem peran RBAC yang diperlukan, yang dilingkupkan ke brankas kunci. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan untuk menggunakan variabel yang ditentukan dalam contoh sebelumnya:
Untuk mengautentikasi akses ke brankas kunci dengan identitas terkelola yang ditetapkan sistem, pertama-tama tetapkan identitas terkelola yang ditetapkan sistem ke akun penyimpanan dengan memanggil pembaruan akun penyimpanan az:
Selanjutnya, tetapkan ke identitas terkelola yang ditetapkan sistem peran RBAC yang diperlukan, yang dilingkupkan ke brankas kunci. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan untuk menggunakan variabel yang ditentukan dalam contoh sebelumnya:
principalId=$(az storage account show --name $accountName \
--resource-group $rgName \
--query identity.principalId \
--output tsv)
az role assignment create --assignee-object-id $principalId \
--role "Key Vault Crypto Service Encryption User" \
--scope $kvResourceId
Mengonfigurasi kunci yang dikelola pelanggan untuk akun yang sudah ada
Saat mengonfigurasi enkripsi dengan kunci yang dikelola pelanggan untuk akun penyimpanan yang sudah ada, Anda dapat memilih untuk memperbarui secara otomatis versi kunci yang digunakan untuk enkripsi Azure Storage setiap kali versi baru tersedia di brankas kunci terkait. Secara bergantian, Anda dapat secara eksplisit menentukan versi kunci yang akan digunakan untuk enkripsi hingga versi kunci diperbarui secara manual.
Saat versi kunci diubah, baik secara otomatis atau manual, perlindungan kunci enkripsi akar berubah, tetapi data di akun Azure Storage Anda tetap dienkripsi setiap saat. Tidak ada tindakan lebih lanjut yang diperlukan pada bagian Anda untuk memastikan bahwa data Anda dilindungi. Memutar versi kunci tidak memengaruhi performa. Tidak ada waktu henti yang terkait dengan memutar versi kunci.
Anda dapat menggunakan identitas terkelola yang ditetapkan sistem atau ditetapkan pengguna untuk mengotorisasi akses ke brankas kunci saat mengonfigurasi kunci yang dikelola pelanggan untuk akun penyimpanan yang sudah ada.
Catatan
Untuk memutar kunci, buat versi baru kunci di Azure Key Vault. Azure Storage tidak menangani rotasi kunci, jadi Anda harus mengelola rotasi kunci di brankas kunci. Anda dapat mengonfigurasi rotasi otomatis kunci di Azure Key Vault atau memutar kunci Anda secara manual.
Mengonfigurasi enkripsi untuk pembaruan otomatis versi kunci
Azure Storage dapat memperbarui secara otomatis kunci yang dikelola pelanggan yang digunakan untuk enkripsi agar menggunakan versi kunci terbaru dari brankas kunci. Azure Storage memeriksa brankas kunci setiap hari untuk versi baru kunci. Ketika versi baru tersedia, Azure Storage secara otomatis mulai menggunakan versi terbaru kunci untuk enkripsi.
Penting
Azure Storage memeriksa brankas kunci untuk versi kunci baru hanya sekali setiap hari. Saat Anda memutar kunci, pastikan untuk menunggu 24 jam sebelum menonaktifkan versi yang lebih lama.
Untuk mengonfigurasi kunci yang dikelola pelanggan untuk akun yang ada dengan pembaruan otomatis versi kunci di portal Azure, ikuti langkah-langkah di bawah ini:
Navigasi ke akun penyimpanan Anda.
Di bawah Keamanan + jaringan, pilih Enkripsi. Secara default, manajemen kunci diatur ke Kunci yang Dikelola Microsoft seperti yang ditunjukkan pada gambar di bawah ini:
Pilih opsi Kunci yang Dikelola Pelanggan. Jika akun sebelumnya dikonfigurasi untuk Kunci yang Dikelola Pelanggan dengan pembaruan manual versi kunci, pilih Ubah kunci di dekat bagian bawah halaman.
Pilih opsi Pilih dari Key Vault.
Pilih Pilih brankas kunci dan kunci.
Pilih brankas kunci yang berisi kunci yang ingin Anda gunakan. Anda juga dapat membuat brankas kunci baru.
Pilih kunci dari brankas kunci. Anda juga dapat membuat kunci baru.
Pilih jenis identitas yang akan digunakan untuk mengautentikasi akses ke brankas kunci. Opsinya mencakup Ditetapkan sistem (default) atau Ditetapkan pengguna. Untuk mempelajari selengkapnya tentang setiap jenis identitas terkelola, lihat Jenis identitas terkelola.
Jika Anda memilih Ditetapkan sistem, identitas terkelola yang ditetapkan sistem untuk akun penyimpanan dibuat di bawah cakupan, jika belum ada.
Jika Anda memilih Ditetapkan pengguna, Anda harus memilih identitas yang ditetapkan pengguna yang memiliki izin untuk mengakses brankas kunci. Untuk mempelajari cara membuat identitas yang ditetapkan pengguna, lihat Mengelola identitas terkelola yang ditetapkan pengguna.
Simpan perubahan Anda.
Setelah Anda menentukan kunci, portal Azure menunjukkan bahwa pembaruan otomatis versi kunci diaktifkan dan menampilkan versi kunci yang saat ini digunakan untuk enkripsi. Portal juga menampilkan jenis identitas terkelola yang digunakan untuk mengotorisasi akses ke brankas kunci dan ID prinsipal untuk identitas terkelola.
Untuk mengonfigurasi kunci yang dikelola pelanggan untuk akun yang sudah ada dengan pembaruan otomatis versi kunci dengan PowerShell, instal modul Az.Storage, versi 2.0.0 atau yang lebih baru.
Selanjutnya, panggil Set-AzStorageAccount untuk memperbarui pengaturan enkripsi akun penyimpanan. KeyvaultEncryption Sertakan parameter untuk mengaktifkan kunci yang dikelola pelanggan untuk akun penyimpanan, dan atur KeyVersion ke string kosong untuk mengaktifkan pembaruan otomatis versi kunci. Jika akun penyimpanan sebelumnya dikonfigurasi untuk kunci yang dikelola pelanggan dengan versi kunci tertentu, maka mengatur versi kunci ke string kosong memungkinkan pembaruan otomatis versi kunci ke depannya.
$accountName = "<storage-account>"
# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
-AccountName $accountName `
-IdentityType SystemAssignedUserAssigned `
-UserAssignedIdentityId $userIdentity.Id `
-KeyvaultEncryption `
-KeyVaultUri $keyVault.VaultUri `
-KeyName $key.Name `
-KeyVersion "" `
-KeyVaultUserAssignedIdentityId $userIdentity.Id
# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
-AccountName $accountName `
-KeyvaultEncryption `
-KeyName $key.Name `
-KeyVersion "" `
-KeyVaultUri $keyVault.VaultUri
Untuk mengonfigurasi kunci yang dikelola pelanggan untuk akun yang sudah ada dengan pembaruan otomatis versi kunci Azure CLI, instal Azure CLI versi 2.4.0 atau yang lebih baru. Untuk informasi selengkapnya, lihat Menginstal Azure CLI.
Selanjutnya, panggil pembaruan akun penyimpanan az untuk memperbarui pengaturan enkripsi akun penyimpanan. --encryption-key-source Sertakan parameter dan atur ke untuk Microsoft.Keyvault mengaktifkan kunci yang dikelola pelanggan untuk akun, dan atur encryption-key-version ke string kosong untuk mengaktifkan pembaruan otomatis versi kunci. Jika akun penyimpanan sebelumnya dikonfigurasi untuk kunci yang dikelola pelanggan dengan versi kunci tertentu, maka mengatur versi kunci ke string kosong memungkinkan pembaruan otomatis versi kunci ke depannya.
accountName="<storage-account>"
keyVaultUri=$(az keyvault show \
--name $kvName \
--resource-group $rgName \
--query properties.vaultUri \
--output tsv)
# Use this form of the command with a user-assigned managed identity.
az storage account update \
--name $accountName \
--resource-group $rgName \
--identity-type SystemAssigned,UserAssigned \
--user-identity-id $identityResourceId \
--encryption-key-name $keyName \
--encryption-key-version "" \
--encryption-key-source Microsoft.Keyvault \
--encryption-key-vault $keyVaultUri \
--key-vault-user-identity-id $identityResourceId
# Use this form of the command with a system-assigned managed identity.
az storage account update \
--name $accountName \
--resource-group $rgName \
--encryption-key-name $keyName \
--encryption-key-version "" \
--encryption-key-source Microsoft.Keyvault \
--encryption-key-vault $keyVaultUri
Mengonfigurasi enkripsi untuk pembaruan manual versi kunci
Jika Anda lebih suka memperbarui versi kunci secara manual, maka secara eksplisit tentukan versi pada saat Anda mengonfigurasi enkripsi dengan kunci yang dikelola pelanggan. Dalam hal ini, Azure Storage tidak akan memperbarui secara otomatis versi kunci ketika versi baru dibuat di brankas kunci. Untuk menggunakan versi kunci baru, Anda harus memperbarui secara manual versi yang digunakan untuk enkripsi Azure Storage.
Untuk mengonfigurasi kunci yang dikelola pelanggan dengan pembaruan manual versi kunci di portal Microsoft Azure, tentukan URI kunci, termasuk versinya. Untuk menentukan kunci sebagai URI, ikuti langkah-langkah berikut:
Untuk menemukan URI kunci di portal Azure, navigasi ke brankas kunci Anda, dan pilih pengaturan Kunci. Pilih kunci yang diinginkan, lalu klik kunci untuk melihat versinya. Pilih versi kunci untuk melihat pengaturan untuk versi tersebut.
Salin nilai bidang Pengidentifikasi Kunci yang memberikan URI.
Di pengaturan Kunci enkripsi untuk akun penyimpanan Anda, pilih opsi Masukkan URI kunci.
Tempel URI yang Anda salin ke bidang URI Kunci. Abaikan versi kunci dari URI untuk mengaktifkan pembaruan otomatis versi kunci.
Tentukan langganan yang berisi brankas kunci.
Tentukan identitas terkelola yang ditetapkan sistem atau ditetapkan pengguna.
Simpan perubahan Anda.
Untuk mengonfigurasi kunci yang dikelola pelanggan dengan pembaruan manual versi kunci, berikan secara eksplisit versi kunci saat Anda mengonfigurasi enkripsi untuk akun penyimpanan. Panggil Set-AzStorageAccount untuk memperbarui pengaturan enkripsi akun penyimpanan, seperti yang ditunjukkan pada contoh berikut dan sertakan opsi -KeyvaultEncryption untuk mengaktifkan kunci yang dikelola pelanggan untuk akun penyimpanan.
Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan menggunakan variabel yang ditentukan dalam contoh sebelumnya.
$accountName = "<storage-account>"
# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
-AccountName $accountName `
-IdentityType SystemAssignedUserAssigned `
-UserAssignedIdentityId $userIdentity.Id `
-KeyvaultEncryption `
-KeyVaultUri $keyVault.VaultUri `
-KeyName $key.Name `
-KeyVersion $key.Version `
-KeyVaultUserAssignedIdentityId $userIdentity.Id
# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
-AccountName $accountName `
-KeyvaultEncryption `
-KeyVaultUri $keyVault.VaultUri `
-KeyName $key.Name `
-KeyVersion $key.Version
Saat memperbarui versi kunci secara manual, Anda kemudian perlu memperbarui pengaturan enkripsi akun penyimpanan untuk menggunakan versi baru. Pertama, panggil Get-AzKeyVaultKey untuk mendapatkan versi kunci terbaru. Kemudian panggil Set-AzStorageAccount untuk memperbarui pengaturan enkripsi akun penyimpanan untuk menggunakan versi kunci baru seperti yang ditunjukkan pada contoh sebelumnya.
Untuk mengonfigurasi kunci yang dikelola pelanggan dengan pembaruan manual versi kunci, berikan secara eksplisit versi kunci saat Anda mengonfigurasi enkripsi untuk akun penyimpanan. Panggil az storage account update untuk memperbarui pengaturan enkripsi akun penyimpanan, seperti yang ditunjukkan pada contoh berikut. Sertakan parameter --encryption-key-source dan atur ke Microsoft.Keyvault untuk mengaktifkan kunci yang dikelola pelanggan untuk akun tersebut.
Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri.
accountName="<storage-account>"
keyVaultUri=$(az keyvault show \
--name $kvName \
--resource-group $rgName \
--query properties.vaultUri \
--output tsv)
keyVersion=$(az keyvault key list-versions \
--name $keyName \
--vault-name $kvName \
--query [-1].kid \
--output tsv | cut -d '/' -f 6)
# Use this form of the command with a user-assigned managed identity
az storage account update \
--name $accountName \
--resource-group $rgName \
--identity-type SystemAssigned,UserAssigned \
--user-identity-id $identityResourceId \
--encryption-key-name $keyName \
--encryption-key-version $keyVersion \
--encryption-key-source Microsoft.Keyvault \
--encryption-key-vault $keyVaultUri \
--key-vault-user-identity-id $identityResourceId
# Use this form of the command with a system-assigned managed identity
az storage account update \
--name $accountName \
--resource-group $rgName \
--encryption-key-name $keyName \
--encryption-key-version $keyVersion \
--encryption-key-source Microsoft.Keyvault \
--encryption-key-vault $keyVaultUri
Saat memperbarui versi kunci secara manual, Anda kemudian perlu memperbarui pengaturan enkripsi akun penyimpanan untuk menggunakan versi baru. Pertama, buat kueri untuk URI brankas kunci dengan memanggil az keyvault show, dan untuk versi kunci dengan memanggil az keyvault key list-versions. Kemudian panggil az storage account update untuk memperbarui pengaturan enkripsi akun penyimpanan untuk menggunakan versi kunci baru seperti yang ditunjukkan pada contoh sebelumnya.
Mengubah kunci
Anda dapat mengubah kunci yang Anda gunakan untuk enkripsi Azure Storage kapan saja.
Catatan
Saat Anda mengubah kunci atau versi kunci, perlindungan kunci enkripsi akar berubah, tetapi data di akun Azure Storage Anda tetap dienkripsi setiap saat. Tidak ada tindakan tambahan yang diperlukan di bagian Anda untuk memastikan bahwa data Anda dilindungi. Mengubah kunci atau memutar versi kunci tidak memengaruhi performa. Tidak ada waktu henti yang terkait dengan mengubah kunci atau memutar versi kunci.
Untuk mengubah kunci dengan portal Microsoft Azure, ikuti langkah-langkah berikut:
Navigasi ke akun penyimpanan Anda dan tampilkan pengaturan Enkripsi.
Pilih brankas kunci dan pilih kunci baru.
Simpan perubahan Anda.
Untuk mengubah kunci dengan PowerShell, panggil Set-AzStorageAccount kemudian tetapkan nama dan kunci versi baru. Jika kunci baru berada di brankas kunci yang berbeda, maka Anda juga harus memperbarui URI brankas kunci.
Untuk mengubah kunci dengan Azure CLI, panggil pembaruan akun penyimpanan az kemudikan tetapkan nama dan kunci versi baru. Jika kunci baru berada di brankas kunci yang berbeda, maka Anda juga harus memperbarui URI brankas kunci.
Mencabut akses ke akun penyimpanan yang menggunakan kunci yang dikelola pelanggan
Untuk mencabut akses untuk sementara ke akun penyimpanan yang menggunakan kunci yang dikelola pelanggan, nonaktifkan kunci yang saat ini digunakan di brankas kunci. Tidak ada dampak performa atau waktu henti yang terkait dengan menonaktifkan dan mengaktifkan kembali kunci.
Setelah kunci dinonaktifkan, klien tidak dapat memanggil operasi yang membaca dari atau menulis ke blob atau metadatanya. Untuk informasi tentang operasi mana yang akan gagal, lihat Mencabut akses ke akun penyimpanan yang menggunakan kunci yang dikelola pelanggan.
Perhatian
Saat Anda menonaktifkan kunci di brankas kunci, data di akun Azure Storage Anda tetap dienkripsi, tetapi menjadi tidak dapat diakses sampai Anda mengaktifkan kembali kunci.
Untuk menonaktifkan kunci yang dikelola pelanggan dengan portal Azure, ikuti langkah-langkah berikut:
Navigasi ke brankas kunci yang berisi kunci.
Di bawah Objek, pilih Kunci.
Klik kanan kunci dan pilih Nonaktifkan.
Untuk mencabut kunci yang dikelola pelanggan dengan PowerShell, panggil perintah Update-AzKeyVaultKey , seperti yang ditunjukkan dalam contoh berikut. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri untuk menentukan variabel, atau gunakan variabel yang ditentukan dalam contoh sebelumnya.
$kvName = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it
# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName
# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled
Untuk mencabut kunci yang dikelola pelanggan dengan Azure CLI, panggil perintah az keyvault key set-attributes , seperti yang ditunjukkan dalam contoh berikut. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri untuk menentukan variabel, atau gunakan variabel yang ditentukan dalam contoh sebelumnya.
kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:
# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
--vault-name $kvName \
--name $keyName
# Disable (or enable) the key
az keyvault key set-attributes \
--vault-name $kvName \
--name $keyName \
--enabled $enabled
Beralih kembali ke kunci yang dikelola Microsoft
Anda dapat beralih dari kunci yang dikelola pelanggan kembali ke kunci yang dikelola Microsoft kapan saja, menggunakan portal Azure, PowerShell, atau Azure CLI.
Untuk beralih dari kunci yang dikelola pelanggan kembali ke kunci yang dikelola Microsoft di portal Azure, ikuti langkah-langkah berikut:
Navigasi ke akun penyimpanan Anda.
Di bawah Keamanan + jaringan, pilih Enkripsi.
Ubah jenis Enkripsi ke kunci yang dikelola Microsoft.
Untuk beralih dari kunci yang dikelola pelanggan kembali ke kunci yang dikelola Microsoft dengan PowerShell, panggil Set-AzStorageAccount dengan -StorageEncryption opsi , seperti yang ditunjukkan dalam contoh berikut. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan menggunakan variabel yang ditentukan dalam contoh sebelumnya.
Untuk beralih dari kunci yang dikelola pelanggan kembali ke kunci yang dikelola Microsoft dengan Azure CLI, panggil pembaruan akun penyimpanan az dan atur ke Microsoft.Storage, seperti yang --encryption-key-source parameter ditunjukkan dalam contoh berikut. Ingatlah untuk mengganti nilai tempat penampung dalam tanda kurung dengan nilai Anda sendiri dan menggunakan variabel yang ditentukan dalam contoh sebelumnya.
