Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Dit artikel bevat stapsgewijze instructies voor het configureren van gegevensversleuteling voor een flexibele Azure Database for PostgreSQL-server.
Belangrijk
U kunt alleen bij het maken van de server kiezen voor een door het systeem beheerde sleutel of een door de klant beheerde sleutel voor gegevensversleuteling. Nadat u die beslissing hebt genomen en de server hebt gemaakt, kunt u niet schakelen tussen de twee opties.
In dit artikel leert u hoe u een nieuwe server maakt en de opties voor gegevensversleuteling configureert. Voor bestaande servers die gebruikmaken van door de klant beheerde versleutelingssleutel voor gegevensversleuteling, leert u het volgende:
- Een andere door de gebruiker toegewezen beheerde identiteit selecteren voor de service voor toegang tot de versleutelingssleutel.
- Een andere versleutelingssleutel opgeven of de versleutelingssleutel die momenteel wordt gebruikt voor gegevensversleuteling roteren.
Zie gegevensversleuteling voor meer informatie over gegevensversleuteling in de context van Azure Database for PostgreSQL.
Gegevensversleuteling configureren met door het systeem beheerde sleutel tijdens het inrichten van de server
Gebruik de Azure-portal:
Tijdens het inrichten van een nieuwe Azure Database for PostgreSQL flexibele server configureert u gegevensversleuteling op het tabblad Beveiliging. Voor gegevensversleutelingssleutel selecteert u de optie door de service beheerde sleutel.
Als u geografisch redundante back-upopslag samen met de server inschakelt, verandert het aspect van het tabblad Beveiliging enigszins omdat de server twee afzonderlijke versleutelingssleutels gebruikt. Eén sleutel is voor de primaire regio waarin u uw server implementeert en één sleutel is voor de gekoppelde regio waarnaar de back-ups van de server asynchroon worden gerepliceerd.
Gegevensversleuteling configureren met door de klant beheerde sleutel tijdens het inrichten van de server
Gebruik de Azure-portal:
- Maak een door de gebruiker toegewezen beheerde identiteit als u er nog geen hebt. Als voor uw server geografisch redundante back-ups zijn ingeschakeld, moet u twee verschillende identiteiten maken. Elk van deze identiteiten heeft toegang tot elk van de twee gegevensversleutelingssleutels.
Opmerking
Hoewel dit niet vereist is, maakt u de door de gebruiker beheerde identiteit in dezelfde regio als uw server om regionale tolerantie te behouden. Als voor uw server geografische back-upredundantie is ingeschakeld, maakt u de tweede door de gebruiker toegewezen identiteit aan in de gekoppelde regio van de server.
- Maak een Azure Key Vault of maak een beheerde HSM als u nog geen sleutelarchief hebt gemaakt. Zorg ervoor dat u aan de vereisten voldoet. Volg ook de aanbevelingen voordat u het sleutelarchief configureert, en voordat u de sleutel maakt en de vereiste machtigingen toewijst aan de door de gebruiker toegewezen beheerde identiteit. Als op uw server geografisch redundante back-ups zijn ingeschakeld, moet u een tweede sleutelarchief maken. In dat tweede sleutelarchief blijft de gegevensversleutelingssleutel bewaard die uw back-ups versleutelt die zijn gekopieerd naar de gekoppelde regio van de server.
Opmerking
U moet het sleutelarchief implementeren dat de gegevensversleutelingssleutel in dezelfde regio als uw server bewaart. Als geo-back-upredundantie is ingeschakeld op uw server, moet u het sleutelarchief maken dat de gegevensversleutelingssleutel voor geografisch redundante back-ups in de gekoppelde regio van de server bewaart.
Maak een sleutel in uw sleutelarchief. Als voor uw server geografisch redundante back-ups zijn ingeschakeld, hebt u één sleutel nodig in elk van de sleutelarchieven. Met behulp van een van deze sleutels versleutelt u alle gegevens van uw server (inclusief alle systeem- en gebruikersdatabases, tijdelijke bestanden, serverlogboeken, write-ahead logboeksegmenten en back-ups). Met behulp van de tweede sleutel versleutelt u de kopieën van de back-ups die asynchroon worden gekopieerd via de gekoppelde regio van uw server.
Tijdens het inrichten van een nieuwe Azure Database for PostgreSQL flexibele server configureert u gegevensversleuteling op het tabblad Beveiliging. Selecteer voor gegevensversleutelingssleutel het keuzerondje door de klant beheerde sleutel.
Als u geografisch redundante back-upopslag samen met de server inschakelt, verandert het aspect van het tabblad Beveiliging enigszins omdat de server twee afzonderlijke versleutelingssleutels gebruikt. Eén sleutel is voor de primaire regio waarin u uw server implementeert en één sleutel is voor de gekoppelde regio waarnaar de back-ups van de server asynchroon worden gerepliceerd.
Selecteer In Door de gebruiker toegewezen beheerde identiteitde optie Identiteit wijzigen.
Selecteer in de lijst met door de gebruiker toegewezen beheerde identiteiten de server die u wilt gebruiken voor toegang tot de gegevensversleutelingssleutel die is opgeslagen in een Azure Key Vault.
Selecteer Toevoegen.
Selecteer Automatisch bijwerken van sleutelversie gebruiken als u wilt dat de service de verwijzing naar de meest recente versie van de gekozen sleutel automatisch bijwerkt wanneer de huidige versie handmatig of automatisch wordt gedraaid. Zie automatische update van sleutelversies voor meer informatie over de voordelen van het gebruik van automatische updates voor sleutelversies.
Selecteer Een sleutel selecteren.
Het abonnement wordt automatisch ingevuld met de naam van het abonnement waarop uw server op het punt staat te worden gemaakt. Het sleutelarchief dat de gegevensversleutelingssleutel bewaart, moet bestaan in hetzelfde abonnement als de server.
Selecteer in het sleutelarchieftype het keuzerondje dat overeenkomt met het type sleutelarchief waarin u de gegevensversleutelingssleutel wilt opslaan. In dit voorbeeld kiest u Key Vault, maar de ervaring is vergelijkbaar als u Beheerde HSM kiest.
Vouw Key Vault (of Beheerde HSM, als u dat opslagtype hebt geselecteerd) uit en selecteer het exemplaar waarin de gegevensversleutelingssleutel bestaat.
Opmerking
Wanneer u de vervolgkeuzelijst uitvouwt, worden er geen beschikbare items weergegeven. Het duurt enkele seconden voordat alle instanties van Key Vault worden weergegeven die in dezelfde regio als de server zijn uitgerold.
Vouw Sleutel uit en selecteer de naam van de sleutel die u wilt gebruiken voor gegevensversleuteling.
Als u automatische update van sleutelversie gebruiken niet hebt geselecteerd, moet u ook een specifieke versie van de sleutel selecteren. Hiervoor vouwt u Versie uit en selecteert u de id van de versie van de sleutel die u wilt gebruiken voor gegevensversleuteling.
Klik op Select.
Configureer alle andere instellingen van de nieuwe server en selecteer Beoordelen en maken.
Gegevensversleuteling configureren met door de klant beheerde sleutel op bestaande servers
U bepaalt of u een door het systeem beheerde sleutel of een door de klant beheerde sleutel wilt gebruiken voor gegevensversleuteling bij het maken van de server. Nadat u die beslissing hebt genomen en de server hebt gemaakt, kunt u niet schakelen tussen de twee opties. Het enige alternatief, als u van het ene naar het andere wilt overschakelen, moet u een van de beschikbare back-ups van de server herstellen naar een nieuwe server. Tijdens het configureren van de herstelbewerking kunt u de configuratie van gegevensversleuteling van de nieuwe server wijzigen.
Voor bestaande servers die u met gegevensversleuteling hebt geïmplementeerd met behulp van een door de klant beheerde sleutel, kunt u verschillende configuratiewijzigingen aanbrengen. U kunt de verwijzingen wijzigen naar de sleutels die worden gebruikt voor versleuteling en verwijzingen naar de door de gebruiker toegewezen beheerde identiteiten die door de service worden gebruikt voor toegang tot de sleutels die in de sleutelarchieven worden bewaard.
U moet verwijzingen bijwerken die uw flexibele Azure Database for PostgreSQL-server heeft met een sleutel:
- Wanneer de sleutel die in het sleutelarchief is opgeslagen, handmatig of automatisch wordt gedraaid en uw flexibele Azure Database for PostgreSQL-server verwijst naar een specifieke versie van de sleutel. Als u verwijst naar een sleutel, maar niet naar een specifieke versie van de sleutel (wanneer automatische update van sleutelversie gebruiken is ingeschakeld), verwijst de service automatisch naar de meest recente versie van de sleutel wanneer de sleutel handmatig of automatisch wordt geroteerd.
- Wanneer u dezelfde sleutel of een andere sleutel wilt gebruiken die is opgeslagen in een ander sleutelarchief.
U moet de door de gebruiker toegewezen beheerde identiteiten bijwerken die uw Azure Database for PostgreSQL flexibele server gebruikt voor toegang tot de versleutelingssleutels wanneer u een andere identiteit wilt gebruiken.
Gebruik de Azure-portal:
Selecteer uw Azure Database voor PostgreSQL-flexibele server.
Selecteer gegevensversleuteling in het resourcemenu onder de sectie Beveiliging.
Als u de door de gebruiker toegewezen beheerde identiteit wilt wijzigen die de server gebruikt voor toegang tot het sleutelarchief, vouwt u de vervolgkeuzelijst Door de gebruiker toegewezen beheerde identiteit uit en selecteert u een van de beschikbare identiteiten.
Opmerking
In de keuzelijst worden alleen de identiteiten weergegeven die door uw Azure Database for PostgreSQL Flexible Server zijn toegewezen. Hoewel dit niet vereist is, selecteert u door de gebruiker beheerde identiteiten in dezelfde regio als uw server om regionale tolerantie te behouden. Als op uw server redundantie voor geo-back-up is ingeschakeld, moet de tweede door de gebruiker beheerde identiteit, die wordt gebruikt voor toegang tot de gegevensversleutelingssleutel voor geografisch redundante back-ups, aanwezig zijn in de gekoppelde regio van de server.
Als de door de gebruiker toegewezen beheerde identiteit die u wilt gebruiken voor toegang tot de gegevensversleutelingssleutel niet is toegewezen aan uw Azure Database for PostgreSQL flexibele server en deze niet bestaat als een Azure resource met het bijbehorende object in Microsoft Entra ID, maakt u deze door Maken te selecteren.
Voer in het deelvenster Door de gebruiker toegewezen beheerde identiteit maken de gegevens in van de door de gebruiker toegewezen beheerde identiteit die u wilt maken, en wijs deze identiteit automatisch toe aan uw Azure Database for PostgreSQL flexible server om toegang te krijgen tot de gegevensversleutelingssleutel.
Als de door de gebruiker toegewezen beheerde identiteit die u wilt gebruiken voor toegang tot de gegevensversleutelingssleutel niet is toegewezen aan uw Azure Database for PostgreSQL flexibele server, maar deze bestaat als een Azure resource met het bijbehorende object in Microsoft Entra ID, wijst u deze toe door Selecteren te selecteren.
Selecteer in de lijst met door de gebruiker toegewezen beheerde identiteiten de server die u wilt gebruiken voor toegang tot de gegevensversleutelingssleutel die is opgeslagen in een Azure Key Vault.
Selecteer Toevoegen.
Selecteer Automatisch bijwerken van sleutelversie gebruiken als u wilt dat de service automatisch de verwijzing naar de meest recente versie van de gekozen sleutel bijwerkt wanneer de huidige versie handmatig of automatisch wordt geroteerd. Zie [automatische sleutelversie-update](../security/security-data-encryption.md##CMK sleutelversie-updates) om de voordelen van automatische sleutelversie-updates te begrijpen.
Als u de sleutel roteert en Automatische update van sleutelversie gebruiken niet inschakelt. Of als u een andere sleutel wilt gebruiken, werkt u uw Azure Database for PostgreSQL flexibele server bij zodat deze verwijst naar de nieuwe sleutelversie of nieuwe sleutel. Hiervoor kopieert u de resource-id van de sleutel en plakt u deze in het vak Sleutel-id .
Als de gebruiker die toegang heeft tot Azure Portal, machtigingen heeft voor toegang tot de sleutel die is opgeslagen in het sleutelarchief, kunt u een alternatieve methode gebruiken om de nieuwe sleutel of nieuwe sleutelversie te kiezen. Om dat te doen, selecteert u in Methode voor toetsselectie het keuzerondje Een toets selecteren.
Selecteer Toets selecteren.
Het abonnement wordt automatisch ingevuld met de naam van het abonnement waarop uw server op het punt staat te worden gemaakt. Het sleutelarchief dat de gegevensversleutelingssleutel bewaart, moet bestaan in hetzelfde abonnement als de server.
Selecteer in het sleutelarchieftype het keuzerondje dat overeenkomt met het type sleutelarchief waarin u de gegevensversleutelingssleutel wilt opslaan. In dit voorbeeld kiest u Key Vault, maar de ervaring is vergelijkbaar als u Beheerde HSM kiest.
Vouw Key Vault (of Beheerde HSM, als u dat opslagtype hebt geselecteerd) uit en selecteer het exemplaar waarin de gegevensversleutelingssleutel bestaat.
Opmerking
Wanneer u de vervolgkeuzelijst uitvouwt, worden er geen beschikbare items weergegeven. Het duurt enkele seconden voordat alle instanties van Key Vault worden weergegeven die in dezelfde regio als de server zijn uitgerold.
Vouw Sleutel uit en selecteer de naam van de sleutel die u wilt gebruiken voor gegevensversleuteling.
Als u automatische update van sleutelversie gebruiken niet hebt geselecteerd, moet u ook een specifieke versie van de sleutel selecteren. Hiervoor vouwt u Versie uit en selecteert u de id van de versie van de sleutel die u wilt gebruiken voor gegevensversleuteling.
Klik op Select.
Wanneer u tevreden bent met de wijzigingen, selecteert u Opslaan.
