Omówienie kluczy zarządzanych przez klienta

Azure Container Registry automatycznie szyfruje obrazy i inne przechowywane artefakty. Domyślnie Azure automatycznie szyfruje zawartość rejestru w spoczynku przy użyciu kluczy zarządzanych przez usługę. Korzystając z klucza zarządzanego przez klienta, można uzupełnić szyfrowanie domyślne dodatkową warstwą szyfrowania.

Ten artykuł jest pierwszą częścią czteroczęściowej serii samouczków. Samouczek obejmuje następujące zagadnienia:

  • Omówienie kluczy zarządzanych przez klienta
  • Włączanie klucza zarządzanego przez klienta
  • Rotacja i unieważnianie klucza zarządzanego przez klienta
  • Rozwiązywanie problemów z kluczem zarządzanym przez klienta

Informacje o kluczach zarządzanych przez klienta

W przypadku korzystania z klucza zarządzanego przez klienta możesz użyć własnego klucza w Azure Key Vault lub Azure Key Vault Managed HSM. Po włączeniu klucza zarządzanego przez klienta można zarządzać jego rotacjami, kontrolować dostęp i uprawnienia do korzystania z niego oraz przeprowadzać inspekcję jego użycia.

Najważniejsze funkcje obejmują:

  • Zgodność z przepisami: Azure automatycznie szyfruje zawartość rejestru kluczami zarządzanymi przez usługę w spoczynku, ale szyfrowanie kluczami zarządzanymi przez klienta pomaga spełnić wytyczne dotyczące zgodności z przepisami.

  • Integracja z Azure Key Vault: klucze zarządzane przez klienta obsługują szyfrowanie po stronie serwera dzięki integracji z Azure Key Vault i Azure Key Vault Managed HSM. Klucze szyfrowania można tworzyć lub importować w dowolnym z obu magazynów kluczy.

  • Zarządzanie cyklem życia klucza: integracja kluczy zarządzanych przez klienta z Key Vault lub zarządzanym modułem HSM zapewnia pełną kontrolę i odpowiedzialność za cykl życia klucza, w tym rotację i zarządzanie.

Przed włączeniem klucza zarządzanego przez klienta

Przed skonfigurowaniem Azure Container Registry przy użyciu klucza zarządzanego przez klienta należy wziąć pod uwagę następujące informacje:

  • Ta funkcja jest dostępna w warstwie Premium dla rejestru kontenerów. Aby uzyskać więcej informacji, zobacz Warstwy usługi Azure Container Registry.
  • Obecnie można włączyć klucz zarządzany przez klienta tylko podczas tworzenia rejestru.
  • Nie można wyłączyć szyfrowania po włączeniu klucza zarządzanego przez klienta w rejestrze.
  • Aby uzyskać dostęp do magazynu kluczy, musisz skonfigurować tożsamość zarządzaną przypisaną przez użytkownika . Później, jeśli jest to wymagane, możesz włączyć tożsamość zarządzaną przypisaną przez system rejestru w celu uzyskania dostępu do kluczy.
  • Azure Container Registry obsługuje tylko klucze RSA lub RSA-HSM. Klucze krzywej eliptycznej nie są obecnie obsługiwane.
  • Zarządzany moduł HSM należy wdrożyć i aktywować przed skonfigurowaniem go na potrzeby szyfrowania rejestru. Aby uzyskać więcej informacji, zobacz Inicjowanie i aktywowanie zarządzanego modułu HSM.
  • Zarządzany moduł HSM używa lokalnej kontroli dostępu opartej na rolach (RBAC), a nie zasad dostępu usługi Key Vault. Przypisz tożsamości rejestru rolę Managed HSM Crypto Service Encryption User, najlepiej w zakresie klucza szyfrowania.
  • Dostępność zarządzanego modułu HSM zależy od chmury Azure i regionu. Sprawdź, czy zarządzany moduł HSM jest dostępny w lokalizacji i chmurze, w której planujesz go używać.
  • W rejestrze zaszyfrowanym za pomocą klucza zarządzanego przez klienta można przechowywać dzienniki dla zadań Azure Container Registry tylko przez 24 godziny. Aby zachować dzienniki przez dłuższy okres, zobacz Wyświetlanie dzienników uruchamiania zadań i zarządzanie nimi.
  • Zaufanie do zawartości nie jest obecnie obsługiwane w rejestrze zaszyfrowanym za pomocą klucza zarządzanego przez klienta.

Aktualizowanie wersji klucza zarządzanego przez klienta

Azure Container Registry obsługuje zarówno automatyczne, jak i ręczne obracanie kluczy szyfrowania rejestru, gdy nowa wersja klucza jest dostępna w Key Vault lub zarządzanym module HSM.

Ważne

Jest to ważna kwestia bezpieczeństwa w przypadku rejestru z szyfrowaniem przy użyciu kluczy zarządzanych przez klienta, aby często aktualizować (rotować) wersje kluczy. Postępuj zgodnie z zasadami zgodności organizacji, aby regularnie aktualizować wersje kluczy w magazynie kluczy.

  • Automatycznie aktualizuj wersję klucza: gdy rejestr jest szyfrowany przy użyciu klucza bez wersji, Azure Container Registry regularnie sprawdza magazyn kluczy pod kątem nowej wersji klucza i aktualizuje klucz zarządzany przez klienta w ciągu jednej godziny. Pomiń wersję klucza podczas włączania szyfrowania rejestru za pomocą klucza zarządzanego przez klienta. Azure Container Registry następnie automatycznie użyje najnowszej wersji klucza i będzie ją aktualizować.

  • Ręcznie zaktualizuj wersję klucza: gdy rejestr jest szyfrowany przy użyciu określonej wersji klucza, Azure Container Registry używa tej wersji do szyfrowania do czasu ręcznej rotacji klucza zarządzanego przez klienta. Zalecamy określenie wersji klucza podczas włączania szyfrowania rejestru za pomocą klucza zarządzanego przez klienta. Azure Container Registry następnie użyje konkretnej wersji klucza do szyfrowania rejestru.

Aby uzyskać szczegółowe informacje, zobacz Rotacja kluczy i Aktualizowanie wersji klucza.

Następne kroki

  • Ostatnia aktualizacja o