Tworzenie konta obsługującego klucze zarządzane przez klienta dla tabel i kolejek

Usługa Azure Storage szyfruje wszystkie dane na koncie magazynu magazynowanych. Domyślnie usługi Queue Storage i Table Storage używają klucza, który jest w zakresie usługi i zarządzany przez firmę Microsoft. Możesz również użyć kluczy zarządzanych przez klienta do szyfrowania danych w kolejce lub tabeli. Aby używać kluczy zarządzanych przez klienta z kolejkami i tabelami, należy najpierw utworzyć konto magazynu, które używa klucza szyfrowania o zakresie do konta, a nie do usługi. Po utworzeniu konta, które używa klucza szyfrowania konta dla danych kolejek i tabel, można skonfigurować klucze zarządzane przez klienta dla tego konta magazynu.

W tym artykule opisano sposób tworzenia konta magazynu, które opiera się na kluczu, który jest zakresem konta. Po pierwszym utworzeniu konta firma Microsoft używa klucza konta do szyfrowania danych na koncie, a firma Microsoft zarządza kluczem. Następnie można skonfigurować klucze zarządzane przez klienta dla konta, aby korzystać z tych korzyści, w tym możliwość udostępniania własnych kluczy, aktualizowanie wersji klucza, obracanie kluczy i odwoływanie kontroli dostępu.

Tworzenie konta korzystającego z klucza szyfrowania konta

Należy skonfigurować nowe konto magazynu tak, aby używało klucza szyfrowania konta dla kolejek i tabel podczas tworzenia konta magazynu. Nie można zmienić zakresu klucza szyfrowania po utworzeniu konta.

Konto magazynu musi być typu ogólnego przeznaczenia w wersji 2. Możesz utworzyć konto magazynu i skonfigurować je tak, aby korzystało z klucza szyfrowania konta przy użyciu szablonu Azure Portal, programu PowerShell, interfejsu wiersza polecenia platformy Azure lub szablonu usługi Azure Resource Manager.

Aby dowiedzieć się więcej na temat tworzenia konta magazynu, zobacz Tworzenie konta magazynu.

Uwaga

Podczas tworzenia konta magazynu można opcjonalnie skonfigurować tylko kolejkę i magazyn tabel do szyfrowania danych przy użyciu klucza szyfrowania konta. Usługa Blob Storage i Azure Files zawsze używać klucza szyfrowania konta do szyfrowania danych.

Witryna Azure Portal

Aby utworzyć konto magazynu, które opiera się na kluczu szyfrowania konta przy użyciu Azure Portal, wykonaj następujące kroki:

1. W menu portalu po lewej stronie wybierz pozycję Konta magazynu , aby wyświetlić listę kont magazynu.

2. Na stronie Konta magazynu wybierz pozycję Nowy.

3. Wypełnij pola na karcie Podstawy .

4. Na karcie Zaawansowane znajdź sekcję Tabele i kolejki , a następnie wybierz pozycję Włącz obsługę kluczy zarządzanych przez klienta.

   

Program PowerShell

Aby użyć programu PowerShell do utworzenia konta magazynu, które opiera się na kluczu szyfrowania konta, upewnij się, że zainstalowano moduł Azure PowerShell w wersji 3.4.0 lub nowszej. Aby uzyskać więcej informacji, zobacz Instalowanie modułu Azure PowerShell.

Następnie utwórz konto magazynu ogólnego przeznaczenia w wersji 2, wywołując polecenie New-AzStorageAccount z odpowiednimi parametrami:

• Uwzględnij -EncryptionKeyTypeForQueue opcję i ustaw jej wartość, aby Account użyć klucza szyfrowania konta do szyfrowania danych w usłudze Queue Storage.
• -EncryptionKeyTypeForTable Dołącz opcję i ustaw jej wartość, aby Account użyć klucza szyfrowania konta do szyfrowania danych w usłudze Table Storage.

W poniższym przykładzie pokazano, jak utworzyć konto magazynu ogólnego przeznaczenia w wersji 2 skonfigurowane pod kątem magazynu geograficznie nadmiarowego dostępnego do odczytu (RA-GRS) i używa klucza szyfrowania konta do szyfrowania danych zarówno dla usługi Queue, jak i Table Storage. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Interfejs wiersza polecenia platformy Azure

Aby użyć interfejsu wiersza polecenia platformy Azure do utworzenia konta magazynu korzystającego z klucza szyfrowania konta, upewnij się, że zainstalowano interfejs wiersza polecenia platformy Azure w wersji 2.0.80 lub nowszej. Aby uzyskać więcej informacji, zobacz Instalowanie interfejsu wiersza polecenia platformy Azure.

Następnie utwórz konto magazynu ogólnego przeznaczenia w wersji 2, wywołując polecenie az storage account create z odpowiednimi parametrami:

• Uwzględnij --encryption-key-type-for-queue opcję i ustaw jej wartość, aby Account użyć klucza szyfrowania konta do szyfrowania danych w usłudze Queue Storage.
• --encryption-key-type-for-table Dołącz opcję i ustaw jej wartość, aby Account użyć klucza szyfrowania konta do szyfrowania danych w usłudze Table Storage.

W poniższym przykładzie pokazano, jak utworzyć konto magazynu ogólnego przeznaczenia w wersji 2 skonfigurowane pod kątem magazynu geograficznie nadmiarowego dostępnego do odczytu (RA-GRS) i używa klucza szyfrowania konta do szyfrowania danych zarówno dla usługi Queue, jak i Table Storage. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

Szablon

Poniższy przykładowy kod JSON tworzy konto magazynu ogólnego przeznaczenia w wersji 2 skonfigurowane na potrzeby magazynu geograficznie nadmiarowego dostępnego do odczytu (RA-GRS), które używa klucza szyfrowania konta do szyfrowania danych zarówno dla usługi Queue, jak i Table Storage. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach kątowych własnymi wartościami:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Po utworzeniu konta, które opiera się na kluczu szyfrowania konta, można skonfigurować klucze zarządzane przez klienta przechowywane w usłudze Azure Key Vault lub w modelu zabezpieczeń sprzętu zarządzanego przez Key Vault (HSM). Aby dowiedzieć się, jak przechowywać klucze zarządzane przez klienta w magazynie kluczy, zobacz Konfigurowanie szyfrowania przy użyciu kluczy zarządzanych przez klienta przechowywanych w usłudze Azure Key Vault. Aby dowiedzieć się, jak przechowywać klucze zarządzane przez klienta w zarządzanym module HSM, zobacz Konfigurowanie szyfrowania przy użyciu kluczy zarządzanych przez klienta przechowywanych w zarządzanym module HSM platformy Azure Key Vault.

Weryfikowanie klucza szyfrowania konta

Po utworzeniu konta możesz sprawdzić, czy konto magazynu używa klucza szyfrowania, który jest w zakresie konta, przy użyciu Azure Portal, programu PowerShell lub interfejsu wiersza polecenia platformy Azure.

Witryna Azure Portal

Aby sprawdzić, czy usługa na koncie magazynu używa klucza szyfrowania ograniczonego do konta z Azure Portal, wykonaj następujące kroki:

1. W witrynie Azure Portal przejdź do swojego nowego konta magazynu.

2. W sekcji Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.

3. Jeśli konto magazynu zostało utworzone w celu polegania na kluczu szyfrowania konta, zobaczysz na karcie Szyfrowanie , że klucze zarządzane przez klienta można włączyć dla wszystkich czterech usług Azure Storage: obiektów blob, plików, tabel i kolejek.

   

Program PowerShell

Aby sprawdzić, czy usługa na koncie magazynu używa klucza szyfrowania konta w programie PowerShell, wywołaj polecenie Get-AzStorageAccount . To polecenie zwraca zestaw właściwości konta magazynu i ich wartości. KeyType Wyszukaj pole dla każdej usługi we Encryption właściwości i sprawdź, czy jest ono ustawione na Accountwartość .

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Interfejs wiersza polecenia platformy Azure

Aby sprawdzić, czy usługa na koncie magazynu używa klucza szyfrowania konta za pomocą interfejsu wiersza polecenia platformy Azure, wywołaj polecenie az storage account show . To polecenie zwraca zestaw właściwości konta magazynu i ich wartości. keyType Wyszukaj pole dla każdej usługi we właściwości szyfrowania i sprawdź, czy jest ono ustawione na wartość Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

Szablon

Nie dotyczy

Po sprawdzeniu, czy konto magazynu używa klucza szyfrowania, który jest w zakresie konta, można włączyć klucze zarządzane przez klienta dla konta. Wszystkie cztery usługi Azure Storage — obiekty blob, pliki, tabele i kolejki — będą następnie używać klucza zarządzanego przez klienta do szyfrowania.

Cennik i rozliczenia

Konto magazynu, które jest tworzone w celu używania klucza szyfrowania ograniczonego do konta, jest rozliczane za pojemność magazynu tabel i transakcje z inną szybkością niż konto korzystające z domyślnego klucza o zakresie usługi. Aby uzyskać szczegółowe informacje, zobacz Cennik usługi Azure Table Storage.

Następne kroki

• Szyfrowanie w usłudze Azure Storage dla danych magazynowanych
• Klucze zarządzane przez klienta na potrzeby szyfrowania usługi Azure Storage
• Konfigurowanie szyfrowania za pomocą kluczy zarządzanych przez klienta przechowywanych w usłudze Azure Key Vault
• Konfigurowanie szyfrowania przy użyciu kluczy zarządzanych przez klienta przechowywanych w zarządzanym module HSM platformy Azure Key Vault