Crie uma conta que suporte chaves gerenciadas pelo cliente para tabelas e filas

Armazenamento do Azure criptografa todos os dados em uma conta de armazenamento em repouso. Por padrão, armazenamento em fila e armazenamento em tabela usam uma chave que é direcionada ao serviço e gerenciada pela Microsoft. Você também pode optar por usar chaves gerenciadas pelo cliente para criptografar dados de fila ou tabelas. Para usar chaves gerenciadas pelo cliente com filas e tabelas, você deve primeiro criar uma conta de armazenamento que utilize uma chave de criptografia que seja direcionada à conta, e não ao serviço. Depois de criar uma conta que usa a chave de criptografia para dados de fila e tabela, você pode configurar chaves gerenciadas pelo cliente para essa conta de armazenamento.

Este artigo descreve como criar uma conta de armazenamento que dependa de uma chave que seja vinculada à conta. Quando a conta é criada, a Microsoft usa a chave da conta para criptografar os dados da conta, e a Microsoft gerencia a chave. Posteriormente, você pode configurar chaves gerenciadas pelo cliente para a conta para aproveitar esses benefícios, incluindo a possibilidade de fornecer suas próprias chaves, atualizar a versão da chave, rodar as chaves e revogar controles de acesso.

Crie uma conta que use a chave de criptografia da conta

Você deve configurar uma nova conta de armazenamento para usar a chave de criptografia da conta para filas e tabelas no momento em que cria a conta de armazenamento. O escopo da chave de criptografia não pode ser alterado após a criação da conta.

A conta de armazenamento deve ser do tipo de uso geral v2. Você pode criar a conta de armazenamento e configurá-la para depender da chave de criptografia da conta usando o portal Azure, PowerShell, CLI do Azure ou um modelo do Azure Resource Manager.

Para saber mais sobre como criar uma conta de armazenamento, veja Criar uma conta de armazenamento.

Observação

Apenas o armazenamento em fila e tabela pode ser configurado opcionalmente para criptografar dados com a chave de criptografia da conta quando a conta de armazenamento é criada. O armazenamento de blobs e o Arquivos do Azure sempre usam a chave de criptografia da conta para criptografar dados.

Portal do Azure

Para criar uma conta de armazenamento que dependa da chave de criptografia da conta no portal Azure, siga estes passos:

1. Na caixa de busca no topo do portal do Azure, pesquise e selecione Contas de armazenamento.

2. Na página Contas de Armazenamento , selecione Novo.

3. Preencha os campos na aba Básicos .

4. Na aba Avançado, localize a seção Tabelas e Filas e selecione Habilitar suporte para chaves gerenciadas pelo cliente.

   

PowerShell

Para usar o PowerShell e criar uma conta de armazenamento que dependa da chave de criptografia da conta, certifique-se de ter instalado o módulo Azure PowerShell, versão 3.4.0 ou posterior. Para obter mais informações, consulte Instalar o módulo do Azure PowerShell.

Em seguida, crie uma conta de armazenamento v2 de uso geral chamando o comando New-AzStorageAccount , com os parâmetros apropriados:

• Inclua a opção -EncryptionKeyTypeForQueue e defina seu valor como Account para usar a chave de criptografia da conta para criptografar dados no Armazenamento de Filas.
• Inclua a opção -EncryptionKeyTypeForTable e defina seu valor como Account para usar a chave de criptografia da conta para criptografar dados no armazenamento Table.

O exemplo a seguir mostra como criar uma conta de armazenamento v2 de uso geral configurada para armazenamento geo-redundante de acesso de leitura (RA-GRS) e que usa a chave de criptografia da conta para criptografar dados tanto para armazenamento em Fila quanto em Tabela. Lembre-se de substituir os valores de marcador entre colchetes pelos seus próprios valores:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

CLI do Azure

Para usar o CLI do Azure para criar uma conta de armazenamento que dependa da chave de criptografia da conta, certifique-se de ter instalado o CLI do Azure versão 2.0.80 ou posterior. Para obter mais informações, consulte Instale o CLI do Azure.

Em seguida, crie uma conta de armazenamento v2 de uso geral chamando o comando create da conta de armazenamento az , com os parâmetros apropriados:

• Inclua a opção --encryption-key-type-for-queue e defina seu valor como Account para usar a chave de criptografia da conta para criptografar dados no armazenamento de filas.
• Inclua a opção --encryption-key-type-for-table e defina seu valor como Account para usar a chave de criptografia da conta para criptografar dados no armazenamento de Tabelas.

O exemplo a seguir mostra como criar uma conta de armazenamento v2 de uso geral configurada para armazenamento geo-redundante de acesso de leitura (RA-GRS) e que usa a chave de criptografia da conta para criptografar dados tanto para armazenamento em Fila quanto em Tabela. Lembre-se de substituir os valores de marcador entre colchetes pelos seus próprios valores:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

Template

O exemplo JSON a seguir cria uma conta de armazenamento v2 de uso geral configurada para armazenamento geo-redundante de acesso de leitura (RA-GRS) e que utiliza a chave de criptografia da conta para criptografar dados tanto para armazenamento em Fila quanto em Tabelas. Lembre-se de substituir os valores provisórios entre colchetes angulares pelos seus próprios valores:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Depois de criar uma conta que depende da chave de criptografia da conta, você pode configurar chaves gerenciadas pelo cliente que são armazenadas no Azure Key Vault ou no Key Vault Managed Hardware Security Model (HSM). Para aprender como armazenar chaves gerenciadas pelo cliente em um cofre de chaves, veja Configurar criptografia com chaves gerenciadas pelo cliente armazenadas no Azure Key Vault. Para aprender como armazenar chaves gerenciadas pelo cliente em um HSM gerenciado, veja Configurar criptografia com chaves gerenciadas pelo cliente armazenadas no Azure Key Vault Managed HSM.

Verifique a chave de criptografia da conta

Depois de criar a conta, você pode verificar se a conta de armazenamento está usando uma chave de criptografia que é escopada para a conta usando o portal do Azure, PowerShell ou CLI do Azure.

Portal do Azure

Para verificar se um serviço em uma conta de armazenamento está usando uma chave de criptografia que é direcionada para a conta no portal Azure, siga estes passos:

1. Navegue até sua nova conta de armazenamento no portal do Azure.

2. Na seção Segurança + Redes , selecione Criptografia.

3. Se a conta de armazenamento foi criada para depender da chave de criptografia da conta, você verá na aba Criptografia que chaves gerenciadas pelo cliente podem ser ativadas para os quatro serviços do Armazenamento do Azure: blobs, arquivos, tabelas e filas.

   

PowerShell

Para verificar se um serviço em uma conta de armazenamento está usando a chave de criptografia da conta com o PowerShell, chame o comando Get-AzStorageAccount . Esse comando retorna um conjunto de propriedades da conta de armazenamento e seus valores. Procure o KeyType campo para cada serviço dentro da Encryption propriedade e verifique se ele está configurado para Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

CLI do Azure

Para verificar se um serviço em uma conta de armazenamento está usando a chave de criptografia da conta com o CLI do Azure, chame o comando az storage account show. Esse comando retorna um conjunto de propriedades da conta de armazenamento e seus valores. Procure o keyType campo para cada serviço dentro da propriedade de criptografia e verifique se ele está configurado para Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

Template

N/A

Depois de verificar se a conta de armazenamento está usando uma chave de criptografia vinculada à conta, você pode habilitar chaves gerenciadas pelo cliente para a conta. Todos os quatro serviços do Armazenamento do Azure — blobs, arquivos, tabelas e filas — então usarão a chave gerenciada pelo cliente para criptografia.

Preços e faturação

Uma conta de armazenamento criada para usar uma chave de criptografia no escopo da conta é cobrada pela capacidade do Armazenamento de Tabelas e pelas transações a uma taxa diferente da de uma conta que usa a chave padrão no escopo do serviço. Para obter detalhes, consulte os preços do Armazenamento de Tabelas do Azure.

Próximas Etapas 

• Criptografia do Armazenamento do Azure para dados em repouso
• chaves gerenciadas pelo cliente para criptografia do Armazenamento do Azure
• Configurar a criptografia com as chaves gerenciadas pelo cliente armazenadas no Azure Key Vault
• Configure a criptografia com chaves gerenciadas pelo cliente armazenadas no HSM gerenciado pelo Azure Key Vault