Share via

Chaves gerenciadas pelo cliente na Instância Gerenciada do Azure para Apache Cassandra

  • Artigo

Na Instância Gerenciada do Azure para Apache Cassandra, você pode usar sua própria chave para criptografar dados no disco. Este artigo descreve como implementar chaves gerenciadas pelo cliente usando o Cofre de Chaves do Azure.

Pré-requisitos

  • Configure um segredo usando o Azure Key Vault. Para obter mais informações, consulte Sobre os segredos do Cofre de Chaves do Azure.

  • Implante uma rede virtual em seu grupo de recursos.

  • Aplique a função de Colaborador de Rede com a entidade de serviço do Azure Cosmos DB como membro. Utilize o seguinte comando:

        az role assignment create \
    --assignee a232010e-820c-4083-83bb-3ace5fc29d0b \
    --role 4d97b98b-1d4f-4787-a291-c67834d212e7 \
    --scope /subscriptions/<subscriptionID>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>

    Aplicar a função apropriada à sua rede virtual ajuda a evitar falhas ao implantar uma Instância Gerenciada do Azure para cluster Apache Cassandra. Para obter mais informações, consulte Criar uma instância gerenciada do Azure para cluster Apache Cassandra usando a CLI do Azure.

Este artigo requer a CLI do Azure versão 2.30.0 ou posterior. Se você estiver usando o Azure Cloud Shell, a versão mais recente já está instalada.

Criar um cluster com uma identidade atribuída pelo sistema

  1. Crie um cluster usando o seguinte comando. Substitua <subscriptionID>, <resourceGroupName>, <vnetName>, e <subnetName> pelos valores apropriados.

    subnet="/subscriptions/<subscriptionID>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>/subnets/<subnetName>"
cluster="thvankra-cmk-test-wcus"
group="thvankra-nova-cmk-test"
region="westcentralus"
password="PlaceholderPassword"

az managed-cassandra cluster create \
    --identity-type SystemAssigned \
    --resource-group $group \
    --location $region \
    --cluster-name $cluster \
    --delegated-management-subnet-id $subnet \
    --initial-cassandra-admin-password $password

  2. Obtenha as informações de identidade do cluster criado:

    az managed-cassandra cluster show -c $cluster -g $group

    A saída inclui uma seção de identidade como o exemplo a seguir. Copie o principalId valor para uso posterior.

      "identity": {
    "principalId": "1aa51c7f-196a-4013-a656-1ccabfdc54e0",
    "tenantId": "72f988bf-86f1-41af-91ab-2d7cd011db47",
    "type": "SystemAssigned"
  }

  3. No portal do Azure, vá para o cofre da chave e selecione Políticas de acesso. Em seguida, selecione Adicionar política de acesso para criar uma política de acesso para suas chaves.

    Screenshot that shows the pane for access policies in the Azure portal.

  4. Para Permissões de chave, selecione obter, encapsular e desempacotar. Selecione a caixa Selecionar entidade de segurança para abrir o painel Principal . Insira o valor do principalId cluster recuperado anteriormente e selecione o botão Selecionar . (No portal, você também pode procurar a ID principal do cluster pelo nome do cluster.)

    Screenshot that shows an example of adding a principal for an access policy.

    Aviso

    Certifique-se de que o cofre de chaves tem a proteção contra limpeza ativada. As implantações de datacenter falharão sem ele.

  5. Selecione Adicionar para adicionar a política de acesso e, em seguida, selecione Guardar.

    Screenshot that shows the button for saving an access policy.

  6. Para obter o identificador de chave, selecione Chaves e, em seguida, selecione a chave.

    Screenshot that shows the pane for selecting a key.

  7. Selecione a versão atual.

    Screenshot that shows the box for selecting the current version of a key.

  8. Salve o identificador de chave para uso posterior.

    Screenshot that shows copying a key identifier to the clipboard.

  9. Crie o datacenter substituindo <key identifier> pela mesma chave (o URI copiado na etapa anterior) para criptografia de disco gerenciado (managed-disk-customer-key-uri) e armazenamento de backup (backup-storage-customer-key-uri). Use o mesmo valor para subnet o que você usou anteriormente.

    managedDiskKeyUri = "<key identifier>"
backupStorageKeyUri = "<key identifier>"
group="thvankra-nova-cmk-test"
region="westcentralus"
cluster="thvankra-cmk-test-2"
dc="dc1"
nodecount=3
subnet="/subscriptions/<subscriptionID>/resourceGroups/<resourceGroupName>/providers/Microsoft.Network/virtualNetworks/<vnetName>/subnets/<subnetName>"

az managed-cassandra datacenter create \
    --resource-group $group \
    --cluster-name $cluster \
    --data-center-name $dc \
    --managed-disk-customer-key-uri $managedDiskKeyUri \
    --backup-storage-customer-key-uri $backupStorageKeyUri \
    --node-count $nodecount \
    --delegated-subnet-id $subnet \
    --data-center-location $region \
    --sku Standard_DS14_v2

Você também pode atribuir uma identidade a um cluster existente sem informações de identidade:

az managed-cassandra cluster update --identity-type SystemAssigned -g $group -c $cluster

Rodar a chave

Para atualizar a chave, use este comando:

managedDiskKeyUri = "<key identifier>"
backupStorageKeyUri = "<key identifier>"
    
az managed-cassandra datacenter update \
    --resource-group $group \
    --cluster-name $cluster \ 
    --data-center-name $dc \
    --managed-disk-customer-key-uri $managedDiskKeyUri \
    --backup-storage-customer-key-uri $backupStorageKeyUri