Поделиться через


Настройка ключей, управляемых клиентом

Azure Data Explorer шифрует все данные в неактивных учетных записях хранения. По умолчанию данные шифруются с помощью ключей, управляемых корпорацией Майкрософт. Для дополнительного контроля над ключами шифрования можно предоставить управляемые клиентом ключи для шифрования данных.

Ключи, управляемые клиентом, должны быть сохранены в Azure Key Vault. Можно либо создать собственные ключи и хранить их в хранилище ключей, либо использовать для их генерации API-интерфейсы Azure Key Vault. Кластер и хранилище ключей Azure Data Explorer должны быть расположены в одном регионе, но могут находиться в разных подписках. Подробное описание ключей, управляемых клиентом, см. в статье Управляемые клиентом ключи с использованием Azure Key Vault.

В этой статье показано, как настроить ключи, управляемые клиентом.

Примеры кода на основе предыдущих версий пакета SDK см. в архивной статье.

Настройка Azure Key Vault

Для настройки управляемых клиентом ключей с Azure Data Explorer необходимо задать для хранилища ключей два свойства: Обратимое удаление и Не очищать. По умолчанию эти свойства отключены. Чтобы включить эти свойства, включите обратимое удаление и защиту от очистки в PowerShell или Azure CLI в новом или существующем хранилище ключей. Поддерживаются только ключи RSA размером 2048. Дополнительные сведения о ключах см. в статье Ключи Key Vault.

Примечание

Сведения об ограничениях использования ключей, управляемых клиентом, в кластерах лидеров и последователей см. в разделе Ограничения.

Назначение управляемого удостоверения кластеру

Чтобы включить для кластера управляемые клиентом ключи, сначала назначьте кластеру назначаемое системой или назначаемое пользователем управляемое удостоверение. Вы будете использовать это управляемое удостоверение, чтобы предоставлять кластеру разрешения на доступ к хранилищу ключей. Сведения о настройке управляемых удостоверений см. в статье Управляемые удостоверения.

Включение шифрования с использованием управляемых клиентом ключами

Ниже описано, как включить шифрование ключей, управляемых клиентом, с помощью портал Azure. По умолчанию для шифрования Azure Data Explorer используются ключи, управляемые корпорацией Майкрософт. Настройте свой кластер Azure Data Explorer на использование ключей, управляемых клиентом, и укажите ключ, который нужно связать с кластером.

  1. На портале Azure перейдите к ресурсу кластера Azure Data Explorer.

  2. На левой панели портала выберите Параметры >Шифрование.

  3. В области Шифрование выберите значение Вкл. для параметра Ключ, управляемый клиентом.

  4. Выберите Выбрать ключ.

    Снимок экрана: настройка ключей, управляемых клиентом.

  5. В окне Выбор ключа из Azure Key Vault выберите существующее хранилище ключей из раскрывающегося списка. Если выбрать Создать для создания нового хранилища ключей, откроется экран Создание хранилища ключей.

  6. Выберите Ключ.

  7. Версия:

    • Чтобы этот ключ всегда использовал последнюю версию ключа, установите флажок Всегда использовать текущую версию ключа.
    • В противном случае выберите версию.
  8. Щелкните Выбрать.

    Снимок экрана: выбор ключа из Key Vault Azure.

  9. В разделе Тип удостоверения выберите Назначенное системой или Назначенное пользователем.

  10. Если выбрано значение Назначенное пользователем, выберите в раскрывающемся списке удостоверение, назначенное пользователем.

    Снимок экрана: выбор типа управляемого удостоверения.

  11. В области Шифрование, которая теперь содержит ваш ключ, нажмите кнопку Сохранить. После успешного создания ключа, управляемого клиентом, в уведомлениях появится сообщение об успехе.

    Снимок экрана: параметр для сохранения ключа, управляемого клиентом.

Если при включении ключей, управляемых клиентом, для кластера Azure Data Explorer вы выбрали удостоверение, назначаемое системой, вы создадите для кластера удостоверение, назначаемое системой, если его не существует. Кроме того, вы будете предоставлять необходимые разрешения Get, wrapKey и unwrapKey для кластера Azure Data Explorer на выбранном Key Vault и получать свойства Key Vault.

Примечание

Выберите Выкл. , чтобы удалить ключ, управляемый клиентом, после его создания.

Обновление версии ключа

Когда вы создаете новую версию ключа, вам необходимо обновить кластер, чтобы использовать новую версию. Сначала позвоните Get-AzKeyVaultKey, чтобы получить последнюю версию ключа. Затем обновите свойства хранилища ключей кластера, чтобы использовать новую версию ключа, как показано в разделе Включение шифрования с помощью ключей, управляемых клиентом.