Шифрование данных для База данных Azure для MySQL — гибкий сервер с помощью Azure CLI
ОБЛАСТЬ ПРИМЕНЕНИЯ: 
База данных Azure для MySQL — гибкий сервер
В этом руководстве показано, как настроить шифрование данных и управлять ими для База данных Azure для MySQL гибкого сервера с помощью Azure CLI.
В этом руководстве описано следующее:
- Создание гибкого экземпляра сервера База данных Azure для MySQL с шифрованием данных
- Обновление существующего База данных Azure для MySQL гибкого экземпляра сервера с помощью шифрования данных
- Использование шаблона Azure Resource Manager для включения шифрования данных
Необходимые компоненты
Учетная запись Azure с активной подпиской.
Если у вас еще нет подписки Azure, создайте бесплатную учетную запись Azure, прежде чем начинать работу.
Примечание.
С бесплатной учетной записью Azure теперь можно попробовать База данных Azure для MySQL гибкий сервер бесплатно в течение 12 месяцев. Дополнительные сведения см. в статье "Попробовать База данных Azure для MySQL гибкий сервер бесплатно".
Установите Azure CLI или обновите его до последней версии. Дополнительные сведения см. в статье Установка Azure CLI.
Войдите в учетную запись Azure с помощью команды az login . Обратите внимание на свойство ID, которое ссылается на идентификатор подписки для учетной записи Azure:
az login
- Если у вас несколько подписок, с помощью команды az account set выберите ту, в которой нужно создать сервер:
az account set --subscription \<subscription id\>
- В Azure Key Vault создайте хранилище ключей и ключ. Чтобы использовать ключ, управляемый клиентом, хранилище ключей должно иметь следующие свойства:
az resource update --id $(az keyvault show --name \ \<key\_vault\_name\> -o tsv | awk '{print $1}') --set \ properties.enableSoftDelete=true
az keyvault update --name \<key\_vault\_name\> --resource-group \<resource\_group\_name\> --enable-purge-protection true
Заданный период хранения — 90 дней:
az keyvault update --name \<key\_vault\_name\> --resource-group \<resource\_group\_name\> --retention-days 90
Чтобы использовать ключ в качестве управляемого клиентом, он должен иметь следующие атрибуты:
- без даты окончания срока действия;
- не отключено;
- Поддержка выполнения операций List, Get, Wrap, Unwrap.
- Для атрибута recoverylevel задано значение "Восстанавливаемый" (для этого требуется включить обратимое удаление с периодом хранения в 90 дней).
- Защита от удаления включена.
Вы можете проверить атрибуты ключа, описанные выше, с помощью следующей команды:
az keyvault key show --vault-name \<key\_vault\_name\> -n \<key\_name\>
Обновление существующего База данных Azure для MySQL гибкого экземпляра сервера с помощью шифрования данных
Задайте или измените ключ и удостоверение для шифрования данных:
az mysql flexible-server update --resource-group testGroup --name testserver \\ --key \<key identifier of newKey\> --identity newIdentity
Отключите шифрование данных для гибкого сервера База данных Azure для MySQL:
az mysql flexible-server update --resource-group testGroup --name testserver --disable-data-encryption
Создание гибкого экземпляра сервера База данных Azure для MySQL с включенным геоизбыточным резервным копированием и шифрованием данных
az mysql flexible-server create -g testGroup -n testServer --location testLocation \\
--geo-redundant-backup Enabled \\
--key <key identifier of testKey> --identity testIdentity \\
--backup-key <key identifier of testBackupKey> --backup-identity testBackupIdentity
Задайте или измените ключ, удостоверение, ключ резервного копирования и удостоверение резервного копирования для шифрования данных с геоизбыточным резервным копированием:
az mysql flexible-server update --resource-group testGroup --name testserver \\ --key \<key identifier of newKey\> --identity newIdentity \\ --backup-key \<key identifier of newBackupKey\> --backup-identity newBackupIdentity
Использование шаблона Azure Resource Manager для включения шифрования данных
Параметры identityUri и primaryKeyUri — это идентификатор ресурса управляемых пользователем удостоверения и ключа соответственно.
"$schema": "http://schema.management.azure.com/schemas/2014-04-01-preview/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"administratorLogin": {
"type": "string"
},
"administratorLoginPassword": {
"type": "securestring"
},
"location": {
"type": "string"
},
"serverName": {
"type": "string"
},
"serverEdition": {
"type": "string"
},
"vCores": {
"type": "int",
"defaultValue": 4
},
"storageSizeGB": {
"type": "int"
},
"haEnabled": {
"type": "string",
"defaultValue": "Disabled"
},
"availabilityZone": {
"type": "string"
},
"standbyAvailabilityZone": {
"type": "string"
},
"version": {
"type": "string"
},
"tags": {
"type": "object",
"defaultValue": {}
},
"backupRetentionDays": {
"type": "int"
},
"geoRedundantBackup": {
"type": "string"
},
"vmName": {
"type": "string",
"defaultValue": "Standard_B1ms"
},
"storageIops": {
"type": "int"
},
"storageAutogrow": {
"type": "string",
"defaultValue": "Enabled"
},
"autoIoScaling": {
"type": "string",
"defaultValue": "Disabled"
},
"vnetData": {
"type": "object",
"metadata": {
"description": "Vnet data is an object which contains all parameters pertaining to vnet and subnet"
},
"defaultValue": {
"virtualNetworkName": "testVnet",
"subnetName": "testSubnet",
"virtualNetworkAddressPrefix": "10.0.0.0/16",
"virtualNetworkResourceGroupName": "[resourceGroup().name]",
"location": "eastus2",
"subscriptionId": "[subscription().subscriptionId]",
"subnetProperties": {},
"isNewVnet": false,
"subnetNeedsUpdate": false,
"Network": {}
}
},
"identityUri": {
"type": "string",
"metadata": {
"description": "The resource ID of the identity used for data encryption"
}
},
"primaryKeyUri": {
"type": "string",
"metadata": {
"description": "The resource ID of the key used for data encryption"
}
}
},
"variables": {
"api": "2021-05-01",
"identityData": "[if(empty(parameters('identityUri')), json('null'), createObject('type', 'UserAssigned', 'UserAssignedIdentities', createObject(parameters('identityUri'), createObject())))]",
"dataEncryptionData": "[if(or(empty(parameters('identityUri')), empty(parameters('primaryKeyUri'))), json('null'), createObject('type', 'AzureKeyVault', 'primaryUserAssignedIdentityId', parameters('identityUri'), 'primaryKeyUri', parameters('primaryKeyUri')))]"
},
"resources": [
{
"apiVersion": "[variables('api')]",
"location": "[parameters('location')]",
"name": "[parameters('serverName')]",
"identity": "[variables('identityData')]",
"properties": {
"version": "[parameters('version')]",
"administratorLogin": "[parameters('administratorLogin')]",
"administratorLoginPassword": "[parameters('administratorLoginPassword')]",
"Network": "[if(empty(parameters('vnetData').Network), json('null'), parameters('vnetData').Network)]",
"Storage": {
"StorageSizeGB": "[parameters('storageSizeGB')]",
"Iops": "[parameters('storageIops')]",
"Autogrow": "[parameters('storageAutogrow')]",
"AutoIoScaling": "[parameters('autoIoScaling')]"
},
"Backup": {
"backupRetentionDays": "[parameters('backupRetentionDays')]",
"geoRedundantBackup": "[parameters('geoRedundantBackup')]"
},
"availabilityZone": "[parameters('availabilityZone')]",
"highAvailability": {
"mode": "[parameters('haEnabled')]",
"standbyAvailabilityZone": "[parameters('standbyAvailabilityZone')]"
},
"dataEncryption": "[variables('dataEncryptionData')]"
},
"sku": {
"name": "[parameters('vmName')]",
"tier": "[parameters('serverEdition')]",
"capacity": "[parameters('vCores')]"
},
"tags": "[parameters('tags')]",
"type": "Microsoft.DBforMySQL/flexibleServers"
}
]
}
Следующие шаги
Обратная связь
Ожидается в ближайшее время: в течение 2024 года мы постепенно откажемся от GitHub Issues как механизма обратной связи для контента и заменим его новой системой обратной связи. Дополнительные сведения см. в разделе https://aka.ms/ContentUserFeedback.
Отправить и просмотреть отзыв по