Настройка ключей, управляемых клиентом, в том же клиенте для существующей учетной записи хранения

Статья
11/07/2023

Служба хранилища Azure шифрует все данные в неактивных учетных записях хранения. По умолчанию данные шифруются с помощью ключей, управляемых Майкрософт. Для более эффективного управления ключами шифрования можно управлять собственными ключами. Ключи, управляемые клиентом, должны храниться в Azure Key Vault или в HSM — управляемом аппаратном модуле безопасности в Key Vault.

В этой статье показано, как настроить шифрование с помощью ключей, управляемых клиентом, для существующей учетной записи хранения, когда учетная запись хранения и хранилище ключей находятся в одном клиенте. Ключи, управляемые клиентом, хранятся в хранилище ключей.

Сведения о настройке ключей, управляемых клиентом, для новой учетной записи хранения см. в статье Настройка ключей, управляемых клиентом, в хранилище ключей Azure для новой учетной записи хранения.

О настройке шифрования с помощью управляемых клиентом ключей, хранящихся в управляемом модуле HSM, см. в статье Настройка шифрования с помощью управляемых клиентом ключей, хранящихся в управляемом модуле HSM в Azure Key Vault.

Примечание.

Azure Key Vault и Управляемый HSM Azure Key Vault поддерживают одни и те же ИНТЕРФЕЙСы API и интерфейсы управления для настройки ключей, управляемых клиентом. Все действия, поддерживаемые Для Azure Key Vault, также поддерживаются для управляемого HSM в Azure Key Vault.

Настройка хранилища ключей

Для хранения ключей, управляемых клиентом, можно использовать новое или существующее хранилище ключей. Учетная запись хранения и хранилище ключей могут находиться в разных регионах или подписках одного клиента. Дополнительные сведения об Azure Key Vault см. в статьях Общие сведения об Azure Key Vault и Что такое Azure Key Vault.

Для использования ключей, управляемых клиентом, с шифрованием службы хранилища Azure требуется включить для хранилища ключей обратимое удаление и защиту от очистки. Обратимое удаление активируется по умолчанию при создании хранилища ключей, отключить его нельзя. Защиту от очистки можно включить при создании хранилища ключей или позднее.

Azure Key Vault поддерживает авторизацию с помощью Azure RBAC с помощью модели разрешений Azure RBAC. Корпорация Майкрософт рекомендует использовать модель разрешений Azure RBAC для политик доступа к хранилищу ключей. Дополнительные сведения см. в статье "Предоставление разрешений приложениям для доступа к хранилищу ключей Azure" с помощью Azure RBAC.

О том, как создать хранилище ключей с помощью портала Azure см. в этом кратком руководстве. При создании хранилища ключей выберите Включить защиту от очистки, как показано на следующем рисунке.

Screenshot showing how to enable purge protection when creating a key vault.

Чтобы включить защиту от очистки в существующем хранилище ключей, выполните следующие действия.

Откройте хранилище ключей на портале Azure.
В разделе Параметры выберите Свойства.
В разделе Защита от очистки выберите Включить защиту от очистки.

Чтобы создать новое хранилище ключей с помощью PowerShell, установите модуль PowerShell Az.KeyVault версии 2.0.0 или выше. Затем вызовите New-AzKeyVault, чтобы создать хранилище ключей. В модуле Az.KeyVault версии 2.0.0 и выше обратимое удаление включается по умолчанию при создании хранилища ключей.

В следующем примере создается новое хранилище ключей с включенным обратимым удалением и защитой очистки. Модель разрешений хранилища ключей настроена для использования Azure RBAC. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$rgName = "<resource_group>"
$location = "<location>"
$kvName = "<key-vault>"

$keyVault = New-AzKeyVault -Name $kvName `
    -ResourceGroupName $rgName `
    -Location $location `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Дополнительные сведения о том, как включить защиту от очистки в существующем хранилище ключей с помощью PowerShell, см. в статье Общие сведения о восстановлении Azure Key Vault.

После создания хранилища ключей вам потребуется назначить роль офицера шифрования Key Vault для себя. Эта роль позволяет создать ключ в хранилище ключей. В следующем примере эта роль назначается пользователю, область в хранилище ключей:

New-AzRoleAssignment -SignInName "<user-email>" `
    -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $keyVault.ResourceId

Дополнительные сведения о назначении роли RBAC с помощью PowerShell см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

Чтобы создать новое хранилище ключей с помощью Azure CLI, вызовите команду az keyvault create. В следующем примере создается новое хранилище ключей с включенным обратимым удалением и защитой очистки. Модель разрешений хранилища ключей настроена для использования Azure RBAC. Не забудьте заменить значения заполнителей в скобках собственными значениями.

rgName="<resource_group>"
location="<location>"
kvName="<key-vault>"

az keyvault create \
    --name $kvName \
    --resource-group $rgName \
    --location $location \
    --enable-purge-protection \
    --enable-rbac-authorization

Дополнительные сведения о том, как включить защиту от очистки в существующем хранилище ключей с помощью Azure CLI, см. в статье Общие сведения о восстановлении Azure Key Vault.

kvResourceId=$(az keyvault show --resource-group $rgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --assignee "<user-email>" \
    --role "Key Vault Crypto Officer" \
    --scope $kvResourceId

Дополнительные сведения о назначении роли RBAC с помощью Azure CLI см. в статье "Назначение ролей Azure с помощью Azure CLI".

Добавление ключа

Далее добавьте ключ в хранилище ключей. Прежде чем добавить ключ, убедитесь, что вы назначили себе роль офицера шифрования Key Vault.

Шифрование службы хранилища Azure поддерживает ключи RSA и RSA-HSM размером 2048, 3072 и 4096. Дополнительные сведения о поддерживаемых типах ключей см. в статье Общие сведениях о ключах.

О том, как добавить ключ с помощью портала Azure, см. в статье Краткое руководство. Настройка и получение ключа из Azure Key Vault с помощью портала Azure.

Чтобы добавить ключ с помощью PowerShell, вызовите команду Add-AzKeyVaultKey. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

$keyName = "<key-name>"

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName `
    -Name $keyName `
    -Destination 'Software'

Чтобы добавить ключ с помощью Azure CLI, вызовите команду az keyvault key create. Не забудьте заменить значения заполнителей в скобках собственными значениями.

keyName="<key-name>"

az keyvault key create \
    --name $keyName \
    --vault-name $kvName

Выберите управляемое удостоверение для авторизации доступа к хранилищу ключей.

При включении ключей, управляемых клиентом для существующей учетной записи хранения, необходимо указать управляемое удостоверение, которое будет использоваться для авторизации доступа к хранилищу ключей, содержащему ключ. Управляемое удостоверение должно иметь разрешения на доступ к ключу в хранилище ключей.

Управляемое удостоверение, которое разрешает доступ к хранилищу ключей, может быть назначаемое пользователем или назначаемое системой управляемое удостоверение. Дополнительные сведения об управляемых удостоверениях, назначаемых системой и пользователем, см. в разделе Типы управляемых удостоверений.

Использование управляемого удостоверения, назначаемого пользователем, для авторизации доступа

При настройке ключей, управляемых клиентом, для новой учетной записи хранения необходимо указать управляемое удостоверение, назначаемое пользователем. Существующая учетная запись хранения поддерживает использование управляемого удостоверения, назначаемого пользователем, или управляемого удостоверения, назначаемого системой, для настройки ключей, управляемых клиентом.

При настройке ключей, управляемых клиентом, с помощью управляемого удостоверения, назначаемого пользователем, используется управляемое удостоверение, назначаемое пользователем, для авторизации доступа к хранилищу ключей, содержащего ключ. Прежде чем настраивать ключи, управляемые клиентом, необходимо создать назначаемое пользователем удостоверение.

Управляемое удостоверение, назначаемое пользователем, является автономным ресурсом Azure. Дополнительные сведения об управляемых удостоверениях, назначаемых пользователем, см. в разделе Типы управляемых удостоверений. Дополнительные сведения о том, как создать управляемое удостоверение, назначаемое пользователем, и управлять им, см. в статье Управление управляемым удостоверением, назначаемым пользователем.

Управляемое удостоверение, назначаемое пользователем, должно иметь разрешения на доступ к ключу в хранилище ключей. Назначьте роль пользователя шифрования шифрования службы шифрования Key Vault управляемому удостоверению, назначаемого пользователем, с помощью хранилища ключей область предоставить эти разрешения.

Прежде чем настроить управляемые клиентом ключи с помощью управляемого удостоверения, назначаемого пользователем, необходимо назначить роль пользователя шифрования службы шифрования key Vault управляемому удостоверению, область в хранилище ключей. Эта роль предоставляет разрешения на управляемое удостоверение, назначаемое пользователем, для доступа к ключу в хранилище ключей. Дополнительные сведения о назначении ролей Azure RBAC с помощью портал Azure см. в статье "Назначение ролей Azure с помощью портал Azure".

При настройке ключей, управляемых клиентом, с помощью портала Azure вы можете выбрать существующее назначаемое пользователем удостоверение через пользовательский интерфейс портала.

В следующем примере показано, как получить управляемое удостоверение, назначаемое пользователем, и назначить ему необходимую роль RBAC, область в хранилище ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах:

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> `
    -ResourceGroupName $rgName

$principalId = $userIdentity.PrincipalId

New-AzRoleAssignment -ObjectId $principalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

identityResourceId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query id \
    --output tsv)

principalId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-principal-type ServicePrincipal

Использование управляемого удостоверения, назначаемого системой, для авторизации доступа

Управляемое удостоверение, назначаемое системой, связано с экземпляром службы Azure (в нашем примере это учетная запись службы хранилища Azure). Вы должны явно назначить управляемое удостоверение, назначаемое системой, учетной записи хранения, прежде чем сможете использовать управляемое удостоверение, назначаемое системой, для авторизации доступа к хранилищу ключей, содержащему ключ, управляемый клиентом.

Только существующие учетные записи хранения могут использовать назначаемое системой удостоверение для авторизации доступа к хранилищу ключей. Для новых учетных записей хранения необходимо использовать назначаемое пользователем удостоверение, если для создания учетной записи настроены ключи, управляемые клиентом.

Управляемое удостоверение, назначаемое системой, должно иметь разрешения на доступ к ключу в хранилище ключей. Назначьте роль пользователя шифрования службы шифрования key Vault управляемому удостоверению, назначаемого системой, с помощью хранилища ключей область предоставить эти разрешения.

Прежде чем настроить управляемые клиентом ключи с помощью управляемого удостоверения, назначаемого системой, необходимо назначить роль пользователя шифрования службы шифрования key Vault управляемому удостоверению, назначаемого системой, область в хранилище ключей. Эта роль предоставляет разрешения на управляемое удостоверение, назначаемое системой, для доступа к ключу в хранилище ключей. Дополнительные сведения о назначении ролей Azure RBAC с помощью портал Azure см. в статье "Назначение ролей Azure с помощью портал Azure".

Когда вы настраиваете ключи, управляемые клиентом, с помощью портала Azure с управляемым удостоверением, назначаемым системой, это удостоверение также будет назначено учетной записи хранения.

Чтобы назначить управляемое удостоверение, назначаемое системой учетной записи хранения, сначала вызовите Set-Az служба хранилища Account:

$accountName = "<storage-account>"

$storageAccount = Set-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -AssignIdentity

Затем назначьте управляемому удостоверению, назначаемого системой, необходимую роль RBAC, область в хранилище ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах:

$principalId = $storageAccount.Identity.PrincipalId

New-AzRoleAssignment -ObjectId $storageAccount.Identity.PrincipalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

Чтобы пройти проверку подлинности доступа к хранилищу ключей с помощью управляемого удостоверения, назначаемого системой, сначала назначьте управляемое удостоверение, назначаемое системой, учетной записи хранения, вызвав az storage account update:

accountName="<storage-account>"

az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --assign-identity

principalId=$(az storage account show --name $accountName \
    --resource-group $rgName \
    --query identity.principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId

Настройка ключей, управляемых клиентом, для существующей учетной записи

При настройке шифрования с помощью ключей, управляемых клиентом, для существующей учетной записи хранения вы можете настроить автоматическое обновление версии ключа, используемой для шифрования службы хранилища Azure, всякий раз, когда новая версия будет доступной в связанном хранилище ключей. Либо можно явно указать версию ключа, которая будет использоваться для шифрования до тех пор, пока вы не обновите ее вручную.

Если версия ключа изменяется автоматически или вручную, защита корневого ключа шифрования изменяется, но данные в вашей учетной записи служба хранилища Azure все время шифруются. Для защиты данных нет никаких дополнительных действий, необходимых для вашей части. Смена версии ключа не влияет на производительность. Нет времени простоя, связанного с поворотом версии ключа.

Вы можете использовать управляемое удостоверение, назначаемое системой или пользователем, для авторизации доступа к хранилищу ключей при настройке ключей, управляемых клиентом, для существующей учетной записи хранения.

Примечание.

Чтобы ключ менялся, создайте новую версию ключа в Azure Key Vault. Служба хранилища Azure не производит смену ключа, поэтому вам потребуется управлять ею в хранилище ключей. Вы можете настроить автоматическую смену ключа в Azure Key Vault или сменить ключ вручную.

Настройка шифрования для автоматического обновления версий ключа

Служба хранилища Azure может автоматически обновлять ключ, управляемый клиентом, применяемый для шифрования, чтобы использовать последнюю версию ключа из хранилища ключей. Служба хранилища Azure ежедневно проверяет хранилище ключей на наличие новой версии ключа. Когда новая версия будет доступна, служба хранилища Azure автоматически начинает использовать последнюю версию ключа для шифрования.

Важно!

Служба хранилища Azure проверяет хранилище ключей на наличие новой версии ключа только один раз в день. После смены ключа подождите 24 часа, прежде чем отключить старую версию.

Чтобы настроить управляемые клиентом ключи для существующей учетной записи с автоматическим обновлением версии ключа в портал Azure, выполните следующие действия.

Перейдите к учетной записи хранилища.
В разделе "Безопасность и сеть" выберите "Шифрование". По умолчанию для управления ключами задано значение "Ключи , управляемые Корпорацией Майкрософт", как показано на рисунке ниже:
Выберите параметр "Ключи, управляемые клиентом". Если учетная запись ранее была настроена для ключей , управляемых клиентом, с ручным обновлением версии ключа, выберите "Изменить ключ " в нижней части страницы.
Выберите параметр Выбрать в Key Vault.
Нажмите Выбрать хранилище ключей и ключ.
Выберите хранилище ключей, содержащее ключ, который вы хотите использовать. Кроме того, можно создать новое хранилище ключей.
Выберите ключ из хранилища ключей. Вы также можете создать новый ключ.
Выберите тип удостоверение, которое будет применяться для аутентификации доступа к хранилищу ключей. Возможные варианты: Назначаемое системой (по умолчанию) или Назначаемое пользователем. Дополнительные данные о каждом типе управляемых удостоверений см. в статье Тип управляемых удостоверений.
1. Если выбрано Назначаемое системой, для учетной записи хранения создается управляемое удостоверение, назначаемое системой, если оно еще не существует.
2. Если выбрано Назначаемое пользователем, необходимо выбрать существующее удостоверение, назначаемое пользователем, у которого есть разрешения на доступ к хранилищу ключей. Сведения о создании удостоверения, назначаемого пользователем, см. в статье Администрирование управляемых удостоверений, назначаемых пользователем.
Сохранение изменений.

После указания ключа портал Azure указывает, что автоматическое обновление версии ключа включено и отображает версию ключа, используемую в настоящее время для шифрования. На портале также отображается тип управляемого удостоверения, используемого для авторизации доступа к хранилищу ключей, и идентификатор субъекта для управляемого удостоверения.

Screenshot showing automatic updating of the key version enabled.

Чтобы настроить ключи, управляемые клиентом, для существующей учетной записи хранения с автоматическим обновлением версии ключа с помощью PowerShell, установите модуль Az.Storage версии 2.0.0 или выше.

Затем вызовите Set-Az служба хранилища Account, чтобы обновить параметры шифрования учетной записи хранения. KeyvaultEncryption Включите параметр, чтобы включить ключи, управляемые клиентом для учетной записи хранения, и задайте KeyVersion пустую строку, чтобы включить автоматическое обновление версии ключа. Если учетная запись хранения ранее была настроена для ключей, управляемых клиентом, с определенной версией ключа, то установка версии ключа на пустую строку позволяет автоматически обновлять версию ключа.

$accountName = "<storage-account>"

# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion "" `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -KeyvaultEncryption `
    -KeyName $key.Name `
    -KeyVersion "" `
    -KeyVaultUri $keyVault.VaultUri

Чтобы настроить ключи, управляемые клиентом, для существующей учетной записи хранения с автоматическим обновлением версии ключа с помощью Azure CLI, установите Azure CLI версии 2.4.0 или выше. Дополнительные сведения см. в статье Установка Azure CLI.

Затем вызовите az storage account update , чтобы обновить параметры шифрования учетной записи хранения. --encryption-key-source Включите параметр и задайте его, чтобы Microsoft.Keyvault включить ключи, управляемые клиентом для учетной записи, и задайте encryption-key-version пустую строку, чтобы включить автоматическое обновление версии ключа. Если учетная запись хранения ранее была настроена для ключей, управляемых клиентом, с определенной версией ключа, то установка версии ключа на пустую строку позволяет автоматически обновлять версию ключа.

accountName="<storage-account>"

keyVaultUri=$(az keyvault show \
    --name $kvName \
    --resource-group $rgName \
    --query properties.vaultUri \
    --output tsv)

# Use this form of the command with a user-assigned managed identity.
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-name $keyName \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri \
    --key-vault-user-identity-id $identityResourceId

# Use this form of the command with a system-assigned managed identity.
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --encryption-key-name $keyName \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri

Настройка шифрования для обновления версий ключа вручную

Если вы предпочитаете обновлять версию ключа вручную, необходимо явно указать ее версию при настройке шифрования с помощью ключей, управляемых клиентом. В этом случае служба хранилища Azure не будет автоматически обновлять версию ключа при создании новой версии в хранилище ключей. Чтобы использовать новую версию ключа, необходимо вручную обновить версию, используемую для шифрования службы хранилища Azure.

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, с помощью портала Azure, укажите URI ключа, включая версию. Чтобы указать ключ с помощью URI, выполните следующие действия.

Чтобы найти URI ключа на портале Azure, перейдите в хранилище ключей и выберите параметр Ключи. Выберите нужный ключ, а затем щелкните его, чтобы просмотреть его версии. Выберите версию ключа для просмотра ее параметров.
Скопируйте значение поля Идентификатор ключа, которое предоставляет универсальный код ресурса (URI).
В параметрах раздела Ключ шифрования для учетной записи хранения нажмите Введите URI ключа.
Вставьте скопированный URI в поле URI ключа. Не указывайте версию ключа из URI, чтобы включилось автоматическое обновление версии ключа.
Укажите подписку, которая содержит хранилище ключей.
Укажите удостоверение, назначаемое системой или пользователем.
Сохранение изменений.

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, явно укажите версию ключа при настройке шифрования для учетной записи хранения. Вызовите команду Set-AzStorageAccount, чтобы обновить параметры шифрования учетной записи хранения, как показано в следующем примере, и укажите параметр -KeyvaultEncryption, чтобы включить ключи, управляемые клиентом, для учетной записи хранения.

Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

$accountName = "<storage-account>"

# Use this form of the command with a user-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

# Use this form of the command with a system-assigned managed identity.
Set-AzStorageAccount -ResourceGroupName $rgName `
    -AccountName $accountName `
    -KeyvaultEncryption `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version

При обновлении версии ключа вручную необходимо обновить параметры шифрования учетной записи хранения, чтобы использовать новую версию. Сначала вызовите команду Get-AzKeyVaultKey, чтобы получить последнюю версию ключа. Затем вызовите команду Set-AzStorageAccount, чтобы обновить параметры шифрования учетной записи хранения для использования новой версии ключа, как показано в предыдущем примере.

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, явно укажите версию ключа при настройке шифрования для учетной записи хранения. Вызовите команду az storage account update, чтобы обновить параметры шифрования учетной записи хранения, как показано в следующем примере. Добавьте параметр --encryption-key-source и присвойте ему значение Microsoft.Keyvault, чтобы включить ключи, управляемые клиентом, для учетной записи.

Не забудьте заменить значения заполнителей в скобках собственными значениями.

accountName="<storage-account>"

keyVaultUri=$(az keyvault show \
    --name $kvName \
    --resource-group $rgName \
    --query properties.vaultUri \
    --output tsv)

keyVersion=$(az keyvault key list-versions \
    --name $keyName \
    --vault-name $kvName \
    --query [-1].kid \
    --output tsv | cut -d '/' -f 6)

# Use this form of the command with a user-assigned managed identity
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-name $keyName \
    --encryption-key-version $keyVersion \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri \
    --key-vault-user-identity-id $identityResourceId

# Use this form of the command with a system-assigned managed identity
az storage account update \
    --name $accountName \
    --resource-group $rgName \
    --encryption-key-name $keyName \
    --encryption-key-version $keyVersion \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $keyVaultUri

При обновлении версии ключа вручную необходимо обновить параметры шифрования учетной записи хранения, чтобы использовать новую версию. Сначала запросите универсальный код ресурса (URI) хранилища ключей, вызвав команду az keyvault show, а для версии ключа выполните команду az keyvault key list-versions. Затем вызовите команду az storage account update, чтобы обновить параметры шифрования учетной записи хранения для использования новой версии ключа, как показано в предыдущем примере.

Изменение ключа

Ключ, используемый для шифрования службы хранилища Azure, можно изменить в любое время.

Примечание.

При изменении версии ключа или ключа защита корневого ключа шифрования изменяется, но данные в вашей учетной записи служба хранилища Azure все время шифруются. С вашей стороны не требуется никаких дополнительных действий для обеспечения защиты ваших данных. Изменение ключа или смена версии ключа не влияет на производительность. Простой не связан с изменением ключа или поворотом версии ключа.

Чтобы изменить ключ с помощью портала Azure, выполните следующие действия:

Перейдите к своей учетной записи хранения и откройте раздел параметров Шифрование.
Выберите хранилище ключей, а затем — новый ключ.
Сохранение изменений.

Если новый ключ находится в другом хранилище ключей, необходимо предоставить управляемому удостоверению доступ к ключу в новом хранилище. Если вы решили вручную обновить версию ключа, необходимо также обновить универсальный код ресурса (URI) хранилища ключей.

Отмена доступа к учетной записи хранения, использующая ключи, управляемые клиентом

Чтобы временно отменить доступ к учетной записи хранения, использующую ключи, управляемые клиентом, отключите ключ, используемый в настоящее время в хранилище ключей. Нет влияния на производительность или простоя, связанного с отключением и повторной настройкой ключа.

После отключения ключа клиенты не могут вызывать операции, которые считываются или записываются в большой двоичный объект или его метаданные. Сведения о том, какие операции завершаются сбоем, см. в статье "Отзыв доступа к учетной записи хранения, использующую ключи, управляемые клиентом".

Внимание

При отключении ключа в хранилище ключей данные в учетной записи служба хранилища Azure остаются зашифрованными, но он становится недоступным, пока не будет повторно добавлен ключ.

Чтобы отключить управляемый клиентом ключ с помощью портал Azure, выполните следующие действия.

Перейдите в хранилище ключей, содержащее ключ.
В разделе "Объекты" выберите "Ключи".
Щелкните правой кнопкой мыши ключ и выберите "Отключить".

Чтобы отозвать управляемый клиентом ключ с помощью PowerShell, вызовите команду Update-AzKeyVaultKey , как показано в следующем примере. Не забудьте заменить значения заполнителей в квадратных скобках собственными значениями, чтобы определить переменные или использовать переменные, определенные в предыдущих примерах.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Чтобы отозвать управляемый клиентом ключ с помощью Azure CLI, вызовите команду az keyvault key set-attributes , как показано в следующем примере. Не забудьте заменить значения заполнителей в квадратных скобках собственными значениями, чтобы определить переменные или использовать переменные, определенные в предыдущих примерах.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Вернуться к ключам, управляемым Корпорацией Майкрософт

Ключи, управляемые клиентом, можно переключаться с ключей, управляемых корпорацией Майкрософт, в любое время с помощью портал Azure, PowerShell или Azure CLI.

Чтобы перейти с ключей, управляемых клиентом, обратно в управляемые корпорацией Майкрософт ключи в портал Azure, выполните следующие действия.

Перейдите к учетной записи хранилища.
В разделе "Безопасность и сеть" выберите "Шифрование".
Измените тип шифрования на ключи, управляемые корпорацией Майкрософт.

Чтобы переключиться с управляемых клиентом ключей обратно на ключи, управляемые корпорацией Майкрософт, с помощью PowerShell вызовите Set-Az служба хранилища Account с -StorageEncryption параметром, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption

Чтобы переключиться с ключей, управляемых клиентом, на ключи, управляемые корпорацией Майкрософт, с помощью Azure CLI, вызовите az storage account update и задайте значение --encryption-key-source parameterMicrosoft.Storage, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage

Настройка ключей, управляемых клиентом, в том же клиенте для существующей учетной записи хранения

Настройка хранилища ключей

Добавление ключа

Выберите управляемое удостоверение для авторизации доступа к хранилищу ключей.

Использование управляемого удостоверения, назначаемого пользователем, для авторизации доступа

Использование управляемого удостоверения, назначаемого системой, для авторизации доступа

Настройка ключей, управляемых клиентом, для существующей учетной записи

Настройка шифрования для автоматического обновления версий ключа

Настройка шифрования для обновления версий ключа вручную

Изменение ключа

Отмена доступа к учетной записи хранения, использующая ключи, управляемые клиентом

Вернуться к ключам, управляемым Корпорацией Майкрософт

Следующие шаги

Дополнительные ресурсы