Включение двойного шифрования для кластера в Azure Data Explorer

При создании кластера данные автоматически шифруются на уровне обслуживания. Для повышения безопасности данных можно дополнительно включить двойное шифрование.

В этом случае данные в учетной записи хранения будут шифроваться дважды с использованием двух разных алгоритмов.

Это важно

• Включить двойное шифрование можно только в ходе создания кластера.
• После включения шифрования инфраструктуры в кластере его нельзя отключить.

Портал Azure

1. Создание кластера Azure Data Explorer

2. На вкладке >"Безопасность" включите двойное шифрование, нажмите кнопку "Вкл.". Чтобы удалить двойное шифрование, нажмите кнопку "Отключить".

3. Нажмите Далее: Сеть> или Обзор и создание, чтобы создать кластер.

   

C#

Вы можете включить шифрование инфраструктуры во время создания кластера с помощью C#.

Предпосылки

Настройте управляемое удостоверение с помощью клиента C# Azure Data Explorer:

• Установите пакет NuGet в Azure Data Explorer.
• Установите пакет NuGet Microsoft.Identity.Client для проверки подлинности.
• Установите пакет NuGet Microsoft.Rest.ClientRuntime для проверки подлинности.
• Создайте приложение Azure Active Directory и субъект-службу, которые могут получить доступ к ресурсам. Вы добавляете назначение ролей на уровне подписки и получаете необходимые Directory (tenant) ID, Application ID и Client Secret.

Создание кластера

1. Создайте кластер с использованием свойства enableDoubleEncryption:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   
   var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
       .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
       .WithClientSecret(clientSecret)
       .Build();
   var result = authClient.AcquireTokenForClient(new[] { "https://management.core.windows.net/" }).ExecuteAsync().Result;
   var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
   var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
   
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var clusterData = new Cluster(
       location: "East US",
       sku: new AzureSku("Standard_E8ads_v5", "Standard", 5),
       enableDoubleEncryption: true
   );
   
   await kustoManagementClient.Clusters.CreateOrUpdateAsync(resourceGroupName, clusterName, clusterData);
   

2. Выполните следующую команду, чтобы проверить, был ли ваш кластер успешно создан:

   clusterData = await kustoManagementClient.Clusters.GetAsync(resourceGroupName, clusterName);
   

   Если результат содержит параметр ProvisioningState со значением Succeeded, это означает, что кластер создан успешно.

Шаблон ARM

Вы можете включить шифрование инфраструктуры во время создания кластера с помощью Azure Resource Manager.

Шаблон Azure Resource Manager можно использовать для автоматизации развертывания ресурсов Azure. Дополнительные сведения о развертывании в Azure Data Explorer см. в статье "Создание кластера и базы данных Azure Data Explorer" с помощью шаблона Azure Resource Manager.

Добавьте удостоверение, назначенное системой, с помощью шаблона Azure Resource Manager

Добавьте тип EnableDoubleEncryption, чтобы указать Azure включить шифрование инфраструктуры (двойное шифрование) для кластера.

{
    "apiVersion": "2020-06-14",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "properties": {
        "trustedExternalTenants": [],
        "virtualNetworkConfiguration": null,
        "optimizedAutoscale": null,
        "enableDiskEncryption": false,
        "enableStreamingIngest": false,
        "enableDoubleEncryption": true,
    }
}

Ограничения

Следующие ограничения применяются к шифрованию выбранных томов:

• Влияние производительности до одной цифры
• Нельзя использовать с песочницами

Дальнейшие шаги

• Включение шифрования дисков для кластера
• Проверка работоспособности кластера