Konfigurera datakryptering i Azure Database for PostgreSQL flexibel server

Den här artikeln innehåller stegvisa instruktioner för att konfigurera datakryptering för en flexibel Azure Database for PostgreSQL-server.

Viktigt!

Du kan välja att använda en systemhanterad nyckel eller en kundhanterad nyckel för datakryptering endast när servern skapas. När du har fattat det beslutet och skapat servern kan du inte växla mellan de två alternativen.

I den här artikeln får du lära dig hur du skapar en ny server och konfigurerar dess datakrypteringsalternativ. För befintliga servrar som använder kundhanterad krypteringsnyckel för datakryptering lär du dig:

• Så här väljer du en annan användartilldelad hanterad identitet för tjänsten för åtkomst till krypteringsnyckeln.
• Så här anger du en annan krypteringsnyckel eller hur du roterar krypteringsnyckeln som för närvarande används för datakryptering.

Mer information om datakryptering i kontexten för Azure Database for PostgreSQL finns i datakryptering.

Konfigurera datakryptering med systemhanterad nyckel under serveretablering

Portal

Använd Azure-portalen:

1. Under etableringen av en ny Azure Database for PostgreSQL flexibel server konfigurerar du datakryptering på fliken Säkerhet. För Datakrypteringsnyckel väljer du alternativet Tjänsthanterad nyckel.

   

2. Om du aktiverar geo-redundant säkerhetskopieringslagring som ska etableras tillsammans med servern ändras aspekten av fliken Säkerhet något eftersom servern använder två separata krypteringsnycklar. En nyckel är för den primära region där du distribuerar servern, och en nyckel är för den parkopplade region som serversäkerhetskopiorna asynkront replikeras till.

   

CLI

Du kan aktivera datakryptering med hjälp av en systemtilldelad krypteringsnyckel när du etablerar en ny server med hjälp av kommandot az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Anmärkning

Det finns ingen särskild parameter i föregående kommando för att ange att servern måste skapas med en systemtilldelade nyckel för datakryptering. Datakryptering med hjälp av en systemtilldelade nyckel är standardalternativet. Du måste också slutföra kommandot med andra parametrar vars närvaro och värden varierar beroende på hur du vill konfigurera andra funktioner på den etablerade servern.

Konfigurera datakryptering med kundhanterad nyckel under serveretablering

Portal

Använd Azure-portalen:

1. Skapa en användartilldelad hanterad identitet om du inte har någon ännu. Om geo-redundanta säkerhetskopior är aktiverade på servern måste du skapa två olika identiteter. Var och en av dessa identiteter har åtkomst till var och en av de två datakrypteringsnycklarna.

Anmärkning

Även om det inte krävs skapar du den användarhanterade identiteten i samma region som servern för att upprätthålla regional återhämtning. Om din server har geo-säkerhetskopieringsredundans aktiverad skapar du den andra användarhanterade identiteten i den parkopplade regionen på servern.

1. Skapa en Azure Key Vault eller skapa en hanterad HSM om du inte har skapat något nyckelarkiv ännu. Se till att du uppfyller kraven. Följ också rekommendationerna innan du konfigurerar nyckelarkivet och innan du skapar nyckeln och tilldelar nödvändiga behörigheter till den användartilldelade hanterade identiteten. Om geo-redundanta säkerhetskopieringar är aktiverade på servern måste du skapa ett andra nyckelarkiv. Det andra nyckellagret behåller den datakrypteringsnyckel som krypterar dina säkerhetskopior som kopieras till den parkopplade regionen på servern.

Anmärkning

Du måste distribuera nyckelarkivet som behåller datakrypteringsnyckeln i samma region som servern. Om din server har geo-säkerhetskopieringsredundans aktiverad måste du skapa det nyckellager som behåller datakrypteringsnyckeln för geo-redundanta säkerhetskopior i den parkopplade regionen på servern.

1. Skapa en nyckel i nyckelarkivet. Om geo-redundanta säkerhetskopior är aktiverade på servern behöver du en nyckel i vart och ett av nyckelarkiven. Genom att använda en av dessa nycklar krypterar du alla serverns data (inklusive alla system- och användardatabaser, temporära filer, serverloggar, loggsegment för skrivföreläsning och säkerhetskopior). Med hjälp av den andra nyckeln krypterar du kopiorna av säkerhetskopiorna som asynkront kopieras över den parkopplade regionen på servern.

2. Under etableringen av en ny Azure Database for PostgreSQL flexibel server konfigurerar du datakryptering på fliken Säkerhet. För Datakrypteringsnyckel väljer du alternativknappen Kundhanterad nyckel.

   

3. Om du aktiverar geo-redundant säkerhetskopieringslagring som ska etableras tillsammans med servern ändras aspekten av fliken Säkerhet något eftersom servern använder två separata krypteringsnycklar. En nyckel är för den primära region där du distribuerar servern, och en nyckel är för den parkopplade region som serversäkerhetskopiorna asynkront replikeras till.

   

4. I Användartilldelad hanterad identitet väljer du Ändra identitet.

   

5. I listan över användartilldelade hanterade identiteter väljer du den som du vill att servern ska använda för att komma åt datakrypteringsnyckeln som lagras i en Azure Key Vault.

   

6. Välj Lägg till.

   

7. Välj Använd automatisk uppdatering av nyckelversion om du föredrar att låta tjänsten automatiskt uppdatera referensen till den senaste versionen av den valda nyckeln, när den aktuella versionen roteras manuellt eller automatiskt. Information om fördelarna med att använda automatiska uppdateringar av nyckelversioner finns i automatisk uppdatering av nyckelversion.

   

8. Välj Välj en nyckel.

   

9. Prenumerationen fylls automatiskt i med namnet på den prenumeration där servern är på väg att skapas. Nyckelarkivet som behåller datakrypteringsnyckeln måste finnas i samma prenumeration som servern.

   

10. I Nyckellagringstyp väljer du den alternativknapp som motsvarar den typ av nyckellager där du planerar att lagra datakrypteringsnyckeln. I det här exemplet väljer du Nyckelvalv, men upplevelsen är liknande om du väljer Hanterad HSM.

    

11. Expandera Key Vault (eller Managed HSM, om du valde den lagringstypen) och välj den instans där datakrypteringsnyckeln finns.

    

    Anmärkning

    När du expanderar listrutan visas Inga tillgängliga objekt. Det tar några sekunder innan den visar alla instanser av nyckelvalvet som distribueras i samma region som servern.

12. Expandera Nyckel och välj namnet på den nyckel som du vill använda för datakryptering.

    

13. Om du inte valde Använd automatisk uppdatering av nyckelversion måste du också välja en specifik version av nyckeln. Det gör du genom att expandera Version och välja identifieraren för den version av nyckeln som du vill använda för datakryptering.

    

14. Välj Välj.

    

15. Konfigurera alla andra inställningar för den nya servern och välj Granska + skapa.

    

CLI

Använd kommandot az postgres flexible-server create för att aktivera datakryptering med användartilldelad krypteringsnyckel, samtidigt som du etablerar en ny server.

Om servern inte har geo-redundanta säkerhetskopieringar aktiverade:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Anmärkning

Du måste ange andra parametrar för att slutföra föregående kommando. Förekomsten och värdena för dessa parametrar varierar beroende på hur du vill konfigurera andra funktioner för den etablerade servern.

Om din server har geo-redundanta säkerhetskopieringar aktiverade:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Anmärkning

Du måste ange andra parametrar för att slutföra föregående kommando. Förekomsten och värdena för dessa parametrar varierar beroende på hur du vill konfigurera andra funktioner för den etablerade servern.

Konfigurera datakryptering med kundhanterad nyckel på befintliga servrar

Du bestämmer om du vill använda en systemhanterad nyckel eller en kundhanterad nyckel för datakryptering när servern skapas. När du har fattat det beslutet och skapat servern kan du inte växla mellan de två alternativen. Det enda alternativet, om du vill ändra från en till en annan, kräver att någon av de säkerhetskopior som är tillgängliga för servern återställs till en ny server. När du konfigurerar återställningen kan du ändra konfigurationen för datakryptering för den nya servern.

För befintliga servrar som du distribuerade med datakryptering med hjälp av en kundhanterad nyckel kan du göra flera konfigurationsändringar. Du kan ändra referenserna till de nycklar som används för kryptering och referenser till de användartilldelade hanterade identiteter som tjänsten använder för att komma åt nycklarna som lagras i nyckelarkiven.

Du måste uppdatera referenser som din flexibla Azure Database for PostgreSQL-server har till en nyckel:

• När nyckeln som lagras i nyckelarkivet roteras, antingen manuellt eller automatiskt, och din flexibla Azure Database for PostgreSQL-server pekar på en specifik version av nyckeln. Om du pekar på en nyckel, men inte till en specifik version av nyckeln (det är när du har Aktiverat uppdatering av använd automatisk nyckelversion ), refererar tjänsten automatiskt till den senaste versionen av nyckeln när nyckeln roteras manuellt eller automatiskt.
• När du vill använda samma eller en annan nyckel som lagras i ett annat nyckelarkiv.

Du måste uppdatera de användartilldelade hanterade identiteterna som din Azure Database for PostgreSQL flexibla server använder för att få åtkomst till krypteringsnycklarna när du vill använda en annan identitet.

Portal

Använd Azure-portalen:

1. Välj din Azure-databas för PostgreSQL-flexibel server.

2. I resursmenyn går du till avsnittet Säkerhet och väljer Datakryptering.

   

3. Om du vill ändra den användartilldelade hanterade identitet som servern använder för att komma åt nyckelarkivet expanderar du listrutan Användartilldelad hanterad identitet och väljer någon av de tillgängliga identiteterna.

   

   Anmärkning

   Kombinationsrutan visar bara de identiteter som din Azure Database for PostgreSQL flexibel server har tilldelats. Även om det inte krävs väljer du användarhanterade identiteter i samma region som servern för att upprätthålla regional återhämtning. Om servern har geo-säkerhetskopieringsredundans aktiverad bör den andra användarhanterade identiteten, som används för att komma åt datakrypteringsnyckeln för geo-redundanta säkerhetskopior, finnas i den parkopplade regionen på servern.

4. Om den användartilldelade hanterade identitet som du vill använda för att komma åt datakrypteringsnyckeln inte har tilldelats till din Azure Database for PostgreSQL flexibla server och den inte finns som en Azure resurs med motsvarande objekt i Microsoft Entra ID skapar du den genom att välja Skapa.

   

5. I panelen Skapa användartilldelad hanterad identitet anger du information om den användartilldelade hanterade identitet som du vill skapa och tilldelar den automatiskt till din Azure Database for PostgreSQL flexibla server för att få åtkomst till datakrypteringsnyckeln.

   

6. Om den användartilldelade hanterade identitet som du vill använda för att komma åt datakrypteringsnyckeln inte har tilldelats till din Azure Database for PostgreSQL flexibla server, men den finns som en Azure resurs med motsvarande objekt i Microsoft Entra ID, tilldelar du den genom att välja Välj.

   

7. I listan över användartilldelade hanterade identiteter väljer du den som du vill att servern ska använda för att komma åt datakrypteringsnyckeln som lagras i en Azure Key Vault.

   

8. Välj Lägg till.

   

9. Välj Använd automatisk uppdatering av nyckelversion om du vill att tjänsten automatiskt ska uppdatera referensen till den senaste versionen av den valda nyckeln när den aktuella versionen roteras manuellt eller automatiskt. Information om fördelarna med att använda automatiska uppdateringar av nyckelversioner finns i [automatisk uppdatering av nyckelversion](.. /security/security-data-encryption.md##CMK viktiga versionsuppdateringar).

   

10. Om du roterar nyckeln och inte aktiverar Använd automatisk uppdatering av nyckelversion. Eller om du vill använda en annan nyckel uppdaterar du din Azure Database for PostgreSQL flexibla servern så att den pekar på den nya nyckelversionen eller den nya nyckeln. Det gör du genom att kopiera resursidentifieraren för nyckeln och klistra in den i rutan Nyckelidentifierare .

    

11. Om användaren som kommer åt Azure-portalen har behörighet att komma åt nyckeln som lagras i nyckelarkivet kan du använda en alternativ metod för att välja den nya nyckeln eller den nya nyckelversionen. Det gör du genom att välja alternativknappen Välj en nyckel i Nyckelvalsmetod.

    

12. Välj Välj nyckel.

    

13. Prenumerationen fylls automatiskt i med namnet på den prenumeration där servern är på väg att skapas. Nyckelarkivet som behåller datakrypteringsnyckeln måste finnas i samma prenumeration som servern.

    

14. I Nyckellagringstyp väljer du den alternativknapp som motsvarar den typ av nyckellager där du planerar att lagra datakrypteringsnyckeln. I det här exemplet väljer du Nyckelvalv, men upplevelsen är liknande om du väljer Hanterad HSM.

    

15. Expandera Key Vault (eller Managed HSM, om du valde den lagringstypen) och välj den instans där datakrypteringsnyckeln finns.

    

    Anmärkning

    När du expanderar listrutan visas Inga tillgängliga objekt. Det tar några sekunder innan den visar alla instanser av nyckelvalvet som distribueras i samma region som servern.

16. Expandera Nyckel och välj namnet på den nyckel som du vill använda för datakryptering.

    

17. Om du inte valde Använd automatisk uppdatering av nyckelversion måste du också välja en specifik version av nyckeln. Det gör du genom att expandera Version och välja identifieraren för den version av nyckeln som du vill använda för datakryptering.

    

18. Välj Välj.

    

19. När du är nöjd med ändringarna väljer du Spara.

    

CLI

Använd kommandot az postgres flexible-server update för att konfigurera datakryptering med användartilldelad krypteringsnyckel för en befintlig server.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Anmärkning

Du kan behöva inkludera andra parametrar med föregående kommando. Förekomsten och värdena för dessa parametrar beror på hur du vill konfigurera andra funktioner på den befintliga servern.

Oavsett om du bara vill ändra den användartilldelade hanterade identiteten som används för att komma åt nyckeln, eller om du bara vill ändra nyckeln som används för datakryptering, eller om du vill ändra båda samtidigt, måste du ange både parametrar --identity och --key (eller --backup-identity för --backup-key geo-redundanta säkerhetskopior). Om du bara anger en parameter får du något av följande fel:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Om nyckeln som du anger med parametern --key (eller --backup-key för geo-redundanta säkerhetskopior) inte finns, eller om den användartilldelade hanterade identiteten vars resursidentifierare du skickar till parametern --identity (eller --backup-identity för geo-redundanta säkerhetskopior) inte har de behörigheter som krävs för att komma åt nyckeln får du följande fel:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Om din server har geo-redundanta säkerhetskopior aktiverade kan du konfigurera nyckeln som används för kryptering av geo-redundanta säkerhetskopior och den identitet som används för att komma åt nyckeln. Använd parametrarna --backup-identity och --backup-key för att göra det.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Om du skickar parametrarna --backup-identity och --backup-key till az postgres flexible server update kommandot och refererar till en befintlig server som inte har geo-redundant säkerhetskopiering aktiverad får du följande fel:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Om du lägger till identiteter i parametrarna --identity och --backup-identity är giltiga lägger systemet automatiskt till dem i listan över användartilldelade hanterade identiteter som är associerade med din Azure Database for PostgreSQL flexibla servern. Den här åtgärden inträffar även om kommandot senare misslyckas med något annat fel. I sådana fall kanske du vill använda az postgres flexible-server identity-kommandon för att lista, tilldela eller ta bort användartilldelade hanterade identiteter som tilldelats till din flexibla Azure Database for PostgreSQL-server. Mer information om hur du konfigurerar användartilldelade hanterade identiteter i Azure Database for PostgreSQL flexibel server finns i Associera användartilldelade hanterade identiteter till befintliga servrar, koppla bort användartilldelade hanterade identiteter till befintliga servrar och visa associerade användartilldelade hanterade identiteter.

Relaterat innehåll

• Datakryptering