你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
将 Azure Key Vault 中的客户管理的密钥用于导入/导出服务
Azure 导入/导出使用加密密钥保护用于锁定驱动器的 BitLocker 密钥。 默认情况下将使用 Microsoft 管理的密钥对 BitLocker 密钥进行加密。 为了更进一步控制加密密钥，你还可以提供客户管理的密钥。
必须在 Azure Key Vault 中创建并存储客户管理的密钥。 有关 Azure 密钥保管库的详细信息，请参阅什么是 Azure 密钥保管库？
本文介绍了如何在 Azure 门户中将客户管理的密钥用于导入/导出服务。
先决条件
在开始之前，请确保：
你已按照以下部分中的说明创建了一个导入或导出作业：
你有一个现有的 Azure Key Vault，其中包含可用于保护 BitLocker 密钥的密钥。 若要了解如何使用 Azure 门户创建 Key Vault，请参阅快速入门：使用 Azure 门户创建 Azure Key Vault。
在现有 Key Vault 上设置了“软删除”和“不清除”。 默认情况下未启用这些属性。 若要启用这些属性，请参阅以下文章之一中标题为“启用软删除”和“启用清除保护”的部分：
现有密钥保管库应当具有大小为 2048 或更大的 RSA 密钥。 有关密钥的详细信息，请参阅关于密钥。
密钥保管库必须与数据的存储帐户位于同一区域。
如果你没有现有的 Azure Key Vault，也可按照以下部分的描述以内联方式创建它。
启用密钥
为导入/导出服务配置客户管理的密钥这一操作是可选的。 默认情况下，导入/导出服务使用 Microsoft 管理的密钥来保护 BitLocker 密钥。 若要在 Azure 门户中启用客户管理的密钥，请执行以下步骤：
转到导入作业的“概览”边栏选项卡。
在右侧窗格中，选择“选择 BitLocker 密钥的加密方式”。
在“加密”边栏选项卡中，可以查看和复制设备 BitLocker 密钥。 在“加密类型”下，可以选择要如何保护你的 BitLocker 密钥。 默认情况下将使用 Microsoft 管理的密钥。
你可以选择指定客户管理的密钥。 选择客户管理的密钥后，单击“选择密钥保管库和密钥”。
在“从 Azure Key Vault 中选择密钥”边栏选项卡中，订阅会自动填充。 对于“密钥保管库”，可以从下拉列表中选择现有的密钥保管库。
还可以选择“新建”来创建新的密钥保管库。 在“创建密钥保管库”边栏选项卡中，输入资源组和密钥保管库名称。 接受其他所有默认值。 选择“查看 + 创建”。
查看与密钥保管库关联的信息，然后选择“创建”。 等待几分钟，以便完成密钥保管库的创建。
在“从 Azure Key Vault 中选择密钥”中，可以选择现有密钥保管库中的密钥。
如果你创建了新的密钥保管库，请选择“新建”来创建密钥。 RSA 密钥大小可以是 2048 或更大。
如果在创建密钥保管库时未启用软删除和清除保护，则会更新密钥保管库以启用软删除和清除保护。
提供密钥的名称，接受其他默认值，然后选择“创建”。
选择“版本”，然后选择“选择”。 系统会通知你已在密钥保管库中创建了密钥。
在“加密”边栏选项卡中，可以看到为客户管理的密钥选择的密钥保管库和密钥。
重要
在导入/导出作业的任何阶段，你只能禁用 Microsoft 管理的密钥，改为使用客户管理的密钥。 但是，在创建客户管理的密钥后，你无法将其禁用。
排查客户管理的密钥的错误
如果收到与客户管理的密钥相关的任何错误，请使用下表进行故障排除：
| 错误代码 | 详细信息 | 可恢复？ |
|---|---|---|
| CmkErrorAccessRevoked | 撤销了对客户管理的密钥的访问权限。 | 是，检查以下事项：
|
| CmkErrorKeyDisabled | 禁用了客户管理的密钥。 | 是，通过启用密钥版本 |
| CmkErrorKeyNotFound | 找不到客户管理的密钥。 | 是，如果该密钥已删除，但仍处于清除保护期内，请使用撤消密钥保管库密钥删除。 否则，
|
| CmkErrorVaultNotFound | 找不到客户管理的密钥的密钥保管库。 | 如果密钥保管库已删除：
如果密钥保管库已迁移到其他租户，可以使用以下步骤之一进行恢复：
|