共用方式為


設定客戶自控金鑰

Azure Data Explorer會加密待用儲存體帳戶中的所有資料。 根據預設,資料是以使用 Microsoft 管理的金鑰加密。 如需對加密金鑰的額外控制,您可以提供客戶管理的金鑰來用於資料加密。

客戶管理的金鑰必須儲存在Azure 金鑰保存庫中。 您可以建立自己的金鑰,並將其儲存在金鑰保存庫中,或使用 Azure 金鑰保存庫 API 來產生金鑰。 Azure Data Explorer叢集和金鑰保存庫必須位於相同的區域中,但它們可以位於不同的訂用帳戶中。 如需客戶自控金鑰的詳細說明,請參閱使用 Azure 金鑰保存庫客戶管理的金鑰

本文說明如何設定客戶管理的金鑰。

如需以舊版 SDK 為基礎的程式碼範例,請參閱 封存文章

設定 Azure Key Vault

若要使用 Azure Data Explorer設定客戶管理的金鑰,您必須在金鑰保存庫上設定兩個屬性虛刪除不要清除。 預設不會啟用這些屬性。 若要啟用這些屬性,請在新的或現有的金鑰保存庫上,于PowerShellAzure CLI中執行啟用虛刪除啟用清除保護。 僅支援大小為 2048 的 RSA 金鑰。 如需金鑰的詳細資訊,請參閱金鑰保存庫金鑰

注意

如需在領導者和追蹤者叢集上使用客戶管理金鑰限制的相關資訊,請參閱 限制

將受控識別指派給叢集

若要為您的叢集啟用客戶管理的金鑰,請先將系統指派或使用者指派的受控識別指派給叢集。 您將使用此受控識別來授與叢集存取金鑰保存庫的許可權。 若要設定受控識別,請參閱 受控識別

使用客戶管理的金鑰來啟用加密

下列步驟說明如何使用 Azure 入口網站啟用客戶管理的金鑰加密。 根據預設,Azure Data Explorer加密會使用 Microsoft 管理的金鑰。 設定您的 Azure Data Explorer叢集以使用客戶管理的金鑰,並指定要與叢集建立關聯的金鑰。

  1. Azure 入口網站中,移至您的 Azure Data Explorer叢集資源。

  2. 選取入口網站左窗格中的 [設定>加密]。

  3. 在 [加密]窗格中,針對[客戶管理的金鑰] 設定選取 [開啟]。

  4. 選取 [選取金鑰]。

    顯示設定客戶管理金鑰的螢幕擷取畫面。

  5. 在 [從 Azure 選取金鑰] 金鑰保存庫視窗中,從下拉式清單中選取現有的金鑰保存庫。 如果您選取 [新建] 以建立新的金鑰保存庫,系統會將您路由傳送至 [建立金鑰保存庫] 畫面。

  6. 選取 [金鑰]。

  7. 版本:

    • 若要確保此金鑰一律使用最新的金鑰版本,請選取 [ 一律使用目前的金鑰版本 ] 核取方塊。
    • 否則,請選取 [ 版本]。
  8. 選取 [選取]。

    顯示從 Azure 金鑰保存庫選取金鑰的螢幕擷取畫面。

  9. [身分識別類型] 底下,選取 [系統指派 ] 或 [ 使用者指派]。

  10. 如果您選取 [ 使用者指派],請從下拉式清單中挑選使用者指派的身分識別。

    顯示選取受控識別類型選項的螢幕擷取畫面。

  11. 在現在包含金鑰的 [加密 ] 窗格中,選取 [ 儲存]。 當 CMK 建立成功時,您會在 [通知] 中看到成功訊息。

    顯示儲存客戶管理金鑰選項的螢幕擷取畫面。

如果您在為 Azure Data Explorer叢集啟用客戶管理的金鑰時選取系統指派的身分識別,如果叢集不存在,您將會為叢集建立系統指派的身分識別。 此外,您會在選取的金鑰保存庫上,將必要的 get、wrapKey 和 unwrapKey 許可權提供給 Azure Data Explorer 叢集,並取得金鑰保存庫屬性。

注意

選取 [關閉 ] 以在建立客戶管理的金鑰之後移除。

更新金鑰版本

當您建立新版本的金鑰時,您必須更新叢集以使用新版本。 首先,呼叫 Get-AzKeyVaultKey 以取得最新版的金鑰。 然後更新叢集的金鑰保存庫屬性,以使用新版本的金鑰,如 使用客戶管理的金鑰啟用加密中所示。