在 Azure 數據總管中為您的叢集啟用雙重加密

當您建立叢集時，數據會自動 在服務層級加密 。 為了獲得更高的數據安全性，您可以另外啟用 雙重加密。

啟用雙重加密時，記憶體帳戶中的數據會使用兩種不同的演算法來加密兩次。

這很重要

• 只有在叢集建立期間才能啟用雙重加密。
• 在叢集上啟用基礎結構加密之後，您無法將其停用。

Azure 入口網站

1. 建立 Azure 數據總管叢集

2. 在 [安全性] 索引標籤 >啟用雙重加密] 中，選取 [開啟]。 若要移除雙重加密，請選取 [ 關閉]。

3. 選取 [下一步：網络>] 或 [檢閱 + 建立] 以建立叢集。

   

C#

您可以使用 C# 在叢集建立期間啟用基礎結構加密。

先決條件

使用 Azure 資料總管 C# 用戶端設定受控識別：

• 安裝 Azure 資料總管 NuGet 套件。
• 安裝 Microsoft.Identity.Client NuGet 套件 以進行驗證。
• 安裝 Microsoft.Rest.ClientRuntime NuGet 套件 以進行驗證。
• 建立可存取資源的 Azure Active Directory 應用程式和服務主體。 您在訂閱範圍內新增角色指派，並取得必要的 Directory (tenant) ID、Application ID 和 Client Secret。

建立叢集

1. 透過enableDoubleEncryption屬性建立叢集：

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; //Application ID
   var clientSecret = "PlaceholderClientSecret"; //Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   
   var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
       .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
       .WithClientSecret(clientSecret)
       .Build();
   var result = authClient.AcquireTokenForClient(new[] { "https://management.core.windows.net/" }).ExecuteAsync().Result;
   var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
   var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
   
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var clusterData = new Cluster(
       location: "East US",
       sku: new AzureSku("Standard_E8ads_v5", "Standard", 5),
       enableDoubleEncryption: true
   );
   
   await kustoManagementClient.Clusters.CreateOrUpdateAsync(resourceGroupName, clusterName, clusterData);
   

2. 執行下列命令來檢查叢集是否已成功建立：

   clusterData = await kustoManagementClient.Clusters.GetAsync(resourceGroupName, clusterName);
   

   如果結果包含 ProvisioningState 和 Succeeded 值，則叢集已成功建立。

ARM 範本

您可以使用 Azure Resource Manager 在叢集建立期間啟用基礎結構加密。

您可以使用 Azure Resource Manager 範本來將 Azure 資源的部署自動化。 若要深入瞭解如何部署至 Azure 數據總管，請參閱 使用 Azure Resource Manager 範本建立 Azure 數據總管叢集和資料庫。

使用 Azure Resource Manager 樣本新增系統指派的身分識別

新增 'EnableDoubleEncryption' 類型，以告訴 Azure 為您的叢集啟用基礎結構加密（雙重加密）。

{
    "apiVersion": "2020-06-14",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "properties": {
        "trustedExternalTenants": [],
        "virtualNetworkConfiguration": null,
        "optimizedAutoscale": null,
        "enableDiskEncryption": false,
        "enableStreamingIngest": false,
        "enableDoubleEncryption": true,
    }
}

局限性

下列限制適用於 所選磁碟區的加密：

• 效能影響可達個位數百分比
• 無法與沙箱搭配使用

後續步驟

• 啟用叢集的磁碟加密
• 檢查叢集健康情況