Konfigurace šifrování dat
PLATÍ PRO: 
Flexibilní server Azure Database for PostgreSQL
Tento článek obsahuje podrobné pokyny ke konfiguraci šifrování dat pro flexibilní server Azure Database for PostgreSQL.
Důležité
Výběr šifrovacího klíče spravovaného systémem nebo zákazníkem pro šifrování dat flexibilního serveru Azure Database for PostgreSQL je možné provést pouze při nasazení serveru.
V tomto článku se dozvíte, jak vytvořit nový server a nakonfigurovat jeho možnosti šifrování dat. Pro stávající servery, jejichž šifrování dat je nakonfigurované pro použití šifrovacího klíče spravovaného zákazníkem, se naučíte:
- Jak vybrat jinou spravovanou identitu přiřazenou uživatelem, se kterou služba přistupuje k šifrovacímu klíči.
- Určení jiného šifrovacího klíče nebo otočení šifrovacího klíče, který se aktuálně používá pro šifrování dat
Další informace o šifrování dat v kontextu flexibilního serveru Azure Database for PostgreSQL najdete v tématu Šifrování dat.
Konfigurace šifrování dat pomocí klíče spravovaného systémem během zřizování serveru
Pomocí webu Azure Portal:
Během zřizování nové instance flexibilního serveru Azure Database for PostgreSQL na kartě Zabezpečení
V šifrovacím klíči dat vyberte přepínač Klíč spravovaný službou.
Pokud povolíte zřízení geograficky redundantního úložiště zálohování společně se serverem, změní se aspekt karty Zabezpečení mírně, protože server používá dva samostatné šifrovací klíče. Jedna pro primární oblast, ve které nasazujete server, a jednu pro spárovanou oblast, do které se zálohy serveru asynchronně replikují.
Konfigurace šifrování dat pomocí klíče spravovaného zákazníkem během zřizování serveru
Pomocí webu Azure Portal:
Vytvořte jednu spravovanou identitu přiřazenou uživatelem, pokud ji ještě nemáte. Pokud má váš server povolené geograficky redundantní zálohy, musíte vytvořit různé identity. Každá z těchto identit se používá pro přístup ke každému ze dvou šifrovacích klíčů dat.
Poznámka:
I když to není nutné, abyste zachovali regionální odolnost, doporučujeme vytvořit identitu spravovanou uživatelem ve stejné oblasti jako váš server. A pokud má váš server povolenou redundanci geografického zálohování, doporučujeme, aby se ve spárované oblasti serveru vytvořila druhá identita spravovaná uživatelem, která se používá pro přístup k šifrovacímu klíči dat pro geograficky redundantní zálohy.
Vytvořte jednu službu Azure Key Vault nebo vytvořte jeden spravovaný HSM, pokud ještě nemáte vytvořené úložiště klíčů. Ujistěte se, že splňujete požadavky. Před konfigurací úložiště klíčů a před vytvořením klíče a přiřazením požadovaných oprávnění spravované identitě přiřazené uživatelem také postupujte podle doporučení . Pokud má váš server povolené geograficky redundantní zálohy, musíte vytvořit druhé úložiště klíčů. Druhé úložiště klíčů slouží k zachování šifrovacího klíče dat, pomocí kterého jsou vaše zálohy zkopírovány do spárované oblasti serveru zašifrované.
Poznámka:
Úložiště klíčů použité k zachování šifrovacího klíče dat musí být nasazené ve stejné oblasti jako váš server. Pokud má váš server povolenou redundanci geografického zálohování, úložiště klíčů, které uchovává šifrovací klíč dat pro geograficky redundantní zálohy, se musí vytvořit ve spárované oblasti serveru.
Vytvořte v úložišti klíčů jeden klíč. Pokud má váš server povolené geograficky redundantní zálohy, potřebujete na každém úložišti klíčů jeden klíč. Pomocí jednoho z těchto klíčů zašifrujeme všechna data vašeho serveru (včetně všech systémových a uživatelských databází, dočasných souborů, protokolů serveru, segmentů protokolů pro zápis a záloh). Pomocí druhého klíče zašifrujeme kopie záloh, které se asynchronně kopírují přes spárovanou oblast vašeho serveru.
Během zřizování nové instance flexibilního serveru Azure Database for PostgreSQL na kartě Zabezpečení
V šifrovacím klíči dat vyberte přepínač Klíč spravovaný službou.
Pokud povolíte zřízení geograficky redundantního úložiště zálohování společně se serverem, změní se aspekt karty Zabezpečení mírně, protože server používá dva samostatné šifrovací klíče. Jedna pro primární oblast, ve které nasazujete server, a jednu pro spárovanou oblast, do které se zálohy serveru asynchronně replikují.
Ve spravované identitě přiřazené uživatelem vyberte Změnit identitu.
V seznamu spravovaných identit přiřazených uživatelem vyberte ten, který má váš server použít pro přístup k šifrovacímu klíči dat uloženému ve službě Azure Key Vault.
Vyberte Přidat.
Vyberte klávesu.
Předplatné se automaticky vyplní názvem předplatného, na kterém se má váš server vytvořit. Úložiště klíčů, které uchovává šifrovací klíč dat, musí existovat ve stejném předplatném jako server.
V části Typ úložiště klíčů vyberte přepínač odpovídající typu úložiště klíčů, do kterého chcete šifrovací klíč dat uložit. V tomto příkladu zvolíme trezor klíčů, ale prostředí je podobné, pokud zvolíte Managed HSM.
Rozbalte trezor klíčů (nebo spravovaný HSM, pokud jste vybrali tento typ úložiště) a vyberte instanci, ve které existuje šifrovací klíč dat.
Poznámka:
Když rozbalíte rozevírací seznam, zobrazí se žádné dostupné položky. Trvá několik sekund, než vypíše všechny instance trezoru klíčů, které jsou nasazené ve stejné oblasti jako server.
Rozbalte klíč a vyberte název klíče, který chcete použít pro šifrování dat.
Rozbalte položku Verze a vyberte identifikátor verze klíče, který chcete použít pro šifrování dat.
Zvolte Zvolit.
Nakonfigurujte všechna ostatní nastavení nového serveru a vyberte Zkontrolovat a vytvořit.
Konfigurace šifrování dat pomocí klíče spravovaného zákazníkem na existujících serverech
Jediným bodem, ve kterém se můžete rozhodnout, jestli chcete k šifrování dat použít systémový spravovaný klíč nebo klíč spravovaný zákazníkem, je vytvoření serveru. Jakmile provedete toto rozhodnutí a vytvoříte server, nemůžete mezi těmito dvěma možnostmi přepínat. Jedinou alternativou, pokud chcete přejít z jedné na druhou, je nutné obnovit všechny zálohy, které jsou k dispozici na nový server. Při konfiguraci obnovení můžete změnit konfiguraci šifrování dat nového serveru.
U stávajících serverů nasazených s šifrováním dat pomocí klíče spravovaného zákazníkem můžete provést několik změn konfigurace. Věci, které je možné změnit, jsou odkazy na klíče používané k šifrování a odkazy na spravované identity přiřazené uživatelem, které služba používá pro přístup ke klíčům uloženým v úložištích klíčů.
Musíte aktualizovat odkazy, které má flexibilní server Azure Database for PostgreSQL na klíč:
- Když se klíč uložený v úložišti klíčů otočí ručně nebo automaticky.
- Pokud chcete použít stejný nebo jiný klíč uložený v jiném úložišti klíčů.
Pro přístup k šifrovacím klíčům musíte aktualizovat spravované identity přiřazené uživatelem, které používá flexibilní server Azure Database for PostgreSQL:
- Vždy, když chcete použít jinou identitu
Pomocí webu Azure Portal:
Vyberte flexibilní server Azure Database for PostgreSQL.
V nabídce prostředků v části Zabezpečení vyberte Šifrování dat.
Pokud chcete změnit spravovanou identitu přiřazenou uživatelem, se kterou server přistupuje k úložišti klíčů, ve kterém se klíč uchovává, rozbalte rozevírací seznam Spravovaná identita přiřazená uživatelem a vyberte některou z dostupných identit.
Poznámka:
Identity zobrazené v poli se seznamem jsou jenom ty, které jste přiřadili flexibilnímu serveru Azure Database for PostgreSQL. I když to není nutné, abyste zachovali regionální odolnost, doporučujeme vybrat identity spravované uživatelem ve stejné oblasti jako váš server. A pokud má váš server povolenou redundanci geografického zálohování, doporučujeme, aby ve spárované oblasti serveru existovala druhá identita spravovaná uživatelem, která se používá pro přístup k šifrovacímu klíči dat pro geograficky redundantní zálohy.
Pokud spravovaná identita přiřazená uživatelem, kterou chcete použít pro přístup k šifrovacímu klíči dat, není přiřazená k flexibilnímu serveru Azure Database for PostgreSQL a neexistuje ani jako prostředek Azure s odpovídajícím objektem v Microsoft Entra ID, můžete ho vytvořit výběrem možnosti Vytvořit.
Na panelu Vytvořit spravovanou identitu přiřazenou uživatelem vyplňte podrobnosti o spravované identitě přiřazené uživatelem, kterou chcete vytvořit, a automaticky přiřaďte flexibilnímu serveru Azure Database for PostgreSQL pro přístup k šifrovacímu klíči dat.
Pokud spravovaná identita přiřazená uživatelem, kterou chcete použít pro přístup k šifrovacímu klíči dat, není přiřazená k flexibilnímu serveru Azure Database for PostgreSQL, ale existuje jako prostředek Azure s odpovídajícím objektem v ID Microsoft Entra, můžete ji přiřadit výběrem možnosti Vybrat.
V seznamu spravovaných identit přiřazených uživatelem vyberte ten, který má váš server použít pro přístup k šifrovacímu klíči dat uloženému ve službě Azure Key Vault.
Vyberte Přidat.
Pokud klíč otočíte nebo chcete použít jiný klíč, musíte flexibilní server Azure Database for PostgreSQL aktualizovat tak, aby odkazovat na novou verzi klíče nebo nový klíč. Uděláte to tak, že zkopírujete identifikátor prostředku klíče a vložíte ho do pole Identifikátor klíče.
Pokud má uživatel, který přistupuje k webu Azure Portal, oprávnění pro přístup ke klíči uloženému v úložišti klíčů, můžete použít alternativní přístup k výběru nového klíče nebo nové verze klíče. Uděláte to tak, že v metodě výběru klíče vyberete přepínač Vybrat klíč.
Vyberte klávesu Vybrat.
Předplatné se automaticky vyplní názvem předplatného, na kterém se má váš server vytvořit. Úložiště klíčů, které uchovává šifrovací klíč dat, musí existovat ve stejném předplatném jako server.
V části Typ úložiště klíčů vyberte přepínač odpovídající typu úložiště klíčů, do kterého chcete šifrovací klíč dat uložit. V tomto příkladu zvolíme trezor klíčů, ale prostředí je podobné, pokud zvolíte Managed HSM.
Rozbalte trezor klíčů (nebo spravovaný HSM, pokud jste vybrali tento typ úložiště) a vyberte instanci, ve které existuje šifrovací klíč dat.
Poznámka:
Když rozbalíte rozevírací seznam, zobrazí se žádné dostupné položky. Trvá několik sekund, než vypíše všechny instance trezoru klíčů, které jsou nasazené ve stejné oblasti jako server.
Rozbalte klíč a vyberte název klíče, který chcete použít pro šifrování dat.
Rozbalte položku Verze a vyberte identifikátor verze klíče, který chcete použít pro šifrování dat.
Zvolte Zvolit.
Jakmile budete spokojeni s provedenými změnami, vyberte Uložit.
