Konfigurieren der Datenverschlüsselung
GILT FÜR: 
Azure Database for PostgreSQL – Flexibler Server
Dieser Artikel enthält ausführliche Anleitungen zum Konfigurieren der Datenverschlüsselung für Azure Database for PostgreSQL – Flexible Server.
Wichtig
Die Auswahl des systemseitig oder kundenseitig verwalteten Verschlüsselungsschlüssels für die Datenverschlüsselung von Azure Database for PostgreSQL – Flexible Server kann nur erfolgen, wenn der Server bereitgestellt wird.
In diesem Artikel erfahren Sie, wie Sie einen neuen Server erstellen und seine Datenverschlüsselungsoptionen konfigurieren. Für vorhandene Server, deren Datenverschlüsselung für die Verwendung des kundenseitig verwalteten Verschlüsselungsschlüssels konfiguriert ist, lernen Sie Folgendes:
- Wie Sie eine andere benutzerseitig zugewiesene verwaltete Identität auswählen, mit der der Dienst auf den Verschlüsselungsschlüssel zugreift
- Wie Sie einen anderen Verschlüsselungsschlüssel angeben oder den Verschlüsselungsschlüssel rotieren, der zurzeit für die Datenverschlüsselung verwendet wird
Informationen zur Datenverschlüsselung im Kontext von Azure Database for PostgreSQL – Flexible Server finden Sie unter Datenverschlüsselung.
Konfigurieren der Datenverschlüsselung mit systemseitig verwaltetem Schlüssel während der Serverbereitstellung
Verwenden des Azure-Portals:
Während der Bereitstellung einer neuen Instanz von Azure Database for PostgreSQL – Flexible Server auf der Registerkarte Sicherheit:
Wählen Sie unter Datenverschlüsselungsschlüssel das Optionsfeld Durch den Dienst verwalteter Schlüssel aus.
Wenn Sie den georedundanten Sicherungsspeicher zusammen mit dem Server bereitstellen, ändert sich der Aufbau der Registerkarte Sicherheit geringfügig, da der Server zwei separate Verschlüsselungsschlüssel verwendet: einen für die primäre Region, in der Sie Ihren Server bereitstellen, und einen für die gekoppelte Region, in die die Serversicherungen asynchron repliziert werden.
Konfigurieren der Datenverschlüsselung mit kundenseitig verwaltetem Schlüssel während der Serverbereitstellung
Verwenden des Azure-Portals:
Erstellen Sie eine benutzerseitig zugewiesene verwaltete Identität, falls noch keine vorhanden ist. Wenn georedundante Sicherungen auf Ihrem Server aktiviert ist, müssen Sie unterschiedliche Identitäten erstellen. Jede dieser Identitäten wird verwendet, um auf jeden der beiden Datenverschlüsselungsschlüssel zuzugreifen.
Hinweis
Obwohl es nicht erforderlich ist, empfehlen wir, die benutzerseitig verwaltete Identität in derselben Region wie Ihr Server zu erstellen, um regionale Resilienz aufrechtzuerhalten. Wenn Geosicherungsredundanz auf Ihrem Server aktiviert ist, empfehlen wir, dass die zweite benutzerseitig verwaltete Identität, die für den Zugriff auf den Datenverschlüsselungsschlüssel für georedundante Sicherungen verwendet wird, in der gekoppelten Region des Servers erstellt wird.
Erstellen sie eine Azure Key Vault-Instanz oder ein verwaltetes HSM, wenn Sie noch keinen Schlüsselspeicher erstellt haben. Stellen Sie sicher, dass Sie die Anforderungen erfüllen. Folgen Sie außerdem den Empfehlungen, bevor Sie den Schlüsselspeicher konfigurieren, den Schlüssel erstellen und die erforderlichen Berechtigungen der benutzerseitig zugewiesenen verwalteten Identität zuweisen. Wenn georedundante Sicherungen auf Ihrem Server aktiviert ist, müssen Sie einen zweiten Schlüsselspeicher erstellen. Dieser zweite Schlüsselspeicher wird verwendet, um den Datenverschlüsselungsschlüssel aufzubewahren, mit dem Ihre Sicherungen in die gekoppelten Region des Servers kopiert werden.
Hinweis
Der Schlüsselspeicher, der verwendet wird, um den Datenverschlüsselungsschlüssel aufzubewahren, muss in derselben Region wie Ihr Server bereitgestellt werden. Wenn Geosicherungsredundanz auf Ihrem Server aktiviert ist, muss der Schlüsselspeicher, der den Datenverschlüsselungsschlüssel für georedundante Sicherungen aufbewahrt, in der gekoppelten Region des Servers erstellt werden.
Erstellen Sie einen Schlüssel in Ihrem Schlüsselspeicher. Wenn georedundante Sicherungen auf Ihrem Server aktiviert sind, benötigen Sie einen Schlüssel in jedem der Schlüsselspeicher. Mit einem dieser Schlüssel werden alle Daten Ihres Servers verschlüsselt (einschließlich aller System- und Benutzerdatenbanken, temporären Dateien, Serverprotokolle, Write-Ahead-Protokollsegmenten und Sicherungen). Mit dem zweiten Schlüssel wird die Kopien der Sicherungen verschlüsselt, die asynchron über die gekoppelte Region Ihres Servers kopiert werden.
Während der Bereitstellung einer neuen Instanz von Azure Database for PostgreSQL – Flexible Server auf der Registerkarte Sicherheit:
Wählen Sie unter Datenverschlüsselungsschlüssel das Optionsfeld Durch den Dienst verwalteter Schlüssel aus.
Wenn Sie den georedundanten Sicherungsspeicher zusammen mit dem Server bereitstellen, ändert sich der Aufbau der Registerkarte Sicherheit geringfügig, da der Server zwei separate Verschlüsselungsschlüssel verwendet: einen für die primäre Region, in der Sie Ihren Server bereitstellen, und einen für die gekoppelte Region, in die die Serversicherungen asynchron repliziert werden.
Wählen Sie unter Benutzerseitig zugewiesene verwaltete Identität die Option Identität ändern aus.
Wählen Sie aus der Liste der benutzerseitig zugewiesenen verwalteten Identitäten den Server aus, der für den Zugriff auf den in Azure Key Vault gespeicherten Datenverschlüsselungsschlüssel verwendet werden soll.
Wählen Sie Hinzufügen.
Wählen Sie Schlüssel auswählen aus.
Abonnement wird automatisch mit dem Namen des Abonnements ausgefüllt, in dem Ihr Server erstellt werden soll. Der Schlüsselspeicher, der den Datenverschlüsselungsschlüssel aufbewahrt, muss im selben Abonnement wie der Server vorhanden sein.
Wählen Sie unter Schlüsselspeichertyp das Optionsfeld aus, das dem Typ des Schlüsselspeichers entspricht, in dem Sie den Datenverschlüsselungsschlüssel speichern möchten. In diesem Beispiel wählen wir Schlüsseltresor aus, aber der Ablauf ist ähnlich, wenn Sie Verwaltetes HSM auswählen.
Erweitern Sie Schlüsseltresor (oder Verwaltetes HSM, wenn Sie diesen Speichertyp ausgewählt haben), und wählen Sie die Instanz aus, in der der Datenverschlüsselungsschlüssel vorhanden ist.
Hinweis
Wenn Sie das Dropdownfeld erweitern, wird Keine Elemente verfügbar angezeigt. Es dauert ein paar Sekunden, bis alle Instanzen des Schlüsseltresors aufgelistet werden, die in derselben Region wie der Server bereitgestellt wurden.
Erweitern Sie Schlüssel, und wählen Sie den Namen des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.
Erweitern Sie Version, und wählen Sie den Bezeichner der Version des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.
Wählen Sie Auswählen.
Konfigurieren Sie alle anderen Einstellungen des neuen Servers, und wählen Sie Überprüfen und erstellen aus.
Konfigurieren der Datenverschlüsselung mit kundenseitig verwaltetem Schlüssel auf vorhandenen Servern
Der einzige Punkt, an dem Sie entscheiden können, ob Sie einen systemseitig oder kundenseitig verwalteten Schlüssel für die Datenverschlüsselung verwenden möchten, ist bei der Servererstellung. Nachdem Sie diese Entscheidung getroffen und den Server erstellt haben, können Sie nicht zwischen den beiden Optionen wechseln. Die einzige Alternative, wenn Sie von einer Option zur anderen wechseln möchten, ist die Wiederherstellung einer der verfügbar Sicherungen des Servers auf einem neuen Server. Beim Konfigurieren der Wiederherstellung können Sie die Datenverschlüsselungskonfiguration des neuen Servers ändern.
Für vorhandene Server, die mit Datenverschlüsselung mit einem kundenseitig verwalteten Schlüssel bereitgestellt wurden, können Sie mehrere Konfigurationsänderungen vornehmen. Was geändert werden kann, sind die Verweise auf die Schlüssel, die für die Verschlüsselung verwendet werden, und Verweise auf benutzerseitig zugewiesenen verwalteten Identitäten, die vom Dienst für den Zugriff auf die in den Schlüsselspeichern gespeicherten Schlüssel verwendet werden.
Sie müssen Verweise aktualisieren, die in Azure Database for PostgreSQL – Flexible Server für einen Schlüssel vorhanden sind:
- Wenn der im Schlüsselspeicher gespeicherte Schlüssel entweder manuell oder automatisch rotiert wird
- Wenn Sie denselben oder einen anderen Schlüssel verwenden möchten, der in einem anderen Schlüsselspeicher gespeichert ist
Sie müssen die benutzerseitig zugewiesenen verwalteten Identitäten aktualisieren, die von Azure Database for PostgreSQL – Flexible Server für den Zugriff auf die Verschlüsselungsschlüssel verwendet werden:
- Wann immer Sie eine andere Identität verwenden möchten
Verwenden des Azure-Portals:
Wählen Sie Ihren flexiblen Azure Database for PostgreSQL-Server aus.
Wählen Sie im Ressourcenmenü unter dem Abschnitt Sicherheit die Option Datenverschlüsselung aus.
Um die benutzerseitig zugewiesene verwaltete Identität zu ändern, mit der der Server auf den Schlüsselspeicher zugreift, in dem der Schlüssel aufbewahrt wird, erweitern Sie die Dropdownliste Benutzerseitig zugewiesene verwaltete Identität, und wählen Sie eine der verfügbaren Identitäten aus.
Hinweis
Identitäten, die im Kombinationsfeld angezeigt werden, sind nur diejenigen, denen Azure Database for PostgreSQL – Flexible Server zugewiesen wurde. Obwohl es nicht erforderlich ist, empfehlen wir, die benutzerseitig verwalteten Identitäten in derselben Region wie Ihr Server auszuwählen, um regionale Resilienz aufrechtzuerhalten. Wenn Geosicherungsredundanz auf Ihrem Server aktiviert ist, empfehlen wir, dass die zweite benutzerseitig verwaltete Identität, die für den Zugriff auf den Datenverschlüsselungsschlüssel für georedundante Sicherungen verwendet wird, in der gekoppelten Region des Servers vorhanden ist.
Wenn die benutzerseitig zugewiesene verwaltete Identität, die Sie für den Zugriff auf den Datenverschlüsselungsschlüssel verwenden möchten, Azure Database for PostgreSQL – Flexible Server nicht zugewiesen ist und nicht einmal als Azure-Ressource mit dem entsprechenden Objekt in Microsoft Entra ID vorhanden ist, können Sie sie erstellen, indem Sie Erstellen auswählen.
Füllen Sie im Panel Benutzerseitig zugewiesene verwaltete Identität erstellen die Details der benutzerseitig zugewiesenen verwalteten Identität aus, die Sie erstellen möchten, und weisen Sie sie Azure Database for PostgreSQL – Flexible Server automatisch zu, um auf den Datenverschlüsselungsschlüssel zuzugreifen.
Wenn die benutzerseitig zugewiesene verwaltete Identität, die Sie für den Zugriff auf den Datenverschlüsselungsschlüssel verwenden möchten, Azure Database for PostgreSQL – Flexible Server nicht zugewiesen ist, aber als Azure-Ressource mit dem entsprechenden Objekt in Microsoft Entra ID vorhanden ist, können Sie sie zuweisen, indem Sie Auswählen auswählen.
Wählen Sie aus der Liste der benutzerseitig zugewiesenen verwalteten Identitäten den Server aus, der für den Zugriff auf den in Azure Key Vault gespeicherten Datenverschlüsselungsschlüssel verwendet werden soll.
Wählen Sie Hinzufügen.
Wenn Sie den Schlüssel rotieren oder einen anderen Schlüssel verwenden möchten, müssen Sie Azure Database for PostgreSQL – Flexible Server aktualisieren, damit auf die neue Schlüsselversion oder den neuen Schlüssel verwiesen wird. Hierfür können Sie den Ressourcenbezeichner des Schlüssels kopieren und in das Feld Schlüsselbezeichner einfügen.
Wenn der Benutzer, der auf das Azure-Portal zugreift, über Berechtigungen für den Zugriff auf den im Schlüsselspeicher gespeicherten Schlüssel verfügt, können Sie einen alternativen Ansatz verwenden, um den neuen Schlüssel oder die neue Schlüsselversion auszuwählen. Wählen Sie hierfür unter Schlüsselauswahlmethode das Optionsfeld Schlüssel auswählen aus.
Wählen Sie Schlüssel auswählen aus.
Abonnement wird automatisch mit dem Namen des Abonnements ausgefüllt, in dem Ihr Server erstellt werden soll. Der Schlüsselspeicher, der den Datenverschlüsselungsschlüssel aufbewahrt, muss im selben Abonnement wie der Server vorhanden sein.
Wählen Sie unter Schlüsselspeichertyp das Optionsfeld aus, das dem Typ des Schlüsselspeichers entspricht, in dem Sie den Datenverschlüsselungsschlüssel speichern möchten. In diesem Beispiel wählen wir Schlüsseltresor aus, aber der Ablauf ist ähnlich, wenn Sie Verwaltetes HSM auswählen.
Erweitern Sie Schlüsseltresor (oder Verwaltetes HSM, wenn Sie diesen Speichertyp ausgewählt haben), und wählen Sie die Instanz aus, in der der Datenverschlüsselungsschlüssel vorhanden ist.
Hinweis
Wenn Sie das Dropdownfeld erweitern, wird Keine Elemente verfügbar angezeigt. Es dauert ein paar Sekunden, bis alle Instanzen des Schlüsseltresors aufgelistet werden, die in derselben Region wie der Server bereitgestellt wurden.
Erweitern Sie Schlüssel, und wählen Sie den Namen des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.
Erweitern Sie Version, und wählen Sie den Bezeichner der Version des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.
Wählen Sie Auswählen.
Sobald Sie mit den vorgenommenen Änderungen zufrieden sind, wählen Sie Speichern aus.
