Konfigurowanie kluczy zarządzanych przez klienta między dzierżawami dla nowego konta magazynu

Usługa Azure Storage szyfruje wszystkie dane na koncie magazynu magazynowanych. Domyślnie dane są szyfrowane przy użyciu kluczy zarządzanych przez firmę Microsoft. Aby uzyskać dodatkową kontrolę nad kluczami szyfrowania, możesz zarządzać własnymi kluczami. Klucze zarządzane przez klienta muszą być przechowywane w usłudze Azure Key Vault lub w zarządzanym modelu zabezpieczeń sprzętu (HSM) usługi Azure Key Vault.

W tym artykule pokazano, jak skonfigurować szyfrowanie przy użyciu kluczy zarządzanych przez klienta podczas tworzenia nowego konta magazynu. W scenariuszu między dzierżawami konto magazynu znajduje się w dzierżawie zarządzanej przez niezależnego dostawcę oprogramowania, podczas gdy klucz używany do szyfrowania tego konta magazynu znajduje się w magazynie kluczy w dzierżawie zarządzanej przez klienta.

Aby dowiedzieć się, jak skonfigurować klucze zarządzane przez klienta dla istniejącego konta magazynu, zobacz Konfigurowanie kluczy zarządzanych przez klienta między dzierżawami dla istniejącego konta magazynu.

Uwaga

Usługa Azure Key Vault i zarządzany moduł HSM usługi Azure Key Vault obsługują te same interfejsy API i interfejsy zarządzania na potrzeby konfiguracji kluczy zarządzanych przez klienta. Każda akcja obsługiwana w usłudze Azure Key Vault jest również obsługiwana w przypadku zarządzanego modułu HSM usługi Azure Key Vault.

Informacje o kluczach zarządzanych przez klienta między dzierżawami

Wielu dostawców usług tworzących oferty oprogramowania jako usługi (SaaS) na platformie Azure chce zaoferować swoim klientom możliwość zarządzania własnymi kluczami szyfrowania. Klucze zarządzane przez klienta umożliwiają dostawcy usług szyfrowanie danych klienta przy użyciu klucza szyfrowania zarządzanego przez klienta dostawcy usług i nie jest dostępne dla dostawcy usług. Na platformie Azure klient dostawcy usług może używać usługi Azure Key Vault do zarządzania kluczami szyfrowania we własnej dzierżawie i subskrypcji firmy Microsoft Entra.

Usługi i zasoby platformy Azure należące do dostawcy usług, które znajdują się w dzierżawie dostawcy usług, wymagają dostępu do klucza z dzierżawy klienta w celu wykonania operacji szyfrowania/odszyfrowywania.

Na poniższej ilustracji przedstawiono szyfrowanie danych magazynowane przy użyciu tożsamości federacyjnej w przepływie pracy cmK między dzierżawami obejmującym dostawcę usług i jego klienta.

W powyższym przykładzie istnieją dwie dzierżawy firmy Microsoft Entra: dzierżawa niezależnego dostawcy usług (dzierżawa 1) i dzierżawa klienta (dzierżawa 2). Dzierżawa 1 hostuje usługi platformy Azure i dzierżawę 2 hostuje magazyn kluczy klienta.

Rejestracja aplikacji wielodostępnej jest tworzona przez dostawcę usług w dzierżawie 1. W tej aplikacji jest tworzone poświadczenie tożsamości federacyjnej przy użyciu tożsamości zarządzanej przypisanej przez użytkownika. Następnie nazwa i identyfikator aplikacji aplikacji są udostępniane klientowi.

Użytkownik z odpowiednimi uprawnieniami instaluje aplikację dostawcy usług w dzierżawie klienta Dzierżawa 2. Następnie użytkownik udziela jednostce usługi skojarzonej z zainstalowanym dostępem aplikacji do magazynu kluczy klienta. Klient przechowuje również klucz szyfrowania lub klucz zarządzany przez klienta w magazynie kluczy. Klient udostępnia lokalizację klucza (adres URL klucza) dostawcy usług.

Dostawca usług ma teraz następujące jednostki:

• Identyfikator aplikacji dla aplikacji wielodostępnej zainstalowanej w dzierżawie klienta, której udzielono dostępu do klucza zarządzanego przez klienta.
• Tożsamość zarządzana skonfigurowana jako poświadczenie w aplikacji wielodostępnej.
• Lokalizacja klucza w magazynie kluczy klienta.

Dzięki tym trzem parametrom dostawca usług aprowizuje zasoby platformy Azure w dzierżawie 1 , które mogą być szyfrowane przy użyciu klucza zarządzanego przez klienta w dzierżawie 2.

Podzielmy powyższe kompleksowe rozwiązanie na trzy fazy:

1. Dostawca usług konfiguruje tożsamości.
2. Klient udziela wielodostępnego dostępu dostawcy usług do klucza szyfrowania w usłudze Azure Key Vault.
3. Dostawca usług szyfruje dane w zasobie platformy Azure przy użyciu klucza zarządzanego przez klienta.

Operacje w fazie 1 byłyby jednorazową konfiguracją dla większości aplikacji dostawcy usług. Operacje w fazach 2 i 3 będą powtarzane dla każdego klienta.

Faza 1 — dostawca usług konfiguruje aplikację firmy Microsoft Entra

Krok	opis	Minimalna rola w kontroli dostępu opartej na rolach platformy Azure	Minimalna rola w usłudze Microsoft Entra RBAC
1.	Utwórz nową wielodostępną rejestrację aplikacji firmy Microsoft Entra lub rozpocznij od istniejącej rejestracji aplikacji. Zanotuj identyfikator aplikacji (identyfikator klienta) rejestracji aplikacji przy użyciu witryny Azure Portal, interfejsu API programu Microsoft Graph, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure	Brak	Deweloper aplikacji
2.	Utwórz tożsamość zarządzaną przypisaną przez użytkownika (do użycia jako poświadczenia tożsamości federacyjnej). Szablony usługi Azure Resource Manager w interfejsie wiersza polecenia platformy Azure w witrynie / Azure Portal / /	Współautor tożsamości zarządzanej	Brak
3.	Skonfiguruj tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia tożsamości federacyjnej w aplikacji, aby mogła personifikować tożsamość aplikacji. Dokumentacja/ interfejsu API programu Graph w witrynie Azure Portal/ — interfejs wiersza polecenia/ platformy Azure w programie Azure PowerShell	Brak	Właściciel aplikacji
4.	Udostępnij nazwę aplikacji i identyfikator aplikacji klientowi, aby móc zainstalować i autoryzować aplikację.	Brak	Brak

Zagadnienia dotyczące dostawców usług

• Szablony usługi Azure Resource Manager (ARM) nie są zalecane do tworzenia aplikacji firmy Microsoft Entra.
• Tej samej aplikacji wielodostępnej można używać do uzyskiwania dostępu do kluczy w dowolnej liczbie dzierżaw, takich jak Dzierżawa 2, Dzierżawa 3, Dzierżawa 4 itd. W każdej dzierżawie tworzone jest niezależne wystąpienie aplikacji, które ma ten sam identyfikator aplikacji, ale inny identyfikator obiektu. Każde wystąpienie tej aplikacji jest autoryzowane niezależnie. Rozważ sposób użycia obiektu aplikacji dla tej funkcji do partycjonowania aplikacji dla wszystkich klientów.
  • Aplikacja może mieć maksymalnie 20 poświadczeń tożsamości federacyjnej, co wymaga od dostawcy usług udostępniania tożsamości federacyjnych wśród klientów. Aby uzyskać więcej informacji na temat zagadnień i ograniczeń dotyczących projektowania tożsamości federacyjnych, zobacz Konfigurowanie aplikacji pod kątem zaufania zewnętrznemu dostawcy tożsamości
• W rzadkich scenariuszach dostawca usług może używać pojedynczego obiektu aplikacji dla klienta, ale wymaga to znacznych kosztów konserwacji w celu zarządzania aplikacjami na dużą skalę we wszystkich klientach.
• W dzierżawie dostawcy usług nie można zautomatyzować weryfikacji wydawcy.

Faza 2 — klient autoryzuje dostęp do magazynu kluczy

Krok	opis	Role RBAC platformy Azure z najniższymi uprawnieniami	Najmniej uprzywilejowane role firmy Microsoft Entra
1.	Zalecane: Wyślij użytkownika, aby zalogować się do aplikacji. Jeśli użytkownik może się zalogować, jednostka usługi dla aplikacji istnieje w swojej dzierżawie. Użyj programu Microsoft Graph, programu Microsoft Graph PowerShell, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure, aby utworzyć jednostkę usługi. Skonstruuj adres URL zgody administratora i udziel zgody dla całej dzierżawy, aby utworzyć jednostkę usługi przy użyciu identyfikatora aplikacji.	Brak	Użytkownicy z uprawnieniami do instalowania aplikacji
2.	Utwórz usługę Azure Key Vault i klucz używany jako klucz zarządzany przez klienta.	Aby utworzyć magazyn kluczy, użytkownik musi mieć przypisaną rolę Współautor usługi Key Vault Aby dodać klucz do magazynu kluczy, użytkownik musi mieć przypisaną rolę oficera kryptograficznego usługi Key Vault	Brak
3.	Udzielanie zgody tożsamości aplikacji dostępu do magazynu kluczy platformy Azure przez przypisanie roli Użytkownika szyfrowania usługi Kryptograficznej usługi Key Vault	Aby przypisać rolę użytkownika szyfrowania usługi Kryptograficznej usługi Key Vault do aplikacji, musisz mieć przypisaną rolę Administratora dostępu użytkowników.	Brak
4.	Skopiuj adres URL magazynu kluczy i nazwę klucza do konfiguracji kluczy zarządzanych przez klienta oferty SaaS.	Brak	Brak

Uwaga

Aby autoryzować dostęp do zarządzanego modułu HSM na potrzeby szyfrowania przy użyciu klucza zarządzanego, zobacz przykład dla konta magazynu tutaj. Aby uzyskać więcej informacji na temat zarządzania kluczami za pomocą zarządzanego modułu HSM, zobacz Zarządzanie zarządzanym modułem HSM przy użyciu interfejsu wiersza polecenia platformy Azure

Zagadnienia dotyczące klientów dostawców usług

• W dzierżawie klienta dzierżawa 2 administrator może ustawić zasady, aby uniemożliwić użytkownikom niebędącym administratorem instalowanie aplikacji. Te zasady mogą uniemożliwić użytkownikom niebędącym administratorem tworzenie jednostek usługi. Jeśli takie zasady są skonfigurowane, użytkownicy z uprawnieniami do tworzenia jednostek usługi muszą być zaangażowani.
• Dostęp do usługi Azure Key Vault można autoryzować przy użyciu kontroli dostępu opartej na rolach platformy Azure lub zasad dostępu. Podczas udzielania dostępu do magazynu kluczy upewnij się, że używasz aktywnego mechanizmu dla magazynu kluczy.
• Rejestracja aplikacji Microsoft Entra ma identyfikator aplikacji (identyfikator klienta). Po zainstalowaniu aplikacji w dzierżawie zostanie utworzona jednostka usługi. Jednostka usługi współudzieli ten sam identyfikator aplikacji co rejestracja aplikacji, ale generuje własny identyfikator obiektu. Gdy autoryzujesz aplikację do uzyskiwania dostępu do zasobów, może być konieczne użycie jednostki Name usługi lub ObjectID właściwości.

Faza 3 — dostawca usług szyfruje dane w zasobie platformy Azure przy użyciu klucza zarządzanego przez klienta

Po zakończeniu fazy 1 i 2 dostawca usług może skonfigurować szyfrowanie w zasobie platformy Azure przy użyciu klucza i magazynu kluczy w dzierżawie klienta i zasobie platformy Azure w dzierżawie niezależnego dostawcy oprogramowania. Dostawca usług może skonfigurować klucze zarządzane przez klienta między dzierżawami przy użyciu narzędzi klienckich obsługiwanych przez ten zasób platformy Azure z szablonem usługi ARM lub interfejsem API REST.

Konfigurowanie kluczy zarządzanych przez klienta między dzierżawami

W tej sekcji opisano sposób konfigurowania klucza zarządzanego przez klienta (CMK) między dzierżawami i szyfrowania danych klienta. Dowiesz się, jak zaszyfrować dane klienta w zasobie w dzierżawie Tenant1 przy użyciu klucza zarządzanego przez klienta przechowywanego w magazynie kluczy w dzierżawie 2. Możesz użyć witryny Azure Portal, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure.

Witryna Azure Portal

Zaloguj się do witryny Azure Portal i wykonaj następujące kroki.

Dostawca usług konfiguruje tożsamości

Poniższe kroki są wykonywane przez dostawcę usług w dzierżawie dostawcy usług Tenant1.

Dostawca usług tworzy nową rejestrację aplikacji wielodostępnej

Możesz utworzyć nową rejestrację aplikacji wielodostępnej firmy Microsoft Entra lub rozpocząć od istniejącej rejestracji aplikacji wielodostępnej. Jeśli rozpoczynasz od istniejącej rejestracji aplikacji, zanotuj identyfikator aplikacji (identyfikator klienta) aplikacji.

Aby utworzyć nową rejestrację:

1. Wyszukaj ciąg Microsoft Entra ID w polu wyszukiwania. Znajdź i wybierz rozszerzenie Microsoft Entra ID .

2. W okienku po lewej stronie wybierz pozycję Zarządzaj > Rejestracje aplikacji.

3. Wybierz pozycję + Nowa rejestracja.

4. Podaj nazwę rejestracji aplikacji i wybierz pozycję Konto w dowolnym katalogu organizacyjnym (Dowolny katalog Firmy Microsoft — wielodostępny).

5. Wybierz pozycję Zarejestruj.

6. Zwróć uwagę na wartość ApplicationId/ClientId aplikacji.

   

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Utwórz tożsamość zarządzaną przypisaną przez użytkownika do użycia jako poświadczenia tożsamości federacyjnej.

1. Wyszukaj pozycję Tożsamości zarządzane w polu wyszukiwania. Znajdź i wybierz rozszerzenie Tożsamości zarządzane.

2. Wybierz + Utwórz.

3. Podaj grupę zasobów, region i nazwę tożsamości zarządzanej.

4. Wybierz pozycję Przejrzyj i utwórz.

5. Po pomyślnym wdrożeniu zanotuj identyfikator Azure ResourceId tożsamości zarządzanej przypisanej przez użytkownika, która jest dostępna w obszarze Właściwości. Na przykład:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia federacyjne w aplikacji

Skonfiguruj tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia tożsamości federacyjnej w aplikacji, aby mogła personifikować tożsamość aplikacji.

1. Przejdź do pozycji Microsoft Entra ID > Rejestracje aplikacji > aplikacji.

2. Wybierz pozycję Certyfikaty i wpisy tajne.

3. Wybierz pozycję Poświadczenia federacyjne.

   

4. Wybierz pozycję + Dodaj poświadczenia.

5. W obszarze Scenariusz poświadczeń federacyjnych wybierz pozycję Klucze zarządzane przez klienta.

6. Kliknij pozycję Wybierz tożsamość zarządzaną. W okienku wybierz subskrypcję. W obszarze Tożsamość zarządzana wybierz pozycję Tożsamość zarządzana przypisana przez użytkownika. W polu Wybierz wyszukaj utworzoną wcześniej tożsamość zarządzaną, a następnie kliknij pozycję Wybierz w dolnej części okienka.

   

7. W obszarze Szczegóły poświadczeń podaj nazwę i opcjonalny opis poświadczenia, a następnie wybierz pozycję Dodaj.

   

Program PowerShell

Aby skonfigurować dzierżawę niezależnego dostawcy oprogramowania przy użyciu programu Azure PowerShell, zainstaluj najnowszy moduł Az . Aby uzyskać więcej informacji na temat instalowania programu PowerShell, zobacz Instalowanie programu Azure PowerShell w systemie Windows przy użyciu modułu PowerShellGet.

• Jeśli zdecydujesz się używać programu Azure PowerShell lokalnie:
  • Zainstaluj najnowszą wersję modułu Az programu PowerShell.
  • Połącz się z kontem platformy Azure przy użyciu polecenia cmdlet Connect-AzAccount .
• Jeśli zdecydujesz się używać usługi Azure Cloud Shell:
  • Aby uzyskać więcej informacji, zobacz Omówienie usługi Azure Cloud Shell .

Dostawca usług konfiguruje tożsamości

Poniższe kroki są wykonywane przez dostawcę usług (ISV) w dzierżawie dostawcy usług Tenant1.

Dostawca usług loguje się do platformy Azure

W programie Azure PowerShell zaloguj się do dzierżawy niezależnego dostawcy oprogramowania i ustaw aktywną subskrypcję na subskrypcję niezależnego dostawcy oprogramowania.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

Dostawca usług tworzy nową rejestrację aplikacji wielodostępnej

Wybierz nazwę aplikacji zarejestrowanej w wielu dzierżawach w dzierżawie Tenant1 i utwórz aplikację wielodostępną w witrynie Azure Portal.

Nazwa podana dla aplikacji wielodostępnej jest używana przez klienta do identyfikowania aplikacji w dzierżawie2. Zanotuj identyfikator obiektu aplikacji i identyfikator aplikacji. Te wartości będą potrzebne w kolejnych krokach.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Zaloguj się do dzierżawy niezależnego dostawcy oprogramowania, a następnie utwórz tożsamość zarządzaną przypisaną przez użytkownika do użycia jako poświadczenia tożsamości federacyjnej. Aby utworzyć nową tożsamość zarządzaną przypisaną przez użytkownika, musisz mieć przypisaną rolę obejmującą akcję Microsoft.ManagedIdentity/userAssignedIdentities/write .

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia federacyjne w aplikacji

Skonfiguruj tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia tożsamości federacyjnej w aplikacji, aby mogła personifikować tożsamość aplikacji.

Aby skonfigurować poświadczenia tożsamości federacyjnej z poziomu programu PowerShell, najpierw zainstaluj wersję 6.3.0 lub nowszą modułu Az.Resources .

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for CMK"

Interfejs wiersza polecenia platformy Azure

• Użyj środowiska powłoki Bash w usłudze Azure Cloud Shell. Aby uzyskać więcej informacji, zobacz Szybki start dotyczący powłoki Bash w usłudze Azure Cloud Shell.

  

• Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj interfejs wiersza polecenia platformy Azure. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie interfejsu wiersza polecenia platformy Azure w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić interfejs wiersza polecenia platformy Azure w kontenerze platformy Docker.

  • Jeśli korzystasz z instalacji lokalnej, zaloguj się do interfejsu wiersza polecenia platformy Azure za pomocą polecenia az login. Aby ukończyć proces uwierzytelniania, wykonaj kroki wyświetlane w terminalu. Aby uzyskać inne opcje logowania, zobacz Logowanie się przy użyciu interfejsu wiersza polecenia platformy Azure.

  • Po wyświetleniu monitu zainstaluj rozszerzenie interfejsu wiersza polecenia platformy Azure podczas pierwszego użycia. Aby uzyskać więcej informacji na temat rozszerzeń, zobacz Korzystanie z rozszerzeń w interfejsie wiersza polecenia platformy Azure.

  • Uruchom polecenie az version, aby znaleźć zainstalowane wersje i biblioteki zależne. Aby uaktualnić do najnowszej wersji, uruchom polecenie az upgrade.

Dostawca usług konfiguruje tożsamości

Poniższe kroki są wykonywane przez dostawcę usług w dzierżawie dostawcy usług Tenant1.

Dostawca usług loguje się do platformy Azure

Zaloguj się do platformy Azure, aby użyć interfejsu wiersza polecenia platformy Azure.

az login

Dostawca usług tworzy nową rejestrację aplikacji wielodostępnej

Wybierz nazwę aplikacji wielodostępnej w dzierżawie Tenant1 i utwórz aplikację wielodostępną w witrynie Azure Portal.

Nazwa podana dla aplikacji wielodostępnej jest używana przez klienta do identyfikowania aplikacji w dzierżawie2. Skopiuj identyfikator aplikacji (lub identyfikator klienta) aplikacji, identyfikator obiektu aplikacji, a także identyfikator dzierżawy aplikacji. Te wartości będą potrzebne w poniższych krokach.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Zaloguj się do dzierżawy niezależnego dostawcy oprogramowania, a następnie utwórz tożsamość zarządzaną przypisaną przez użytkownika do użycia jako poświadczenia tożsamości federacyjnej. Aby utworzyć nową tożsamość zarządzaną przypisaną przez użytkownika, musisz mieć przypisaną rolę obejmującą akcję Microsoft.ManagedIdentity/userAssignedIdentities/write .

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenia federacyjne w aplikacji

Uruchom metodę az ad app federated-credential create , aby skonfigurować poświadczenie tożsamości federacyjnej w aplikacji i utworzyć relację zaufania z zewnętrznym dostawcą tożsamości.

Użyj api://AzureADTokenExchange jako audience wartości w poświadczeniu tożsamości federacyjnej. Aby uzyskać więcej informacji, zobacz dokumentację interfejsu API.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for CMK",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Dostawca usług udostępnia identyfikator aplikacji klientowi

Znajdź identyfikator aplikacji (identyfikator klienta) aplikacji wielodostępnej i udostępnij ją klientowi.

Klient udziela dostępu aplikacji dostawcy usług do klucza w magazynie kluczy

Poniższe kroki są wykonywane przez klienta w dzierżawie dzierżawy klienta2. Klient może używać witryny Azure Portal, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure.

Użytkownik wykonujący kroki musi być administratorem z rolą uprzywilejowaną, taką jak Administrator aplikacji, Administrator aplikacji w chmurze lub Administrator globalny.

Portal

Zaloguj się do witryny Azure Portal i wykonaj następujące kroki.

Klient instaluje aplikację dostawcy usług w dzierżawie klienta

Aby zainstalować zarejestrowaną aplikację dostawcy usług w dzierżawie klienta, należy utworzyć jednostkę usługi z identyfikatorem aplikacji z zarejestrowanej aplikacji. Jednostkę usługi można utworzyć na jeden z następujących sposobów:

• Użyj programu Microsoft Graph, programu Microsoft Graph PowerShell, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure, aby ręcznie utworzyć jednostkę usługi.
• Skonstruuj adres URL zgody administratora i udziel zgody dla całej dzierżawy, aby utworzyć jednostkę usługi. Musisz podać je za pomocą identyfikatora AppId.

Klient tworzy magazyn kluczy

Aby utworzyć magazyn kluczy, konto użytkownika musi mieć przypisaną rolę Współautor usługi Key Vault lub inną rolę, która zezwala na tworzenie magazynu kluczy.

1. W menu witryny Azure Portal lub na stronie głównej wybierz pozycję + Utwórz zasób. W polu Wyszukaj wprowadź ciąg Magazyny kluczy. Z listy wyników wybierz pozycję Magazyny kluczy. Na stronie Magazyny kluczy wybierz pozycję Utwórz.

2. Na karcie Podstawy wybierz subskrypcję. W obszarze Grupa zasobów wybierz pozycję Utwórz nową i wprowadź nazwę grupy zasobów.

3. Wprowadź unikatową nazwę magazynu kluczy.

4. Wybierz region i warstwę cenową.

5. Włącz ochronę przed przeczyszczeniem nowego magazynu kluczy.

6. Na karcie Zasady dostępu wybierz pozycję Kontrola dostępu oparta na rolach platformy Azure dla pozycji Model uprawnień.

7. Wybierz pozycję Przejrzyj i utwórz , a następnie pozycję Utwórz.

   

Zanotuj nazwę magazynu kluczy i aplikacje identyfikatora URI, które uzyskują dostęp do magazynu kluczy, muszą używać tego identyfikatora URI.

Aby uzyskać więcej informacji, zobacz Szybki start — tworzenie usługi Azure Key Vault za pomocą witryny Azure Portal.

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Ten krok gwarantuje, że można utworzyć klucze szyfrowania.

1. Przejdź do magazynu kluczy i wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) w okienku po lewej stronie.
2. W obszarze Nadaj dostęp do tego zasobu wybierz Dodaj przypisane roli.
3. Wyszukaj i wybierz pozycję Key Vault Crypto Officer.
4. W obszarze Członkowie wybierz pozycję Użytkownik, grupa lub jednostka usługi.
5. Wybierz pozycję Członkowie i wyszukaj swoje konto użytkownika.
6. Wybierz pozycję Przejrzyj + przypisz.

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Crypto Officer usługi Key Vault lub inną rolę, która zezwala na tworzenie klucza.

1. Na stronie właściwości usługi Key Vault wybierz pozycję Klucze.
2. Wybierz Generuj/Import.
3. Na ekranie Tworzenie klucza określ nazwę klucza. Dla pozostałych opcji zostaw wartości domyślne.
4. Wybierz pozycję Utwórz.
5. Skopiuj identyfikator URI klucza.

Klient udziela aplikacji dostawcy usług dostępu do magazynu kluczy

Przypisz użytkownikowi zarejestrowanej aplikacji zarejestrowanej przez dostawcę usług rolę RBAC platformy Azure rolę Key Vault, aby mógł uzyskać dostęp do magazynu kluczy.

1. Przejdź do magazynu kluczy i wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) w okienku po lewej stronie.
2. W obszarze Nadaj dostęp do tego zasobu wybierz Dodaj przypisane roli.
3. Wyszukaj i wybierz pozycję Użytkownik szyfrowania usługi kryptograficznej usługi Key Vault.
4. W obszarze Członkowie wybierz pozycję Użytkownik, grupa lub jednostka usługi.
5. Wybierz pozycję Członkowie i wyszukaj nazwę aplikacji zainstalowanej u dostawcy usług.
6. Wybierz pozycję Przejrzyj + przypisz.

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI i klucza magazynu kluczy.

Program PowerShell

Aby skonfigurować dzierżawę klienta przy użyciu programu Azure PowerShell, zainstaluj najnowszy moduł Az . Aby uzyskać więcej informacji na temat instalowania programu PowerShell, zobacz Instalowanie programu Azure PowerShell w systemie Windows przy użyciu modułu PowerShellGet.

• Jeśli zdecydujesz się używać programu Azure PowerShell lokalnie:
  • Zainstaluj najnowszą wersję modułu Az programu PowerShell.
  • Połącz się z kontem platformy Azure przy użyciu polecenia cmdlet Connect-AzAccount .
• Jeśli zdecydujesz się używać usługi Azure Cloud Shell:
  • Aby uzyskać więcej informacji, zobacz Omówienie usługi Azure Cloud Shell .

Klient loguje się do platformy Azure

W programie Azure PowerShell zaloguj się do dzierżawy klienta i ustaw aktywną subskrypcję na subskrypcję klienta.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

Klient instaluje aplikację dostawcy usług w dzierżawie klienta

Po otrzymaniu identyfikatora aplikacji wielodostępnej dostawcy usług zainstaluj aplikację w dzierżawie Tenant2, tworząc jednostkę usługi.

Wykonaj następujące polecenia w dzierżawie, w której planujesz utworzyć magazyn kluczy.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

Klient tworzy magazyn kluczy

Aby utworzyć magazyn kluczy, konto klienta musi mieć przypisaną rolę Współautor usługi Key Vault lub inną rolę, która zezwala na tworzenie magazynu kluczy.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Przypisz rolę Crypto Officer usługi Key Vault do konta użytkownika. Ten krok gwarantuje, że użytkownik może utworzyć magazyn kluczy i klucze szyfrowania. W poniższym przykładzie przypisano rolę bieżącemu zalogowanemu użytkownikowi.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Crypto Officer usługi Key Vault lub inną rolę, która zezwala na tworzenie klucza.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

Klient udziela aplikacji dostawcy usług dostępu do magazynu kluczy

Przypisz rolę RBAC platformy Azure Klucz magazynu kryptograficznego Użytkownik szyfrowania usługi do zarejestrowanej aplikacji dostawcy usług za pośrednictwem utworzonej wcześniej jednostki usługi, aby mógł uzyskać dostęp do magazynu kluczy.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI i klucza magazynu kluczy.

Interfejs wiersza polecenia platformy Azure

• Użyj środowiska powłoki Bash w usłudze Azure Cloud Shell. Aby uzyskać więcej informacji, zobacz Szybki start dotyczący powłoki Bash w usłudze Azure Cloud Shell.

  

• Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj interfejs wiersza polecenia platformy Azure. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie interfejsu wiersza polecenia platformy Azure w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić interfejs wiersza polecenia platformy Azure w kontenerze platformy Docker.

  • Jeśli korzystasz z instalacji lokalnej, zaloguj się do interfejsu wiersza polecenia platformy Azure za pomocą polecenia az login. Aby ukończyć proces uwierzytelniania, wykonaj kroki wyświetlane w terminalu. Aby uzyskać inne opcje logowania, zobacz Logowanie się przy użyciu interfejsu wiersza polecenia platformy Azure.

  • Po wyświetleniu monitu zainstaluj rozszerzenie interfejsu wiersza polecenia platformy Azure podczas pierwszego użycia. Aby uzyskać więcej informacji na temat rozszerzeń, zobacz Korzystanie z rozszerzeń w interfejsie wiersza polecenia platformy Azure.

  • Uruchom polecenie az version, aby znaleźć zainstalowane wersje i biblioteki zależne. Aby uaktualnić do najnowszej wersji, uruchom polecenie az upgrade.

Klient loguje się do platformy Azure

Zaloguj się do platformy Azure, aby użyć interfejsu wiersza polecenia platformy Azure.

az login

Klient instaluje aplikację dostawcy usług w dzierżawie klienta

Po otrzymaniu identyfikatora aplikacji wielodostępnej dostawcy usług zainstaluj aplikację w dzierżawie Tenant2 przy użyciu następującego polecenia. Zainstalowanie aplikacji powoduje utworzenie jednostki usługi w dzierżawie.

Wykonaj następujące polecenia w dzierżawie, w której planujesz utworzyć magazyn kluczy.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

Klient tworzy magazyn kluczy

Aby utworzyć magazyn kluczy, konto klienta musi mieć przypisaną rolę Współautor usługi Key Vault lub inną rolę, która zezwala na tworzenie magazynu kluczy.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Ten krok gwarantuje, że można utworzyć magazyn kluczy i klucze szyfrowania.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Crypto Officer usługi Key Vault lub inną rolę, która zezwala na tworzenie klucza.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

Klient udziela aplikacji dostawcy usług dostępu do magazynu kluczy

Przypisz rolę RBAC platformy Azure Klucz magazynu kryptograficznego Użytkownik szyfrowania usługi do zarejestrowanej aplikacji dostawcy usług za pośrednictwem utworzonej wcześniej jednostki usługi, aby zarejestrowana aplikacja mogła uzyskać dostęp do magazynu kluczy.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI i klucza magazynu kluczy.

Tworzenie nowego konta magazynu zaszyfrowanego przy użyciu klucza z innej dzierżawy

Do tego momentu skonfigurowano aplikację wielodostępną w dzierżawie niezależnego dostawcy oprogramowania, zainstalowano aplikację w dzierżawie klienta oraz skonfigurowano magazyn kluczy i klucz w dzierżawie klienta. Następnie możesz utworzyć nowe konto magazynu w dzierżawie niezależnego dostawcy oprogramowania i skonfigurować klucze zarządzane przez klienta przy użyciu klucza z dzierżawy klienta.

Musisz użyć istniejącej tożsamości zarządzanej przypisanej przez użytkownika, aby autoryzować dostęp do magazynu kluczy podczas konfigurowania kluczy zarządzanych przez klienta podczas tworzenia konta magazynu. Tożsamość zarządzana przypisana przez użytkownika musi mieć odpowiednie uprawnienia dostępu do magazynu kluczy. Aby uzyskać więcej informacji, zobacz Uwierzytelnianie w usłudze Azure Key Vault.

Podczas konfigurowania szyfrowania przy użyciu kluczy zarządzanych przez klienta dla istniejącego konta magazynu można automatycznie zaktualizować wersję klucza używaną do szyfrowania usługi Azure Storage za każdym razem, gdy nowa wersja jest dostępna w skojarzonym magazynie kluczy. W tym celu pomiń wersję klucza z identyfikatora URI klucza. Alternatywnie można jawnie określić wersję klucza, która ma być używana do szyfrowania, dopóki wersja klucza nie zostanie ręcznie zaktualizowana. Uwzględnienie wersji klucza w identyfikatorze URI klucza umożliwia skonfigurowanie kluczy zarządzanych przez klienta na potrzeby ręcznego aktualizowania wersji klucza.

Ważne

Aby obrócić klucz, utwórz nową wersję klucza w usłudze Azure Key Vault. Usługa Azure Storage nie obsługuje rotacji kluczy, dlatego należy zarządzać rotacją klucza w magazynie kluczy. Możesz skonfigurować automatyczną rotację kluczy w usłudze Azure Key Vault lub ręcznie obrócić klucz.

Usługa Azure Storage sprawdza magazyn kluczy pod kątem nowej wersji klucza tylko raz dziennie. Podczas rotacji klucza w usłudze Azure Key Vault pamiętaj, aby poczekać 24 godziny przed wyłączeniem starszej wersji.

Witryna Azure Portal

Aby skonfigurować klucze zarządzane przez klienta między dzierżawami dla nowego konta magazynu w witrynie Azure Portal, wykonaj następujące kroki:

1. W witrynie Azure Portal przejdź do strony Konta magazynu w dzierżawie niezależnego dostawcy oprogramowania i wybierz przycisk Utwórz , aby utworzyć nowe konto.

2. Wykonaj kroki opisane w temacie Tworzenie konta magazynu, aby wypełnić pola na kartach Podstawowe, Zaawansowane, Sieciowe i Ochrona danych .

3. Na karcie Szyfrowanie wskaż usługi, dla których chcesz włączyć obsługę kluczy zarządzanych przez klienta, w polu Włącz obsługę kluczy zarządzanych przez klienta.

4. W polu Typ szyfrowania wybierz pozycję Klucze zarządzane przez klienta (CMK).

5. W polu Klucz szyfrowania wybierz pozycję Wprowadź klucz z magazynu kluczy i określ identyfikator URI klucza. Pomiń wersję klucza z identyfikatora URI, jeśli chcesz, aby usługa Azure Storage automatycznie sprawdzała nową wersję klucza i aktualizowała ją.

6. W polu Tożsamość przypisana przez użytkownika wyszukaj tożsamość zarządzaną przypisaną przez użytkownika utworzoną wcześniej w dzierżawie niezależnego dostawcy oprogramowania.

7. Rozwiń sekcję Zaawansowane i wybierz aplikację zarejestrowaną w wielu dzierżawach, która została wcześniej utworzona w dzierżawie niezależnego dostawcy oprogramowania.

   

8. Wybierz przycisk Przejrzyj, aby zweryfikować i utworzyć konto.

Program PowerShell

Aby skonfigurować klucze zarządzane przez klienta między dzierżawami dla nowego konta magazynu w programie PowerShell, najpierw zainstaluj moduł Az.Storage PowerShell w wersji 5.1.0 lub nowszej. Ten moduł jest instalowany przy użyciu modułu Az programu PowerShell w wersji 9.1.0 lub nowszej.

Następnie wywołaj polecenie New-AzStorageAccount, podając identyfikator zasobu tożsamości zarządzanej przypisanej przez użytkownika, która została wcześniej skonfigurowana w subskrypcji niezależnego dostawcy oprogramowania, oraz identyfikator aplikacji (klienta) dla aplikacji wielodostępnej, która została wcześniej skonfigurowana w subskrypcji niezależnego dostawcy oprogramowania. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<keyName>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> -ResourceGroupName $rgName

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -UserAssignedIdentityId $userIdentity.Id `
    -IdentityType SystemAssignedUserAssigned `
    -KeyName $keyName `
    -KeyVaultUri $kvUri `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id `
    -KeyVaultFederatedClientId $multiTenantAppId 

Interfejs wiersza polecenia platformy Azure

Aby skonfigurować klucze zarządzane przez klienta między dzierżawami dla nowego konta magazynu przy użyciu interfejsu wiersza polecenia platformy Azure, najpierw zainstaluj interfejs wiersza polecenia platformy Azure w wersji 2.42.0 lub nowszej. Aby uzyskać więcej informacji na temat instalowania interfejsu wiersza polecenia platformy Azure, zobacz Jak zainstalować interfejs wiersza polecenia platformy Azure.

Następnie wywołaj metodę az storage account create, podając identyfikator zasobu tożsamości zarządzanej przypisanej przez użytkownika, która została wcześniej skonfigurowana w subskrypcji niezależnego dostawcy oprogramowania, oraz identyfikator aplikacji (klienta) dla aplikacji wielodostępnej skonfigurowanej wcześniej w subskrypcji niezależnego dostawcy oprogramowania. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $managedIdentity \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Klucze zarządzane przez klienta można również skonfigurować przy użyciu ręcznego aktualizowania wersji klucza podczas tworzenia nowego konta magazynu. W tym celu dołącz wersję klucza podczas określania identyfikatora URI klucza.

Zmienianie klucza

Klucz używany do szyfrowania usługi Azure Storage można zmienić w dowolnym momencie.

Uwaga

Zmiana wersji klucza lub klucza spowoduje zmianę ochrony głównego klucza szyfrowania, ale dane na koncie usługi Azure Storage pozostają szyfrowane przez cały czas. Użytkownik nie musi podejmować żadnych dodatkowych działań, aby zapewnić ochronę swoich danych. Zmiana klucza lub rotacja wersji klucza nie ma wpływu na wydajność. Nie ma przestoju związanego ze zmianą klucza lub rotacją wersji klucza.

Witryna Azure Portal

Aby zmienić klucz w witrynie Azure Portal, wykonaj następujące kroki:

1. Przejdź do konta magazynu i wyświetl ustawienia szyfrowania .
2. Wybierz magazyn kluczy i wybierz nowy klucz.
3. Zapisz zmiany.

Program PowerShell

Aby zmienić klucz przy użyciu programu PowerShell, wywołaj polecenie Set-AzStorageAccount i podaj nową nazwę klucza i wersję. Jeśli nowy klucz znajduje się w innym magazynie kluczy, należy również zaktualizować identyfikator URI magazynu kluczy.

Interfejs wiersza polecenia platformy Azure

Aby zmienić klucz za pomocą interfejsu wiersza polecenia platformy Azure, wywołaj polecenie az storage account update i podaj nową nazwę klucza i wersję. Jeśli nowy klucz znajduje się w innym magazynie kluczy, należy również zaktualizować identyfikator URI magazynu kluczy.

Odwoływanie dostępu do konta magazynu korzystającego z kluczy zarządzanych przez klienta

Aby tymczasowo odwołać dostęp do konta magazynu korzystającego z kluczy zarządzanych przez klienta, wyłącz klucz używany obecnie w magazynie kluczy. Nie ma wpływu na wydajność ani przestoju związanego z wyłączeniem i ponownym opublikowaniem klucza.

Po wyłączeniu klucza klienci nie mogą wywoływać operacji odczytujących lub zapisujących do obiektu blob lub jego metadanych. Aby uzyskać informacje o tym, które operacje nie powiedzą się, zobacz Odwoływanie dostępu do konta magazynu korzystającego z kluczy zarządzanych przez klienta.

Uwaga

Po wyłączeniu klucza w magazynie kluczy dane na koncie usługi Azure Storage pozostają zaszyfrowane, ale stają się niedostępne do momentu ponownego włączenia klucza.

Witryna Azure Portal

Aby wyłączyć klucz zarządzany przez klienta w witrynie Azure Portal, wykonaj następujące kroki:

1. Przejdź do magazynu kluczy zawierającego klucz.

2. W obszarze Obiekty wybierz pozycję Klucze.

3. Kliknij prawym przyciskiem myszy klucz i wybierz polecenie Wyłącz.

   

Program PowerShell

Aby odwołać klucz zarządzany przez klienta za pomocą programu PowerShell, wywołaj polecenie Update-AzKeyVaultKey , jak pokazano w poniższym przykładzie. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami, aby zdefiniować zmienne, lub użyć zmiennych zdefiniowanych w poprzednich przykładach.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Interfejs wiersza polecenia platformy Azure

Aby odwołać klucz zarządzany przez klienta za pomocą interfejsu wiersza polecenia platformy Azure, wywołaj polecenie az keyvault key set-attributes , jak pokazano w poniższym przykładzie. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami, aby zdefiniować zmienne, lub użyć zmiennych zdefiniowanych w poprzednich przykładach.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Przełącz się z powrotem do kluczy zarządzanych przez firmę Microsoft

Klucze zarządzane przez klienta można przełączać z powrotem do kluczy zarządzanych przez firmę Microsoft w dowolnym momencie przy użyciu witryny Azure Portal, programu PowerShell lub interfejsu wiersza polecenia platformy Azure.

Witryna Azure Portal

Aby przełączyć się z kluczy zarządzanych przez klienta z powrotem do kluczy zarządzanych przez firmę Microsoft w witrynie Azure Portal, wykonaj następujące kroki:

1. Przejdź do swojego konta magazynu.

2. W obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.

3. Zmień typ szyfrowania na klucze zarządzane przez firmę Microsoft.

   

Program PowerShell

Aby przełączyć się z kluczy zarządzanych przez klienta z powrotem do kluczy zarządzanych przez firmę Microsoft za pomocą programu PowerShell, wywołaj polecenie Set-AzStorageAccount z opcją -StorageEncryption , jak pokazano w poniższym przykładzie. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Interfejs wiersza polecenia platformy Azure

Aby przełączyć się z kluczy zarządzanych przez klienta z powrotem do kluczy zarządzanych przez firmę Microsoft za pomocą interfejsu wiersza polecenia platformy Azure, wywołaj polecenie az storage account update i ustaw wartość na --encryption-key-source parameter Microsoft.Storage, jak pokazano w poniższym przykładzie. Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage

Zobacz też

• Klucze zarządzane przez klienta dla usługi Azure Storage
• Konfigurowanie kluczy zarządzanych przez klienta między dzierżawami dla istniejącego konta magazynu