Usar chaves gerenciadas pelo cliente no Azure Key Vault para o serviço de Importação/Exportação
A Importação/Exportação do Azure protege as chaves do BitLocker usadas para bloquear as unidades por meio de uma chave de criptografia. Por padrão, as chaves do BitLocker são criptografadas com chaves gerenciadas pela Microsoft. Para obter mais controle sobre as chaves de criptografia, você também pode fornecer chaves gerenciadas pelo cliente.
As chaves gerenciadas pelo cliente devem ser criadas e armazenadas em um Azure Key Vault. Para obter mais informações sobre o Cofre da Chave do Azure, consulte O que é o Cofre da Chave do Azure?
Este artigo mostra como usar chaves gerenciadas pelo cliente com o serviço de Importação/Exportação no portal do Azure.
Pré-requisitos
Antes de começar, verifique se:
Você criou um trabalho de importação ou de exportação de acordo com as instruções em:
Você tem um Azure Key Vault existente com uma chave que pode ser usada para proteger sua chave do BitLocker. Para saber como criar um cofre de chaves usando o portal do Azure, confira Início Rápido: Criar um Azure Key Vault usando o portal do Azure.
Exclusão temporária e Não limpar estão definidos no seu Key Vault. Por padrão, essas propriedades não são habilitadas. Para habilitar essas propriedades, confira as seções Como habilitar a exclusão temporária e Como habilitar a proteção contra a limpeza em um dos seguintes artigos:
O cofre de chaves existente deve ter uma chave RSA de tamanho 2048 ou maior. Para obter mais informações sobre chaves, confira Sobre chaves.
O cofre de chaves deve estar na mesma região da conta de armazenamento dos seus dados.
Caso não tenha um Azure Key Vault, você pode criá-lo embutido, conforme descrito na seção a seguir.
Habilitar chaves
A configuração da chave gerenciada pelo cliente para o serviço de Importação/Exportação é opcional. Por padrão, o serviço de Importação/Exportação usa uma chave gerenciada pela Microsoft para proteger a sua chave do BitLocker. Para habilitar chaves gerenciadas pelo cliente no portal do Azure, siga estas etapas:
Vá para a folha Visão geral do seu trabalho de Importação.
No painel direito, selecione Escolher como as chaves do BitLocker são criptografadas.
Na folha Criptografia, é possível exibir e copiar a chave do BitLocker do dispositivo. Em Tipo de criptografia,você pode escolher como deseja proteger sua chave do BitLocker. Por padrão, é usada uma chave gerenciada pela Microsoft.
Você tem a opção de especificar uma chave gerenciada pelo cliente. Depois de selecionar a chave gerenciada pelo cliente, Selecione o cofre de chaves e uma chave.
Na folha Selecionar chave do Azure Key Vault, a assinatura é preenchida automaticamente. Para Cofre de chaves, você pode selecionar um cofre de chaves existente na lista suspensa.
Você também pode selecionar Criar para criar um cofre de chaves. Na folha Criar cofre de chaves, insira o grupo de recursos e um nome para o cofre de chaves. Aceite todos os outros valores padrão. Selecione Examinar + criar.
Examine as informações associadas ao seu cofre de chaves e selecione Criar. Aguarde alguns minutos até que a criação do cofre de chaves esteja concluída.
Em Selecionar chave do Azure Key Vault, você pode selecionar uma chave existente no cofre de chaves.
Se você criou um novo cofre de chaves, selecione Criar nova para criar uma chave. O tamanho da chave RSA pode ser 2048 ou maior.
Se, ao criar o cofre de chaves, a exclusão temporária e a proteção de limpeza não estiverem habilitadas, o cofre de chaves será atualizado para ter ambas habilitadas.
Insira um nome para a nova chave, aceite os outros valores padrão e selecione Criar.
Selecione a Versão e, em seguida, escolha Selecionar. Você será notificado de que uma chave foi criada no seu cofre de chaves.
Na folha Criptografia, é possível ver o cofre de chaves e a chave selecionada como chave gerenciada pelo cliente.
Importante
Você só pode desabilitar chaves gerenciadas da Microsoft, mas pode mudar para chaves gerenciadas pelo cliente em qualquer estágio do trabalho de importação/exportação. No entanto, você não pode desabilitar a chave gerenciada pelo cliente depois de criá-la.
Solucionar erros de chave gerenciada pelo cliente
Se você receber erros relacionados à chave gerenciada pelo cliente, use a tabela a seguir para solucionar problemas:
| Código do erro | Detalhes | Recuperáveis? |
|---|---|---|
| CmkErrorAccessRevoked | O acesso à chave gerenciada pelo cliente foi revogado. | Sim, verifique se:
|
| CmkErrorKeyDisabled | A chave gerenciada pelo cliente está desabilitada. | Sim, habilitando a versão da chave |
| CmkErrorKeyNotFound | Não é possível localizar a chave gerenciada pelo cliente. | Sim, se a chave tiver sido excluída, mas ainda estiver dentro do período de limpeza, usando Desfazer remoção de chave do Key Vault. Else,
|
| CmkErrorVaultNotFound | Não é possível encontrar o cofre de chaves da chave gerenciada pelo cliente. | Se o cofre de chaves tiver sido excluído:
Else se o cofre de chaves tiver sido migrado para um locatário diferente, sim, ele poderá ser recuperado usando uma das etapas a seguir:
|