Konfigurera datakryptering
GÄLLER FÖR: 
Azure Database for PostgreSQL – flexibel server
Den här artikeln innehåller stegvisa instruktioner för att konfigurera datakryptering för en flexibel Azure Database for PostgreSQL-server.
Viktigt!
Val av system- eller kundhanterad krypteringsnyckel för datakryptering av en flexibel Azure Database for PostgreSQL-server kan endast göras när servern distribueras.
I den här artikeln får du lära dig hur du skapar en ny server och konfigurerar dess datakrypteringsalternativ. För befintliga servrar, vars datakryptering är konfigurerad för att använda kundhanterad krypteringsnyckel, lär du dig:
- Så här väljer du en annan användartilldelad hanterad identitet som tjänsten kommer åt krypteringsnyckeln med.
- Så här anger du en annan krypteringsnyckel eller hur du roterar krypteringsnyckeln som för närvarande används för datakryptering.
Information om datakryptering i kontexten för Azure Database for PostgreSQL – flexibel server finns i datakryptering.
Konfigurera datakryptering med systemhanterad nyckel under serveretablering
Under etableringen av en ny instans av Azure Database for PostgreSQL – flexibel server på fliken Säkerhet .
I datakrypteringsnyckeln väljer du alternativknappen Tjänsthanterad nyckel.
Om du aktiverar geo-redundant säkerhetskopieringslagring som ska etableras tillsammans med servern ändras aspekten av fliken Säkerhet något eftersom servern använder två separata krypteringsnycklar. En för den primära region där du distribuerar servern och en för den parkopplade region som serversäkerhetskopiorna asynkront replikeras till.
Konfigurera datakryptering med kundhanterad nyckel under serveretablering
Skapa en användartilldelad hanterad identitet om du inte har någon ännu. Om geo-redundanta säkerhetskopior är aktiverade på servern måste du skapa till olika identiteter. Var och en av dessa identiteter används för att komma åt var och en av de två datakrypteringsnycklarna.
Kommentar
Även om det inte krävs rekommenderar vi att du skapar den användarhanterade identiteten i samma region som servern för att upprätthålla regional återhämtning. Och om servern har geo-säkerhetskopieringsredundans aktiverad rekommenderar vi att den andra användarhanterade identiteten, som används för att komma åt datakrypteringsnyckeln för geo-redundanta säkerhetskopior, skapas i den kopplade regionen på servern.
Skapa ett Azure Key Vault eller skapa en hanterad HSM om du inte har skapat ett nyckelarkiv ännu. Se till att du uppfyller kraven. Följ också rekommendationerna innan du konfigurerar nyckelarkivet och innan du skapar nyckeln och tilldelar nödvändiga behörigheter till den användartilldelade hanterade identiteten. Om geo-redundanta säkerhetskopieringar är aktiverade på servern måste du skapa ett andra nyckelarkiv. Det andra nyckelarkivet används för att behålla datakrypteringsnyckeln som dina säkerhetskopior kopieras till den kopplade regionen på servern krypteras med.
Kommentar
Nyckelarkivet som används för att behålla datakrypteringsnyckeln måste distribueras i samma region som servern. Och om servern har geo-säkerhetskopieringsredundans aktiverad måste nyckelarkivet som behåller datakrypteringsnyckeln för geo-redundanta säkerhetskopior skapas i den parkopplade regionen på servern.
Skapa en nyckel i nyckelarkivet. Om geo-redundanta säkerhetskopior är aktiverade på servern behöver du en nyckel i vart och ett av nyckelarkiven. Med en av dessa nycklar krypterar vi alla serverns data (inklusive alla system- och användardatabaser, temporära filer, serverloggar, loggsegment och säkerhetskopior). Med den andra nyckeln krypterar vi kopiorna av säkerhetskopiorna som asynkront kopieras över den parkopplade regionen på servern.
Under etableringen av en ny instans av Azure Database for PostgreSQL – flexibel server på fliken Säkerhet .
I datakrypteringsnyckeln väljer du alternativknappen Tjänsthanterad nyckel.
Om du aktiverar geo-redundant säkerhetskopieringslagring som ska etableras tillsammans med servern ändras aspekten av fliken Säkerhet något eftersom servern använder två separata krypteringsnycklar. En för den primära region där du distribuerar servern och en för den parkopplade region som serversäkerhetskopiorna asynkront replikeras till.
I Användartilldelad hanterad identitet väljer du Ändra identitet.
I listan över användartilldelade hanterade identiteter väljer du den som du vill att servern ska använda för att komma åt datakrypteringsnyckeln som lagras i ett Azure Key Vault.
Markera Lägga till.
Välj Välj en nyckel.
Prenumerationen fylls automatiskt i med namnet på den prenumeration där servern är på väg att skapas. Nyckelarkivet som behåller datakrypteringsnyckeln måste finnas i samma prenumeration som servern.
I Nyckellagringstyp väljer du den alternativknapp som motsvarar den typ av nyckellager där du planerar att lagra datakrypteringsnyckeln. I det här exemplet väljer vi Nyckelvalv, men upplevelsen är liknande om du väljer Hanterad HSM.
Expandera Key Vault (eller Managed HSM, om du valde den lagringstypen) och välj den instans där datakrypteringsnyckeln finns.
Kommentar
När du expanderar listrutan visas Inga tillgängliga objekt. Det tar några sekunder innan den visar alla instanser av nyckelvalvet som distribueras i samma region som servern.
Expandera Nyckel och välj namnet på den nyckel som du vill använda för datakryptering.
Expandera Version och välj identifieraren för den version av nyckeln som du vill använda för datakryptering.
Välj Välj.
Konfigurera alla andra inställningar för den nya servern och välj Granska + skapa.
Konfigurera datakryptering med kundhanterad nyckel på befintliga servrar
Den enda punkt där du kan bestämma om du vill använda en systemhanterad nyckel eller en kundhanterad nyckel för datakryptering är när servern skapas. När du har fattat det beslutet och skapat servern kan du inte växla mellan de två alternativen. Det enda alternativet, om du vill ändra från en till en annan, kräver att någon av de säkerhetskopior som är tillgängliga för servern återställs till en ny server. När du konfigurerar återställningen kan du ändra datakrypteringskonfigurationen för den nya servern.
För befintliga servrar som har distribuerats med datakryptering med hjälp av en kundhanterad nyckel får du göra flera konfigurationsändringar. Saker som kan ändras är referenser till de nycklar som används för kryptering och referenser till de användartilldelade hanterade identiteter som används av tjänsten för att komma åt nycklarna som lagras i nyckelarkiven.
Du måste uppdatera referenser som din flexibla Azure Database for PostgreSQL-server har till en nyckel:
- När nyckeln som lagras i nyckelarkivet roteras, antingen manuellt eller automatiskt.
- När du vill använda samma eller en annan nyckel som lagras i ett annat nyckelarkiv.
Du måste uppdatera de användartilldelade hanterade identiteterna som används av din flexibla Azure Database for PostgreSQL-server för att få åtkomst till krypteringsnycklarna:
- När du vill använda en annan identitet
Välj din flexibla Azure Database for PostgreSQL-server.
I resursmenyn går du till avsnittet Säkerhet och väljer Datakryptering.
Om du vill ändra den användartilldelade hanterade identitet som servern har åtkomst till nyckelarkivet där nyckeln sparas expanderar du listrutan Användartilldelad hanterad identitet och väljer någon av de tillgängliga identiteterna.
Kommentar
Identiteter som visas i kombinationsrutan är bara de som din flexibla Azure Database for PostgreSQL-server tilldelades. Även om det inte krävs rekommenderar vi att du väljer användarhanterade identiteter i samma region som servern för att upprätthålla regional återhämtning. Och om servern har geo-säkerhetskopieringsredundans aktiverad rekommenderar vi att den andra användarhanterade identiteten, som används för att komma åt datakrypteringsnyckeln för geo-redundanta säkerhetskopior, finns i den parkopplade regionen på servern.
Om den användartilldelade hanterade identitet som du vill använda för att komma åt datakrypteringsnyckeln inte har tilldelats din flexibla Azure Database for PostgreSQL-server och den inte ens finns som en Azure-resurs med motsvarande objekt i Microsoft Entra-ID kan du skapa den genom att välja Skapa.
I panelen Skapa användartilldelad hanterad identitet fyller du i informationen om den användartilldelade hanterade identitet som du vill skapa och tilldelar automatiskt till din flexibla Azure Database for PostgreSQL-server för åtkomst till datakrypteringsnyckeln.
Om den användartilldelade hanterade identitet som du vill använda för att komma åt datakrypteringsnyckeln inte har tilldelats din flexibla Azure Database for PostgreSQL-server, men den finns som en Azure-resurs med motsvarande objekt i Microsoft Entra-ID, kan du tilldela den genom att välja Välj.
I listan över användartilldelade hanterade identiteter väljer du den som du vill att servern ska använda för att komma åt datakrypteringsnyckeln som lagras i ett Azure Key Vault.
Markera Lägga till.
Om du roterar nyckeln eller om du vill använda en annan nyckel måste du uppdatera din flexibla Azure Database for PostgreSQL-server så att den pekar på den nya nyckelversionen eller den nya nyckeln. För att göra det kan du kopiera resursidentifieraren för nyckeln och klistra in den i rutan Nyckelidentifierare .
Om användaren som har åtkomst till Azure Portal har behörighet att komma åt nyckeln som lagras i nyckelarkivet kan du använda en alternativ metod för att välja den nya nyckeln eller den nya nyckelversionen. Det gör du genom att välja alternativknappen Välj en nyckel i Nyckelvalsmetod.
Välj Välj nyckel.
Prenumerationen fylls automatiskt i med namnet på den prenumeration där servern är på väg att skapas. Nyckelarkivet som behåller datakrypteringsnyckeln måste finnas i samma prenumeration som servern.
I Nyckellagringstyp väljer du den alternativknapp som motsvarar den typ av nyckellager där du planerar att lagra datakrypteringsnyckeln. I det här exemplet väljer vi Nyckelvalv, men upplevelsen är liknande om du väljer Hanterad HSM.
Expandera Key Vault (eller Managed HSM, om du valde den lagringstypen) och välj den instans där datakrypteringsnyckeln finns.
Kommentar
När du expanderar listrutan visas Inga tillgängliga objekt. Det tar några sekunder innan den visar alla instanser av nyckelvalvet som distribueras i samma region som servern.
Expandera Nyckel och välj namnet på den nyckel som du vill använda för datakryptering.
Expandera Version och välj identifieraren för den version av nyckeln som du vill använda för datakryptering.
Välj Välj.
När du är nöjd med ändringarna väljer du Spara.
