你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
使用客户管理的密钥为 Azure 托管 Redis（预览版）实例配置磁盘加密
默认情况下，Redis 服务器中的数据存储在内存中。 此数据未加密。 在将数据写入缓存之前，你可以对数据实施自己的加密。 在某些情况下，由于操作系统的操作，或者由于蓄意使用导出或数据持久性功能来保留数据，数据可能会驻留在磁盘上。
默认情况下，Azure 托管 Redis（预览版）提供平台管理的密钥 (PMK)（也称为 Microsoft 管理的密钥 (MMK)），用于加密所有层中的磁盘数据。 Azure 托管 Redis 还提供使用客户管理的密钥 (CMK) 对 OS 和数据持久性磁盘进行加密的功能。 客户管理的密钥可用于包装 MMK 来控制对这些密钥的访问。 这使 CMK 成为密钥加密密钥 (KEK)。 有关详细信息，请参阅 Azure 中的密钥管理。
CMK 磁盘加密的可用性范围
| 层 | 内存优化，均衡，计算优化 | 闪存优化 |
|---|---|---|
| Microsoft 托管密钥 (MMK) | 是 | 是 |
| 客户管理的密钥 (CMK) | 是 | 是 |
加密覆盖范围
在 Azure 托管 Redis 中，磁盘加密用于加密持久性磁盘、临时文件和 OS 磁盘：
默认情况下，使用 MMK 加密这些磁盘，但也可以使用 CMK 进行加密。
在“闪存优化”层中，密钥和值也使用非易失性快速存储器 (NVMe) 闪存存储部分存储在磁盘上。 但是，此磁盘与用于持久化数据的磁盘不同。 相反，它是暂时性的，在停止、解除分配或重新启动缓存后，不会保留数据。 此磁盘仅支持 MMK，因为此数据是暂时的。
| 永久性 | 磁盘 | 加密选项 |
|---|---|---|
| 持久性文件 | 持久性磁盘 | MMK 或 CMK |
| 等待导出的 RDB 文件 | OS 磁盘和持久性磁盘 | MMK 或 CMK |
| 密钥和值（仅限“闪存优化”层） | 暂时性 NVMe 磁盘 | MMK |
先决条件和限制
常规先决条件和限制
- 仅支持用户分配的托管标识连接到 Azure 密钥保管库。 不支持系统分配的托管标识。
- 在现有缓存实例上的 MMK 和 CMK 之间进行更改会触发长时间运行的维护操作。 不建议将其用于生产用途，因为发生了服务中断。
Azure Key Vault 先决条件和限制
- 包含客户管理的密钥的 Azure Key Vault 资源必须与缓存资源位于同一区域。
- 必须在 Azure Key Vault 实例中启用清除保护和软删除。 默认情况下不启用清除保护。
- 在 Azure Key Vault 中使用防火墙规则时，必须将 Key Vault实例配置为允许受信任的服务。
- 仅支持 RSA 密钥
- 必须在 Key Vault 访问策略中向用户分配的托管标识授予“获取”、“解包密钥”和“包装密钥”权限，或者在 Azure 基于角色的访问控制中授予等效权限。 具有此方案所需最低特权的建议内置角色定义称为“密钥保管库加密服务加密用户”。
如何在 Azure 托管 Redis 中配置 CMK 加密
使用门户创建启用了 CMK 的新缓存
登录到 Azure 门户并启动创建 Azure 托管 Redis 实例快速入门指南。
在“高级”页上，转到标题为“客户管理的密钥静态加密”部分，并启用“使用客户管理的密钥”选项。
选择“添加”，将用户分配的托管标识分配给资源。 此托管标识用于连接到保存客户管理的密钥的 Azure Key Vault 实例。
选择所选用户分配的托管标识，然后选择要使用的密钥输入方法。
如果使用“选择 Azure Key Vault 和密钥”输入方法，请选择保存客户管理的密钥的 Key Vault 实例。 此实例必须与缓存位于同一区域。
注意
有关如何设置 Azure Key Vault 实例的说明，请参阅 Azure Key Vault 快速入门指南。 还可以选择 Key Vault 选项下的“创建密钥保管库”链接，以创建新的 Key Vault 实例。 请记住，必须在 Azure 密钥保管库实例中同时启用清除保护和软删除。
使用客户管理的密钥 (RSA) 和“版本”下拉列表选择特定密钥和版本。
如果使用 URI 输入法，请输入 Azure Key Vault 中所选密钥的密钥标识符 URI。
输入缓存的所有信息后，请选择“查看 + 创建”。
将 CMK 加密添加到现有的 Azure 托管 Redis 实例
转到缓存实例的“资源”菜单中的“加密”。 如果已设置 CMK，则会看到密钥信息。
如果尚未设置或想要更改 CMK 设置，请选择“更改加密设置”
选择“使用客户管理的密钥”以查看配置选项。
选择“添加”，将用户分配的托管标识分配给资源。 此托管标识用于连接到保存客户管理的密钥的 Azure Key Vault 实例。
选择所选用户分配的托管标识，然后选择要使用的密钥输入方法。
如果使用“选择 Azure Key Vault 和密钥”输入方法，请选择保存客户管理的密钥的 Key Vault 实例。 此实例必须与缓存位于同一区域。
注意
有关如何设置 Azure Key Vault 实例的说明，请参阅 Azure Key Vault 快速入门指南。 还可以选择 Key Vault 选项下的“创建密钥保管库”链接，以创建新的 Key Vault 实例。
使用“客户管理的密钥 (RSA)”下拉列表选择特定密钥。 如果有多个版本的密钥可供选择，请使用“版本”下拉列表。
如果使用 URI 输入法，请输入 Azure Key Vault 中所选密钥的密钥标识符 URI。
选择“保存”