Konfigurieren Sie kundenverwaltete Schlüsselverschlüsselung (CMK) innerhalb einer Enklave

Der schnellste Weg, kundenverwaltete Schlüssel bereitzustellen und die Compliance mit der Azure Enclave-Richtlinie sicherzustellen, die die Verwendung von CMK vorschreibt, führt über die Dienstkatalogvorlage Common Dependencies.

Es stehen mehrere Verschlüsselungstypen zum Sichern Ihrer Daten auf verwalteten Datenträgern und anderen Azure PaaS-Diensten zur Verfügung, einschließlich Azure Disk Encryption (ADE), Server-Side Encryption (SSE) und Verschlüsselung auf dem Host. Die Standard-Governance- und Cybersicherheitshaltung von Azure Enclave erfordert kundenverwaltete Schlüsselverschlüsselung für alle in einer Enklave bereitgestellten Ressourcen.

Voraussetzungen für die manuelle Bereitstellungsmethode

  • Portalzugriff von der Admin-VM (meist 192.168.x.x/26).
    • Erstellen Sie einen Community-Endpunkt für das Azure-Portal und Microsoft Azure-Dienste.
      • Ein Standardendpunkt kann innerhalb der Community erstellt werden, der den Zugriff auf allgemeine Microsoft Websites und Endpunkte definiert. In diesem Fall können Sie diesen Schritt übergehen.
    • Stellen Sie eine Enklavenverbindung zum Community-Endpunkt her.
  • Sie haben die Rolle Key Vault Contributor für den Schlüsseltresor oder die Workload-Ressourcengruppe, die den Schlüsseltresor enthält.

Schritte in diesem Handbuch

Enklave Key Vault

Azure Enclave könnte einen Key Vault in der Enclave-verwalteten Ressourcengruppe für die Flow-Log-Speicher-CMK-Konfiguration erstellen oder wiederverwenden. Für Kundenapplikationsschlüssel und andere Workload-Ressourcen erstellen Sie den Key Vault in einer Workload Resource Group. Azure Key Vault ist ein Clouddienst zum sicheren Speichern und Zugreifen auf geheime Schlüssel. Als Geheimnis wird alles bezeichnet, für das Sie den Zugriff streng kontrollieren möchten, z. B. API-Schlüssel, Kennwörter, Zertifikate oder kryptografische Schlüssel. Standardmäßig können Enklave-Mitwirkende Schlüssel, Geheimnisse oder Zertifikate in einen für die Enklave bereitgestellten Key Vault hochladen und bestehende Azure-Fähigkeiten und Designmuster anderer Azure-Dienste nutzen, um CMK-Verschlüsselung zu unterstützen.

Die nächsten Abschnitte bieten Beispiele für die Einrichtung der CMK-Verschlüsselung, mit detaillierteren Anweisungen oder Artikeln.

Erstellen Sie einen Schlüssel in einem Key Vault

  • Für Schritte zur Erstellung eines Schlüssels siehe Set up your Azure Key Vault. Die Schlüsselerstellung beginnt bei Schritt 6 dieses Artikels.

Datenträgerverschlüsselungssätze (Windows IaaS)

Azure PaaS-Beispiel (Speicherkonto)

Erstellen von CMK aus dem Dienstkatalog (am schnellsten und einfachsten)

Befolgen Sie diese Anweisungen, um über den Dienstkatalog mit überprüften Vorlagen für allgemeine Azure-Dienste einen Schlüsseltresor zu erstellen.

CMK über das Portal erstellen

Alternativ kannst du ein CMK über das Azure-Portal erstellen.

Schritte in diesem Handbuch

  1. Aktivieren Sie den Enclave-Zugriff auf das Azure-Portal.
  2. Melden Sie sich in der Admin-VM an.
  3. Öffnen Sie das Azure-Portal aus der Admin-VM.
  4. Weisen Sie Key Vault RBAC-Berechtigungen von der Admin-VM aus.
  5. Generiere einen Schlüssel für CMK in Key Vault.

Aktivieren des Enklavenzugriffs auf das Azure-Portal

Der Zugriff auf den Schlüsseltresor ist auf das virtuelle Netzwerk KV beschränkt, daher müssen Sie den Schlüssel des Schlüsseltresors im Azure-Portal von innerhalb der Admin-VM aus erstellen.

Anmelden bei Administrator-VM

Folgen Sie diesen Administrator-VM-Anweisungen , um sich anzumelden.

Öffnen Sie das Azure-Portal von der Admin-VM aus

  1. Nachdem du dich in der Admin-VM angemeldet hast, öffne Microsoft Edge (zum Beispiel über das Startmenü).
  2. Gehen Sie zu https://portal.azure.com oder zur domänenspezifischen Portal-URL.

Weisen Sie Key Vault RBAC-Berechtigungen von der Admin-VM zu

Befolgen Sie Gewähren der Berechtigung zum Zugreifen auf einen Azure-Schlüsseltresor für Anwendungen mit Azure RBAC, um die entsprechende Rolle im Bereich des Schlüsseltresors zuzuweisen. Um Schlüssel für die CMK-Verschlüsselung zu erstellen und zu verwalten, weisen Sie die Key Vault Crypto Officer Rolle Ihrem Benutzerkonto zu.

Generieren eines Schlüssels für CMK in Key Vault

  1. Navigieren Sie im Portal zum Schlüsseltresor, und wählen Sie Keys.
  2. Wähle Generate/Import aus.
  3. Geben Sie den Namen für den neuen Schlüssel ein.
  4. Wählen Sie "Erstellen" aus. Die Standardoptionen erzeugen einen RSA-2048-Schlüssel.
  5. Kopieren Sie den von Ihnen erstellten Schlüsselnamen.
  6. Sie können sich von der Administrator-VM abmelden.

Erstellen einer benutzerseitig zugewiesenen verwalteten Identität

Erstellen Sie eine vom Benutzer zugewiesene verwaltete Identität für die Enklave.

Weiterführende Lektüre

  • Zuletzt aktualisiert um