Crea una cuenta que soporte claves gestionadas por el cliente para tablas y colas

Azure Storage cifra todos los datos de una cuenta de almacenamiento en reposo. Por defecto, el almacenamiento en cola y el almacenamiento en tabla utilizan una clave que está asignada al servicio y gestionada por Microsoft. También puedes optar por usar claves gestionadas por el cliente para cifrar datos de colas o tablas. Para usar claves gestionadas por el cliente con colas y tablas, primero debes crear una cuenta de almacenamiento que utilice una clave de cifrado que esté vinculada a la cuenta, en lugar de al servicio. Después de crear una cuenta que utilice la clave de cifrado de la cuenta para los datos de colas y tablas, puedes configurar las claves gestionadas por el cliente para esa cuenta de almacenamiento.

Este artículo describe cómo crear una cuenta de almacenamiento que dependa de una clave que esté vinculada a la cuenta. Cuando la cuenta se crea por primera vez, Microsoft utiliza la clave de la cuenta para cifrar los datos de la cuenta, y Microsoft gestiona la clave. Posteriormente puedes configurar las claves gestionadas por el cliente para la cuenta y aprovechar esos beneficios, incluyendo la posibilidad de proporcionar tus propias llaves, actualizar la versión de la clave, rotar las claves y revocar controles de acceso.

Crea una cuenta que utilice la clave de cifrado de la cuenta

Debes configurar una nueva cuenta de almacenamiento para usar la clave de cifrado de la cuenta para las colas y las tablas en el momento de crear la cuenta de almacenamiento. El alcance de la clave de cifrado no puede cambiarse una vez creada la cuenta.

La cuenta de almacenamiento debe ser de tipo de propósito general v2. Puedes crear la cuenta de almacenamiento y configurarla para que dependa de la clave de cifrado de la cuenta usando el portal de Azure, PowerShell, CLI de Azure o una plantilla de Azure Resource Manager.

Para saber más sobre cómo crear una cuenta de almacenamiento, consulta Crear una cuenta de almacenamiento.

Note

Solo el almacenamiento en colas y tablas puede configurarse opcionalmente para cifrar datos con la clave de cifrado de la cuenta cuando se crea la cuenta de almacenamiento. El almacenamiento de blobs y Azure Files siempre usan la clave de cifrado de la cuenta para cifrar los datos.

Para crear una cuenta de almacenamiento que dependa de la clave de cifrado de cuenta con el portal de Azure, sigue estos pasos:

En el cuadro de búsqueda en la parte superior del portal de Azure, busca y selecciona Cuentas de almacenamiento.
En la página Cuentas de almacenamiento , seleccione Nuevo.
Rellena los campos en la pestaña de Conceptos Básicos .
En la pestaña Avanzado, localiza la sección Tablas y Colas y selecciona Habilitar soporte para claves gestionadas por el cliente.

Para usar PowerShell y crear una cuenta de almacenamiento que dependa de la clave de cifrado de la cuenta, asegúrate de haber instalado el módulo de Azure PowerShell, versión 3.4.0 o posterior. Para más información, consulte Instalación del módulo de Azure PowerShell.

A continuación, crea una cuenta de almacenamiento v2 de propósito general llamando al comando New-AzStorageAccount , con los parámetros apropiados:

Incluya la opción -EncryptionKeyTypeForQueue y establezca su valor en Account para usar la clave de cifrado de la cuenta para cifrar datos en el almacenamiento de colas.
Incluye la -EncryptionKeyTypeForTable opción y establece su valor como Account para usar la clave de cifrado de la cuenta para cifrar datos en el almacenamiento de tablas.

El siguiente ejemplo muestra cómo crear una cuenta de almacenamiento de uso general v2 configurada con almacenamiento con redundancia geográfica con acceso de lectura (RA-GRS) y que usa la clave de cifrado de la cuenta para cifrar datos tanto en el almacenamiento de colas como en el almacenamiento de tablas. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Para usar CLI de Azure y crear una cuenta de almacenamiento que dependa de la clave de cifrado de cuenta, asegúrate de haber instalado CLI de Azure versión 2.0.80 o posterior. Para más información, consulte Instalación de la CLI de Azure.

A continuación, crea una cuenta de almacenamiento v2 de uso general mediante el comando az storage account create, con los parámetros adecuados:

Incluye la opción --encryption-key-type-for-queue y establece su valor en Account para usar la clave de cifrado de la cuenta para cifrar datos en Queue Storage.
Incluye la --encryption-key-type-for-table opción y establece su valor como Account para usar la clave de cifrado de la cuenta para cifrar datos en el almacenamiento de tablas.

El siguiente ejemplo muestra cómo crear una cuenta de almacenamiento de uso general v2 configurada con almacenamiento con redundancia geográfica con acceso de lectura (RA-GRS) y utiliza la clave de cifrado de la cuenta para cifrar datos tanto en Queue Storage como en Table Storage. No olvide reemplazar los valores del marcador de posición entre corchetes con sus propios valores:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

El siguiente ejemplo de JSON crea una cuenta de almacenamiento de uso general v2 configurada para almacenamiento con redundancia geográfica y acceso de lectura (RA-GRS), y utiliza la clave de cifrado de la cuenta para cifrar datos tanto en Queue Storage como en Table Storage. Recuerda reemplazar los valores provisionales entre corchetes angulares por tus propios valores:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Después de crear una cuenta que dependa de la clave de cifrado de cuenta, puedes configurar claves gestionadas por el cliente que se almacenan en Azure Key Vault o en Key Vault Managed Hardware Security Model (HSM). Para aprender cómo almacenar claves gestionadas por el cliente en una bóveda de claves, consulte Configurar cifrado con claves gestionadas por el cliente almacenadas en Azure Key Vault. Para aprender cómo almacenar claves gestionadas por el cliente en un HSM gestionado, consulte Configurar cifrado con claves gestionadas por el cliente almacenadas en Azure Key Vault Managed HSM.

Verifica la clave de cifrado de la cuenta

Después de crear la cuenta, puedes verificar que la cuenta de almacenamiento utiliza una clave de cifrado que está vinculada a la cuenta usando el portal de Azure, PowerShell o CLI de Azure.

Para verificar que un servicio en una cuenta de almacenamiento utiliza una clave de cifrado que se asigna a la cuenta con el portal de Azure, sigue estos pasos:

Vaya a la nueva cuenta de almacenamiento en Azure Portal.
En la sección Seguridad + Redes , selecciona Cifrado.
Si la cuenta de almacenamiento se creó para depender de la clave de cifrado de la cuenta, verás en la pestaña de Cifrado que las claves gestionadas por el cliente pueden activarse para los cuatro servicios de Azure Storage: blobs, archivos, tablas y colas.

Para verificar que un servicio en una cuenta de almacenamiento está usando la clave de cifrado de cuenta con PowerShell, llama al comando Get-AzStorageAccount . Este comando devuelve un conjunto de propiedades de la cuenta de almacenamiento y sus valores. Busca el KeyType campo de cada servicio dentro de la Encryption propiedad y verifica que esté configurado como Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Para verificar que un servicio en una cuenta de almacenamiento está usando la clave de cifrado de cuenta con CLI de Azure, llama al comando muestra la cuenta de almacenamiento de az. Este comando devuelve un conjunto de propiedades de la cuenta de almacenamiento y sus valores. Busca el keyType campo para cada servicio dentro de la propiedad de cifrado y verifica que esté configurado como Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

Después de verificar que la cuenta de almacenamiento utiliza una clave de cifrado vinculada a la cuenta, puedes habilitar las claves gestionadas por el cliente para la cuenta. Los cuatro servicios de Azure Storage—blobs, archivos, tablas y colas—usarán entonces la clave gestionada por el cliente para el cifrado.

Precios y facturación

Una cuenta de almacenamiento creada para usar una clave de cifrado de ámbito de cuenta se factura a una tarifa distinta por la capacidad y las transacciones de almacenamiento de tablas que una cuenta que usa la clave predeterminada de ámbito de servicio. Para más detalles, consulta Azure Table Storage pricing.

Pasos siguientes

Comentarios

¿Le ha resultado útil esta página?

Last updated on 2026-09-02