Configura la crittografia della chiave gestita dal cliente (CMK) all'interno di un'enclave

Il modo più veloce per distribuire le chiavi gestite dal cliente e rimanere conformi alla policy Azure Enclave che richiede CMK è tramite il modello di catalogo di servizi Common Dependencies.

Sono disponibili diversi tipi di crittografia per proteggere i dati in dischi gestiti e altri servizi PaaS Azure, tra cui Crittografia dischi di Azure (ADE), crittografia Server-Side (SSE) e crittografia nell'host. La governance predefinita e la postura di cybersecurity di Azure Enclave richiedono la crittografia delle chiavi gestita dal cliente per tutte le risorse distribuite in un enclave.

Prerequisiti per il metodo di distribuzione manuale

  • Accesso al portale dalla VM amministrativa (di solito 192.168.x.x/26).
    • Crea un endpoint comunitario per il portale Azure e i servizi Microsoft Azure.
      • È possibile creare un endpoint predefinito all'interno della community che definisce l'accesso a siti ed endpoint di Microsoft comuni. In tal caso, è possibile ignorare questo passaggio.
    • Creare una connessione enclave con l'endpoint della community.
  • Si ha il ruolo Key Vault Contributor nel gruppo di risorse key vault o del carico di lavoro che contiene il key vault.

Passaggi in questa guida

Insieme di credenziali delle chiavi dell'enclave

Azure Enclave potrebbe creare o riutilizzare un Key Vault nel gruppo di risorse gestito dell'enclave per la configurazione CMK di archiviazione del flow-log. Per le chiavi applicative del cliente e altre risorse di carico di lavoro, crea il Key Vault in un gruppo di risorse di carico di lavoro. Azure Key Vault è un servizio cloud per l'archiviazione e l'accesso ai segreti in modo sicuro. Un segreto è qualsiasi elemento a cui si vuole controllare rigorosamente l'accesso, ad esempio chiavi API, password, certificati o chiavi crittografiche. Di default, i contributori dell'enclave possono caricare chiavi, segreti o certificati su un Key Vault distribuito per l'enclave e utilizzare le funzionalità Azure esistenti e i pattern di progettazione di altri servizi Azure per supportare la crittografia CMK.

Le sezioni successive forniscono esempi di configurazione della crittografia CMK, con istruzioni o articoli più dettagliati .

Crea una chiave nel Key Vault

Set di crittografia dischi (Windows IaaS)

Esempio di Azure PaaS (account di archiviazione)

Creare cmk dal catalogo dei servizi (più veloce e semplice)

Seguire queste istruzioni per creare un insieme di credenziali dal catalogo dei servizi dei modelli convalidati per i servizi Azure comuni.

Crea CMK tramite il portale

In alternativa, puoi creare un CMK tramite il portale Azure.

Passaggi in questa guida

  1. Abilita l'accesso dell'enclave al portale Azure.
  2. Accedi alla VM Admin.
  3. Apri il portale Azure dalla VM Admin.
  4. Assegna i permessi RBAC di Key Vault dalla VM Admin.
  5. Genera una chiave per CMK in Key Vault.

Abilitare l'accesso all'enclave al portale di Azure

L'accesso all'insieme di credenziali delle chiavi è limitato alla rete virtuale KV, quindi è necessario creare la chiave dell'insieme di credenziali delle chiavi nel portale di Azure dalla VM di amministrazione.

Accedi alla VM Admin

Segui queste istruzioni per la VM di amministrazione per effettuare l’accesso.

Apri il portale Azure dalla VM Admin

  1. Dopo aver effettuato l'accesso alla VM Admin, apri Microsoft Edge (ad esempio, tramite il menu Start).
  2. Vai a https://portal.azure.com o all'URL del portale specifico del dominio.

Assegna i permessi Key Vault RBAC dalla VM Admin

Seguire Concedere alle applicazioni l'autorizzazione ad accedere a un insieme di credenziali delle chiavi di Azure usando RBAC di Azure per assegnare il ruolo appropriato nell'ambito dell'insieme di credenziali delle chiavi. Per creare e gestire le chiavi per la crittografia CMK, assegna il Key Vault Crypto Officer ruolo al tuo account utente.

Generare la chiave per cmk in Key Vault

  1. Nel portale, andare all'insieme di credenziali e selezionare Keys.
  2. Seleziona Generate/Import.
  3. Immettere il nome per la nuova chiave.
  4. Fare clic su Crea. Le opzioni predefinite creano una chiave RSA 2048.
  5. Copiare il nome della chiave creato.
  6. È possibile disconnettersi dalla macchina virtuale di amministrazione.

Creare un'identità gestita assegnata dall'utente

Creare un'identità gestita assegnata dall'utente per l'enclave.

Ulteriori letture

  • Ultimo aggiornamento: