Panoramica delle chiavi gestite dal cliente

Registro Azure Container crittografa automaticamente le immagini e gli altri artefatti archiviati. Per impostazione predefinita, Azure crittografa automaticamente il contenuto del registro a riposo usando le chiavi gestite dal servizio. Utilizzando una chiave gestita dal cliente, è possibile integrare la crittografia predefinita con un ulteriore livello di crittografia.

Questo articolo è la prima parte di una serie di esercitazioni in quattro parti. Il tutorial copre:

Informazioni sulle chiavi gestite dal cliente

Quando si usa una chiave gestita dal cliente, si usa la propria chiave in Azure Key Vault o Azure Key Vault Managed HSM. Quando si abilita una chiave gestita dal cliente, è possibile gestire le rotazioni, controllare l'accesso e le autorizzazioni per il suo utilizzo.

Le funzionalità principali includono:

• Conformità alle normative: Azure crittografa automaticamente il contenuto del registro inattivo con chiavi gestite dal servizio, ma la crittografia delle chiavi gestite dal cliente consente di soddisfare le linee guida per la conformità alle normative.

• Integrazione con Azure Key Vault: le chiavi gestite dal cliente supportano la crittografia lato server tramite l'integrazione con Azure Key Vault e Azure Key Vault Managed HSM. È possibile creare o importare chiavi di crittografia in uno dei due archivi di chiavi.

• Gestione del ciclo di vita chiave: l'integrazione di chiavi gestite dal cliente con Key Vault o HSM gestito offre il controllo completo e la responsabilità per il ciclo di vita delle chiavi, inclusa la rotazione e la gestione.

Prima di abilitare una chiave gestita dal cliente

Prima di configurare Registro Azure Container con una chiave gestita dal cliente, prendere in considerazione le informazioni seguenti:

• Questa funzionalità è disponibile per il livello di servizio Premium di un registro container. Per altre informazioni, vedere Livelli di servizio di Registro Azure Container.
• Attualmente è possibile abilitare una chiave gestita dal cliente solo quando si crea un registro.
• Non è possibile disabilitare la crittografia dopo aver abilitato una chiave gestita dal cliente in un registro.
• È necessario configurare un'identità gestita assegnata dall'utente per accedere al keystore. In un secondo momento, se necessario, è possibile abilitare l'identità gestita assegnata dal sistema del registro per l'accesso alle chiavi.
• Registro Azure Container supporta solo chiavi RSA o RSA-HSM. Le chiavi a curva ellittica non sono attualmente supportate.
• Prima di configurarlo per la crittografia del Registro di sistema, è necessario effettuare il provisioning e attivare un modulo di protezione hardware gestito. Per altre informazioni, vedere Effettuare il provisioning e attivare un modulo di protezione hardware gestito.
• Managed HSM usa il controllo di accesso basato sui ruoli (RBAC) locale, non i criteri di accesso di Key Vault. Assegnare all'identità del registro il ruolo Utente della crittografia del servizio Crypto HSM gestito, preferibilmente nell'ambito della chiave di crittografia.
• La disponibilità del modulo di protezione hardware gestito varia in base al cloud Azure e all'area. Verificare che Managed HSM sia disponibile nell'area geografica e nel cloud in cui si prevede di usarlo.
• In un registro crittografato con una chiave gestita dal cliente, è possibile conservare i log per le attività di Registro Azure Container solo per 24 ore. Per conservare i log per un periodo più lungo, vedere Visualizzare e gestire i log di esecuzione delle attività.
• Il Content trust non è attualmente supportato in un registro crittografato con una chiave gestita dal cliente.

Aggiornare la versione della chiave gestita dal cliente

Registro Azure Container supporta sia la rotazione automatica che quella manuale delle chiavi di crittografia del registro quando è disponibile una nuova versione della chiave nell'insieme di credenziali delle chiavi o in HSM gestito.

• Aggiorna automaticamente la versione della chiave: quando un registro viene crittografato con una chiave senza controllo delle versioni, Registro Azure Container controlla regolarmente l'archivio chiavi per una nuova versione della chiave e aggiorna la chiave gestita dal cliente entro un'ora. Omettere la versione della chiave quando si abilita la crittografia del registro con una chiave gestita dal cliente. Registro Azure Container userà quindi e aggiornerà automaticamente la chiave alla versione più recente.

• Aggiornare manualmente la versione della chiave: quando un registro viene crittografato con una versione di chiave specifica, Registro Azure Container usa tale versione per la crittografia fino a quando non si ruota manualmente la chiave gestita dal cliente. È consigliabile specificare la versione della chiave quando si abilita la crittografia del registro con una chiave gestita dal cliente. Registro Azure Container userà quindi una versione specifica di una chiave per la crittografia del registro.

Per i dettagli, vedere Rotazione delle chiavi e Aggiornamento della versione della chiave.

Passaggi successivi

• Per abilitare il registro contenitori con una chiave gestita dal cliente tramite l'interfaccia della riga di comando di Azure, il portale di Azure o un modello di Azure Resource Manager, passare all'articolo successivo: Abilitare il registro container con una chiave gestita dal cliente.
• Altre informazioni sulla crittografia dei dati archiviati in Azure.
• Informazioni su come proteggere l'accesso a un Key Vault o gestire i ruoli RBAC locali di Managed HSM.