Maak een account aan dat klantbeheerde sleutels ondersteunt voor tabellen en wachtrijen

Azure Storage versleutelt alle gegevens in een opslagaccount in rusttoestand. Standaard gebruiken wachtrijopslag en tabelopslag een sleutel die aan de dienst is gekoppeld en door Microsoft wordt beheerd. Je kunt er ook voor kiezen om klantbeheerde sleutels te gebruiken om wachtrij- of tabelgegevens te versleutelen. Om klantbeheerde sleutels met wachtrijen en tabellen te gebruiken, moet je eerst een opslagaccount aanmaken dat een encryptiesleutel gebruikt die is gekoppeld aan het account in plaats van aan de service. Nadat je een account hebt aangemaakt dat de accountencryptiesleutel gebruikt voor wachtrij- en tabelgegevens, kun je klantbeheerde sleutels voor dat opslagaccount configureren.

Dit artikel beschrijft hoe je een opslagaccount aanmaakt dat afhankelijk is van een sleutel die aan het account is gekoppeld. Wanneer het account voor het eerst wordt aangemaakt, gebruikt Microsoft de accountsleutel om de gegevens in het account te versleutelen, en beheert Microsoft de sleutel. Je kunt vervolgens klantbeheerde sleutels voor het account configureren om van die voordelen te profiteren, waaronder de mogelijkheid om je eigen sleutels te verstrekken, de sleutelversie bij te werken, de sleutels te roteren en toegangscontroles in te trekken.

Maak een account aan dat de encryptiesleutel van het account gebruikt

Je moet een nieuw opslagaccount configureren om de accountencryptiesleutel te gebruiken voor wachtrijen en tabellen op het moment dat je het opslagaccount aanmaakt. De scope van de encryptiesleutel kan niet worden gewijzigd nadat het account is aangemaakt.

Het opslagaccount moet van het type algemene toepassing v2 zijn. Je kunt het opslagaccount aanmaken en configureren om te vertrouwen op de accountencryptiesleutel door gebruik te maken van het Azure-portaal, PowerShell, Azure CLI of een Azure Resource Manager-sjabloon.

Voor meer informatie over het aanmaken van een opslagaccount, zie Een opslagaccount aanmaken.

Opmerking

Alleen wachtrij- en tabelopslag kunnen optioneel worden geconfigureerd om gegevens te versleutelen met de accountencryptiesleutel wanneer het opslagaccount wordt aangemaakt. Blob storage en Azure Files gebruiken altijd de accountencryptiesleutel om data te versleutelen.

Om een opslagaccount aan te maken dat afhankelijk is van de accountencryptiesleutel met het Azure-portaal, volgt u deze stappen:

Zoek in het zoekvak bovenaan het Azure-portaal naar en selecteer Storage-accounts.
Selecteer Nieuw op de pagina Opslagaccounts.
Vul de velden in op het tabblad Basis.
Vind op het tabblad Geavanceerd de sectie Tabellen en Wachtrijen en selecteer Ondersteuning inschakelen voor door klanten beheerde sleutels.

Om PowerShell te gebruiken om een opslagaccount aan te maken dat afhankelijk is van de accountencryptiesleutel, zorg ervoor dat je de Azure PowerShell-module, versie 3.4.0 of later, hebt geïnstalleerd. Zie De Azure PowerShell-module installeren voor meer informatie.

Maak vervolgens een algemeen v2 opslagaccount aan door het commando New-AzStorageAccount aan te roepen, met de juiste parameters:

Voeg de optie -EncryptionKeyTypeForQueue toe en stel de waarde ervan in op Account om de accountencryptiesleutel te gebruiken voor het versleutelen van gegevens in Queue-opslag.
Voeg de optie -EncryptionKeyTypeForTable toe en stel de waarde ervan in op Account om de accountencryptiesleutel te gebruiken om gegevens in Table-opslag te versleutelen.

Het volgende voorbeeld laat zien hoe je een algemeen v2-opslagaccount kunt aanmaken dat is geconfigureerd voor leestoegang geo-redundante opslag (RA-GRS) en dat de accountencryptiesleutel gebruikt om gegevens te versleutelen voor zowel de wachtrij- als de tabelopslag. Vergeet niet om de tijdelijke aanduidingen tussen haakjes te vervangen door uw eigen waarden:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Om Azure CLI te gebruiken om een opslagaccount aan te maken dat afhankelijk is van de accountencryptiesleutel, zorg ervoor dat je Azure CLI versie 2.0.80 of later hebt geïnstalleerd. Zie De Azure CLI installeren voor meer informatie.

Maak vervolgens een algemeen v2 opslagaccount aan door het az storage account create-commando aan te roepen, met de juiste parameters:

Voeg de optie --encryption-key-type-for-queue toe en stel de waarde ervan in op Account om de versleutelingssleutel van het account te gebruiken om gegevens in Queue-opslag te versleutelen.
Voeg de optie --encryption-key-type-for-table toe en stel de waarde ervan in op Account om de accountencryptiesleutel te gebruiken om gegevens in Table-opslag te versleutelen.

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

Het volgende JSON-voorbeeld creëert een algemeen v2-opslagaccount dat is geconfigureerd voor leestoegang geo-redundante opslag (RA-GRS) en dat de accountencryptiesleutel gebruikt om gegevens te versleutelen voor zowel Queue- als Table-opslag. Vergeet niet de plaatsvervangende waarden tussen haakjes te vervangen door je eigen waarden:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Nadat je een account hebt aangemaakt dat afhankelijk is van de accountencryptiesleutel, kun je klantbeheerde sleutels configureren die zijn opgeslagen in Azure Key Vault of in Key Vault Managed Hardware Security Model (HSM). Om te leren hoe je klantbeheerde sleutels opslaat in een sleutelkluis, zie Configureren encryptie met klantbeheerde sleutels opgeslagen in Azure Key Vault. Om te leren hoe u klantbeheerde sleutels opslaat in een beheerde HSM, zie Configureer encryptie met klantbeheerde sleutels opgeslagen in Azure Key Vault Managed HSM.

Controleer de accountencryptiesleutel

Nadat je het account hebt aangemaakt, kun je verifiëren dat het opslagaccount een encryptiesleutel gebruikt die aan het account is gekoppeld door gebruik te maken van het Azure-portaal, PowerShell of Azure CLI.

Om te verifiëren dat een dienst in een opslagaccount een encryptiesleutel gebruikt die via het Azure-portaal aan het account is gekoppeld, volgt u deze stappen:

Navigeer naar uw nieuwe opslagaccount in Azure Portal.
Selecteer in de sectie Beveiliging + NetwerkenVersleuteling.
Als het opslagaccount is aangemaakt om te vertrouwen op de accountencryptiesleutel, zie je op het tabblad Versleuteling dat klantbeheerde sleutels kunnen worden ingeschakeld voor alle vier de Azure Storage-diensten: blobs, bestanden, tabellen en wachtrijen.

Om te verifiëren dat een dienst in een opslagaccount de accountencryptiesleutel met PowerShell gebruikt, roep je het Get-AzStorageAccount-commando aan. Dit commando geeft een set van opslagaccounteigenschappen en hun waarden terug. Zoek naar het KeyType veld voor elke dienst binnen de Encryption property en controleer of deze is ingesteld op Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Om te verifiëren dat een dienst in een opslagaccount de accountencryptiesleutel met Azure CLI gebruikt, roep je het az storage account show-commando aan. Dit commando geeft een set van opslagaccounteigenschappen en hun waarden terug. Zoek naar het keyType veld voor elke dienst binnen de encryptieeigenschap en controleer of het is ingesteld op Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

Nadat je hebt gecontroleerd dat het opslagaccount een encryptiesleutel gebruikt die aan het account is gekoppeld, kun je klantbeheerde sleutels voor het account inschakelen. Alle vier de Azure Storage-diensten—blobs, bestanden, tabellen en wachtrijen—gebruiken vervolgens de door de klant beheerde sleutel voor encryptie.

Prijsstelling en facturering

Een opslagaccount dat is aangemaakt om een encryptiesleutel te gebruiken die aan het account is gekoppeld, wordt voor de opslagcapaciteit en transacties in de Table tegen een ander tarief gefactureerd dan een account dat de standaard service-scoped sleutel gebruikt. Voor details, zie Azure-tabelopslag prijsstelling.

Volgende stappen

Feedback

Is deze pagina nuttig?

Last updated on 2026-09-02