Door de klant beheerde sleutels voor Azure Storage-versleuteling

U kunt uw eigen versleutelingssleutel gebruiken om de gegevens in uw opslagaccount te beveiligen. Wanneer je een door de klant beheerde sleutel specificeert, gebruikt Azure Storage die sleutel om de toegang tot de sleutel die je gegevens versleutelt te beschermen en te controleren. Door de klant beheerde sleutels bieden meer flexibiliteit om toegangsbeheer te beheren.

U moet een van de volgende Azure-sleutelarchieven gebruiken om uw door de klant beheerde sleutels op te slaan:

U kunt uw eigen sleutels maken en opslaan in de sleutelkluis of beheerde HSM, of u kunt de Azure Key Vault-API's gebruiken om sleutels te genereren. Het opslagaccount en de sleutelkluis of beheerde HSM kunnen zich in verschillende Microsoft Entra-tenants, -regio's en -abonnementen bevinden.

Opmerking

Azure Key Vault en Azure Key Vault Managed HSM ondersteunen dezelfde API's en beheerinterfaces voor de configuratie van door de klant beheerde sleutels. Elke actie die wordt ondersteund voor Azure Key Vault, wordt ook ondersteund voor beheerde HSM van Azure Key Vault.

Over door de klant beheerde sleutels

Het volgende diagram laat zien hoe Azure Storage Microsoft Entra ID en een sleutelkluis of beheerde HSM gebruikt om verzoeken te doen met behulp van de klantbeheerde sleutel:

Diagram van hoe klantbeheerde sleutels werken in Azure Storage met Microsoft Entra ID en een sleutelkluis.

In de volgende lijst worden de genummerde stappen in het diagram uitgelegd:

  1. Een Azure Key Vault-beheerder verleent machtigingen aan versleutelingssleutels voor een beheerde identiteit. De beheerde identiteit kan een door de gebruiker toegewezen beheerde identiteit zijn die je aanmaakt en beheert, of een systeem-toegewezen beheerde identiteit die aan het opslagaccount is gekoppeld.
  2. Een Azure Storage-beheerder configureert versleuteling met een door de klant beheerde sleutel voor het opslagaccount.
  3. Azure Storage maakt gebruik van de beheerde identiteit waaraan de Azure Key Vault-beheerder machtigingen heeft verleend in stap 1 om toegang tot Azure Key Vault te verifiëren via Microsoft Entra-id.
  4. Azure Storage verpakt de accountversleutelingssleutel met de door de klant beheerde sleutel in Azure Key Vault.
  5. Voor lees- en schrijfoperaties stuurt Azure Storage verzoeken naar Azure Key Vault om de accountsleutel te ontvouwen en versleutelings- en ontsleutelingsoperaties uit te voeren.

De beheerde identiteit die is gekoppeld aan het opslagaccount, moet minimaal over deze machtigingen beschikken om toegang te krijgen tot een door de klant beheerde sleutel in Azure Key Vault:

  • wrapkey
  • uitpakkensleutel
  • verkrijg

Zie Sleuteltypen, algoritmen en bewerkingen voor meer informatie over sleutelmachtigingen.

Azure Policy biedt een ingebouwd beleid om te vereisen dat opslagaccounts door de klant beheerde sleutels gebruiken voor Blob Storage- en Azure Files-workloads. Zie de sectie Storage in ingebouwde azure Policy-beleidsdefinities voor meer informatie.

Door de klant beheerde sleutels voor wachtrijen en tabellen

Gegevens die zijn opgeslagen in Queue and Table Storage worden niet automatisch beschermd door een door klanten beheerde sleutel wanneer je klantbeheerde sleutels voor het opslagaccount inschakelt. Je kunt deze diensten optioneel configureren om in deze bescherming te vallen wanneer je het opslagaccount aanmaakt.

Zie Een account maken dat door de klant beheerde sleutels voor tabellen en wachtrijen ondersteunt voor meer informatie over het maken van een opslagaccount dat door de klant beheerde sleutels voor wachtrijen en tabellen ondersteunt.

Data in Blob Storage en Azure Files wordt altijd beschermd door klantbeheerde sleutels wanneer je klantbeheerde sleutels voor het opslagaccount configureert.

Door de klant beheerde sleutels inschakelen voor een opslagaccount

Wanneer u door de klant beheerde sleutels voor een opslagaccount configureert, verpakt Azure Storage de hoofdsleutel voor gegevensversleuteling voor het account met de door de klant beheerde sleutel in de bijbehorende sleutelkluis of beheerde HSM. De beveiliging van de hoofdversleutelingssleutel verandert, maar de gegevens in uw Azure Storage-account blijven altijd versleuteld. Je hoeft geen extra actie te ondernemen om ervoor te zorgen dat je data versleuteld blijft. Beveiliging door door de klant beheerde sleutels wordt onmiddellijk van kracht.

U kunt op elk gewenst moment schakelen tussen door de klant beheerde sleutels en door Microsoft beheerde sleutels. Zie Over versleutelingssleutelbeheer voor meer informatie over door Microsoft beheerde sleutels.

Vereisten voor key vault

De sleutelkluis of beheerde HSM die de sleutel opslaat, moet aan de volgende eisen voldoen:

  • Zacht verwijderen is ingeschakeld.
  • Beveiliging tegen zuivering is ingeschakeld.
  • De sleutel is een RSA of RSA-HSM sleutel.
  • De sleutelgrootte is 2048, 3072 of 4096.

Zie Over sleutels voor meer informatie over sleutels.

Een sleutelkluis of beheerde HSM heeft bijbehorende kosten. Zie De prijzen van Key Vault voor meer informatie.

Door de klant beheerde sleutels met een sleutelkluis in dezelfde tenant

U kunt door de klant beheerde sleutels configureren met de sleutelkluis en het opslagaccount in dezelfde tenant of in verschillende Microsoft Entra-tenants. Zie een van de volgende artikelen voor meer informatie over het configureren van Azure Storage-versleuteling met door de klant beheerde sleutels wanneer de sleutelkluis en het opslagaccount zich in dezelfde tenants bevinden:

Wanneer u klantbeheerde sleutels inschakelt met een sleutelkluis in dezelfde tenant, moet u een beheerde identiteit specificeren om toegang te autoriseren tot de sleutelkluis die de sleutel bevat. De beheerde identiteit kan zowel een door de gebruiker toegewezen als een door het systeem toegewezen beheerde identiteit zijn:

  • Wanneer u door de klant beheerde sleutels configureert op het moment dat u een opslagaccount maakt, moet u een door de gebruiker toegewezen beheerde identiteit gebruiken.
  • Wanneer u door de klant beheerde sleutels configureert voor een bestaand opslagaccount, kunt u een door de gebruiker toegewezen beheerde identiteit of een door het systeem toegewezen beheerde identiteit gebruiken.

Zie Beheerde identiteiten voor Azure-resources voor meer informatie over door het systeem toegewezen versus door de gebruiker toegewezen beheerde identiteiten. Zie Door de gebruiker toegewezen beheerde identiteiten beheren voor meer informatie over het maken en beheren van een door de gebruiker toegewezen beheerde identiteiten.

Klantbeheerde sleutels met een sleutelkluis in een andere tenant

Zie een van de volgende artikelen voor meer informatie over het configureren van Azure Storage-versleuteling met door de klant beheerde sleutels wanneer de sleutelkluis en het opslagaccount zich in verschillende Microsoft Entra-tenants bevinden:

Door de klant beheerde sleutels met een beheerde HSM

U kunt door de klant beheerde sleutels configureren met een door Azure Key Vault beheerde HSM voor een nieuw of bestaand account. En u kunt door de klant beheerde sleutels configureren met een beheerde HSM die zich in dezelfde tenant bevindt als het opslagaccount of in een andere tenant. Het proces voor het configureren van door de klant beheerde sleutels in een beheerde HSM is hetzelfde als voor het configureren van door de klant beheerde sleutels in een sleutelkluis, maar de machtigingen zijn iets anders. Zie Versleuteling configureren met door de klant beheerde sleutels die zijn opgeslagen in azure Key Vault Managed HSM voor meer informatie.

Werk de versie van de sleutel bij

Om de cryptografische best practices te volgen, roteer je de sleutel die je opslagaccount beschermt op een regelmatig schema, meestal minstens elke twee jaar. Azure Storage wijzigt nooit de sleutel in de sleutelkluis, maar u kunt een sleutelrotatiebeleid configureren om de sleutel te roteren op basis van uw nalevingsvereisten. Zie Automatische rotatie van cryptografische sleutels configureren in Azure Key Vault voor meer informatie.

Nadat de sleutel is geroteerd in de sleutelkluis, moet je de configuratie van klantbeheerde sleutels voor je opslagaccount bijwerken zodat je de nieuwe sleutelversie kan gebruiken. Klantbeheerde sleutels ondersteunen zowel automatische als handmatige bijwerking van de sleutelversie voor de sleutel die het account beschermt. U kunt bepalen welke benadering u wilt gebruiken wanneer u door de klant beheerde sleutels configureert of wanneer u uw configuratie bijwerkt.

Wanneer u de sleutel of de sleutelversie wijzigt, verandert de beveiliging van de hoofdversleutelingssleutel, maar blijven de gegevens in uw Azure Storage-account altijd versleuteld. U hoeft geen extra actie te ondernemen om ervoor te zorgen dat uw gegevens worden beveiligd. Het roteren van de versie van de sleutel heeft geen invloed op de prestaties. Er is geen uitvaltijd wanneer je de sleutelversie roteert.

Belangrijk

Om een sleutel te vernieuwen, maakt u een nieuwe versie van de sleutel in de sleutelkluis of beheerde HSM volgens uw nalevingsvereisten. Azure Storage regelt geen sleutelrotatie, dus je moet de rotatie van de sleutel in de sleutelkluis beheren.

Wanneer je de sleutel roteert die wordt gebruikt voor klantbeheerde sleutels, wordt die actie momenteel niet gelogd in de Azure Monitor-logs van Azure Storage.

De sleutelversie automatisch bijwerken

Als u automatisch een door de klant beheerde sleutel wilt bijwerken wanneer er een nieuwe versie beschikbaar is, laat u de sleutelversie weg wanneer u versleuteling inschakelt met door de klant beheerde sleutels voor het opslagaccount. Als je de sleutelversie weglaat, controleert Azure Storage dagelijks de sleutelkluis of beheerde HSM op een nieuwe versie van een door klanten beheerde sleutel. Als er een nieuwe sleutelversie beschikbaar is, gebruikt Azure Storage automatisch de nieuwste versie van de sleutel.

Azure Storage controleert de Key Vault maar eenmaal per dag op een nieuwe sleutelversie. Wanneer u een sleutel draait, wacht u 24 uur voordat u de oudere versie uitschakelt.

Als het opslagaccount eerder is geconfigureerd voor het handmatig bijwerken van de sleutelversie en u het account wilt wijzigen om automatisch bij te werken, moet u de sleutelversie mogelijk expliciet wijzigen in een lege tekenreeks. Zie Versleuteling configureren voor het automatisch bijwerken van sleutelversies voor meer informatie over hoe u dit doet.

De sleutelversie handmatig bijwerken

Als u een specifieke versie van een sleutel voor Azure Storage-versleuteling wilt gebruiken, geeft u die sleutelversie op wanneer u versleuteling inschakelt met door de klant beheerde sleutels voor het opslagaccount. Als je de sleutelversie specificeert, gebruikt Azure Storage die versie voor encryptie totdat je de sleutelversie handmatig bijwerkt.

Wanneer je expliciet de sleutelversie specificeert, moet je het opslagaccount handmatig bijwerken om de nieuwe sleutelversie-URI te gebruiken wanneer een nieuwe versie wordt aangemaakt. Als u wilt leren hoe u het opslagaccount kunt bijwerken om een nieuwe versie van de sleutel te gebruiken, zie Versleuteling configureren met door de klant beheerde sleutels die zijn opgeslagen in Azure Key Vault of versleuteling configureren met door de klant beheerde sleutels die zijn opgeslagen in Azure Key Vault Managed HSM.

Toegang intrekken tot een opslagaccount dat gebruikmaakt van door de klant beheerde sleutels

Als u de toegang wilt intrekken tot een opslagaccount dat door de klant beheerde sleutels gebruikt, schakelt u de sleutel uit in de sleutelkluis. Zie Toegang intrekken tot een opslagaccount dat gebruikmaakt van door de klant beheerde sleutels voor meer informatie over het uitschakelen van de sleutel.

Nadat de sleutel is uitgeschakeld, kunnen clients geen bezigheden aanroepen die lezen van of schrijven naar een resource of diens metadata. Pogingen om deze bewerkingen aan te roepen mislukken met foutcode 403 (Verboden) voor alle gebruikers.

Als u deze bewerkingen opnieuw wilt aanroepen, herstelt u de toegang tot de door de klant beheerde sleutel.

Alle databewerkingen die niet in de volgende secties worden vermeld, kunnen doorgaan nadat klantbeheerde sleutels zijn ingetrokken of nadat een sleutel is uitgeschakeld of verwijderd.

Als u de toegang tot door de klant beheerde sleutels wilt intrekken, gebruikt u PowerShell of Azure CLI.

Blob Storage-bewerkingen die mislukken nadat een sleutel is ingetrokken

Azure Files-bewerkingen die mislukken nadat een sleutel is ingetrokken

Door de klant beheerde sleutels voor door Azure beheerde schijven

Je kunt ook klantbeheerde sleutels gebruiken om encryptie te beheren voor Azure managed disks. Klantbeheerde sleutels werken anders voor beheerde schijven dan voor Azure Storage-resources. Zie Versleuteling aan de serverzijde van beheerde Azure-schijven voor meer informatie.

Volgende stappen

  • Last updated on