Konfigurowanie kluczy zarządzanych przez klienta na potrzeby szyfrowania Azure Files

✔️ Dotyczy: klasyczne udziały plików SMB i NFS utworzone za pomocą dostawcy zasobów Microsoft.Storage

✖️ Nie dotyczy: udziałów plików utworzonych przy użyciu dostawcy zasobów Microsoft.FileShares

Azure szyfruje wszystkie dane przechowywane w koncie magazynowym, w tym dane zawarte w Azure Files, przy użyciu szyfrowania AES-256. Domyślnie Microsoft zarządza kluczami szyfrowania dla konta magazynu. Aby uzyskać większą kontrolę nad kluczami szyfrowania, możesz użyć kluczy zarządzanych przez customer (CMK) zamiast kluczy zarządzanych przez Microsoft, aby chronić i kontrolować dostęp do klucza szyfrowania, który szyfruje dane. W tym artykule wyjaśniono, jak skonfigurować klucze zarządzane przez klienta dla obciążeń Azure Files.

Podczas konfigurowania kluczy zarządzanych przez klienta dla konta magazynu Azure Files dane na tym koncie magazynu są automatycznie szyfrowane przy użyciu klucza klienta. Nie jest wymagane indywidualne potwierdzenie udziału dla każdej akcji.

Te instrukcje dotyczą przechowywania kluczy zarządzanych przez klienta w Azure Key Vault. Niektóre kroki i polecenia dla zarządzanego modułu HSM Azure Key Vault (sprzętowy moduł zabezpieczeń) mogą nieco się różnić.

Wykonaj następujące kroki, aby skonfigurować klucze zarządzane przez klienta dla konta magazynu.

Krok 1. Tworzenie lub konfigurowanie magazynu kluczy

Aby włączyć klucze zarządzane przez klienta, musisz mieć konto przechowywania Azure wraz z Azure Key Vault z włączoną ochroną przed czyszczeniem. Możesz użyć istniejącego magazynu kluczy lub utworzyć nowy. Konto magazynu i magazyn kluczy mogą znajdować się w różnych regionach lub subskrypcjach w ramach tej samej dzierżawy Microsoft Entra. W przypadku scenariuszy między dzierżawami zapoznaj się z Konfigurowanie kluczy zarządzanych przez klienta między dzierżawami dla istniejącego konta magazynu.

Aby utworzyć nowy magazyn kluczy przy użyciu portalu Azure, wykonaj następujące kroki:

W portalu Azure wyszukaj Key Vaults i wybierz Utwórz.
Wypełnij wymagane pola (subskrypcja, grupa zasobów, nazwa, region).
W obszarze Opcje odzyskiwania wybierz pozycję Włącz ochronę przed usunięciem.
Wybierz Przejrzyj + utwórz, a następnie wybierz Utwórz.

Jeśli chcesz użyć istniejącego magazynu kluczy, wykonaj następujące kroki:

Przejdź do magazynu kluczy w portalu Azure.
Z menu usługi w obszarze Ustawienia wybierz pozycję Właściwości.
W sekcji Ochrona przed usuwaniem wybierz pozycję Włącz ochronę przed usuwaniem, a następnie wybierz pozycję Zapisz.
Upewnij się, że funkcja miękkiego usuwania jest włączona w twoim magazynie kluczy. Jest ona domyślnie włączona dla nowych magazynów kluczy.

Aby utworzyć nowy magazyn kluczy z włączoną ochroną przed usunięciem, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name>, <resource-group> i <region> własnymi wartościami.

New-AzKeyVault `
    -Name <key-vault-name> `
    -ResourceGroupName <resource-group> `
    -Location <region> `
    -EnablePurgeProtection

Aby włączyć ochronę przed przeczyszczeniem w istniejącym magazynie kluczy, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <resource-group> własnymi wartościami.

Update-AzKeyVault `
    -VaultName <key-vault-name> `
    -ResourceGroupName <resource-group> `
    -EnablePurgeProtection

Aby utworzyć nowy magazyn kluczy z włączoną ochroną przed usunięciem, uruchom następujące polecenie. Zastąp <key-vault-name>, <resource-group> i <region> własnymi wartościami.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Aby włączyć ochronę przed przeczyszczeniem w istniejącym magazynie kluczy, uruchom następujące polecenie. Zastąp <key-vault-name> i <resource-group> własnymi wartościami.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Przypisz rolę Key Vault Crypto Officer

Aby utworzyć klucze w key vault i zarządzać nimi, musisz mieć rolę Key Vault Crypto Officer w key vault. Tę rolę można przypisać samodzielnie przy użyciu portalu Azure, programu PowerShell lub Azure CLI. Jeśli masz już tę rolę w Key Vault, możesz pominąć tę sekcję i przejść do kroku 2.

Aby przypisać rolę Key Vault Crypto Officer, potrzebujesz roli RBAC Owner lub User Access Administrator dla zasobu key vault. W razie potrzeby skontaktuj się z administratorem.

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do magazynu kluczy.
Z menu usługi wybierz pozycję Kontrola dostępu (IAM).
W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
Wyszukaj i wybierz pozycję Key Vault Crypto Officer, a następnie wybierz pozycję Dalej.
W obszarze Przypisz dostęp do wybierz pozycję Użytkownik, grupa lub jednostka usługi.
W obszarze Członkowie wybierz pozycję +Wybierz członków.
Wyszukaj i wybierz własne konto, a następnie wybierz pozycję Wybierz.
Wybierz Przejrzyj i przypisz, a następnie ponownie kliknij Przejrzyj i przypisz.

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> swoją wartością.

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>
$currentUser = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment `
    -ObjectId $currentUser `
    -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $keyVault.ResourceId

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <key-vault-name> swoją wartością.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Krok 2. Tworzenie lub importowanie klucza szyfrowania

Potrzebujesz klucza RSA lub RSA-HSM o rozmiarze 2048, 3072 lub 4096. Wygeneruj lub zaimportuj klucz RSA w magazynie kluczy. Przed wygenerowaniem klucza upewnij się, że masz rolę Key Vault Crypto Officer w key vault.

Aby wygenerować nowy klucz szyfrowania RSA przy użyciu portalu Azure, wykonaj następujące kroki.

Przejdź do magazynu kluczy w portalu Azure.
W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
Wybierz pozycję Generuj/importuj. W obszarze Opcje wybierz pozycję Generuj.
Wprowadź nazwę klucza. Nazwy kluczy mogą zawierać tylko znaki alfanumeryczne i kreski.
Ustaw typ klucza na RSA i rozmiar klucza RSA na 2048 (lub 3072/4096).
Wybierz Utwórz.

Aby zaimportować istniejący klucz szyfrowania RSA przy użyciu portalu Azure, wykonaj następujące kroki.

Przejdź do magazynu kluczy w portalu Azure.
W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
Wybierz pozycję Generuj/importuj. W obszarze Opcje wybierz pozycję Importuj.
Wybierz klucz do przesłania.
Wprowadź nazwę klucza. Nazwy kluczy mogą zawierać tylko znaki alfanumeryczne i kreski.
Ustaw typ klucza na RSA.
Wybierz Utwórz.

Aby utworzyć klucz RSA przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <key-name> własnymi wartościami. W polu -Sizemożna określić 2048, 3072 lub 4096.

Add-AzKeyVaultKey `
    -VaultName <key-vault-name> `
    -Name <key-name> `
    -Destination Software `
    -KeyType RSA `
    -Size 2048

Aby zaimportować istniejący klucz szyfrowania RSA przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name>, <key-name> i <key-path> własnymi wartościami. Jeśli plik klucza nie ma hasła, pomiń -KeyFilePassword parametr .

Add-AzKeyVaultKey `
    -VaultName <key-vault-name> `
    -Name <key-name> `
    -KeyFilePath <key-path> `
    -KeyFilePassword $password

Aby utworzyć klucz RSA przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name> i <key-name> własnymi wartościami. W polu --sizemożna określić 2048, 3072 lub 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Aby zaimportować istniejący klucz szyfrowania RSA przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name>, <key-name> i <key-path> własnymi wartościami. Jeśli plik klucza nie ma hasła, pomiń --password parametr .

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --password <key-password>

Krok 3. Tworzenie tożsamości zarządzanej i przypisywanie uprawnień

Konto magazynu wymaga tożsamości zarządzanej do uwierzytelniania w skarbcu kluczy. Korzystając z tożsamości zarządzanej, konto magazynu może bezpiecznie uzyskać dostęp do klucza szyfrowania w magazynie kluczy, nie przechowując przy tym poświadczeń.

Utwórz tożsamość zarządzaną przypisaną przez użytkownika i nadaj tej tożsamości rolę Użytkownik Szyfrowania Usługi Kryptograficznej Key Vault w Key Vault.

Tworzenie tożsamości zarządzanej przypisanej przez użytkownika

Utwórz tożsamość zarządzaną przypisaną przez użytkownika przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika przy użyciu portalu Azure, wykonaj następujące kroki.

Wyszukaj Tożsamości zarządzane i wybierz Utwórz.
Wybierz subskrypcję, grupę zasobów, region i nazwę.
Wybierz Przejrzyj + utwórz, a następnie wybierz Utwórz.

Aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <identity-name> i <region> własnymi wartościami.

New-AzUserAssignedIdentity `
    -ResourceGroupName <resource-group> `
    -Name <identity-name> `
    -Location <region>

Aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group>, <identity-name> i <region> własnymi wartościami.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Przypisywanie roli użytkownika szyfrowania usługi kryptograficznej Key Vault do tożsamości zarządzanej

Przypisz rolę użytkownika szyfrowania usługi kryptograficznej Key Vault do tożsamości zarządzanej utworzonej przy użyciu portalu Azure, programu PowerShell lub Azure CLI.

Aby przypisać rolę Key Vault Crypto Service Encryption User do tożsamości zarządzanej przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do magazynu kluczy w portalu Azure.
Z menu usługi wybierz pozycję Kontrola dostępu (IAM).
W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
Wyszukaj i wybierz Użytkownika szyfrowania usługi Key Vault Crypto, a następnie wybierz Dalej.
W sekcji Przypisz dostęp do wybierz Tożsamość zarządzaną.
W obszarze Członkowie wybierz pozycję +Wybierz członków.
Zostanie otwarte okno Wybieranie tożsamości zarządzanych . W obszarze Tożsamość zarządzana wybierz pozycję Tożsamość zarządzana przypisana przez użytkownika.
Wybierz utworzoną tożsamość zarządzaną, a następnie wybierz pozycję Wybierz.
Wybierz Przejrzyj i przypisz, a następnie ponownie kliknij Przejrzyj i przypisz.

Aby przypisać rolę Użytkownik szyfrowania usługi Key Vault Crypto do tożsamości zarządzanej użytkownika przy użyciu Azure PowerShell, uruchom następujące cmdlet. Zastąp <resource-group>, <identity-name> i <key-vault-name> własnymi wartościami.

$identity = Get-AzUserAssignedIdentity `
    -ResourceGroupName <resource-group> `
    -Name <identity-name>

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>

New-AzRoleAssignment `
    -ObjectId $identity.PrincipalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

Aby przypisać rolę Key Vault Crypto Service Encryption User do tożsamości zarządzanej przez użytkownika przy pomocy Azure CLI, uruchom następujące polecenia. Zastąp <resource-group>, <identity-name> i <key-vault-name> własnymi wartościami.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Krok 4: Konfigurowanie kluczy zarządzanych przez klienta na koncie przechowywania

Dzięki magazynowi kluczy, kluczom i tożsamości zarządzanej, można włączyć klucze zarządzane przez klienta na koncie magazynowym.

Wykonaj następujące kroki, aby skonfigurować konto magazynu do używania klucza do szyfrowania. Portal Azure zawsze używa automatycznego aktualizowania wersji klucza. Aby zamiast tego użyć ręcznego zarządzania wersjami kluczy, użyj Azure PowerShell lub Azure CLI i określ wersję klucza.

Important

W przypadku kont magazynowania powiązanych z obwodem zabezpieczeń sieci magazyn kluczy powinien najlepiej znajdować się w tym samym obwodzie zabezpieczeń sieci. Jeśli tak nie jest, musisz skonfigurować profil obwodowy zabezpieczeń sieci magazynu kluczy, aby zezwolić kontu magazynu na komunikowanie się z nim.

Konfigurowanie kluczy zarządzanych przez klienta dla istniejącego konta magazynu

Klucze zarządzane przez klienta można skonfigurować na istniejącym koncie magazynowym przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie magazynowym za pomocą portalu Azure, wykonaj następujące kroki. Portal domyślnie używa automatycznej aktualizacji wersji klucza. Nie można określić wersji klucza.

Przejdź do swojego konta magazynowego.
W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
W Typie szyfrowania wybierz Customer-Managed Keys. Jeśli konto magazynu jest już skonfigurowane dla klucza zarządzanego przez klienta (CMK), wybierz opcję Zmień klucz.
W polu Klucz szyfrowania wybierz pozycję Wybierz z magazynu kluczy.
Wybierz magazyn kluczy i klucz, a następnie wybierz odpowiedni magazyn kluczy i klucz.
W polu Typ tożsamości wybierz pozycję Przypisane przez użytkownika , aby użyć wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika.
Wyszukaj i wybierz tożsamość zarządzaną przypisaną przez użytkownika, a następnie wybierz pozycję Dodaj.
Wybierz Zapisz.

Zrzut ekranu przedstawiający wybór szyfrowania i wybór klucza do konfigurowania kluczy zarządzanych przez klienta.

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie magazynowym przy użyciu Azure PowerShell z automatycznym aktualizowaniem wersji klucza (zalecane), uruchom następujący cmdlet. Zastąp <resource-group> wartościami, <identity-name>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

Następujące polecenie cmdlet używa wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika. Jeśli zamiast tego chcesz użyć tożsamości systemowej konta magazynu, ustaw IdentityType na SystemAssigned i pomiń zmienną $identity, UserAssignedIdentityId oraz KeyVaultUserAssignedIdentityId.

$identity = Get-AzUserAssignedIdentity `
    -ResourceGroupName <resource-group> `
    -Name <identity-name>

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>
$key = Get-AzKeyVaultKey -VaultName <key-vault-name> -Name <key-name>

Set-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -IdentityType UserAssigned `
    -UserAssignedIdentityId $identity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultEncryption `
    -KeyVaultUserAssignedIdentityId $identity.Id

Aby użyć ręcznej aktualizacji wersji klucza zamiast automatycznego aktualizowania, dodaj -KeyVersion $key.Version parametr do Set-AzStorageAccount polecenia cmdlet.

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie przechowywania przy użyciu Azure CLI z automatycznym aktualizowaniem wersji klucza (zalecane), uruchom następujące polecenia. Zastąp <resource-group> wartościami, <identity-name>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

Następujące polecenie używa wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika. Jeśli zamiast tego chcesz użyć tożsamości systemowej konta magazynu, ustaw --identity-type na SystemAssigned i pomiń zmienną IDENTITY_RESOURCE_ID, --user-identity-id oraz --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Aby użyć ręcznej aktualizacji wersji klucza zamiast aktualizowania automatycznego, dodaj --encryption-key-version <key-version> do polecenia az storage account update.

Konfigurowanie kluczy zarządzanych przez klienta dla nowego konta przechowywania

Klucze własne zarządzane przez klienta można skonfigurować podczas tworzenia nowego konta przechowywania przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Nie można użyć tożsamości przypisanej przez system podczas tworzenia konta magazynu, ponieważ tożsamość nie istnieje, dopóki konto magazynu nie zostanie utworzone. Musisz użyć tożsamości zarządzanej przypisanej przez użytkownika.

Aby skonfigurować klucze zarządzane przez klienta dla nowego konta magazynu przy użyciu portalu Azure, wykonaj następujące kroki. Portal domyślnie używa automatycznej aktualizacji wersji klucza. Nie można określić wersji klucza.

Na karcie Szyfrowanie podczas tworzenia konta magazynu wybierz pozycję Klucze zarządzane przez klienta (CMK) dla pozycji Typ szyfrowania.
W obszarze Klucz szyfrowania wybierz Wybierz magazyn kluczy i klucz, a następnie wybierz swój magazyn kluczy i klucz.
W obszarze Tożsamość przypisana przez użytkownika wybierz pozycję Wybierz tożsamość. Zostanie otwarte okno Wybieranie tożsamości zarządzanej przypisanej przez użytkownika .
Wyszukaj i wybierz wstępnie utworzoną tożsamość zarządzaną przypisaną przez użytkownika. Nowe konta magazynu nie mogą używać przypisanej przez system tożsamości zarządzanej.
Wybierz Dodaj.
Ukończ pozostałe zakładki i wybierz pozycję Przejrzyj i utwórz.

Aby utworzyć nowe konto magazynu z kluczami zarządzanymi przez klienta przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> i <region> własnymi wartościami. W razie potrzeby można określić różne wartości.-Kind-SkuName

$identity = Get-AzUserAssignedIdentity `
    -ResourceGroupName <resource-group> `
    -Name <identity-name>

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>
$key = Get-AzKeyVaultKey -VaultName <key-vault-name> -Name <key-name>

New-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -Location <region> `
    -SkuName Standard_LRS `
    -Kind StorageV2 `
    -IdentityType UserAssigned `
    -UserAssignedIdentityId $identity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultUserAssignedIdentityId $identity.Id

Aby użyć ręcznej aktualizacji wersji klucza zamiast automatycznej, dodaj parametr -KeyVersion $key.Version do polecenia New-AzStorageAccount cmdlet.

Aby utworzyć nowe konto usługi przechowywania z kluczami zarządzanymi przez klienta za pomocą Azure CLI, uruchom następujące polecenia. Zastąp <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> i <region> własnymi wartościami. W razie potrzeby można określić różne wartości.--kind--sku

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Aby użyć ręcznej aktualizacji wersji klucza zamiast automatycznego, dodaj --encryption-key-version <key-version> do az storage account create polecenia .

Krok 5. Weryfikowanie konfiguracji

Po włączeniu kluczy zarządzanych przez użytkownika, potwierdź prawidłową konfigurację szyfrowania na koncie przechowywania. Można to zrobić przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Aby zweryfikować konfigurację konta magazynu przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do swojego konta magazynowego na Azure Portal.
W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
Upewnij się, że typ szyfrowania pokazuje klucze zarządzane przez klienta.
Sprawdź, czy informacje w obszarze Wybór klucza są poprawne.

Aby zweryfikować konfigurację konta magazynu przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

$account = Get-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name>

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Upewnij się, że KeySource jest Microsoft.Keyvault i że KeyVaultProperties pokazuje Twoje URI magazynu kluczy i nazwę klucza.

Aby zweryfikować konfigurację przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Potwierdź, że keySource jest Microsoft.Keyvault, a sekcja keyVaultProperties pokazuje identyfikator URI magazynu kluczy i nazwę klucza.

Rotacja klucza

Regularne obracanie klucza szyfrowania ogranicza narażenie, jeśli klucz kiedykolwiek zostanie naruszony. Istnieją dwa sposoby rotacji szyfrowania dla konta magazynowego, które korzysta z kluczy zarządzanych przez klienta.

Zmień wersję klucza — utwórz nową wersję tego klucza w magazynie kluczy. Nazwa klucza pozostaje taka sama, ale wersja ulegnie zmianie.
Zmień klucz — przełącz konto magazynowe, aby używać zupełnie innego klucza (o innej nazwie) w tym samym lub innym skarbcu kluczy.

Important

Azure sprawdza magazyn kluczy w poszukiwaniu nowej wersji klucza tylko raz dziennie. Po rotacji klucza poczekaj 24 godziny przed wyłączeniem poprzedniej wersji klucza.

Obracanie wersji klucza

Aby uzyskać najlepsze rozwiązania w zakresie zabezpieczeń, należy obracać wersję klucza co najmniej raz na dwa lata.

Automatyczne obracanie wersji klucza (zalecane)

Jeśli skonfigurowano klucze zarządzane przez klienta bez określania wersji klucza (domyślnej w przypadku korzystania z portalu Azure), Azure automatycznie sprawdza nowe wersje kluczy codziennie. Jeśli tworzysz nową wersję klucza w Key Vault, Azure wykrywa ją w ciągu 24 godzin. Można również skonfigurować automatyczną rotację kluczy w Azure Key Vault w celu wygenerowania nowych wersji kluczy zgodnie z harmonogramem.

Ręczne obracanie wersji klucza

Jeśli określono wersję klucza podczas konfigurowania kluczy zarządzanych przez klienta przy użyciu programu PowerShell lub Azure CLI, Azure używa tej konkretnej wersji i nie sprawdza automatycznie nowych wersji. Należy ręcznie zaktualizować konfigurację konta pamięci masowej, by odwołać się do nowej wersji klucza.

Ręczne obracanie wersji klucza nie jest obsługiwane w portalu Azure. Aby ręcznie obrócić wersję klucza, użyj Azure PowerShell lub Azure CLI.

Aby ręcznie obrócić wersję klucza przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>
$key = Get-AzKeyVaultKey -VaultName <key-vault-name> -Name <key-name>

Set-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultEncryption

Aby ręcznie obrócić wersję klucza przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <storage-account-name>, <resource-group>, <key-vault-name> i <key-name> własnymi wartościami.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Zmienianie klucza

Aby przełączyć konto magazynu w celu użycia zupełnie innego klucza, utwórz lub zaimportuj nowy klucz w magazynie kluczy (zobacz Tworzenie lub importowanie klucza szyfrowania), a następnie zaktualizuj konfigurację szyfrowania konta magazynu, aby użyć nowego klucza.

Aby zmienić klucz przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do swojego konta magazynowego.
W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
Wybierz pozycję Zmień klucz.
Wybierz magazyn kluczy i klucz, a następnie wybierz swój magazyn kluczy i nowy klucz.
Wybierz Zapisz.

Aby zmienić klucz przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <storage-account-name>, <key-vault-name> i <new-key-name> własnymi wartościami. Aby użyć automatycznej aktualizacji wersji klucza (zalecane), pomiń -KeyVersion parametr .

$keyVault = Get-AzKeyVault -VaultName <key-vault-name>
$key = Get-AzKeyVaultKey -VaultName <key-vault-name> -Name <new-key-name>

Set-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultEncryption

Aby zmienić klucz przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <storage-account-name>, <resource-group>, <key-vault-name> i <new-key-name> własnymi wartościami. Aby użyć automatycznej aktualizacji wersji klucza (zalecane), pomiń --encryption-key-version parametr .

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-source Microsoft.Keyvault

Dostęp do zaszyfrowanych danych udziału plików można natychmiast zablokować, wyłączając lub usuwając klucz zarządzany przez klienta. Gdy klucz jest wyłączony, wszystkie operacje płaszczyzny danych Azure Files kończą się niepowodzeniem z protokołem HTTP 403 (Zabronione), w tym:

Wyświetlanie listy katalogów i plików
Tworzenie/pobieranie/ustawianie katalogu lub pliku
Pobieranie/ustawianie metadanych pliku
Umieść zakres, skopiuj plik, zmień nazwę pliku

Aby odwołać dostęp do danych udziału plikowego, wyłącz klucz w Key Vault z użyciem portalu Azure, Azure PowerShell lub Azure CLI. Ponownie włącz klucz w celu przywrócenia dostępu.

Aby wyłączyć klucz przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do magazynu kluczy w portalu Azure.
W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
Kliknij prawym przyciskiem myszy klucz i wybierz polecenie Wyłącz.

Aby wyłączyć klucz przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <key-name> własnymi wartościami.

Update-AzKeyVaultKey `
    -VaultName <key-vault-name> `
    -Name <key-name> `
    -Enable $false

Aby wyłączyć klucz przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name> i <key-name> własnymi wartościami.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Przełącz się z powrotem do kluczy zarządzanych przez firmę Microsoft

Jeśli nie potrzebujesz już kluczy zarządzanych przez klienta, możesz przełączyć konto magazynu z powrotem na użycie kluczy zarządzanych Microsoft na potrzeby szyfrowania przy użyciu portalu Azure, Azure PowerShell lub Azure CLI.

Aby wrócić do kluczy zarządzanych przez Microsoft przy użyciu portalu Azure, wykonaj następujące kroki:

Przejdź do swojego konta magazynowego na Azure Portal.
W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
Zmień typ szyfrowania na Microsoft-zarządzane klucze.
Wybierz Zapisz.

Aby wrócić do kluczy zarządzanych przez Microsoft przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

Set-AzStorageAccount `
    -ResourceGroupName <resource-group> `
    -Name <storage-account-name> `
    -StorageEncryption

Aby wrócić do kluczy zarządzanych Microsoft przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage

Aby uzyskać więcej informacji na temat szyfrowania i zarządzania kluczami, zobacz następujące artykuły.

Opinia

Czy ta strona była pomocna?

Last updated on 2026-05-08