Konfiguruj szyfrowanie w spoczynku za pomocą kluczy zarządzanych przez klienta dla Azure Files

Aby utworzyć nowy magazyn kluczy przy użyciu portalu Azure, wykonaj następujące kroki:

1. W portalu Azure wyszukaj Key Vaults i wybierz Utwórz.
2. Wypełnij wymagane pola (subskrypcja, grupa zasobów, nazwa, region).
3. W obszarze Opcje odzyskiwania wybierz pozycję Włącz ochronę przed usunięciem.
4. Wybierz Przejrzyj + utwórz, a następnie wybierz Utwórz.

Jeśli chcesz użyć istniejącego magazynu kluczy, wykonaj następujące kroki:

1. Przejdź do magazynu kluczy w portalu Azure.
2. Z menu usługi w obszarze Ustawienia wybierz pozycję Właściwości.
3. W sekcji Ochrona przed usuwaniem wybierz pozycję Włącz ochronę przed usuwaniem, a następnie wybierz pozycję Zapisz.
4. Upewnij się, że funkcja miękkiego usuwania jest włączona w twoim magazynie kluczy. Jest ona domyślnie włączona dla nowych magazynów kluczy.

Aby utworzyć nowy magazyn kluczy z włączoną ochroną przed usunięciem, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name>, <resource-group> i <region> własnymi wartościami.

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

Aby włączyć ochronę przed przeczyszczeniem w istniejącym magazynie kluczy, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <resource-group> własnymi wartościami.

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

Aby utworzyć nowy magazyn kluczy z włączoną ochroną przed usunięciem, uruchom następujące polecenie. Zastąp <key-vault-name>, <resource-group> i <region> własnymi wartościami.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Aby włączyć ochronę przed przeczyszczeniem w istniejącym magazynie kluczy, uruchom następujące polecenie. Zastąp <key-vault-name> i <resource-group> własnymi wartościami.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do magazynu kluczy.
2. Z menu usługi wybierz pozycję Kontrola dostępu (IAM).
3. W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
4. Wyszukaj i wybierz pozycję Key Vault Crypto Officer, a następnie wybierz pozycję Dalej.
5. W obszarze Przypisz dostęp do wybierz pozycję Użytkownik, grupa lub jednostka usługi.
6. W obszarze Członkowie wybierz pozycję +Wybierz członków.
7. Wyszukaj i wybierz własne konto, a następnie wybierz pozycję Wybierz.
8. Wybierz Przejrzyj i przypisz, a następnie ponownie kliknij Przejrzyj i przypisz.

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> swoją wartością.

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Aby przypisać rolę Key Vault Crypto Officer do siebie przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <key-vault-name> swoją wartością.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Aby wygenerować nowy klucz szyfrowania RSA za pomocą portalu Azure, należy postępować zgodnie z następującymi krokami:

1. Przejdź do magazynu kluczy w portalu Azure.
2. W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
3. Wybierz pozycję Generuj/importuj. W obszarze Opcje wybierz pozycję Generuj.
4. Wprowadź nazwę klucza. Nazwy kluczy mogą zawierać tylko znaki alfanumeryczne i kreski.
5. Ustaw typ klucza na RSA , a rozmiar klucza RSA na 2048, 3072 lub 4096.
6. Wybierz Utwórz.

Aby zaimportować istniejący klucz szyfrowania RSA za pomocą portalu Azure, należy postępować zgodnie z następującymi krokami:

1. Przejdź do magazynu kluczy w portalu Azure.
2. W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
3. Wybierz pozycję Generuj/importuj. W obszarze Opcje wybierz pozycję Importuj.
4. Wybierz klucz do przesłania.
5. Wprowadź nazwę klucza. Nazwy kluczy mogą zawierać tylko znaki alfanumeryczne i kreski.
6. Ustaw typ klucza na RSA.
7. Wybierz Utwórz.

Aby utworzyć klucz RSA przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <key-name> własnymi wartościami. Dla Size, określ 2048, 3072 lub 4096.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Aby zaimportować istniejący klucz szyfrowania RSA przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name>, <key-name> i <key-path> własnymi wartościami. Pierwsza linia prosi o podanie hasła do pliku klucza. Jeśli plik klucza nie zawiera hasła, pomiń linijki Read-Host i KeyFilePassword.

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Aby utworzyć klucz RSA przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name> i <key-name> własnymi wartościami. Dla --size, określ 2048, 3072 lub 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Aby zaimportować istniejący klucz szyfrowania RSA przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name>, <key-name>, <key-path> i <key-password> własnymi wartościami. Jeśli plik klucza nie ma hasła, pomiń --pem-password parametr .

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

Aby utworzyć zarządzaną tożsamość przypisaną przez użytkownika za pomocą portalu Azure, postępuj zgodnie z następującymi krokami:

1. Wyszukaj Tożsamości zarządzane i wybierz Utwórz.
2. Wybierz subskrypcję, grupę zasobów, region i nazwę.
3. Wybierz Przejrzyj + utwórz, a następnie wybierz Utwórz.

Aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <identity-name> i <region> własnymi wartościami.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Aby utworzyć tożsamość zarządzaną przypisaną przez użytkownika przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group>, <identity-name> i <region> własnymi wartościami.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Aby przypisać rolę Key Vault Crypto Service Encryption User do tożsamości zarządzanej przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do magazynu kluczy w portalu Azure.
2. Z menu usługi wybierz pozycję Kontrola dostępu (IAM).
3. W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
4. Wyszukaj i wybierz Użytkownika szyfrowania usługi Key Vault Crypto, a następnie wybierz Dalej.
5. W sekcji Przypisz dostęp do wybierz Tożsamość zarządzaną.
6. W obszarze Członkowie wybierz pozycję +Wybierz członków.
7. Zostanie otwarte okno Wybieranie tożsamości zarządzanych . W obszarze Tożsamość zarządzana wybierz pozycję Tożsamość zarządzana przypisana przez użytkownika.
8. Wybierz utworzoną tożsamość zarządzaną, a następnie wybierz pozycję Wybierz.
9. Wybierz Przejrzyj i przypisz, a następnie ponownie kliknij Przejrzyj i przypisz.

Aby przypisać rolę Użytkownik szyfrowania usługi Key Vault Crypto do tożsamości zarządzanej użytkownika przy użyciu Azure PowerShell, uruchom następujące cmdlet. Zastąp <resource-group>, <identity-name> i <key-vault-name> własnymi wartościami.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Aby przypisać rolę Key Vault Crypto Service Encryption User do tożsamości zarządzanej przez użytkownika przy pomocy Azure CLI, uruchom następujące polecenia. Zastąp <resource-group>, <identity-name> i <key-vault-name> własnymi wartościami.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie magazynowym za pomocą portalu Azure, wykonaj następujące kroki. Te kroki wykorzystują automatyczną aktualizację wersji kluczy. Aby użyć ręcznej aktualizacji wersji klucza, wybierz Enter key URI w kroku 4 i wprowadź identyfikator URI klucza zawierający wersję klucza.

1. Przejdź do swojego konta magazynowego.
2. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
3. Dla typu szyfrowania wybierz klucze zarządzane przez klienta. Jeśli konto magazynu jest już skonfigurowane dla klucza zarządzanego przez klienta (CMK), wybierz opcję Zmień klucz.
4. W polu Klucz szyfrowania wybierz pozycję Wybierz z magazynu kluczy.
5. Wybierz skrytkę kluczową i klucz. W polu Key store type wybierz Key vault. Wybierz magazyn kluczy i klucz, a następnie wybierz Wybierz.
6. W polu Typ tożsamości wybierz pozycję Przypisane przez użytkownika , aby użyć wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika.
7. Wybierz tożsamość. Wyszukaj i wybierz zarządzaną tożsamość przypisaną przez użytkownika, a następnie wybierz Dodaj.
8. Wybierz Zapisz.

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie magazynowym przy użyciu Azure PowerShell z automatycznym aktualizowaniem wersji klucza (zalecane), uruchom następujący cmdlet. Zastąp <resource-group> wartościami, <identity-name>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

Następujące polecenie cmdlet używa wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika. Jeśli chcesz użyć tożsamości systemowej konta pamięci, ustaw IdentityType na SystemAssigned i usuń wiersze Get-AzUserAssignedIdentity, UserAssignedIdentityId oraz KeyVaultUserAssignedIdentityId.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Aby używać ręcznej aktualizacji wersji klucza zamiast automatycznej, dodaj KeyVersion = $key.Version do $accountParams.

Aby skonfigurować klucze zarządzane przez klienta na istniejącym koncie przechowywania przy użyciu Azure CLI z automatycznym aktualizowaniem wersji klucza (zalecane), uruchom następujące polecenia. Zastąp <resource-group> wartościami, <identity-name>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

Następujące polecenie używa wcześniej utworzonej tożsamości zarządzanej przypisanej przez użytkownika. Jeśli zamiast tego chcesz użyć tożsamości systemowej konta magazynu, ustaw --identity-type na SystemAssigned i pomiń zmienną IDENTITY_RESOURCE_ID, --user-identity-id oraz --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Aby użyć ręcznej aktualizacji wersji klucza zamiast aktualizowania automatycznego, dodaj --encryption-key-version <key-version> do polecenia az storage account update.

Aby skonfigurować klucze zarządzane przez klienta dla nowego konta magazynu przy użyciu portalu Azure, wykonaj następujące kroki. Te kroki wykorzystują automatyczne aktualizowanie wersji kluczy. Aby użyć ręcznej aktualizacji wersji klucza, wybierz Wprowadź klucz z URI w kroku 2 i wprowadź identyfikator URI klucza zawierający wersję klucza.

1. Na karcie Szyfrowanie podczas tworzenia konta magazynu wybierz pozycję Klucze zarządzane przez klienta (CMK) dla pozycji Typ szyfrowania.

2. W obszarze Klucz szyfrowania wybierz Wybierz magazyn kluczy i klucz.

3. W przypadku subskrypcji wybierz subskrypcję, która zawiera Twój magazyn kluczy. Portal może domyślnie wybrać inną subskrypcję.

4. W polu Typ magazynu kluczy wybierz Key vault.

5. Wybierz magazyn kluczy i klucz.

6. W obszarze Tożsamość przypisana przez użytkownika wybierz pozycję Wybierz tożsamość. Otwiera się okno Wybierz zarządzaną tożsamość przypisaną przez użytkownika.

7. Wyszukaj i wybierz tożsamość zarządzaną przypisaną przez użytkownika, którą utworzono. Nowe konta magazynu nie mogą używać przypisanej przez system tożsamości zarządzanej.

8. Wybierz Dodaj.

   

9. Wypełnij pozostałe zakładki, wybierz Przejrzyj i utwórz, a następnie wybierz Utwórz.

Aby utworzyć nowe konto magazynu z kluczami zarządzanymi przez klienta przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> i <region> własnymi wartościami. Możesz określić różne wartości dla Kind i SkuName.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

Aby użyć ręcznej aktualizacji wersji klucza zamiast automatycznej, dodaj KeyVersion = $key.Version do $accountParams.

Aby utworzyć nowe konto usługi przechowywania z kluczami zarządzanymi przez klienta za pomocą Azure CLI, uruchom następujące polecenia. Zastąp <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name> i <region> własnymi wartościami. Możesz określić różne wartości dla --kind i --sku.

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Aby użyć ręcznej aktualizacji wersji klucza zamiast automatycznego, dodaj --encryption-key-version <key-version> do az storage account create polecenia .

Aby zweryfikować konfigurację konta magazynu przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do swojego konta magazynowego na Azure Portal.
2. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
3. Potwierdź, że typ szyfrowania pokazuje klucze zarządzane przez klienta.
4. Sprawdź, czy informacje w obszarze Wybór klucza są poprawne.

Aby zweryfikować konfigurację konta magazynu przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Upewnij się, że KeySource jest Microsoft.Keyvault i że KeyVaultProperties pokazuje Twoje URI magazynu kluczy i nazwę klucza.

Aby zweryfikować konfigurację przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Potwierdź, że keySource jest Microsoft.Keyvault, a sekcja keyVaultProperties pokazuje identyfikator URI magazynu kluczy i nazwę klucza.

Aby utworzyć klucz i przypisać rolę, użyj kroków PowerShell lub Azure CLI. Następnie konfiguruj konto magazynu w portalu Azure:

1. Przejdź do swojego konta magazynowego.
2. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
3. W polu „Typ szyfrowania” wybierz klucze zarządzane przez klienta. Jeśli konto pamięci jest już skonfigurowane dla kluczy zarządzanych przez klienta, wybierz Zmień klucz.
4. Aby wybrać klucz szyfrowania, wybierz Wybierz z magazynu kluczy, a następnie wybierz Wybierz magazyn kluczy i klucz.
5. Dla opcji Typ magazynu kluczy wybierz Managed HSM.
6. Wybierz zarządzane HSM i klucz, a następnie wybierz Wybierz.
7. W przypadku typu tożsamości wybierz Przypisany przez użytkownika, a następnie wybierz swoją zarządzaną tożsamość przypisaną przez użytkownika.
8. Wybierz Zapisz.

Uruchom następujące polecenia. Zastąp <hsm-name> wartościami, <key-name>, <resource-group>, <identity-name> i <storage-account-name> własnymi wartościami.

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

W zarządzanym HSM Add-AzKeyVaultKey z typem klucza RSA tworzy klucz RSA-HSM.

Uruchom następujące polecenia. Zastąp <hsm-name> wartościami, <key-name>, <identity-name>, <resource-group> i <storage-account-name> własnymi wartościami.

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Zaloguj się do portalu Azure i wykonaj następujące kroki.

Dostawca usług konfiguruje identyfikatory

Poniższe kroki są wykonywane przez dostawcę usług w dzierżawie dostawcy usług Tenant1.

Dostawca usług tworzy nową rejestrację aplikacji wieloużytkownikowej

Możesz utworzyć nową rejestrację aplikacji wielodostępnej Microsoft Entra lub rozpocząć od istniejącej rejestracji aplikacji wielodostępnej. Jeśli rozpoczynasz od istniejącej rejestracji aplikacji, zanotuj identyfikator aplikacji (identyfikator klienta) aplikacji.

Aby utworzyć nową rejestrację:

1. Wyszukaj Microsoft Entra ID w polu wyszukiwania. Znajdź i wybierz rozszerzenie Microsoft Entra ID.

2. Wybierz Zarządzaj > rejestracjami aplikacji w okienku po lewej stronie.

3. Wybierz + Nowa rejestracja.

4. Podaj nazwę rejestracji aplikacji i wybierz Konto w dowolnym katalogu organizacyjnym (Dowolny katalog Microsoft Entra – multi-tenant).

5. Wybierz opcję Zarejestruj.

6. Zwróć uwagę na wartość ApplicationId/ClientId aplikacji.

   

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Utwórz tożsamość zarządzaną przypisaną przez użytkownika, która posłuży jako federacyjne poświadczenie tożsamości.

1. Wyszukaj Tożsamości zarządzane w polu wyszukiwania. Znajdź i wybierz rozszerzenie Managed Identities.

2. Wybierz + Utwórz.

3. Podaj grupę zasobów, region i nazwę tożsamości zarządzanej.

4. Wybierz opcję Recenzja + utwórz.

5. Po pomyślnym wdrożeniu zanotuj Azure ResourceId przypisanej przez użytkownika tożsamości zarządzanej, która jest dostępna w obszarze Właściwości. Na przykład:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenie federacyjne w aplikacji

Skonfiguruj w aplikacji tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenie tożsamości federacyjnej, aby mogła podszywać się pod tożsamość aplikacji.

1. Przejdź do pozycji Microsoft Entra ID > Rejestracje aplikacji > do pozycji Twoja aplikacja.

2. Wybierz pozycję Certyfikaty i wpisy tajne.

3. Wybierz Poświadczenia federacyjne.

   

4. Wybierz + Dodaj poświadczenie.

5. W obszarze Scenariusz poświadczeń federacyjnych wybierz pozycję Tożsamość zarządzana.

6. Kliknij Wybierz zarządzaną tożsamość. W okienku wybierz subskrypcję. W obszarze Tożsamość zarządzana wybierz pozycję Tożsamość zarządzana przypisana przez użytkownika. W polu Wybierz wyszukaj utworzoną wcześniej tożsamość zarządzaną, a następnie kliknij pozycję Wybierz w dolnej części okienka.

   

7. W obszarze Szczegóły poświadczeń podaj nazwę i opcjonalny opis poświadczenia, a następnie wybierz pozycję Dodaj.

   

Aby użyć programu Azure PowerShell do skonfigurowania dzierżawy dostawcy oprogramowania (ISV), zainstaluj najnowszy moduł Az. Aby uzyskać więcej informacji na temat instalowania programu PowerShell, zobacz Instalowanie programu Azure PowerShell w systemie Windows przy użyciu modułu PowerShellGet.

• Jeśli zdecydujesz się używać programu Azure PowerShell lokalnie:
  • Instaluj najnowszą wersję modułu Az programu PowerShell.
  • Połącz się z kontem platformy Azure przy użyciu polecenia cmdlet Connect-AzAccount .
• Jeśli zdecydujesz się używać usługi Azure Cloud Shell:
  • Aby uzyskać więcej informacji, zobacz Omówienie usługi Azure Cloud Shell .

Dostawca usług konfiguruje identyfikatory

Poniższe kroki są wykonywane przez dostawcę usług (ISV) w dzierżawcy dostawcy usług, Tenant1.

Dostawca usług loguje się do platformy Azure

W programie Azure PowerShell zaloguj się do dzierżawy niezależnego dostawcy oprogramowania i ustaw aktywną subskrypcję na subskrypcję niezależnego dostawcy oprogramowania.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

Dostawca usług tworzy nową rejestrację aplikacji wieloużytkownikowej

Wybierz nazwę dla swojej aplikacji wielodzierżawnej zarejestrowanej w Tenant1 i utwórz tę aplikację w portalu Azure.

Nazwa, którą podajesz dla aplikacji wielodostępnej, jest używana przez klienta do rozpoznawania aplikacji w Tenant2. Zanotuj identyfikator obiektu aplikacji (id) i identyfikator aplikacji. Te wartości będą potrzebne w kolejnych krokach.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Zaloguj się do dzierżawcy dostawcy ISV, a następnie utwórz tożsamość zarządzaną przypisaną przez użytkownika, która będzie używana jako poświadczenie tożsamości federacyjnej. Aby utworzyć nową tożsamość zarządzaną przypisaną przez użytkownika, musisz mieć przypisaną rolę obejmującą akcję Microsoft.ManagedIdentity/userAssignedIdentities/write.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenie federacyjne w aplikacji

Skonfiguruj w aplikacji tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenie tożsamości federacyjnej, aby mogła podszywać się pod tożsamość aplikacji.

Aby skonfigurować poświadczenia tożsamości federacyjnej z poziomu programu PowerShell, najpierw zainstaluj wersję 6.3.0 lub nowszą modułu Az.Resources .

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

• Użyj środowiska Bash w Azure Cloud Shell. Aby uzyskać więcej informacji, zobacz Get started with Azure Cloud Shell.

  

• Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj Azure CLI. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie Azure CLI w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić Azure CLI w kontenerze Docker.

  • Jeśli używasz instalacji lokalnej, zaloguj się do Azure CLI przy użyciu polecenia az login. Aby zakończyć proces uwierzytelniania, wykonaj kroki wyświetlane na Twoim terminalu. Aby uzyskać inne opcje logowania, zobacz Uwierzytelnianie do Azure za pomocą Azure CLI.

  • Gdy zostaniesz o to poproszony/a, zainstaluj rozszerzenie Azure CLI przy pierwszym użyciu. Aby uzyskać więcej informacji na temat rozszerzeń, zobacz Używanie rozszerzeń i zarządzanie nimi za pomocą Azure CLI.

  • Uruchom az version, aby sprawdzić zainstalowaną wersję i biblioteki zależne. Aby przeprowadzić uaktualnienie do najnowszej wersji, uruchom az upgrade.

Dostawca usług konfiguruje identyfikatory

Poniższe kroki są wykonywane przez dostawcę usług w dzierżawie dostawcy usług Tenant1.

Dostawca usług loguje się do platformy Azure

Zaloguj się do Azure, aby używać Azure CLI.

az login

Dostawca usług tworzy nową rejestrację aplikacji wieloużytkownikowej

Wybierz nazwę dla swojej aplikacji wielodostępnej w Tenant1 i utwórz aplikację wielodostępną w portalu Azure.

Nazwa, którą podajesz dla aplikacji wielodostępnej, jest używana przez klienta do rozpoznawania aplikacji w Tenant2. Skopiuj identyfikator aplikacji (lub identyfikator klienta), identyfikator obiektu aplikacji, a także identyfikator dzierżawcy aplikacji. Te wartości będą potrzebne w poniższych krokach.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

Dostawca usług tworzy tożsamość zarządzaną przypisaną przez użytkownika

Zaloguj się do dzierżawcy dostawcy ISV, a następnie utwórz tożsamość zarządzaną przypisaną przez użytkownika, która będzie używana jako poświadczenie tożsamości federacyjnej. Aby utworzyć nową tożsamość zarządzaną przypisaną przez użytkownika, musisz mieć przypisaną rolę obejmującą akcję Microsoft.ManagedIdentity/userAssignedIdentities/write.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

Dostawca usług konfiguruje tożsamość zarządzaną przypisaną przez użytkownika jako poświadczenie federacyjne w aplikacji

Uruchom metodę az ad app federated-credential create , aby skonfigurować poświadczenie tożsamości federacyjnej w aplikacji i utworzyć relację zaufania z zewnętrznym dostawcą tożsamości.

Użyj wartości api://AzureADTokenExchange jako audience w poświadczeniu tożsamości federacyjnej. Aby uzyskać więcej informacji, zobacz dokumentację interfejsu API.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Zaloguj się do portalu Azure i wykonaj następujące kroki.

Klient instaluje aplikację dostawcy usług w tenancie klienta

Aby zainstalować zarejestrowaną aplikację dostawcy usług w dzierżawie klienta, należy utworzyć główne konto usługi, używając identyfikatora aplikacji z zarejestrowanej aplikacji. Jednostkę usługi można utworzyć jednym z następujących sposobów:

• Użyj narzędzia Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell lub Azure CLI, aby ręcznie utworzyć nazwę główną usługi.
• Skonstruuj adres URL wymagający zgody administratora i udziel zgody dla całej dzierżawy, aby utworzyć nazwę główną usługi. Musisz podać im swój AppId.

Użytkownik tworzy skrytkę kluczy

Aby utworzyć magazyn kluczy, konto użytkownika musi mieć przypisaną rolę Key Vault Contributor lub inną rolę, która zezwala na tworzenie magazynu kluczy.

1. W menu portalu Azure lub na stronie głównej wybierz pozycję + Utwórz zasób. W polu wyszukiwania wprowadź Key vaults. Z listy wyników wybierz pozycję Magazyny kluczy. Na stronie Magazyny kluczy wybierz Utwórz.

2. Na karcie Podstawy wybierz subskrypcję. W obszarze Grupa zasobów wybierz pozycję Utwórz nową i wprowadź nazwę grupy zasobów.

3. Wprowadź unikatową nazwę skarbca kluczy.

4. Wybierz region i warstwę cenową.

5. Włącz ochronę przed usunięciem nowego magazynu kluczy.

6. Na karcie Zasady dostępu wybierz opcję Kontrola dostępu oparta na rolach platformy Azure dla Modelu uprawnień.

7. Wybierz Przejrzyj i utwórz, a następnie Utwórz.

   

Zanotuj nazwę magazynu kluczy i adres URI. Aplikacje uzyskujące dostęp do magazynu kluczy muszą używać tego adresu URI.

Aby uzyskać więcej informacji, zobacz Szybki start — tworzenie usługi Azure Key Vault za pomocą witryny Azure Portal.

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Ten krok gwarantuje, że można utworzyć klucze szyfrowania.

1. Przejdź do magazynu kluczy i wybierz opcję Sterowanie dostępem (IAM) z panelu po lewej stronie.
2. W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
3. Wyszukaj i wybierz Key Vault Crypto Officer.
4. W obszarze Członkowie wybierz pozycję Użytkownik, grupa lub jednostka usługi.
5. Wybierz pozycję Członkowie i wyszukaj swoje konto użytkownika.
6. Wybierz Przejrzyj + przypisz.

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Key Vault Crypto Officer lub inną rolę, która zezwala na tworzenie klucza.

1. Na stronie właściwości usługi Key Vault wybierz pozycję Klucze.
2. Wybierz pozycję Generuj/importuj.
3. Na ekranie Tworzenie klucza określ nazwę klucza. Pozostaw pozostałe wartości jako domyślne.
4. Wybierz Utwórz.
5. Skopiuj URI klucza.

Klient udziela dostawcy usług dostępu do magazynu kluczy za pośrednictwem aplikacji

Przypisz rolę RBAC w Azure Key Vault Crypto Service Encryption User do zarejestrowanej aplikacji dostawcy usług, aby uzyskała dostęp do Key Vault.

1. Przejdź do magazynu kluczy i wybierz opcję Sterowanie dostępem (IAM) z panelu po lewej stronie.
2. W sekcji Przyznaj dostęp do tego zasobu wybierz Dodaj przypisanie do roli.
3. Wyszukaj i wybierz Użytkownika do szyfrowania usługi kryptograficznej Key Vault.
4. W obszarze Członkowie wybierz pozycję Użytkownik, grupa lub jednostka usługi.
5. Wybierz pozycję Członkowie i wyszukaj nazwę aplikacji zainstalowanej u dostawcy usług.
6. Wybierz Przejrzyj + przypisz.

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI usługi Key Vault i klucza.

Aby użyć Azure PowerShell do skonfigurowania dzierżawy klienta, zainstaluj najnowszy moduł Az. Aby uzyskać więcej informacji na temat instalowania programu PowerShell, zobacz Instalowanie programu Azure PowerShell w systemie Windows przy użyciu modułu PowerShellGet.

• Jeśli zdecydujesz się używać programu Azure PowerShell lokalnie:
  • Instaluj najnowszą wersję modułu Az programu PowerShell.
  • Połącz się z kontem platformy Azure przy użyciu polecenia cmdlet Connect-AzAccount .
• Jeśli zdecydujesz się używać usługi Azure Cloud Shell:
  • Aby uzyskać więcej informacji, zobacz Omówienie usługi Azure Cloud Shell .

Klient loguje się do platformy Azure

W Azure PowerShell zaloguj się do dzierżawcy klienta i ustaw subskrypcję klienta jako aktywną.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

Klient instaluje aplikację dostawcy usług w tenancie klienta

Gdy otrzymasz identyfikator aplikacji wielodostępnej od dostawcy usług, zainstaluj aplikację w swoim dzierżawcy, Tenant2, tworząc jednostkę usługi.

Wykonaj następujące polecenia w dzierżawie, gdzie planujesz utworzyć magazyn kluczy.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

Użytkownik tworzy skrytkę kluczy

Aby utworzyć Key Vault, konto klienta musi mieć przypisaną rolę Key Vault Contributor lub inną rolę, która zezwala na tworzenie Key Vault.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Przypisz rolę Key Vault Crypto Officer do konta użytkownika. Ten krok gwarantuje, że użytkownik może utworzyć magazyn kluczy i klucze szyfrowania. W poniższym przykładzie przypisano rolę bieżącemu zalogowanemu użytkownikowi.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Key Vault Crypto Officer lub inną rolę, która zezwala na tworzenie klucza.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

Klient udziela dostawcy usług dostępu do magazynu kluczy za pośrednictwem aplikacji

Przypisz rolę RBAC Azure Użytkownik Szyfrowania Usługi Kryptograficznej Key Vault do zarejestrowanej aplikacji dostawcy usług za pomocą wcześniej utworzonego obiektu zabezpieczeń, aby uzyskać dostęp do magazynu kluczy.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI usługi Key Vault i klucza.

• Użyj środowiska Bash w Azure Cloud Shell. Aby uzyskać więcej informacji, zobacz Get started with Azure Cloud Shell.

  

• Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj Azure CLI. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie Azure CLI w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić Azure CLI w kontenerze Docker.

  • Jeśli używasz instalacji lokalnej, zaloguj się do Azure CLI przy użyciu polecenia az login. Aby zakończyć proces uwierzytelniania, wykonaj kroki wyświetlane na Twoim terminalu. Aby uzyskać inne opcje logowania, zobacz Uwierzytelnianie do Azure za pomocą Azure CLI.

  • Gdy zostaniesz o to poproszony/a, zainstaluj rozszerzenie Azure CLI przy pierwszym użyciu. Aby uzyskać więcej informacji na temat rozszerzeń, zobacz Używanie rozszerzeń i zarządzanie nimi za pomocą Azure CLI.

  • Uruchom az version, aby sprawdzić zainstalowaną wersję i biblioteki zależne. Aby przeprowadzić uaktualnienie do najnowszej wersji, uruchom az upgrade.

Klient loguje się do platformy Azure

Zaloguj się do Azure, aby używać Azure CLI.

az login

Klient instaluje aplikację dostawcy usług w tenancie klienta

Po otrzymaniu identyfikatora aplikacji wielodostępnej dostawcy usług zainstaluj aplikację w dzierżawie Tenant2, używając następującego polecenia. Zainstalowanie aplikacji powoduje utworzenie głównej jednostki usługi w dzierżawcy.

Wykonaj następujące polecenia w dzierżawie, gdzie planujesz utworzyć magazyn kluczy.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

Użytkownik tworzy skrytkę kluczy

Aby utworzyć Key Vault, konto klienta musi mieć przypisaną rolę Key Vault Contributor lub inną rolę, która zezwala na tworzenie Key Vault.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

Klient przypisuje rolę administratora kryptograficznego usługi Key Vault do konta użytkownika

Ten krok gwarantuje, że można utworzyć magazyn kluczy i klucze szyfrowania.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

Klient tworzy klucz szyfrowania

Aby utworzyć klucz szyfrowania, konto użytkownika musi mieć przypisaną rolę Key Vault Crypto Officer lub inną rolę, która zezwala na tworzenie klucza.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

Klient udziela dostawcy usług dostępu do magazynu kluczy za pośrednictwem aplikacji

Przypisz rolę RBAC Azure Key Vault Crypto Service Encryption User do zarejestrowanej aplikacji dostawcy usług za pośrednictwem wcześniej utworzonej jednostki usługi, aby zarejestrowana aplikacja mogła uzyskać dostęp do magazynu kluczy.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Teraz możesz skonfigurować klucze zarządzane przez klienta przy użyciu identyfikatora URI usługi Key Vault i klucza.

Aby skonfigurować klucze zarządzane przez klienta między dzierżawami dla istniejącego konta magazynu w witrynie Azure Portal, wykonaj następujące kroki:

1. Przejdź do swojego konta magazynowego.

2. W obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie. Domyślnie zarządzanie kluczami jest ustawione na klucze zarządzane przez Microsoft.

3. Wybierz opcję Klucze zarządzane przez klienta.

4. Wybierz opcję Wybierz z usługi Key Vault.

5. Wybierz Wprowadź klucz URI i określ ten klucz URI. Pomiń wersję klucza w URI, jeśli chcesz, aby Azure Files automatycznie sprawdzał nową wersję klucza i aktualizował odwołanie do niej.

6. Wybierz subskrypcję zawierającą skrytkę kluczy i klucz.

7. W polu Typ tożsamości wybierz pozycję Przypisane przez użytkownika, a następnie określ tożsamość zarządzaną przy użyciu wcześniej utworzonych poświadczeń tożsamości federacyjnej.

8. Rozwiń sekcję Zaawansowane i wybierz zarejestrowaną aplikację wielodzierżawczą, którą wcześniej utworzyłeś w dzierżawcy ISV.

   

9. Zapisz zmiany.

Po określeniu klucza z sejfu kluczy w dzierżawie klienta portal Azure wskazuje, że klucze zarządzane przez klienta są skonfigurowane przy użyciu tego klucza. Wskazuje również, że włączono automatyczne aktualizowanie wersji klucza i wyświetla wersję klucza używaną obecnie do szyfrowania. Portal wyświetla również typ zarządzanej tożsamości używanej do autoryzacji dostępu do magazynu kluczy, identyfikator jednostki usługi dla zarządzanej tożsamości oraz identyfikator aplikacji wielodostępnej.

Aby skonfigurować klucze zarządzane przez klienta między dzierżawcami dla istniejącego konta pamięci masowej za pomocą PowerShell, najpierw zainstaluj moduł PowerShell Az.Storage w wersji 5.1.0 lub nowzej. Ten moduł jest instalowany przy użyciu modułu Az programu PowerShell w wersji 9.1.0 lub nowszej.

Następnie wywołaj Set-AzStorageAccount, podając identyfikator zasobu dla przypisanej przez użytkownika tożsamości zarządzanej, którą wcześniej konfigurowałeś w subskrypcji ISV, oraz ID aplikacji (klienta) dla aplikacji wielodzierżawczej, którą wcześniej skonfigurowałeś w subskrypcji ISV. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Aby skonfigurować międzypodmiotowe klucze zarządzane przez klienta dla istniejącego konta magazynu przy użyciu Azure CLI, najpierw zainstaluj Azure CLI w wersji 2.42.0 lub nowszej. Aby uzyskać więcej informacji na temat instalowania Azure CLI, zobacz Jak zainstalować Azure CLI.

Następnie wywołaj polecenie az storage account update, podając identyfikator zasobu dla przypisanej przez użytkownika tożsamości zarządzanej, którą wcześniej skonfigurowałeś w subskrypcji ISV, oraz identyfikator aplikacji (klienta) dla aplikacji wielodzierżawnej, którą wcześniej skonfigurowałeś w subskrypcji ISV. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Aby skonfigurować klucze zarządzane przez klienta między dzierżawcami dla nowego konta magazynu w portalu Azure, wykonaj następujące kroki:

1. W portalu Azure przejdź do strony Konta magazynu w dzierżawie ISV i wybierz przycisk Utwórz, aby utworzyć nowe konto magazynu.

2. Postępuj zgodnie z instrukcjami opisanymi w Utwórz klasyczny udział plików, aby wypełnić pola w zakładkach Podstawy, Zaawansowane, Sieć i Ochrona danych.

3. Na karcie Szyfrowanie wskaż usługi, dla których chcesz włączyć obsługę kluczy zarządzanych przez klienta, w polu Włącz obsługę kluczy zarządzanych przez klienta.

4. W polu Typ szyfrowania wybierz pozycję Klucze zarządzane przez klienta (CMK).

5. W polu Klucz szyfrowania wybierz pozycję Wprowadź klucz z magazynu kluczy i określ identyfikator URI klucza. Pomiń wersję klucza w identyfikatorze URI, jeśli chcesz, aby Azure Files automatycznie sprawdzał nową wersję klucza i aktualizował odwołanie do niej.

6. W polu Tożsamość przypisana przez użytkownika wyszukaj tożsamość zarządzaną przypisaną przez użytkownika, którą wcześniej utworzono w dzierżawie dostawcy ISV.

7. Rozwiń sekcję Zaawansowane i wybierz zarejestrowaną aplikację wielodzierżawczą, którą wcześniej utworzyłeś w dzierżawcy ISV.

   

8. Wybierz przycisk Przegląd, aby zweryfikować i utworzyć konto.

Aby skonfigurować klucze zarządzane przez klienta między dzierżawami dla nowego konta magazynowego za pomocą programu PowerShell, najpierw zainstaluj moduł programu PowerShell Az.Storage w wersji 5.1.0 lub nowszej. Ten moduł jest instalowany przy użyciu modułu Az programu PowerShell w wersji 9.1.0 lub nowszej.

Następnie wywołaj New-AzStorageAccount, podając identyfikator zasobu dla przypisanej przez użytkownika tożsamości zarządzanej, którą wcześniej konfigurowałeś w subskrypcji ISV, oraz ID aplikacji (klienta) dla aplikacji wielodzierżawczej, którą wcześniej skonfigurowałeś w subskrypcji ISV. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Aby skonfigurować klucze zarządzane przez klienta między dzierżawcami dla nowego konta magazynu za pomocą interfejsu wiersza polecenia platformy Azure, najpierw zainstaluj interfejs wiersza polecenia platformy Azure w wersji 2.42.0 lub nowszej. Aby uzyskać więcej informacji na temat instalowania Azure CLI, zobacz Jak zainstalować Azure CLI.

Następnie wywołaj az storage account create, podając identyfikator zasobu dla przypisanej przez użytkownika tożsamości zarządzanej, którą wcześniej skonfigurowałeś w subskrypcji ISV, oraz ID aplikacji (klienta) aplikacji multitenant, którą wcześniej skonfigurowałeś w subskrypcji ISV. Podaj identyfikator URI magazynu kluczy i nazwę klucza z magazynu kluczy klienta.

Pamiętaj, aby zastąpić wartości symboli zastępczych w nawiasach własnymi wartościami i użyć zmiennych zdefiniowanych w poprzednich przykładach.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Aby ręcznie przeprowadzić rotację wersji klucza za pomocą portalu Azure, postępuj zgodnie z następującymi krokami:

1. Przejdź do magazynu kluczy. W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
2. Wybierz klucz, a następnie wybierz nową wersję klucza. Skopiuj wartość identyfikatora klucza. Wartość zawiera wersję klucza.
3. Przejdź do swojego konta magazynowego. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
4. Wybierz pozycję Zmień klucz.
5. W przypadku klucza szyfrowania wybierz Wprowadź identyfikator URI klucza, a następnie wklej identyfikator klucza do pola Identyfikator URI klucza.
6. Wybierz Zapisz.

Aby ręcznie obrócić wersję klucza przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <storage-account-name>, <key-vault-name> i <key-name> własnymi wartościami.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Aby ręcznie obrócić wersję klucza przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <storage-account-name>, <resource-group>, <key-vault-name> i <key-name> własnymi wartościami.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Aby zmienić klucz przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do swojego konta magazynowego.
2. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
3. Wybierz pozycję Zmień klucz.
4. Wybierz skrytkę kluczową i klucz. Dla elementu Typ magazynu kluczy wybierz Key vault. Wybierz swój magazyn kluczy i nowy klucz, a następnie wybierz Wybierz.
5. Wybierz Zapisz.

Aby zmienić klucz przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group>, <storage-account-name>, <key-vault-name> i <new-key-name> własnymi wartościami.

CMDLET ustawia KeyVersion na pustą wartość, co włącza automatyczną aktualizację wersji klucza (zalecane). Jeśli pominiesz KeyVersion, a konto pamięci używa wersji klucza, którą wcześniej określiłeś, polecenie cmdlet zachowuje tę wersję i kończy się niepowodzeniem, ponieważ ta wersja nie istnieje dla nowego klucza. Aby zamiast tego użyć ręcznej aktualizacji wersji klucza, ustaw KeyVersion na $key.Version.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Aby zmienić klucz przy użyciu Azure CLI, uruchom następujące polecenia. Zastąp <storage-account-name>, <resource-group>, <key-vault-name> i <new-key-name> własnymi wartościami.

Polecenie ustawia --encryption-key-version na pustą wartość, co włącza automatyczną aktualizację wersji klucza (zalecane). Jeśli pominiesz --encryption-key-version, a konto pamięci używa wersji klucza, którą wcześniej określiłeś, polecenie zachowuje tę wersję i kończy się niepowodzeniem, ponieważ ta wersja nie istnieje dla nowego klucza. Aby zamiast tego użyć ręcznej aktualizacji wersji klucza, ustaw --encryption-key-version na wersję nowego klucza.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Aby wyłączyć klucz przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do magazynu kluczy w portalu Azure.
2. W menu usługi w obszarze Obiekty wybierz pozycję Klucze.
3. Kliknij prawym przyciskiem myszy klucz i wybierz polecenie Wyłącz.

Aby wyłączyć klucz przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <key-vault-name> i <key-name> własnymi wartościami.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Aby wyłączyć klucz przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <key-vault-name> i <key-name> własnymi wartościami.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Aby wrócić do kluczy zarządzanych przez Microsoft przy użyciu portalu Azure, wykonaj następujące kroki:

1. Przejdź do swojego konta magazynowego na Azure Portal.
2. W menu usługi w obszarze Zabezpieczenia i sieć wybierz pozycję Szyfrowanie.
3. Zmień typ szyfrowania na klucze zarządzane przez firmę Microsoft.
4. Wybierz Zapisz.

Aby wrócić do kluczy zarządzanych przez Microsoft przy użyciu Azure PowerShell, uruchom następujące polecenie cmdlet. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Aby wrócić do kluczy zarządzanych Microsoft przy użyciu Azure CLI, uruchom następujące polecenie. Zastąp <resource-group> i <storage-account-name> własnymi wartościami.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage