Configure a criptografia em repouso com chaves gerenciadas pelo cliente para Arquivos do Azure

Para criar um novo cofre de chaves usando o portal Azure, siga estas etapas:

1. No portal Azure, pesquise Key vaults e selecione Create.
2. Preencha os campos necessários (assinatura, grupo de recursos, nome, região).
3. Em opções de recuperação, selecione Habilitar proteção contra limpeza.
4. Selecione Examinar + Criar e, em seguida, selecione Criar.

Se você quiser usar um cofre de chaves existente, siga estas etapas:

1. Acesse seu Key Vault no portal do Azure.
2. No menu de serviço, em Configurações, selecione Propriedades.
3. Na seção Proteção contra exclusão, selecione Habilitar proteção contra exclusão e, em seguida, selecione Salvar.
4. Certifique-se de que a exclusão reversível esteja habilitada no seu cofre de chaves. Ele está habilitado por padrão para novos cofres de chaves.

Para criar um novo cofre de chaves com a proteção de limpeza habilitada, execute o cmdlet a seguir. Substitua <key-vault-name>, <resource-group> e <region> por valores próprios.

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

Para habilitar a proteção contra limpeza em um cofre de chaves existente, execute o cmdlet a seguir. Substitua <key-vault-name> e <resource-group> pelos seus próprios valores.

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

Para criar um novo cofre de chaves com a proteção de limpeza habilitada, execute o comando a seguir. Substitua <key-vault-name>, <resource-group> e <region> por valores próprios.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Para habilitar a proteção contra expurgo em um cofre de chaves existente, execute o seguinte comando. Substitua <key-vault-name> e <resource-group> pelos seus próprios valores.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Para atribuir a função Key Vault Crypto Officer a si mesmo usando o portal Azure, siga estas etapas:

1. Acesse seu cofre de chaves.
2. No menu de serviço, selecione Controle de acesso (IAM).
3. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
4. Pesquise e selecione Key Vault Crypto Officer e selecione Next.
5. Em Atribuir acesso, selecione Usuário, grupo ou entidade de serviço.
6. Em Membros, escolha +Selecionar membros.
7. Pesquise e selecione sua própria conta e escolha Selecionar.
8. Selecione Examinar + atribuir e, em seguida, Examinar + atribuir novamente.

Para atribuir a função Key Vault Crypto Officer a si mesmo usando Azure PowerShell, execute o cmdlet a seguir. Substitua <key-vault-name> por um valor próprio.

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Para atribuir a função Key Vault Crypto Officer a si mesmo usando CLI do Azure, execute os comandos a seguir. Substitua <key-vault-name> por um valor próprio.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Para gerar uma nova chave de criptografia RSA usando o portal do Azure, siga estes passos:

1. Acesse seu Key Vault no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Selecione Gerar/Importar. Em Opções, selecione Gerar.
4. Insira um nome para a chave. Os nomes de chave só podem conter caracteres alfanuméricos e traços.
5. Defina o tipo de chave para RSA e o tamanho da chave RSA para 2048, 3072 ou 4096.
6. Selecione Criar.

Para importar uma chave de criptografia RSA existente usando o portal Azure, siga estes passos:

1. Acesse seu Key Vault no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Selecione Gerar/Importar. Em Opções, selecione Importar.
4. Selecione sua chave para carregar.
5. Insira um nome para a chave. Os nomes de chave só podem conter caracteres alfanuméricos e traços.
6. Defina Tipo de chave como RSA.
7. Selecione Criar.

Para criar uma chave RSA usando Azure PowerShell, execute o cmdlet a seguir. Substitua <key-vault-name> e <key-name> pelos seus próprios valores. Para Size, especifique 2048, 3072 ou 4096.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Para importar uma chave de criptografia RSA existente usando Azure PowerShell, execute o cmdlet a seguir. Substitua <key-vault-name>, <key-name> e <key-path> por valores próprios. A primeira linha pede a senha do arquivo chave. Se o arquivo de chave não tiver senha, omita a linha Read-Host e KeyFilePassword.

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Para criar uma chave RSA usando CLI do Azure, execute o comando a seguir. Substitua <key-vault-name> e <key-name> pelos seus próprios valores. Para --size, especifique 2048, 3072 ou 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Para importar uma chave de criptografia RSA existente usando CLI do Azure, execute o comando a seguir. Substitua <key-vault-name>, <key-name>, <key-path> e <key-password> pelos seus próprios valores. Se o arquivo de chave não tiver uma senha, omita o --pem-password parâmetro.

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

Para criar uma identidade gerenciada atribuída pelo usuário usando o portal Azure, siga estes passos:

1. Pesquise identidades gerenciadas e selecione Criar.
2. Escolha uma assinatura, um grupo de recursos, uma região e um nome.
3. Selecione Examinar + Criar e, em seguida, selecione Criar.

Para criar uma identidade gerenciada atribuída pelo usuário usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group>, <identity-name> e <region> por valores próprios.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Para criar uma identidade gerenciada atribuída pelo usuário usando CLI do Azure, execute o comando a seguir. Substitua <resource-group>, <identity-name> e <region> por valores próprios.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Para atribuir a função Key Vault Crypto Service Encryption User à identidade gerenciada usando o portal Azure, siga estas etapas:

1. Acesse seu Key Vault no portal do Azure.
2. No menu de serviço, selecione Controle de acesso (IAM).
3. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
4. Pesquise e selecione Key Vault Crypto Service Encryption User e selecione Next.
5. Para Atribuir acesso a, selecione Identidade Gerenciada.
6. Em Membros, escolha +Selecionar membros.
7. A janela Selecionar identidades gerenciadas é aberta. Em Identidade gerenciada, selecione a Identidade gerenciada atribuída pelo usuário.
8. Selecione a identidade gerenciada que você criou e escolha Selecionar.
9. Selecione Examinar + atribuir e, em seguida, Examinar + atribuir novamente.

Para atribuir a função Key Vault Crypto Service Encryption User à identidade gerenciada atribuída pelo usuário usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group>, <identity-name> e <key-vault-name> por valores próprios.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Para atribuir a função Key Vault Crypto Service Encryption User à identidade gerenciada atribuída pelo usuário usando CLI do Azure, execute os comandos a seguir. Substitua <resource-group>, <identity-name> e <key-vault-name> por valores próprios.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Para configurar chaves gerenciadas pelo cliente em uma conta de armazenamento existente usando o portal Azure, siga estas etapas. Esses passos utilizam atualização automática da versão da chave. Para usar a atualização manual da versão da chave, selecione Inserir URI da chave na etapa 4 e insira um URI da chave que inclua a versão da chave.

1. Vá até sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Criptografia.
3. Para o tipo de criptografia, selecione Chaves gerenciadas pelo cliente. Se a conta de armazenamento já estiver configurada para CMK, selecione Alterar chave.
4. Para a chave de criptografia, selecione a opção Selecionar no cofre de chaves.
5. Selecione Selecionar um cofre de chaves e uma chave. Para o tipo de repositório de chaves, selecione Key vault. Escolha seu Key Vault e chave, e então escolha Selecionar.
6. Para o tipo de identidade, escolha o usuário atribuído para usar sua identidade gerenciada atribuída pelo usuário criada anteriormente.
7. Selecione uma identidade. Procure e selecione a identidade gerenciada atribuída pelo usuário, e então selecione Adicionar.
8. Clique em Salvar.

Para configurar chaves gerenciadas pelo cliente em uma conta de armazenamento existente usando Azure PowerShell com atualização automática de versão de chave (recomendado), execute o cmdlet a seguir. Substitua <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>e <key-name> com seus próprios valores.

O cmdlet a seguir utiliza a identidade gerenciada atribuída ao usuário que você criou anteriormente. Se quiser usar a identidade do sistema da conta de armazenamento, defina IdentityType para SystemAssigned, e remova as Get-AzUserAssignedIdentity linhas, UserAssignedIdentityId, e KeyVaultUserAssignedIdentityId.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Para usar a atualização manual da versão da chave em vez da atualização automática, adicione KeyVersion = $key.Version a $accountParams.

Para configurar chaves gerenciadas pelo cliente em uma conta de armazenamento existente usando CLI do Azure com atualização automática de versão de chave (recomendado), execute os comandos a seguir. Substitua <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>e <key-name> com seus próprios valores.

O seguinte comando utiliza a identidade gerenciada atribuída ao usuário que foi criada anteriormente. Se você quiser usar a identidade do sistema da conta de armazenamento em vez disso, defina --identity-type para SystemAssigned e omita a variável IDENTITY_RESOURCE_ID, --user-identity-id e --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Para usar a atualização manual da versão da chave em vez da atualização automática, adicione --encryption-key-version <key-version> ao az storage account update comando.

Para configurar chaves gerenciadas pelo cliente para uma nova conta de armazenamento usando o portal Azure, siga estas etapas. Esses passos utilizam atualização automática de versões de chave. Para usar a atualização manual da versão da chave, selecione Inserir chave do URI na etapa 2 e insira um URI da chave que inclua a versão da chave.

1. Na guia Criptografia durante a criação da conta de armazenamento, selecione CMK (chaves gerenciadas pelo cliente) para o tipo criptografia.

2. Para chave de criptografia, selecione Selecionar um cofre de chaves e chave.

3. Para Assinatura, selecione a assinatura que contém seu cofre de chaves. O portal pode usar por padrão uma assinatura diferente.

4. Para o tipo de repositório de chaves, selecione Key Vault.

5. Selecione seu cofre de chaves e a chave.

6. Em Identidade atribuída pelo usuário, escolha Selecionar uma identidade. A janela Selecionar identidade gerenciada designada pelo usuário se abre.

7. Procure e selecione a identidade gerenciada atribuída pelo usuário que você criou. Novas contas de armazenamento não podem usar uma identidade gerenciada atribuída pelo sistema.

8. Selecione Adicionar.

   

9. Complete as abas restantes, selecione Examinar + criar, e então selecione Criar.

Para criar uma nova conta de armazenamento com chaves gerenciadas pelo cliente usando Azure PowerShell, execute o cmdlet a seguir. Substitua<resource-group>, <identity-name>, <storage-account-name>, , <key-vault-name><key-name>e <region> com seus próprios valores. Você pode especificar valores diferentes para Kind e SkuName.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

Para usar a atualização manual da versão da chave em vez da automática, adicione KeyVersion = $key.Version a $accountParams.

Para criar uma nova conta de armazenamento com chaves gerenciadas pelo cliente usando CLI do Azure, execute os comandos a seguir. Substitua<resource-group>, <identity-name>, <storage-account-name>, , <key-vault-name><key-name>e <region> com seus próprios valores. Você pode especificar valores diferentes para --kind e --sku.

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Para usar a atualização manual da versão da chave em vez de automática, adicione --encryption-key-version <key-version> ao az storage account create comando.

Para verificar a configuração da conta de armazenamento usando o portal Azure, siga estas etapas:

1. Acesse sua conta de armazenamento no portal do Azure.
2. No menu de serviço, em Segurança + rede, selecione Criptografia.
3. Confirme que o tipo de criptografia mostra chaves gerenciadas pelo cliente.
4. Verifique se as informações na seleção de chave estão corretas.

Para verificar a configuração da conta de armazenamento usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Confirme se KeySource é Microsoft.Keyvault e se KeyVaultProperties exibe o URI e o nome da chave do seu cofre de chaves.

Para verificar a configuração usando CLI do Azure, execute o comando a seguir. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Confirme se keySource é Microsoft.Keyvault e se a seção keyVaultProperties exibe o URI e o nome da chave do seu cofre de chaves.

Para criar a chave e atribuir a função, use os passos do PowerShell ou CLI do Azure. Depois, configure a conta de armazenamento no portal do Azure:

1. Vá até sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Criptografia.
3. Para o tipo de criptografia, selecione Chaves gerenciadas pelo cliente. Se a conta de armazenamento já estiver configurada para chaves gerenciadas pelo cliente, selecione Alterar chave.
4. Para chave de criptografia, selecione Selecionar do cofre de chaves e depois selecione Selecionar um cofre de chaves e uma chave.
5. Para o tipo de repositório de chaves, selecione Managed HSM.
6. Selecione seu HSM gerenciado e sua chave, e então escolha Selecionar.
7. Para o tipo de identidade, selecione Atribuído pelo usuário e depois selecione sua identidade gerenciada atribuída pelo usuário.
8. Clique em Salvar.

Execute os seguintes comandos. Substitua <hsm-name>, <key-name>, <resource-group>, <identity-name>e <storage-account-name> com seus próprios valores.

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Em um HSM gerenciado, Add-AzKeyVaultKey com um tipo de chave RSA cria uma chave RSA-HSM.

Execute os seguintes comandos. Substitua <hsm-name>, <key-name>, <identity-name>, <resource-group>e <storage-account-name> com seus próprios valores.

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Entre no portal Azure e siga estas etapas.

O provedor de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário do provedor de serviços Tenant1.

O provedor de serviços cria um novo registro de aplicativo multilocatário

Você pode criar um novo registro de aplicativo multilocatário do Microsoft Entra ou começar com um registro de aplicativo multilocatário existente. Se estiver começando com um registro de aplicativo existente, anote a ID do aplicativo (ID do cliente) do aplicativo.

Para criar um registro:

1. Procure por Microsoft Entra ID na caixa de pesquisa. Localize e selecione a extensão Microsoft Entra ID.

2. Selecione Gerenciar > Registros de Aplicativo no painel esquerdo.

3. Selecione + Novo registro.

4. Forneça o nome do registro do aplicativo e selecione Conta em qualquer diretório organizacional (Qualquer diretório Microsoft Entra – Multilocatário).

5. Selecione Registrar.

6. Anote a ApplicationId/ClientId do aplicativo.

   

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Crie uma identidade gerenciada atribuída pelo usuário a ser usada como uma credencial de identidade federada.

1. Procure Identidades Gerenciadas na caixa de pesquisa. Localize e selecione a extensão Identidades Gerenciadas.

2. Selecione + Criar.

3. Forneça o grupo de recursos, a região e o nome da identidade gerenciada.

4. Selecione Revisar + criar.

5. Na implantação bem-sucedida, observe o Azure ResourceId da identidade gerenciada atribuída pelo usuário, que está disponível em Properties. Por exemplo:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure a identidade gerenciada atribuída pelo usuário como uma credencial de identidade federada no aplicativo, para que ela possa representar a identidade do aplicativo.

1. Navegue até Microsoft Entra ID > Registros de Aplicativos > o seu aplicativo.

2. Selecione Certificados e segredos.

3. Selecione Credenciais federadas.

   

4. Selecione + Adicionar credencial.

5. No cenário de credencial federada, selecione Identidade Gerenciada.

6. Clique em Selecionar uma identidade gerenciada. No painel, selecione a assinatura. Em Identidade gerenciada, selecione a Identidade gerenciada atribuída pelo usuário. Na caixa Selecionar, procure a identidade gerenciada que você criou e clique em Selecionar na parte inferior do painel.

   

7. Em Detalhes da credencial, forneça um nome e uma descrição opcional para a credencial e selecione Adicionar.

   

Para usar o Azure PowerShell para configurar o tenant do ISV, instale o módulo Az mais recente. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com o PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo do Az PowerShell.
  • Conecte-se à sua conta Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Confira Visão geral do Azure Cloud Shell para obter mais informações.

O provedor de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços (ISV) no locatário do provedor de serviços, Tenant1.

O provedor de serviços entra no Azure

No Azure PowerShell, entre no locatário do ISV e defina a assinatura ativa como a assinatura do ISV.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

O provedor de serviços cria um novo registro de aplicativo multilocatário

Escolha um nome para seu aplicativo registrado multilocatário no Tenant1 e crie o aplicativo multilocatário no portal Azure.

O nome que você fornecer ao aplicativo multilocatário será utilizado pelo cliente para identificar o aplicativo no Tenant2. Anote o ID de objeto do aplicativo e o ID do aplicativo. Você precisará desses valores nas próximas etapas.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Entre no tenant do ISV e, em seguida, crie uma identidade gerenciada atribuída pelo usuário a ser usada como credencial de identidade federada. Para criar uma nova identidade gerenciada atribuída ao usuário, você deve ter uma função atribuída que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure a identidade gerenciada atribuída pelo usuário como uma credencial de identidade federada no aplicativo, para que ela possa representar a identidade do aplicativo.

Para configurar a credencial de identidade federada no PowerShell, primeiro instale a versão 6.3.0 ou mais recente do módulo Az.Resources.

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

• Use o ambiente bash em Azure Cloud Shell. Para obter mais informações, confira Introdução ao Azure Cloud Shell.

  

• Se você preferir executar comandos de referência da CLI localmente, instale a CLI do Azure. Se você estiver executando no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.

  • Se você estiver usando uma instalação local, entre na CLI do Azure usando o comando az login . Para concluir o processo de autenticação, siga as etapas exibidas em seu terminal. Para obter outras opções de entrada, consulte Autenticar no Azure usando a CLI do Azure.

  • Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar e gerenciar extensões com a CLI do Azure.

  • Execute o comando az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para atualizar para a versão mais recente, execute az upgrade.

O provedor de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário do provedor de serviços Tenant1.

O provedor de serviços entra no Azure

Entre no Azure para usar CLI do Azure.

az login

O provedor de serviços cria um novo registro de aplicativo multilocatário

Escolha um nome para seu aplicativo multilocatário no Tenant1 e crie o aplicativo multilocatário no portal Azure.

O nome que você fornecer ao aplicativo multilocatário será utilizado pelo cliente para identificar o aplicativo no Tenant2. Copie o ID do aplicativo (ou o ID do cliente), o ID de objeto do aplicativo e também o ID do locatário do aplicativo. Você precisará desses valores nas etapas a seguir.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Entre no tenant do ISV e, em seguida, crie uma identidade gerenciada atribuída pelo usuário a ser usada como credencial de identidade federada. Para criar uma nova identidade gerenciada atribuída ao usuário, você deve ter uma função atribuída que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Execute o método az ad app federated-credential create para configurar uma credencial de identidade federada em um aplicativo e criar uma relação de confiança com um provedor de identidade externo.

Use api://AzureADTokenExchange como o valor audience na credencial de identidade federada. Confira a referência da API para obter mais detalhes.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Entre no portal Azure e siga estas etapas.

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Para instalar o aplicativo registrado do provedor de serviços no locatário do cliente, crie uma entidade de serviço com a ID do aplicativo registrado. Você pode criar a entidade de serviço de uma das seguintes maneiras:

• Utilize Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell ou CLI do Azure para criar manualmente o principal de serviço.
• Construa uma URL de consentimento do administrador e dê consentimento a todo o locatário para criar a entidade de serviço. Você precisará fornecer a eles seu AppId.

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do usuário precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

1. No menu do portal Azure ou na home page, selecione + Criar um recurso. Na caixa de pesquisa, digite Key vaults. Na lista de resultados, selecione Cofres de chaves. Na página Cofres de chaves, selecione Criar.

2. Na guia Informações básicas, escolha uma assinatura. Em Grupo de recursos, selecione Criar e insira um nome para o grupo de recursos.

3. Insira um nome exclusivo para o cofre de chaves.

4. Selecione uma região e um tipo de preço.

5. Habilite a proteção contra limpeza no novo cofre de chaves.

6. Na guia Access policy, selecione Controle de acesso baseado em função do Azure para o modelo de permissão.

7. Selecione Revisar + criar e, em seguida, Criar.

   

Anote o nome e o URI do cofre de chaves. Os aplicativos que acessam seu cofre de chaves devem usar esse URI.

Para obter mais informações, consulte Quickstart – Criar um Azure Key Vault com o portal Azure.

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Esta etapa garante que você possa criar as chaves de criptografia.

1. Navegue até o cofre de chaves e selecione Controle de Acesso (IAM) no painel à esquerda.
2. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
3. Pesquise e selecione Key Vault Crypto Officer.
4. Em Membros, selecione Usuário, grupo ou entidade de serviço.
5. Selecione Membros e procure sua conta de usuário.
6. Selecione Examinar + Atribuir.

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário deve receber a função Key Vault Crypto Officer ou outra função que permita a criação de uma chave.

1. Na página de propriedades do Key Vault, selecione Chaves.
2. Selecione Gerar/Importar.
3. Na tela Criar uma chave, especifique um nome para a chave. Deixe os outros valores com seus valores padrão.
4. Selecione Criar.
5. Copie o URI da chave.

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função RBAC do Azure Key Vault Crypto Service Encryption User ao aplicativo registrado do provedor de serviços, para que ele possa acessar o cofre de chaves.

1. Navegue até o cofre de chaves e selecione Controle de Acesso (IAM) no painel à esquerda.
2. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
3. Pesquise e selecione Key Vault Crypto Service Encryption User.
4. Em Membros, selecione Usuário, grupo ou entidade de serviço.
5. Selecione Membros e procure o nome do aplicativo que você instalou do provedor de serviços.
6. Selecione Examinar + Atribuir.

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

Para usar Azure PowerShell para configurar o locatário do cliente, instale o módulo Az mais recente. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com o PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo do Az PowerShell.
  • Conecte-se à sua conta Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Confira Visão geral do Azure Cloud Shell para obter mais informações.

O cliente entra no Azure

Em Azure PowerShell, entre no tenant do cliente e defina a assinatura do cliente como ativa.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber o ID do aplicativo multilocatário do provedor de serviços, instale o aplicativo em seu locatário, Tenant2, criando uma entidade de serviço.

Execute os comandos a seguir no locatário no qual você planeja criar o cofre de chaves.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Atribua a função Key Vault Crypto Officer a uma conta de usuário. Essa etapa garante que o usuário possa criar o cofre de chaves e as chaves de criptografia. O exemplo a seguir atribui a função ao usuário conectado no momento.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário deve receber a função Key Vault Crypto Officer ou outra função que permita a criação de uma chave.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função Azure RBAC Key Vault Crypto Service Encryption User ao aplicativo registrado do provedor de serviços, por meio da entidade de serviço que você criou anteriormente, para que o aplicativo possa acessar o cofre de chaves.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

• Use o ambiente bash em Azure Cloud Shell. Para obter mais informações, confira Introdução ao Azure Cloud Shell.

  

• Se você preferir executar comandos de referência da CLI localmente, instale a CLI do Azure. Se você estiver executando no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.

  • Se você estiver usando uma instalação local, entre na CLI do Azure usando o comando az login . Para concluir o processo de autenticação, siga as etapas exibidas em seu terminal. Para obter outras opções de entrada, consulte Autenticar no Azure usando a CLI do Azure.

  • Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar e gerenciar extensões com a CLI do Azure.

  • Execute o comando az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para atualizar para a versão mais recente, execute az upgrade.

O cliente entra no Azure

Entre no Azure para usar CLI do Azure.

az login

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber a ID do aplicativo multilocatário do provedor de serviços, instale o aplicativo no locatário Tenant2 usando o comando a seguir. A instalação do aplicativo cria uma entidade de serviço em seu locatário.

Execute os comandos a seguir no locatário no qual você planeja criar o cofre de chaves.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Essa etapa garante que você possa criar o cofre de chaves e as chaves de criptografia.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário deve receber a função Key Vault Crypto Officer ou outra função que permita a criação de uma chave.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função Azure RBAC Key Vault Crypto Service Encryption User ao aplicativo registrado do provedor de serviços, usando o principal de serviço que você criou anteriormente, para que o aplicativo registrado possa acessar o cofre de chaves.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

Para configurar chaves gerenciadas pelo cliente entre locatários em uma conta de armazenamento existente no portal do Azure, siga estas etapas:

1. Vá até sua conta de armazenamento.

2. Em Segurança + rede, selecione Criptografia. Por padrão, o gerenciamento de chaves está definido para chaves gerenciadas pela Microsoft.

3. Selecione a opção Chaves gerenciadas pelo cliente.

4. Escolha a opção Selecionar do Cofre de chaves.

5. Selecione Inserir URI da chave e especifique o URI da chave. Omita a versão da chave da URI se quiser que o Arquivos do Azure verifique automaticamente se há uma nova versão da chave e atualize a URI.

6. Selecione a assinatura que contém o cofre de chaves e a chave.

7. No campo Tipo de identidade, selecione Atribuído pelo usuário e especifique a identidade gerenciada com a credencial de identidade federada que você criou.

8. Expanda a seção Avançado e selecione o aplicativo registrado multilocatário que você criou anteriormente no locatário do ISV.

   

9. Salve as alterações.

Depois que você especifica a chave do cofre de chaves no tenant do cliente, o portal do Azure indica que as chaves gerenciadas pelo cliente estão configuradas com essa chave. Ele também indicará que a atualização automática da versão de chave está habilitada e exibirá a versão da chave em uso para criptografia no momento. O portal também exibe o tipo de identidade gerenciada usada para autorizar o acesso ao cofre de chaves, o ID principal da identidade gerenciada e o ID do aplicativo multilocatário.

Para configurar chaves gerenciadas pelo cliente entre locatários para uma conta de armazenamento existente no PowerShell, primeiro instale o módulo Az.Storage PowerShell, versão 5.1.0 ou posterior. Este módulo é instalado com o módulo do Az PowerShell, versão 9.1.0 ou posterior.

Em seguida, chame Set-AzStorageAccount, fornecendo o ID de recurso para a identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV, e o ID do aplicativo (cliente) para o aplicativo multitenant que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves do cliente e o nome da chave.

Lembre-se de substituir os valores entre colchetes pelos seus próprios valores e de utilizar as variáveis definidas nos exemplos anteriores.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Para configurar chaves gerenciadas pelo cliente entre locatários em uma conta de armazenamento existente usando a CLI do Azure, primeiro instale a CLI do Azure, versão 2.42.0 ou posterior. Para obter mais informações sobre como instalar CLI do Azure, consulte Como instalar o CLI do Azure.

Em seguida, execute az storage account update, fornecendo o ID de recurso para a identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV, e o ID do aplicativo (cliente) para o aplicativo multitenant que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves do cliente e o nome da chave.

Lembre-se de substituir os valores entre colchetes pelos seus próprios valores e de utilizar as variáveis definidas nos exemplos anteriores.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Para configurar chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento no portal do Azure, siga estas etapas:

1. No portal Azure, vá até a página de Contas de Armazenamento no locatário do ISV e selecione o botão Criar para criar uma nova conta.

2. Siga os passos descritos em Criar um compartilhamento clássico de arquivos para preencher os campos nas abas Básico, Avançado, Rede e Proteção de Dados.

3. Na guia Criptografia , indique para quais serviços você deseja habilitar o suporte a chaves gerenciadas pelo cliente no campo Habilitar suporte para chaves gerenciadas pelo cliente.

4. No campo Tipo de criptografia, selecione CMK (Teclas gerenciadas pelo cliente).

5. No campo Chave de criptografia, escolha Inserir chave do cofre de chaves e especifique o URI da chave. Omita a versão da chave do URI se quiser que o Arquivos do Azure verifique automaticamente uma nova versão da chave e a atualize.

6. Para o campo Identidade atribuída pelo usuário, pesquise pela identidade gerenciada atribuída pelo usuário que você criou anteriormente no locatário do ISV.

7. Abra a seção Avançado e selecione o aplicativo registrado multilocatário que você criou anteriormente no locatário do ISV.

   

8. Selecione o botão Revisar para validar e criar a conta.

Para configurar chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento no PowerShell, primeiro instale o módulo do PowerShell Az.Storage, versão 5.1.0 ou superior. Este módulo é instalado com o módulo do Az PowerShell, versão 9.1.0 ou posterior.

Em seguida, chame New-AzStorageAccount, fornecendo o ID de recurso para a identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV, e o ID do aplicativo (cliente) para o aplicativo multitenant que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves do cliente e o nome da chave.

Lembre-se de substituir os valores entre colchetes pelos seus próprios valores e de utilizar as variáveis definidas nos exemplos anteriores.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Para configurar chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento usando a CLI do Azure, primeiro instale a CLI do Azure, versão 2.42.0 ou posterior. Para obter mais informações sobre como instalar CLI do Azure, consulte Como instalar o CLI do Azure.

Em seguida, chame az storage account create, fornecendo o ID do recurso da identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV e o ID do aplicativo (cliente) do aplicativo multilocatário que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves do cliente e o nome da chave.

Lembre-se de substituir os valores entre colchetes pelos seus próprios valores e de utilizar as variáveis definidas nos exemplos anteriores.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Para rotacionar manualmente a versão da chave usando o portal do Azure, siga estas etapas:

1. Acesse seu cofre de chaves. No menu de serviço, em Objetos, selecione Chaves.
2. Selecione a chave e depois selecione a nova versão da chave. Copie o valor do Identificador de Chave. O valor inclui a versão da chave.
3. Vá até sua conta de armazenamento. No menu de serviço, em Segurança + rede, selecione Criptografia.
4. Selecione Alterar chave.
5. Para a chave de criptografia, selecione Inserir URI da chave e então cole o identificador de chave no URI da chave.
6. Clique em Salvar.

Para girar manualmente a versão da chave usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group>, <storage-account-name>, <key-vault-name> e <key-name> pelos seus próprios valores.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Para girar manualmente a versão da chave usando CLI do Azure, execute os comandos a seguir. Substitua <storage-account-name>, <resource-group>, <key-vault-name> e <key-name> pelos seus próprios valores.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Para alterar a chave usando o portal Azure, siga estas etapas:

1. Vá até sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Criptografia.
3. Selecione Alterar chave.
4. Selecione Selecionar um cofre de chaves e uma chave. Para o tipo de repositório de chaves, selecione o Cofre de Chaves. Escolha seu cofre de chaves e nova chave, e depois escolha Selecionar.
5. Clique em Salvar.

Para alterar a chave usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group>, <storage-account-name>, <key-vault-name> e <new-key-name> pelos seus próprios valores.

O cmdlet define KeyVersion para um valor vazio, que ativa a atualização automática da versão da chave (recomendado). Se você omitir KeyVersion e a conta de armazenamento usar uma versão de chave que você especificou antes, o cmdlet mantém essa versão e falha, porque a versão não existe para a nova chave. Para usar a atualização manual de versão de chave, defina KeyVersion para $key.Version.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Para alterar a chave usando CLI do Azure, execute os comandos a seguir. Substitua <storage-account-name>, <resource-group>, <key-vault-name> e <new-key-name> pelos seus próprios valores.

O comando define --encryption-key-version para um valor vazio, que ativa a atualização automática da versão da chave (recomendado). Se você omitir --encryption-key-version e a conta de armazenamento usar uma versão de chave que você especificou antes, o comando mantém essa versão e falha, porque a versão não existe para a nova chave. Para usar a atualização manual da versão da chave, defina --encryption-key-version para a versão da nova chave.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Para desabilitar a chave usando o portal Azure, siga estas etapas:

1. Acesse seu Key Vault no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Clique com o botão direito do mouse na chave e selecione Desabilitar.

Para desabilitar a chave usando Azure PowerShell, execute o cmdlet a seguir. Substitua <key-vault-name> e <key-name> pelos seus próprios valores.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Para desabilitar a chave usando CLI do Azure, execute o comando a seguir. Substitua <key-vault-name> e <key-name> pelos seus próprios valores.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Para voltar para chaves gerenciadas por Microsoft usando o portal Azure, siga estas etapas:

1. Acesse sua conta de armazenamento no portal do Azure.
2. No menu de serviço, em Segurança + rede, selecione Criptografia.
3. Altere o Tipo de criptografia para Chaves gerenciadas pela Microsoft.
4. Clique em Salvar.

Para voltar para chaves gerenciadas por Microsoft usando Azure PowerShell, execute o cmdlet a seguir. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Para alternar de volta para chaves gerenciadas por Microsoft usando CLI do Azure, execute o comando a seguir. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage