Configure a encriptação em repouso com chaves geridas pelo cliente para Ficheiros do Azure

Para criar um novo cofre de chaves usando o portal Azure, siga estes passos:

1. No Portal do Azure, procure por Cofres de Chaves e selecione Criar.
2. Preencha os campos necessários (subscrição, grupo de recursos, nome, região).
3. Nas opções de recuperação, selecione Ativar proteção contra purga.
4. Selecione Rever + criar e, em seguida, selecione Criar.

Se quiser usar um cofre de chaves existente, siga estes passos:

1. Vá ao seu cofre de chaves no portal do Azure.
2. No menu de serviço, em Definições, selecione Propriedades.
3. Na secção de proteção contra a purga , selecione Ativar proteção contra purga e depois selecione Guardar.
4. Certifica-te de que a eliminação suave está ativada no teu cofre de chaves. Está ativado por padrão para novos cofres de chaves.

Para criar um novo cofre de chaves com proteção contra purga ativada, execute o seguinte cmdlet. Substitua <key-vault-name>, <resource-group> e <region> pelos seus próprios valores.

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

Para permitir a proteção contra purgas num cofre de chaves existente, execute o seguinte cmdlet. Substitua <key-vault-name> e <resource-group> pelos seus próprios valores.

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

Para criar um novo cofre de chaves com proteção contra purga ativada, execute o seguinte comando. Substitua <key-vault-name>, <resource-group> e <region> pelos seus próprios valores.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Para ativar a protecção contra purgas num cofre de chaves existente, execute o seguinte comando. Substitua <key-vault-name> e <resource-group> pelos seus próprios valores.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Para atribuir a função Key Vault Oficial de Cripto a si próprio usando o portal Azure, siga estes passos:

1. Aceda ao cofre de chaves.
2. No menu de serviço, selecione Controlo de Acesso (IAM).
3. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
4. Pesquise e selecione Responsável de Criptografia do Cofre de Chaves, e depois selecione Seguinte.
5. Em Atribuir acesso a, selecione Usuário, grupo ou entidade de serviço.
6. Em Membros, escolha +Selecionar membros.
7. Procura e seleciona a tua própria conta, depois escolhe Selecionar.
8. Selecione Rever + atribuir, e depois Rever + atribuir novamente.

Para atribuir a função Key Vault Oficial de Cripto a si próprio usando Azure PowerShell, execute o seguinte cmdlet. Substitua <key-vault-name> pelo seu próprio valor.

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Para atribuir a função Key Vault Oficial de Cripto a si próprio usando CLI do Azure, execute os seguintes comandos. Substitua <key-vault-name> pelo seu próprio valor.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

Para gerar uma nova chave de encriptação RSA usando o portal Azure, siga estes passos:

1. Vá ao seu cofre de chaves no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Selecione Gerar/Importar. Em Opções, selecione Gerar.
4. Introduza um nome para a chave. Os nomes-chave só podem conter caracteres alfanuméricos e traços.
5. Defina o tipo de chave para RSA e o tamanho da chave RSA para 2048, 3072 ou 4096.
6. Selecione Criar.

Para importar uma chave de encriptação RSA existente utilizando o portal Azure, siga estes passos:

1. Vá ao seu cofre de chaves no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Selecione Gerar/Importar. Em Opções, selecione Importar.
4. Selecione a sua chave para carregar.
5. Introduza um nome para a chave. Os nomes-chave só podem conter caracteres alfanuméricos e traços.
6. Defina Tipo de chave como RSA.
7. Selecione Criar.

Para criar uma chave RSA usando Azure PowerShell, execute o seguinte cmdlet. Substitua <key-vault-name> e <key-name> pelos seus próprios valores. Para Size, especifique 2048, 3072 ou 4096.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Para importar uma chave de encriptação RSA existente usando Azure PowerShell, execute o seguinte cmdlet. Substitua <key-vault-name>, <key-name> e <key-path> pelos seus próprios valores. A primeira linha pede a palavra-passe do ficheiro-chave. Se o ficheiro de chave não tiver palavra-passe, omita a linha Read-Host e a linha KeyFilePassword.

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Para criar uma chave RSA usando CLI do Azure, execute o seguinte comando. Substitua <key-vault-name> e <key-name> pelos seus próprios valores. Para --size, especifique 2048, 3072 ou 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Para importar uma chave de encriptação RSA existente usando o CLI do Azure, execute o seguinte comando. Substitua <key-vault-name>, <key-name>, <key-path>, e <key-password> pelos seus próprios valores. Se o ficheiro da chave não tiver palavra-passe, omita o --pem-password parâmetro.

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

Para criar uma identidade gerida atribuída pelo utilizador utilizando o portal Azure, siga estes passos:

1. Procure Identidades Geridas e selecione Criar.
2. Escolha uma subscrição, grupo de recursos, região e nome.
3. Selecione Rever + criar e, em seguida, selecione Criar.

Para criar uma identidade gerida atribuída pelo utilizador usando Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group>, <identity-name> e <region> pelos seus próprios valores.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Para criar uma identidade gerida atribuída pelo utilizador usando o CLI do Azure, execute o seguinte comando. Substitua <resource-group>, <identity-name> e <region> pelos seus próprios valores.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Para atribuir o papel Key Vault Crypto Service Encryption User à identidade gerida usando o portal Azure, siga estes passos:

1. Vá ao seu cofre de chaves no portal do Azure.
2. No menu de serviço, selecione Controlo de Acesso (IAM).
3. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
4. Procure e selecione Utilizador de Encriptação do Serviço Cripto do Key Vault, e depois selecione Seguinte.
5. Em Atribuir acesso a, selecione Identidade gerenciada.
6. Em Membros, escolha +Selecionar membros.
7. A janela Selecionar identidades gerenciadas é aberta. Sob Identidade gerida, selecione Identidade gerida atribuída ao utilizador.
8. Selecione a identidade gerida que criou e depois escolha Selecionar.
9. Selecione Rever + atribuir, e depois Rever + atribuir novamente.

Para atribuir o papel Key Vault Crypto Service Encryption User à identidade gerida atribuída pelo utilizador usando Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group>, <identity-name> e <key-vault-name> pelos seus próprios valores.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Para atribuir o papel Key Vault Crypto Service Encryption User à identidade gerida atribuída pelo utilizador usando CLI do Azure, execute os seguintes comandos. Substitua <resource-group>, <identity-name> e <key-vault-name> pelos seus próprios valores.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Para configurar chaves geridas pelo cliente numa conta de armazenamento existente usando o portal Azure, siga estes passos. Estes passos utilizam a atualização automática da versão da chave. Para usar a atualização manual da versão da chave, selecione Enter key URI no passo 4 e introduza um key URI que inclua a versão da key.

1. Aceda à sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Encriptação.
3. Para o tipo de encriptação, selecione Chaves geridas pelo cliente. Se a conta de armazenamento já estiver configurada para CMK, selecione a chave Alterar.
4. Para chave de encriptação, selecione Selecionar do cofre de chaves.
5. Selecione Selecione um cofre de chaves e uma chave. Para o tipo de arquivo de chaves, selecione Key Vault. Escolhe o teu Key Vault e chave, e depois escolhe Selecionar.
6. Para o tipo de Identidade, escolha Atribuido pelo Utilizador para usar a sua identidade gerida previamente atribuída pelo utilizador.
7. Selecione Selecione uma identidade. Procure e selecione a identidade gerida atribuída pelo utilizador, e depois selecione Adicionar.
8. Selecione Guardar.

Para configurar chaves geridas pelo cliente numa conta de armazenamento existente usando Azure PowerShell com atualização automática da versão da chave (recomendado), execute o seguinte cmdlet. Substitua <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, e <key-name> pelos teus próprios valores.

O seguinte cmdlet utiliza a sua identidade gerida previamente atribuída pelo utilizador. Se quiser usar a identidade do sistema da conta de armazenamento em vez disso, defina IdentityType para SystemAssigned, e remova as Get-AzUserAssignedIdentity linhas, UserAssignedIdentityId, e KeyVaultUserAssignedIdentityId.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Para usar a atualização manual da versão da chave em vez da atualização automática, adicione KeyVersion = $key.Version a $accountParams.

Para configurar chaves geridas pelo cliente numa conta de armazenamento existente usando CLI do Azure com atualização automática da versão da chave (recomendado), execute os seguintes comandos. Substitua <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, e <key-name> pelos teus próprios valores.

O comando seguinte utiliza a sua identidade gerida previamente atribuída pelo utilizador. Se quiser usar a identidade do sistema da conta de armazenamento em vez disso, defina --identity-type para SystemAssigned e omita a variável IDENTITY_RESOURCE_ID, --user-identity-id e --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Para usar a atualização manual da versão da tecla em vez da atualização automática, adicione --encryption-key-version <key-version> ao az storage account update comando.

Para configurar chaves geridas pelo cliente para uma nova conta de armazenamento utilizando o portal Azure, siga estes passos. Estes passos utilizam a atualização automática das versões de chaves. Para usar a atualização manual da versão da chave, selecione Introduzir chave a partir de URI no passo 2 e introduza um URI da chave que inclua a versão da chave.

1. No separador Encriptação durante a criação da conta de armazenamento, selecione Chaves geridas pelo cliente (CMK) para o tipo de Encriptação.

2. Para a chave de encriptação, selecione Selecionar um cofre de chaves e chave.

3. Para a Subscrição, selecione a subscrição que contém o seu cofre de chaves. O portal pode assumir por predefinição uma subscrição diferente.

4. Para o tipo de arquivo de chaves, selecione Key Vault.

5. Seleciona o teu cofre de chaves e a chave.

6. Em Identidade atribuída pelo utilizador, escolha Selecionar uma identidade. A janela Select User Assigned Managed Identity abre-se.

7. Procure e selecione a identidade gerida atribuída ao utilizador que criou. Novas contas de armazenamento não podem usar uma identidade gerida atribuída pelo sistema.

8. Selecione Adicionar.

   

9. Complete os separadores restantes, selecione Rever e criar, e depois selecione Criar.

Para criar uma nova conta de armazenamento com chaves geridas pelo cliente usando Azure PowerShell, execute o seguinte cmdlet. Substitui <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name>, , e <region> pelos teus próprios valores. Pode especificar valores diferentes para Kind e SkuName.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

Para usar a atualização manual da versão da chave em vez da automática, adicione KeyVersion = $key.Version a $accountParams.

Para criar uma nova conta de armazenamento com chaves geridas pelo cliente usando o CLI do Azure, execute os seguintes comandos. Substitui <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name>, , e <region> pelos teus próprios valores. Pode especificar valores diferentes para --kind e --sku.

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Para usar a atualização manual da versão da tecla em vez de automática, adicione --encryption-key-version <key-version> ao az storage account create comando.

Para verificar a configuração da conta de armazenamento utilizando o portal Azure, siga estes passos:

1. Aceda à sua conta de armazenamento no Portal do Azure.
2. No menu de serviço, em Segurança + rede, selecione Encriptação.
3. Confirme que o tipo de encriptação mostra chaves geridas pelo cliente.
4. Verifique se a informação na seleção de Chave está correta.

Para verificar a configuração da conta de armazenamento usando o Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Confirma que KeySource é Microsoft.Keyvault e que KeyVaultProperties mostra o URI do cofre de chaves e o nome da chave.

Para verificar a configuração usando o CLI do Azure, execute o seguinte comando. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Confirme que keySource é Microsoft.Keyvault e que a secção keyVaultProperties exibe o URI do cofre de chaves e o nome da chave.

Para criar a chave e atribuir a função, use os passos do PowerShell ou CLI do Azure. Depois configura a conta de armazenamento no portal Azure:

1. Aceda à sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Encriptação.
3. Para o tipo de encriptação, selecione Chaves geridas pelo cliente. Se a conta de armazenamento já estiver configurada para chaves geridas pelo cliente, selecione Alterar chave.
4. Para a chave de encriptação, selecione Selecionar do cofre de chaves e depois selecione Selecionar um cofre de chaves e chave.
5. Para o tipo de arquivo de chaves, selecione Managed HSM.
6. Selecione o seu HSM gerido e a chave, e depois selecione Selecionar.
7. Para o tipo de Identidade, selecione Atribuído pelo Utilizador e depois selecione a sua identidade gerida atribuída pelo utilizador.
8. Selecione Guardar.

Execute os seguintes comandos. Substitua <hsm-name>, <key-name>, <resource-group>, <identity-name>, e <storage-account-name> pelos teus próprios valores.

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

Num HSM gerido, Add-AzKeyVaultKey com um tipo de chave do tipo RSA cria uma chave RSA-HSM.

Execute os seguintes comandos. Substitua <hsm-name>, <key-name>, <identity-name>, <resource-group>, e <storage-account-name> pelos teus próprios valores.

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Entre no portal Azure e siga estes passos.

O prestador de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário Tenant1 do provedor de serviços.

O provedor de serviços cria um novo registo de aplicação multilocatário

Pode criar um novo registo de aplicação Microsoft Entra multicliente ou começar com um registo de aplicação multicliente existente. Se começar com um registo de aplicação existente, anote o ID da aplicação (ID do cliente) da aplicação.

Para criar um novo registo:

1. Pesquise por Microsoft Entra ID na caixa de pesquisa. Localize e selecione a extensão Microsoft Entra ID.

2. Selecione Gerir > Registos de Aplicações no painel à esquerda.

3. Selecione + Novo registo.

4. Forneça o nome para o registo da aplicação e selecione Conta em qualquer diretório organizacional (Qualquer diretório do Microsoft Entra – Multilocatário).

5. Selecione Registar.

6. Tome nota do ApplicationId/ClientId da aplicação.

   

O fornecedor de serviços cria uma identidade gerida atribuída ao utilizador

Crie uma identidade gerenciada atribuída pelo usuário para ser usada como uma credencial de identidade federada.

1. Pesquise por Managed Identities na caixa de pesquisa. Localize e selecione a extensão Managed Identities.

2. Selecione + Criar.

3. Forneça o grupo de recursos, a região e o nome para a identidade gerenciada.

4. Selecione Verificar + criar.

5. Após a implementação bem-sucedida, anote o ID de recurso do Azure da identidade gerida atribuída pelo utilizador, que está disponível em Propriedades. Por exemplo:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure uma identidade gerida atribuída ao utilizador como uma credencial de identidade federada na aplicação, para que possa assumir a identidade da aplicação.

1. Navegue até Microsoft Entra ID > Registros de Aplicativos > da sua aplicação.

2. Selecione Certificados e segredos.

3. Selecione Federated credentials.

   

4. Selecione + Adicionar credencial.

5. Em Cenário de credenciais federadas, selecione Identidade gerenciada.

6. Clique em Selecionar uma identidade gerenciada. No painel, selecione a subscrição. Sob Identidade gerida, selecione Identidade gerida atribuída ao utilizador. Na caixa Selecionar, procure a identidade gerenciada criada anteriormente e clique em Selecionar na parte inferior do painel.

   

7. Em Detalhes da credencial, forneça um nome e uma descrição opcional para a credencial e selecione Adicionar.

   

Para usar Azure PowerShell para configurar o tenant do ISV, instale o módulo mais recente Az. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo Az PowerShell.
  • Ligue-se à sua conta Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Consulte Visão geral de Azure Cloud Shell para mais informações.

O prestador de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços (ISV) no locatário do provedor de serviços, Tenant1.

O prestador de serviços inicia sessão no Azure

No sistema Azure PowerShell, inicie a sessão no cliente do ISV e configure a assinatura ativa para a assinatura do ISV.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

O provedor de serviços cria um novo registo de aplicação multilocatário

Escolha um nome para a sua aplicação multi-inquilino registada em Tenant1 e crie a aplicação multi-inquilino no Portal do Azure.

O nome que fornecer para a aplicação de múltiplos inquilinos é usado pelo cliente para identificar a aplicação em Tenant2. Anote o ID do objeto e o ID do aplicativo. Vai precisar destes valores nos passos seguintes.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

O fornecedor de serviços cria uma identidade gerida atribuída ao utilizador

Entre no tenant do ISV e crie uma identidade gerida atribuída pelo utilizador para utilização como credencial de identidade federada. Para criar uma nova identidade gerida atribuída ao utilizador, deve ser-lhe atribuída uma função que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure uma identidade gerida atribuída ao utilizador como uma credencial de identidade federada na aplicação, para que possa assumir a identidade da aplicação.

Para configurar a credencial de identidade federada no PowerShell, primeiro instale a versão 6.3.0 ou posterior do módulo Az.Resources.

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

• Usa o ambiente Bash em Azure Cloud Shell. Para mais informações, veja Get started with Azure Cloud Shell.

  

• Se preferires executar comandos de referência de CLI localmente, instala o CLI do Azure. Se estiver a usar Windows ou macOS, considere executar o CLI do Azure num contentor Docker. Para mais informações, veja Como executar o CLI do Azure num contentor Docker.

  • Se você estiver usando uma instalação local, entre na CLI do Azure usando o comando az login . Para concluir o processo de autenticação, siga os passos exibidos no seu terminal. Para outras opções de iniciação de sessão, veja Autenticar para Azure usando CLI do Azure.

  • Quando solicitado, instale a extensão do CLI do Azure na primeira utilização. Para mais informações sobre extensões, veja Usar e gerir extensões com a CLI do Azure.

  • Execute az version para descobrir a versão e as bibliotecas dependentes que estão instaladas. Para atualizar para a versão mais recente, execute az upgrade.

O prestador de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário Tenant1 do provedor de serviços.

O fornecedor de serviços inicia sessão no Azure

Inicie sessão no Azure para usar o CLI do Azure.

az login

O provedor de serviços cria um novo registo de aplicação multilocatário

Escolha um nome para seu aplicativo multilocatário em Tenant1 e crie o aplicativo multilocatário no portal do Azure.

O nome que fornecer para a aplicação de múltiplos inquilinos é usado pelo cliente para identificar a aplicação em Tenant2. Copie a ID da aplicação (ou ID do cliente) da aplicação, a ID do objeto da aplicação e também a ID do arrendatário da aplicação. Vai precisar destes valores nos passos seguintes.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

O fornecedor de serviços cria uma identidade gerida atribuída ao utilizador

Entre no tenant do ISV e crie uma identidade gerida atribuída pelo utilizador para utilização como credencial de identidade federada. Para criar uma nova identidade gerida atribuída ao utilizador, deve ser-lhe atribuída uma função que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Execute o método az ad app federated-credential create para configurar uma credencial de identidade federada numa aplicação e criar uma relação de confiança com um fornecedor de identidade externo.

Utilize api://AzureADTokenExchange como o valor de audience na credencial de identidade federada. Consulte a referência da API para obter mais detalhes.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Entre no portal Azure e siga estes passos.

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Para instalar a aplicação registada do fornecedor de serviços no inquilino do cliente, crie um principal de serviço com o ID da aplicação registada. Você pode criar o principal de serviço de uma das seguintes maneiras:

• Utilize Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell ou CLI do Azure para criar manualmente o principal de serviço.
• Construa um URL de consentimento do administrador e conceda consentimento para todo o inquilino para criar o principal de serviço. Você precisará fornecer a eles seu AppId.

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do utilizador deve ser atribuída ao cargo de Key Vault Contributor ou a outro cargo que permita a criação de um cofre de chaves.

1. A partir do menu do portal Azure ou da página inicial, selecione + Criar um recurso. Na caixa de pesquisa, introduza Key vaults. Na lista de resultados, selecione Key Vaults. Na página Cofres de chaves, selecione Criar.

2. Na guia Noções básicas, escolha uma assinatura. Em Grupo de recursos, selecione Criar novo e insira um nome de grupo de recursos.

3. Insira um nome único para o cofre de chaves.

4. Selecione uma região e um nível de preço.

5. Habilite a proteção contra limpeza para o novo cofre de chaves.

6. Na aba Política de Acesso, selecione controle de acesso baseado em função do Azure para Modelo de Permissão.

7. Selecione Revise + crie e depois Crie.

   

Tome nota do nome e do URI do cofre de chaves. As aplicações que acedem ao seu cofre de chaves devem utilizar este URI.

Para obter mais informações, consulte Guia de início rápido - Criar um cofre de chaves do Azure com o portal do Azure.

O cliente atribui a função de Oficial de Criptografia do Key Vault a uma conta de utilizador

Esta etapa garante que você possa criar chaves de criptografia.

1. Navegue até o seu cofre de chaves e selecione Controlo de Acesso (IAM) no painel à esquerda.
2. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
3. Procure e selecione Key Vault Crypto Officer.
4. Em Membros, selecione Utilizador, grupo ou principal de serviço.
5. Selecione Membros e procure a sua conta de utilizador.
6. Selecione Analisar + Atribuir.

O cliente cria uma chave de encriptação

Para criar a chave de encriptação, a conta do utilizador deve ser atribuída à função de Oficial Cripto do Cofre de Chaves ou a outra função que permita a criação de uma chave.

1. Na página de propriedades do Key Vault, selecione Chaves.
2. Selecione Gerar/Importar.
3. Na tela Criar uma chave, especifique um nome para a chave. Deixe as outras opções com os valores predefinidos.
4. Selecione Criar.
5. Copie o URI da chave.

O cliente concede ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função Azure RBAC role Key Vault Crypto Service Encryption User à aplicação registada do prestador de serviços para que possa aceder ao cofre de segurança.

1. Navegue até o seu cofre de chaves e selecione Controlo de Acesso (IAM) no painel à esquerda.
2. Em Conceder acesso a este recurso, selecione Adicionar atribuição de função.
3. Procure e selecione Key Vault Crypto Service Encryption User.
4. Em Membros, selecione Utilizador, grupo ou principal de serviço.
5. Selecione Membros e procure o nome do aplicativo que você instalou a partir do provedor de serviços.
6. Selecione Analisar + Atribuir.

Agora pode configurar chaves geridas pelo cliente com o URI do cofre de chaves e a chave.

Para usar o Azure PowerShell para configurar o inquilino do cliente, instale o módulo Az mais recente. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo Az PowerShell.
  • Ligue-se à sua conta Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Consulte Visão geral de Azure Cloud Shell para mais informações.

O cliente inicia sessão no Azure

No Azure PowerShell, faça login no tenant do cliente e defina a assinatura ativa como a assinatura do cliente.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber a identificação (ID) do aplicativo multilocatário do provedor de serviços, instale o aplicativo no seu locatário, Tenant2, criando um principal de serviço.

Execute os seguintes comandos no tenant onde se pretende criar o cofre de chaves.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente deve ter a atribuição do papel de Contribuidor do Cofre de Chaves ou de outro papel que permita a criação de um cofre de chaves.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

O cliente atribui a função de Oficial de Criptografia do Key Vault a uma conta de utilizador

Atribuir a função de Key Vault Crypto Officer a uma conta de usuário. Este passo garante que o utilizador possa criar o cofre de chaves e as chaves de encriptação. O exemplo abaixo atribui o papel ao utilizador atualmente autenticado.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

O cliente cria uma chave de encriptação

Para criar a chave de encriptação, a conta do utilizador deve ser atribuída à função de Oficial Cripto do Cofre de Chaves ou a outra função que permita a criação de uma chave.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

O cliente concede ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função RBAC do Azure Key Vault Crypto Service Encryption User à aplicação registada do fornecedor de serviços, através do principal de serviço que criou anteriormente, para que possa aceder ao cofre de chaves.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Agora pode configurar chaves geridas pelo cliente com o URI do cofre de chaves e a chave.

• Usa o ambiente Bash em Azure Cloud Shell. Para mais informações, veja Get started with Azure Cloud Shell.

  

• Se preferires executar comandos de referência de CLI localmente, instala o CLI do Azure. Se estiver a usar Windows ou macOS, considere executar o CLI do Azure num contentor Docker. Para mais informações, veja Como executar o CLI do Azure num contentor Docker.

  • Se você estiver usando uma instalação local, entre na CLI do Azure usando o comando az login . Para concluir o processo de autenticação, siga os passos exibidos no seu terminal. Para outras opções de iniciação de sessão, veja Autenticar para Azure usando CLI do Azure.

  • Quando solicitado, instale a extensão do CLI do Azure na primeira utilização. Para mais informações sobre extensões, veja Usar e gerir extensões com a CLI do Azure.

  • Execute az version para descobrir a versão e as bibliotecas dependentes que estão instaladas. Para atualizar para a versão mais recente, execute az upgrade.

O cliente inicia sessão no Azure

Inicie sessão no Azure para usar o CLI do Azure.

az login

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber a ID do aplicativo multilocatário do provedor de serviços, instale o aplicativo em seu locatário Tenant2 usando o comando a seguir. A instalação da aplicação cria um principal de serviço no seu inquilino.

Execute os seguintes comandos no tenant onde se pretende criar o cofre de chaves.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente deve ter a atribuição do papel de Contribuidor do Cofre de Chaves ou de outro papel que permita a criação de um cofre de chaves.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

O cliente atribui a função de Oficial de Criptografia do Key Vault a uma conta de utilizador

Esta etapa garante que possa criar o cofre de chaves e as chaves de encriptação.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

O cliente cria uma chave de encriptação

Para criar a chave de encriptação, a conta do utilizador deve ser atribuída à função de Oficial Cripto do Cofre de Chaves ou a outra função que permita a criação de uma chave.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

O cliente concede ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua o papel do Azure RBAC Key Vault Crypto Service Encryption User à aplicação registada do fornecedor de serviços, através do principal de serviço que criou previamente, para que a aplicação registada possa aceder ao cofre de chaves.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Agora pode configurar chaves geridas pelo cliente com o URI do cofre de chaves e a chave.

Para configurar chaves geridas pelo cliente entre inquilinos para uma conta de armazenamento existente no portal do Azure, siga estes passos:

1. Aceda à sua conta de armazenamento.

2. Em Segurança + rede, selecione Encriptação. Por defeito, a gestão de chaves está definida para chaves geridas pela Microsoft.

3. Selecione a opção Customer-managed keys.

4. Escolha a opção Select from Key Vault.

5. Selecione Introduzir URI de chave e especifique o URI de chave. Omite a versão da chave no URI se quiseres que o Ficheiros do Azure verifique automaticamente se existe uma nova versão da chave e a atualize.

6. Selecione a subscrição que contém o cofre de chaves e a chave.

7. No campo Tipo de Identidade, selecione Atribuído pelo Usuário, e depois especifique a identidade gerida com a credencial de identidade federada que criou anteriormente.

8. Expanda a secção Avançada e selecione a aplicação registada multitenant que criou anteriormente no tenant do ISV.

   

9. Guarde as alterações.

Depois de especificar a chave do cofre de chaves no tenant do cliente, o portal do Azure indica que as chaves geridas pelo cliente estão configuradas com essa chave. Também indica que a atualização automática da versão da chave está ativada e exibe a versão da chave atualmente em uso para encriptação. O portal também mostra o tipo de identidade gerida usada para autorizar o acesso ao cofre de chaves, o ID do principal da identidade gerida e o ID da aplicação da aplicação multi-inquilino.

Para configurar chaves geridas pelo cliente entre locatários para uma conta de armazenamento existente com PowerShell, instale primeiro o módulo Az.Storage PowerShell, versão 5.1.0 ou posterior. Este módulo é instalado com o módulo Az PowerShell, versão 9.1.0 ou posterior.

De seguida, chame Set-AzStorageAccount, fornecendo o ID de recurso para a identidade gerida atribuída pelo utilizador que configurou anteriormente na subscrição do ISV, e o ID da aplicação (cliente) para a aplicação multitenant que configurou anteriormente na subscrição do ISV. Forneça o URI e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores reservados entre colchetes pelos seus próprios valores e de usar as variáveis definidas nos exemplos anteriores.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Para configurar chaves geridas pelo cliente entre inquilinos para uma conta de armazenamento existente com o CLI do Azure, primeiro instale o CLI do Azure, versão 2.42.0 ou superior. Para mais informações sobre como instalar CLI do Azure, veja Como instalar o CLI do Azure.

De seguida, ligue az storage account update, fornecendo o ID de recurso para a identidade gerida atribuída ao utilizador que configurou anteriormente na subscrição do ISV, e o ID da aplicação (cliente) para a aplicação multitenant que configurou anteriormente na subscrição do ISV. Forneça o URI e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores reservados entre colchetes pelos seus próprios valores e de usar as variáveis definidas nos exemplos anteriores.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Para configurar chaves geridas pelo cliente entre vários locatários para uma nova conta de armazenamento no portal do Azure, siga estas etapas:

1. No portal do Azure, vai à página de Contas de Armazenamento no tenant do ISV e seleciona o botão Criar para criar uma nova conta.

2. Siga os passos descritos em Criar uma partilha de ficheiros clássica para preencher os campos nos separadores Básicos, Avançado, Rede e Proteção de Dados .

3. Na guia Criptografia, indique para quais serviços você deseja habilitar o suporte para chaves gerenciadas pelo cliente no campo Habilitar suporte para chaves gerenciadas pelo cliente.

4. No campo Tipo de criptografia, selecione Chaves gerenciadas pelo cliente (CMK).

5. No campo Chave de criptografia, escolha Inserir chave do cofre de chaves e especifique o URI da chave. Omita a versão da chave no URI se quiser que o Ficheiros do Azure verifique automaticamente se existe uma nova versão da chave e a atualize.

6. Para o campo Identidade atribuída pelo utilizador, procure a identidade gerida atribuída pelo utilizador que criou anteriormente no tenant do ISV.

7. Abra a secção Avançada e selecione a aplicação registada multitenant que criou anteriormente no tenant do ISV.

   

8. Selecione o botão Rever para validar e criar a conta.

Para configurar chaves geridas pelo cliente entre diferentes locatários para uma nova conta de armazenamento no PowerShell, primeiro instale o módulo do Az.Storage do PowerShell, versão 5.1.0 ou posterior. Este módulo é instalado com o módulo Az PowerShell, versão 9.1.0 ou posterior.

De seguida, chame New-AzStorageAccount, fornecendo o ID de recurso para a identidade gerida atribuída pelo utilizador que configurou anteriormente na subscrição do ISV, e o ID da aplicação (cliente) para a aplicação multitenant que configurou anteriormente na subscrição do ISV. Forneça o URI e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores reservados entre colchetes pelos seus próprios valores e de usar as variáveis definidas nos exemplos anteriores.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Para configurar chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento com a CLI do Azure, primeiro instale a CLI do Azure, versão 2.42.0 ou posterior. Para mais informações sobre como instalar CLI do Azure, veja Como instalar o CLI do Azure.

De seguida, chame az storage account create, fornecendo o ID de recurso para a identidade gerida atribuída pelo utilizador que configurou anteriormente na subscrição do ISV, e o ID da aplicação (cliente) para a aplicação multitenant que configurou anteriormente na subscrição do ISV. Forneça o URI e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores reservados entre colchetes pelos seus próprios valores e de usar as variáveis definidas nos exemplos anteriores.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Para rotacionar manualmente a versão da chave usando o portal Azure, siga estes passos:

1. Aceda ao cofre de chaves. No menu de serviço, em Objetos, selecione Chaves.
2. Selecione a chave e depois selecione a nova versão da chave. Copie o valor do Identificador de Chave. O valor inclui a versão da chave.
3. Aceda à sua conta de armazenamento. No menu de serviço, em Segurança + rede, selecione Encriptação.
4. Selecione Alterar chave.
5. Para a chave de encriptação, selecione Enter key URI e depois cole o identificador da chave no Key URI.
6. Selecione Guardar.

Para rodar manualmente a versão da chave usando o Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group>, <storage-account-name>, <key-vault-name>, e <key-name> pelos seus próprios valores.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Para rotacionar manualmente a versão da chave utilizando o CLI do Azure, execute os seguintes comandos. Substitua <storage-account-name>, <resource-group>, <key-vault-name>, e <key-name> pelos seus próprios valores.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Para alterar a chave usando o portal Azure, siga estes passos:

1. Aceda à sua conta de armazenamento.
2. No menu de serviço, em Segurança + rede, selecione Encriptação.
3. Selecione Alterar chave.
4. Selecione Selecione um cofre de chaves e uma chave. Para o tipo de arquivo de chaves, selecione Key Vault. Escolha o seu cofre de chaves e a nova chave e, em seguida, Selecionar.
5. Selecione Guardar.

Para alterar a chave usando o Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group>, <storage-account-name>, <key-vault-name>, e <new-key-name> pelos seus próprios valores.

Este cmdlet define KeyVersion como um valor vazio, que ativa a atualização automática da versão da chave (recomendado). Se omitires KeyVersion e a conta de armazenamento usar uma versão de chave que especificaste anteriormente, o cmdlet mantém essa versão e falha, porque a versão não existe para a nova chave. Para usar a atualização manual da versão da chave, defina KeyVersion para $key.Version.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Para alterar a chave usando o CLI do Azure, execute os seguintes comandos. Substitua <storage-account-name>, <resource-group>, <key-vault-name>, e <new-key-name> pelos seus próprios valores.

O comando define --encryption-key-version para um valor vazio, que ativa a atualização automática da versão da chave (recomendado). Se omitires --encryption-key-version e a conta de armazenamento usar uma versão de chave que especificaste anteriormente, o comando mantém essa versão e falha, porque a versão não existe para a nova chave. Para usar a atualização manual da versão da chave, defina --encryption-key-version para a versão da nova chave.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Para desativar a chave usando o portal Azure, siga estes passos:

1. Vá ao seu cofre de chaves no portal do Azure.
2. No menu de serviço, em Objetos, selecione Chaves.
3. Clique com o botão direito do rato na tecla e selecione Desativar.

Para desativar a chave usando o Azure PowerShell, execute o seguinte cmdlet. Substitua <key-vault-name> e <key-name> pelos seus próprios valores.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Para desativar a chave usando o CLI do Azure, execute o seguinte comando. Substitua <key-vault-name> e <key-name> pelos seus próprios valores.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Para voltar às chaves geridas pela Microsoft usando o portal Azure, siga estes passos:

1. Aceda à sua conta de armazenamento no Portal do Azure.
2. No menu de serviço, em Segurança + rede, selecione Encriptação.
3. Altere Tipo de encriptação para Chaves geridas pela Microsoft.
4. Selecione Guardar.

Para voltar às chaves geridas pela Microsoft usando Azure PowerShell, execute o seguinte cmdlet. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Para voltar às chaves geridas pela Microsoft usando o CLI do Azure, execute o seguinte comando. Substitua <resource-group> e <storage-account-name> pelos seus próprios valores.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage