Konfigurera kryptering i vila med kundhanterade nycklar för Azure Files

Följ dessa steg för att skapa ett nytt nyckelvalv med hjälp av Azure-portalen:

1. I Azure-portalen söker du efter Key-valv och väljer Skapa.
2. Fyll i de obligatoriska fälten (prenumeration, resursgrupp, namn, region).
3. Under Återställningsalternativ väljer du Aktivera rensningsskydd.
4. Välj Granska + skapaoch välj sedan Skapa.

Följ dessa steg om du vill använda ett befintligt nyckelvalv:

1. Gå till ditt nyckelvalv i Azure-portalen.
2. På tjänstmenyn går du till Inställningar och väljer Egenskaper.
3. I avsnittet Rensa skydd väljer du Aktivera rensningsskydd och sedan Spara.
4. Se till att mjuk borttagning är aktiverad i ditt nyckelvalv. Det är aktiverat som standard för nya nyckelvalv.

Kör följande cmdlet för att skapa ett nytt nyckelvalv med rensningsskydd aktiverat. Ersätt <key-vault-name>, <resource-group> och <region> med dina egna värden.

$vaultParams = @{
    Name = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    Location = "<region>"
    EnablePurgeProtection = $true
}
New-AzKeyVault @vaultParams

Om du vill aktivera rensningsskydd i ett befintligt nyckelvalv kör du följande cmdlet. Ersätt <key-vault-name> och <resource-group> med dina egna värden.

$vaultParams = @{
    VaultName = "<key-vault-name>"
    ResourceGroupName = "<resource-group>"
    EnablePurgeProtection = $true
}
Update-AzKeyVault @vaultParams

Kör följande kommando för att skapa ett nytt nyckelvalv med rensningsskydd aktiverat. Ersätt <key-vault-name>, <resource-group> och <region> med dina egna värden.

az keyvault create \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --location <region> \
    --enable-purge-protection true

Om du vill aktivera rensningsskydd i ett befintligt nyckelvalv kör du följande kommando. Ersätt <key-vault-name> och <resource-group> med dina egna värden.

az keyvault update \
    --name <key-vault-name> \
    --resource-group <resource-group> \
    --enable-purge-protection true

Så här tilldelar du rollen Key Vault Crypto Officer med hjälp av Azure portalen:

1. Gå till ditt nyckelvalv.
2. Välj Åtkomstkontroll (IAM) på tjänstmenyn.
3. Under rubriken Bevilja åtkomst till den här resursen väljer du Lägg till rolltilldelning.
4. Sök efter och välj Key Vault Crypto Officer och välj sedan Nästa.
5. Under Tilldela åtkomst till väljer du Användare, grupp eller tjänstens huvudnamn.
6. Under Medlemmar väljer du +Välj medlemmar.
7. Sök efter och välj ditt eget konto och välj sedan Välj.
8. Välj Granska + tilldela och sedan Granska + tilldela igen.

Kör följande cmdlet för att tilldela rollen Key Vault Crypto Officer till dig själv med hjälp av Azure PowerShell. Ersätt <key-vault-name> med ditt eget värde.

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"
$currentUser = (Get-AzADUser -SignedIn).Id

$roleParams = @{
    ObjectId = $currentUser
    RoleDefinitionName = "Key Vault Crypto Officer"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Kör följande kommandon för att tilldela rollen Key Vault Crypto Officer till dig själv med hjälp av Azure CLI. Ersätt <key-vault-name> med ditt eget värde.

KV_RESOURCE_ID=$(az keyvault show --name <key-vault-name> --query id -o tsv)
CURRENT_USER=$(az ad signed-in-user show --query id -o tsv)

az role assignment create \
    --assignee-object-id $CURRENT_USER \
    --assignee-principal-type User \
    --role "Key Vault Crypto Officer" \
    --scope $KV_RESOURCE_ID

För att generera en ny RSA-krypteringsnyckel med hjälp av Azure-portalen, följ följande steg:

1. Gå till ditt nyckelvalv i Azure-portalen.
2. På tjänstmenyn går du till Objekt och väljer Nycklar.
3. Välj Generera/Importera. Under Alternativ väljer du Generera.
4. Ange ett namn för nyckeln. Nyckelnamn kan bara innehålla alfanumeriska tecken och bindestreck.
5. Ställ in nyckeltypen till RSA och RSA-nyckelstorleken till 2048, 3072 eller 4096.
6. Välj Skapa.

För att importera en befintlig RSA-krypteringsnyckel via Azure-portalen, följ följande steg:

1. Gå till ditt nyckelvalv i Azure-portalen.
2. På tjänstmenyn går du till Objekt och väljer Nycklar.
3. Välj Generera/Importera. Under Alternativ väljer du Importera.
4. Välj din nyckel som ska laddas upp.
5. Ange ett namn för nyckeln. Nyckelnamn kan bara innehålla alfanumeriska tecken och bindestreck.
6. Ange Nyckeltyp till RSA.
7. Välj Skapa.

Om du vill skapa en RSA-nyckel med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <key-vault-name> och <key-name> med dina egna värden. För Size, specificera 2048, 3072 eller 4096.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Destination = "Software"
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

Om du vill importera en befintlig RSA-krypteringsnyckel med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <key-vault-name>, <key-name> och <key-path> med dina egna värden. Den första raden ber om lösenordet till nyckelfilen. Om nyckelfilen inte har något lösenord, utelämna raden Read-Host och KeyFilePassword.

$password = Read-Host -Prompt "Key file password" -AsSecureString

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    KeyFilePath = "<key-path>"
    KeyFilePassword = $password
}
Add-AzKeyVaultKey @keyParams

Kör följande kommando för att skapa en RSA-nyckel med hjälp av Azure CLI. Ersätt <key-vault-name> och <key-name> med dina egna värden. För --size, specificera 2048, 3072 eller 4096.

az keyvault key create \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --kty RSA \
    --size 2048

Om du vill importera en befintlig RSA-krypteringsnyckel med hjälp av Azure CLI kör du följande kommando. Ersätt <key-vault-name>, <key-name>, <key-path>och <key-password> med dina egna värden. Om nyckelfilen inte har något lösenord utelämnar du parametern --pem-password .

az keyvault key import \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --pem-file <key-path> \
    --pem-password <key-password>

För att skapa en användartilldelad hanterad identitet genom att använda Azure-portalen, följ dessa steg:

1. Sök efter hanterade identiteter och välj Skapa.
2. Välj en prenumeration, resursgrupp, region och namn.
3. Välj Granska + skapaoch välj sedan Skapa.

Om du vill skapa en användartilldelad hanterad identitet med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group>, <identity-name> och <region> med dina egna värden.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
    Location = "<region>"
}
New-AzUserAssignedIdentity @identityParams

Kör följande kommando för att skapa en användartilldelad hanterad identitet med hjälp av Azure CLI. Ersätt <resource-group>, <identity-name> och <region> med dina egna värden.

az identity create \
    --name <identity-name> \
    --resource-group <resource-group> \
    --location <region>

Följ dessa steg för att tilldela rollen Key Vault Krypteringsanvändare för kryptotjänst till den hanterade identiteten med hjälp av Azure-portalen:

1. Gå till ditt nyckelvalv i Azure-portalen.
2. Välj Åtkomstkontroll (IAM) på tjänstmenyn.
3. Under rubriken Bevilja åtkomst till den här resursen väljer du Lägg till rolltilldelning.
4. Sök efter och välj Key Vault Kryptotjänstkrypteringsanvändare och välj sedan Nästa.
5. Under Tilldela åtkomst till väljer du Hanterad identitet.
6. Under Medlemmar väljer du +Välj medlemmar.
7. Fönstret Välj hanterade identiteter öppnas. Under Hanterad identitet väljer du Användartilldelad hanterad identitet.
8. Välj den hanterade identitet som du skapade och välj sedan Välj.
9. Välj Granska + tilldela och sedan Granska + tilldela igen.

Om du vill tilldela rollen Key Vault krypteringsanvändare till den användartilldelade hanterade identiteten med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group>, <identity-name> och <key-vault-name> med dina egna värden.

$identityParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName "<key-vault-name>"

$roleParams = @{
    ObjectId = $identity.PrincipalId
    RoleDefinitionName = "Key Vault Crypto Service Encryption User"
    Scope = $keyVault.ResourceId
}
New-AzRoleAssignment @roleParams

Om du vill tilldela rollen Key Vault krypteringsanvändare till den användartilldelade hanterade identiteten med hjälp av Azure CLI kör du följande kommandon. Ersätt <resource-group>, <identity-name> och <key-vault-name> med dina egna värden.

# Get the principal ID of the user-assigned managed identity
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Get the key vault resource ID
KV_RESOURCE_ID=$(az keyvault show \
    --name <key-vault-name> \
    --query id -o tsv)

# Assign the Key Vault Crypto Service Encryption User role to the user-assigned managed identity
az role assignment create \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $KV_RESOURCE_ID

Följ dessa steg för att konfigurera kundhanterade nycklar på ett befintligt lagringskonto med hjälp av Azure portalen. De här stegen använder automatisk uppdatering av nyckelversionen. För att använda manuell uppdatering av nyckelversionen väljer du Ange nyckel-URI i steg 4 och anger en nyckel-URI som inkluderar nyckelversionen.

1. Gå till ditt lagringskonto.
2. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
3. För Krypteringstyp, välj kundhanterade nycklar. Om lagringskontot redan har konfigurerats för CMK väljer du Ändra nyckel.
4. För Krypteringsnyckel väljer du Välj från nyckelvalv.
5. Välj Välj ett nyckelvalv och en nyckel. För nyckellagringstyp, välj Key vault. Välj ditt nyckelvalv och nyckel, och välj sedan Select.
6. Som Identitetstyp väljer du Användartilldelad för att använda din tidigare skapade användartilldelade hanterade identitet.
7. Välj en identitet. Sök efter och välj den användar-tilldelade hanterade identiteten, och välj sedan Lägg till.
8. Välj Spara.

Om du vill konfigurera kundhanterade nycklar på ett befintligt lagringskonto med hjälp av Azure PowerShell med automatisk uppdatering av nyckelversion (rekommenderas) kör du följande cmdlet. Ersätt <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>och <key-name> med dina egna värden.

Följande cmdlet använder din tidigare skapade användartilldelade hanterade identitet. Om du vill använda lagringskontots systemidentitet istället, ställ in SystemAssigned på Get-AzUserAssignedIdentity, och ta bort raderna UserAssignedIdentityId, KeyVaultUserAssignedIdentityId och IdentityType.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

För att använda manuell uppdatering av nyckelversion istället för automatisk uppdatering, lägg till KeyVersion = $key.Version i $accountParams.

Om du vill konfigurera kundhanterade nycklar på ett befintligt lagringskonto med hjälp av Azure CLI med automatisk uppdatering av nyckelversion (rekommenderas) kör du följande kommandon. Ersätt <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>och <key-name> med dina egna värden.

Följande kommando använder din tidigare skapade användartilldelade hanterade identitet. Om du vill använda lagringskontots systemidentitet i stället anger du --identity-type till SystemAssigned och utelämnar variabeln IDENTITY_RESOURCE_ID , --user-identity-idoch --key-vault-user-identity-id.

# Using user-assigned managed identity. Omit for system assigned.
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID

Lägg till --encryption-key-version <key-version> i az storage account update kommandot om du vill använda manuell uppdatering av nyckelversioner i stället för automatisk uppdatering.

Följ dessa steg för att konfigurera kundhanterade nycklar för ett nytt lagringskonto med hjälp av Azure portalen. I de här stegen används automatisk uppdatering av nyckelversionen. För att använda manuell uppdatering av nyckelversionen, välj Enter key from URI i steg 2 och ange en nyckel-URI som inkluderar nyckelversionen.

1. På fliken Kryptering när lagringskontot skapas väljer du Kundhanterade nycklar (CMK) som krypteringstyp.

2. För krypteringsnyckel, välj Välj ett Key Vault och en nyckel.

3. För Prenumeration, välj prenumerationen som innehåller ditt nyckelvalv. Portalen kan som standard använda en annan prenumeration.

4. För nyckellagertyp, välj Key vault.

5. Välj ditt Key Vault och din nyckel.

6. Under Användartilldelad identitet väljer du Välj en identitet. Fönstret Välj användartilldelad hanterad identitet öppnas.

7. Sök efter och välj den användartilldelade hanterade identitet som du skapat. Nya lagringskonton kan inte använda en systemtilldelad hanterad identitet.

8. Välj Lägg till.

   

9. Fyll i de återstående flikarna, välj Granska och skapa, och välj sedan Skapa.

Om du vill skapa ett nytt lagringskonto med kundhanterade nycklar med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name>och <region> med dina egna värden. Du kan ange olika värden för Kind och SkuName.

$resourceGroupName = "<resource-group>"
$keyVaultName = "<key-vault-name>"

$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    Location = "<region>"
    SkuName = "Standard_LRS"
    Kind = "StorageV2"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVaultUserAssignedIdentityId = $identity.Id
}
New-AzStorageAccount @accountParams

För att använda manuell nyckelversionsuppdatering istället för automatisk, lägg till KeyVersion = $key.Version till $accountParams.

Om du vill skapa ett nytt lagringskonto med kundhanterade nycklar med hjälp av Azure CLI kör du följande kommandon. Ersätt <resource-group>, <identity-name>, <storage-account-name>, <key-vault-name>, <key-name>och <region> med dina egna värden. Du kan ange olika värden för --kind och --sku.

IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account create \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --location <region> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Lägg till --encryption-key-version <key-version> i az storage account create kommandot om du vill använda manuell uppdatering av nyckelversioner i stället för automatiskt.

Följ dessa steg för att verifiera konfigurationen av lagringskontot med hjälp av Azure portalen:

1. Gå till ditt lagringskonto i Azure-portalen.
2. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
3. Bekräfta att krypteringstypen visar kundhanterade nycklar.
4. Kontrollera att informationen under Nyckelval är korrekt.

Kör följande cmdlet för att verifiera konfigurationen av lagringskontot med hjälp av Azure PowerShell. Ersätt <resource-group> och <storage-account-name> med dina egna värden.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
}
$account = Get-AzStorageAccount @accountParams

$account.Encryption.KeySource
$account.Encryption.KeyVaultProperties

Bekräfta att KeySource är Microsoft.Keyvault och att KeyVaultProperties visar nyckelvalvets URI och nyckelnamn.

Kör följande kommando för att verifiera konfigurationen med hjälp av Azure CLI. Ersätt <resource-group> och <storage-account-name> med dina egna värden.

az storage account show \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --query encryption

Bekräfta att keySource är Microsoft.Keyvault och avsnittet keyVaultProperties visar nyckelvalvets URI och nyckelnamn.

För att skapa nyckeln och tilldela rollen, använd stegen i PowerShell eller Azure CLI. Konfigurera sedan lagringskontot i Azure-portalen:

1. Gå till ditt lagringskonto.
2. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
3. För krypteringstyp, välj Kundhanterade nycklar. Om lagringskontot redan är konfigurerat för kundhanterade nycklar, välj Byt nyckel.
4. För krypteringsnyckel, välj Välj från nyckelvalv och välj sedan Välj ett nyckelvalv och nyckel.
5. För Key store-typ, välj Managed HSM.
6. Välj din hanterade HSM och nyckel, och välj sedan Select.
7. För Identitetstyp, välj Användartilldelad och välj sedan din användartilldelade hanterade identitet.
8. Välj Spara.

Kör följande kommandon. Ersätt <hsm-name>, <key-name>, <resource-group>, <identity-name>och <storage-account-name> med dina egna värden.

$resourceGroupName = "<resource-group>"
$hsmName = "<hsm-name>"
$keyName = "<key-name>"

# Create an RSA-HSM key in the managed HSM
$keyParams = @{
    HsmName = $hsmName
    Name = $keyName
    KeyType = "RSA"
    Size = 2048
}
Add-AzKeyVaultKey @keyParams

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
$identityParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<identity-name>"
}
$identity = Get-AzUserAssignedIdentity @identityParams

$roleParams = @{
    HsmName = $hsmName
    RoleDefinitionName = "Managed HSM Crypto Service Encryption User"
    ObjectId = $identity.PrincipalId
    Scope = "/keys/$keyName"
}
New-AzKeyVaultRoleAssignment @roleParams

# Configure customer-managed keys on the storage account
$hsm = Get-AzKeyVaultManagedHsm -Name $hsmName

$accountParams = @{
    ResourceGroupName = $resourceGroupName
    Name = "<storage-account-name>"
    IdentityType = "UserAssigned"
    UserAssignedIdentityId = $identity.Id
    KeyVaultUri = $hsm.HsmUri
    KeyName = $keyName
    KeyVaultEncryption = $true
    KeyVaultUserAssignedIdentityId = $identity.Id
}
Set-AzStorageAccount @accountParams

I en hanterad HSM skapar Add-AzKeyVaultKey med nyckeltypen RSA en RSA-HSM-nyckel.

Kör följande kommandon. Ersätt <hsm-name>, <key-name>, <identity-name>, <resource-group>och <storage-account-name> med dina egna värden.

HSM_NAME="<hsm-name>"
KEY_NAME="<key-name>"

# Create an RSA-HSM key in the managed HSM
az keyvault key create \
    --hsm-name $HSM_NAME \
    --name $KEY_NAME \
    --kty RSA-HSM \
    --size 2048

# Get the resource ID and principal ID of the user-assigned managed identity
IDENTITY_RESOURCE_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query id -o tsv)
IDENTITY_PRINCIPAL_ID=$(az identity show \
    --name <identity-name> \
    --resource-group <resource-group> \
    --query principalId -o tsv)

# Assign the Managed HSM Crypto Service Encryption User role to the managed identity, scoped to the key
az keyvault role assignment create \
    --hsm-name $HSM_NAME \
    --role "Managed HSM Crypto Service Encryption User" \
    --assignee-object-id $IDENTITY_PRINCIPAL_ID \
    --assignee-principal-type ServicePrincipal \
    --scope /keys/$KEY_NAME

# Get the managed HSM URI
HSM_URI=$(az keyvault show \
    --hsm-name $HSM_NAME \
    --query properties.hsmUri -o tsv)

# Configure customer-managed keys on the storage account
az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --identity-type UserAssigned \
    --user-identity-id $IDENTITY_RESOURCE_ID \
    --encryption-key-vault $HSM_URI \
    --encryption-key-name $KEY_NAME \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $IDENTITY_RESOURCE_ID

Logga in på Azure-portalen och följ dessa steg.

Tjänstleverantören konfigurerar identiteter

Följande steg utförs av tjänstleverantören i tjänstleverantörens tenant Tenant1.

Tjänstleverantören skapar en ny appregistrering för flera klientorganisationer

Du kan antingen skapa en ny Microsoft Entra-programregistrering för flera klientorganisationer eller börja med en befintlig programregistrering för flera klientorganisationer. Om du börjar med en befintlig programregistrering bör du notera programmets program-ID (klient-ID).

Så här skapar du en ny registrering:

1. Sök efter Microsoft Entra ID i sökrutan. Leta upp och välj tillägget Microsoft Entra ID.

2. Välj Hantera > App-registreringar i det vänstra fönstret.

3. Välj + Ny registrering.

4. Ange namnet på programregistreringen och välj Konto i valfri organisationskatalog (Alla Microsoft Entra-kataloger – Multitenant).

5. Välj Registrera.

6. Observera ApplicationId/ClientId för programmet.

   

Tjänstleverantören skapar en användartilldelad hanterad identitet

Skapa en användartilldelad hanterad identitet som ska användas som en federerad identitetsautentiseringsuppgift.

1. Sök efter hanterade identiteter i sökrutan. Leta upp och välj tillägget Hanterade identiteter .

2. Välj + Skapa.

3. Ange resursgruppen, regionen och namnet för den hanterade identiteten.

4. Välj Förhandsgranska + skapa.

5. När distributionen har slutförts, notera Azure ResourceId för den användartilldelade hanterade identiteten, som finns under Egenskaper. Ett exempel:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

Tjänstleverantören konfigurerar den användartilldelade hanterade identiteten som en federerad autentiseringsuppgift i programmet

Konfigurera en användartilldelad hanterad identitet som en federerad identitetsautentiseringsuppgift i programmet så att den kan personifiera programmets identitet.

1. Gå till Microsoft Entra ID >, Appregistreringar > och ditt program.

2. Välj Certifikat och hemligheter.

3. Välj Federerade autentiseringsuppgifter.

   

4. Välj + Lägg till autentiseringsuppgifter.

5. Under Scenario med federerade autentiseringsuppgifter väljer du Hanterad identitet.

6. Klicka på Välj en hanterad identitet. Välj prenumerationen från panelen. Under Hanterad identitet väljer du Användartilldelad hanterad identitet. I rutan Välj söker du efter den hanterade identitet som du skapade tidigare och klickar sedan på Välj längst ned i fönstret.

   

7. Under Information om autentiseringsuppgifter anger du ett namn och en valfri beskrivning för autentiseringsuppgifterna och väljer Lägg till.

   

Om du vill använda Azure PowerShell för att konfigurera ISV:s klientorganisation installerar du den senaste Az-modulen . Mer information om hur du installerar PowerShell finns i Installera Azure PowerShell på Windows med PowerShellGet.

• Om du väljer att använda Azure PowerShell lokalt:
  • Installera den senaste versionen av Az PowerShell-modulen.
  • Anslut till ditt Azure-konto med hjälp av cmdleten Connect-AzAccount .
• Om du väljer att använda Azure Cloud Shell:
  • Mer information finns i Översikt över Azure Cloud Shell.

Tjänstleverantören konfigurerar identiteter

Följande steg utförs av tjänstleverantören (ISV) i tjänstleverantörens klientorganisation, Tenant1.

Tjänstleverantören loggar in på Azure

I Azure PowerShell loggar du in på ISV:s tenant och ställer in den aktiva prenumerationen till ISV:s prenumeration.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

Tjänstleverantören skapar en ny appregistrering för flera klientorganisationer

Välj ett namn för ditt registrerade program för flera klientorganisationer i Tenant1 och skapa programmet för flera klientorganisationer i Azure Portal.

Det namn som du anger för programmet för flera klientorganisationer används av kunden för att identifiera programmet i Klientorganisation2. Observera appens objekt-ID och program-ID. Du behöver dessa värden i efterföljande steg.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

Tjänstleverantören skapar en användartilldelad hanterad identitet

Logga in på ISV:s klientorganisation och skapa sedan en användartilldelad hanterad identitet som ska användas som en federerad identitetsautentiseringsuppgift. Om du vill skapa en ny användartilldelad hanterad identitet måste du tilldelas en roll som innehåller åtgärden Microsoft.ManagedIdentity/userAssignedIdentities/write .

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

Tjänstleverantören konfigurerar den användartilldelade hanterade identiteten som en federerad autentiseringsuppgift i programmet

Konfigurera en användartilldelad hanterad identitet som en federerad identitetsautentiseringsuppgift i programmet så att den kan personifiera programmets identitet.

Om du vill konfigurera federerade identitetsautentiseringsuppgifter från PowerShell installerar du först version 6.3.0 eller senare av az.resources-modulen .

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for a customer-managed key"

• Använd Bash-miljön i Azure Cloud Shell. Mer information finns i Kom igång med Azure Cloud Shell.

  

• Om du föredrar att köra CLI-referenskommandon lokalt installerar du Azure CLI. Om du kör på Windows eller macOS, överväg att köra Azure CLI i en Docker-container. För mer information, se Hur man kör Azure CLI i en Docker-container.

  • Om du använder en lokal installation loggar du in på Azure CLI med hjälp av kommandot az login. För att avsluta autentiseringsprocessen, följ stegen som visas i din terminal. Andra inloggningsalternativ finns i Autentisera till Azure med Azure CLI.

  • När du blir uppmanad, installera Azure CLI-tillägget vid första användning. Mer information om tillägg finns i Använda och hantera tillägg med Azure CLI.

  • Kör az version för att ta reda på versionen och de beroende bibliotek som är installerade. Om du vill uppgradera till den senaste versionen kör du az upgrade.

Tjänstleverantören konfigurerar identiteter

Följande steg utförs av tjänstleverantören i tjänstleverantörens tenant Tenant1.

Tjänstleverantören loggar in på Azure

Logga in på Azure för att använda Azure CLI.

az login

Tjänstleverantören skapar en ny appregistrering för flera klientorganisationer

Välj ett namn för ditt program för flera klientorganisationer i Tenant1 och skapa programmet för flera klientorganisationer i Azure portalen.

Det namn som du anger för programmet för flera klientorganisationer används av kunden för att identifiera programmet i Klientorganisation2. Kopiera appens program-ID (eller klient-ID), appens objekt-ID och även appens klient-ID. Du behöver dessa värden i följande steg.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

Tjänstleverantören skapar en användartilldelad hanterad identitet

Logga in på ISV:s klientorganisation och skapa sedan en användartilldelad hanterad identitet som ska användas som en federerad identitetsautentiseringsuppgift. Om du vill skapa en ny användartilldelad hanterad identitet måste du tilldelas en roll som innehåller åtgärden Microsoft.ManagedIdentity/userAssignedIdentities/write .

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

Tjänstleverantören konfigurerar den användartilldelade hanterade identiteten som en federerad autentiseringsuppgift i programmet

Kör metoden az ad app federated-credential create för att konfigurera en federerad identitetsautentisering i en app och skapa en förtroenderelation med en extern identitetsprovider.

Använd api://AzureADTokenExchange som audience värde i den federerade identitetsautentiseringsuppgiften. Mer information finns i API-referensen .

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for a customer-managed key",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Logga in på Azure-portalen och följ dessa steg.

Kunden installerar tjänstproviderprogrammet i kundens klientorganisation

Om du vill installera tjänstleverantörens registrerade program i kundens klientorganisation skapar du ett huvudnamn för tjänsten med program-ID:t från den registrerade appen. Du kan skapa tjänstens huvudnamn på något av följande sätt:

• Använd Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell eller Azure CLI för att skapa tjänstens huvudnamn manuellt.
• Skapa en administratörsmedgivande-URL och bevilja hyresgästomfattande medgivande för att skapa tjänsteprincipalen. Du måste ge dem ditt app-ID.

Kunden skapar ett Key Vault

För att skapa ett nyckelvalv måste användarens konto tilldelas rollen Key Vault Deltagare eller en annan roll som tillåter skapande av ett nyckelvalv.

1. Från Azure-portalen eller från startsidan, välj + Skapa en resurs. Skriv Key vaults i sökrutan. I resultatlistan väljer du Nyckelvalv. På sidan Nyckelvalv väljer du Skapa.

2. På fliken Grundläggande väljer du en prenumeration. Under Resursgrupp väljer du Skapa ny och anger ett resursgruppsnamn.

3. Ange ett unikt namn för nyckelvalvet.

4. Välj en region och prisnivå.

5. Aktivera rensningsskydd för det nya nyckelvalvet.

6. På fliken Åtkomstprincip väljer du Rollbaserad åtkomstkontroll i Azure för Behörighetsmodell.

7. Välj Granska och skapa och sedan Skapa.

   

Anteckna namnet på nyckelvalvet och URI-program som har åtkomst till ditt nyckelvalv måste använda den här URI:n.

Mer information finns i Snabbstart – Skapa ett Azure Key Vault med Azure Portal.

Kunden tilldelar Key Vault Crypto Officer-rollen till ett användarkonto

Det här steget säkerställer att du kan skapa krypteringsnycklar.

1. Gå till nyckelvalvet och välj Åtkomstkontroll (IAM) i den vänstra rutan.
2. Under rubriken Bevilja åtkomst till den här resursen väljer du Lägg till rolltilldelning.
3. Sök efter och välj Key Vault Crypto Officer.
4. Under Medlemmar väljer du Användare, grupp eller tjänstens huvudnamn.
5. Välj Medlemmar och sök efter ditt användarkonto.
6. Välj Granska och tilldela.

Kunden skapar en krypteringsnyckel

För att kunna skapa krypteringsnyckeln måste användarens konto tilldelas rollen Key Vault Crypto Officer eller en annan roll som gör det möjligt att skapa en nyckel.

1. På sidan Key Vault-egenskaper väljer du Nycklar.
2. Välj Generera/Importera.
3. På skärmen Skapa en nyckel anger du ett namn för nyckeln. Låt de andra värdena vara kvar som standardvärden.
4. Välj Skapa.
5. Kopiera nyckel-URI:n.

Kunden ger tjänstleverantörsprogrammet åtkomst till nyckelvalvet

Tilldela Azure RBAC-rollen Key Vault Crypto Service Encryption User till tjänstleverantörens registrerade program så att det kan komma åt nyckelvalvet.

1. Gå till nyckelvalvet och välj Åtkomstkontroll (IAM) i den vänstra rutan.
2. Under rubriken Bevilja åtkomst till den här resursen väljer du Lägg till rolltilldelning.
3. Sök efter och välj Key Vault Crypto Service Encryption User.
4. Under Medlemmar väljer du Användare, grupp eller tjänstens huvudnamn.
5. Välj Medlemmar och sök efter programnamnet för det program som du installerade från tjänstleverantören.
6. Välj Granska och tilldela.

Nu kan du konfigurera kundhanterade nycklar med nyckelvalvets URI och nyckel.

Om du vill använda Azure PowerShell för att konfigurera klientens klientorganisation installerar du den senaste modulen Az. Mer information om hur du installerar PowerShell finns i Installera Azure PowerShell på Windows med PowerShellGet.

• Om du väljer att använda Azure PowerShell lokalt:
  • Installera den senaste versionen av Az PowerShell-modulen.
  • Anslut till ditt Azure-konto med hjälp av cmdleten Connect-AzAccount .
• Om du väljer att använda Azure Cloud Shell:
  • Mer information finns i Översikt över Azure Cloud Shell.

Kunden loggar in på Azure

I Azure PowerShell loggar du in på kundens tenant och anger kundens prenumeration som aktiv prenumeration.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

Kunden installerar tjänstproviderprogrammet i kundens klientorganisation

När du har fått program-ID för tjänstleverantörens program för flera klientorganisationer installerar du programmet i din klientorganisation, Tenant2, genom att skapa ett huvudnamn för tjänsten.

Kör följande kommandon i den tenant där du planerar att skapa key vault.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

Kunden skapar ett Key Vault

Om du vill skapa nyckelvalvet måste kundens konto tilldelas rollen Key Vault-deltagare eller en annan roll som gör det möjligt att skapa ett nyckelvalv.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Kunden tilldelar Key Vault Crypto Officer-rollen till ett användarkonto

Tilldela rollen Key Vault Crypto Officer till ett användarkonto. Det här steget säkerställer att användaren kan skapa nyckelvalvet och krypteringsnycklarna. Exemplet nedan tilldelar rollen till den aktuella inloggade användaren.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

Kunden skapar en krypteringsnyckel

För att kunna skapa krypteringsnyckeln måste användarens konto tilldelas rollen Key Vault Crypto Officer eller en annan roll som gör det möjligt att skapa en nyckel.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

Kunden ger tjänstleverantörsprogrammet åtkomst till nyckelvalvet

Tilldela Azure RBAC-rollen Key Vault Crypto Service Encryption User till tjänstleverantörens registrerade program, via tjänstens huvudnamn som du skapade tidigare, så att det kan komma åt nyckelvalvet.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Nu kan du konfigurera kundhanterade nycklar med nyckelvalvets URI och nyckel.

• Använd Bash-miljön i Azure Cloud Shell. Mer information finns i Kom igång med Azure Cloud Shell.

  

• Om du föredrar att köra CLI-referenskommandon lokalt installerar du Azure CLI. Om du kör på Windows eller macOS, överväg att köra Azure CLI i en Docker-container. För mer information, se Hur man kör Azure CLI i en Docker-container.

  • Om du använder en lokal installation loggar du in på Azure CLI med hjälp av kommandot az login. För att avsluta autentiseringsprocessen, följ stegen som visas i din terminal. Andra inloggningsalternativ finns i Autentisera till Azure med Azure CLI.

  • När du blir uppmanad, installera Azure CLI-tillägget vid första användning. Mer information om tillägg finns i Använda och hantera tillägg med Azure CLI.

  • Kör az version för att ta reda på versionen och de beroende bibliotek som är installerade. Om du vill uppgradera till den senaste versionen kör du az upgrade.

Kunden loggar in på Azure

Logga in på Azure för att använda Azure CLI.

az login

Kunden installerar tjänstproviderprogrammet i kundens klientorganisation

När du har fått program-ID:t för tjänstleverantörens program för flera klientorganisationer installerar du programmet i klientorganisationen 2 med hjälp av följande kommando. När du installerar appen skapas ett service principal i din klientorganisation.

Kör följande kommandon i den tenant där du planerar att skapa key vault.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

Kunden skapar ett Key Vault

Om du vill skapa nyckelvalvet måste kundens konto tilldelas rollen Key Vault-deltagare eller en annan roll som gör det möjligt att skapa ett nyckelvalv.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

Kunden tilldelar Key Vault Crypto Officer-rollen till ett användarkonto

Det här steget säkerställer att du kan skapa nyckelvalvet och krypteringsnycklarna.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

Kunden skapar en krypteringsnyckel

För att kunna skapa krypteringsnyckeln måste användarens konto tilldelas rollen Key Vault Crypto Officer eller en annan roll som gör det möjligt att skapa en nyckel.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

Kunden ger tjänstleverantörsprogrammet åtkomst till nyckelvalvet

Tilldela Azure RBAC-rollen Key Vault Crypto Service Encryption User till tjänstleverantörens registrerade program, via tjänstens huvudnamn som du skapade tidigare, så att det registrerade programmet kan komma åt nyckelvalvet.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Nu kan du konfigurera kundhanterade nycklar med nyckelvalvets URI och nyckel.

Följ dessa steg för att konfigurera kundhanterade nycklar mellan klientorganisationer för ett befintligt lagringskonto i Azure Portal:

1. Gå till ditt lagringskonto.

2. Under Säkerhet + nätverk väljer du Kryptering. Som standard är nyckelhanteringen inställd på Microsoft-hanterade nycklar.

3. Välj alternativet Kundhanterade nycklar.

4. Välj alternativet Välj från Key Vault.

5. Välj Ange nyckel-URI och ange nyckelns URI. Utelämna nyckelversionen från URI:n om du vill att Azure Files automatiskt ska kontrollera efter en ny nyckelversion och uppdatera den.

6. Välj den prenumeration som innehåller nyckelvalvet och nyckeln.

7. I fältet Identitetstyp väljer du Användartilldelad och anger sedan den hanterade identiteten med den federerade identitetsautentiseringsuppgift som du skapade tidigare.

8. Expandera avsnittet Avancerat och välj det multitenant-registrerade programmet som du tidigare skapade i ISV:ns klientorganisation.

   

9. Spara ändringarna.

Efter att du specificerat nyckeln från nyckelvalvet i kundens klientorganisation, indikerar Azure-portalen att kundhanterade nycklar är konfigurerade med den nyckeln. Det anger också att automatisk uppdatering av nyckelversionen är aktiverad och visar den nyckelversion som för närvarande används för kryptering. Portalen visar också vilken typ av hanterad identitet som används för att ge åtkomst till nyckelvalvet, huvud-ID för den hanterade identiteten och applikations-ID för multitenant-applikationen.

För att konfigurera kundhanterade nycklar över flera hyresgäster för ett befintligt lagringskonto med PowerShell, installera först Az.Storage PowerShell-modulen, version 5.1.0 eller senare. Den här modulen installeras med Az PowerShell-modulen version 9.1.0 eller senare.

Därefter anropar du Set-AzStorageAccount och anger resurs-ID för den användartilldelade hanterade identitet som du tidigare konfigurerade i ISV:ns prenumeration, samt applikations-ID:t (klient-ID:t) för multitenant-applikationen som du tidigare konfigurerade i ISV:ns prenumeration. Ange nyckelvalvets URI och nyckelnamn från kundens nyckelvalv.

Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna värden och att använda variablerna som definierats i föregående exempel.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    KeyVaultEncryption = $true
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
Set-AzStorageAccount @accountParams

Om du vill konfigurera kundhanterade nycklar mellan klientorganisationer för ett befintligt lagringskonto med Azure CLI installerar du först Azure CLI, version 2.42.0 eller senare. Mer information om hur du installerar Azure CLI finns i Installera Azure CLI.

Därefter, anropa az storage account update, och ange resurs-ID för den användartilldelade hanterade identitet som du konfigurerade tidigare i ISV:ns prenumeration, samt applikations-ID:t (klient) för multitenant-applikationen som du konfigurerade tidigare i ISV:ns prenumeration. Ange nyckelvalvets URI och nyckelnamn från kundens nyckelvalv.

Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna värden och att använda variablerna som definierats i föregående exempel.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Följ dessa steg för att konfigurera kundhanterade nycklar mellan klientorganisationer för ett nytt lagringskonto i Azure Portal:

1. I Azure-portalen går du till sidan Lagringskonton i ISV:ns klientorganisation och väljer knappen Skapa för att skapa ett nytt konto.

2. Följ stegen som beskrivs i Skapa en klassisk fildelning för att fylla i fälten på flikarna Basics, Advanced, Networking och Data Protection .

3. På fliken Kryptering anger du för vilka tjänster du vill aktivera support för kundhanterade nycklar i fältet Aktivera support för kundhanterade nycklar .

4. I fältet Krypteringstyp väljer du Kundhanterade nycklar (CMK).

5. I fältet Krypteringsnyckel väljer du Ange nyckel från nyckelvalvet och anger nyckel-URI:n. Utelämna nyckelversionen från URI:n om du vill att Azure Files automatiskt ska kontrollera efter en ny nyckelversion och uppdatera den.

6. I fältet Användartilldelad identitet söker du efter den användartilldelade hanterade identitet som du skapade tidigare i ISV:ens klientorganisation.

7. Expandera avsnittet Avancerat och välj den multitenant-registrerade applikationen som du tidigare skapade i ISV:ns klientorganisation.

   

8. Välj knappen Granska för att verifiera och skapa kontot.

Om du vill konfigurera kundhanterade nycklar mellan klientorganisationer för ett nytt lagringskonto i PowerShell installerar du först Az.Storage PowerShell-modulen version 5.1.0 eller senare. Den här modulen installeras med Az PowerShell-modulen version 9.1.0 eller senare.

Därefter anropar du New-AzStorageAccount och anger resurs-ID för den användartilldelade hanterade identitet som du konfigurerade tidigare i ISV:ns prenumeration, samt applikations-ID:t (klient) för multitenant-applikationen som du tidigare konfigurerade i ISV:ns prenumeration. Ange nyckelvalvets URI och nyckelnamn från kundens nyckelvalv.

Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna värden och att använda variablerna som definierats i föregående exempel.

$accountName = "<account-name>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$location = "<location>"
$multiTenantAppId = "<application-id>" # appId value from multi-tenant app

$userIdentity = Get-AzUserAssignedIdentity -Name "<user-assigned-identity>" -ResourceGroupName $isvRgName

$accountParams = @{
    ResourceGroupName = $isvRgName
    Name = $accountName
    Kind = "StorageV2"
    SkuName = "Standard_LRS"
    Location = $location
    UserAssignedIdentityId = $userIdentity.Id
    IdentityType = "SystemAssignedUserAssigned"
    KeyName = $keyName
    KeyVaultUri = $kvUri
    KeyVaultUserAssignedIdentityId = $userIdentity.Id
    KeyVaultFederatedClientId = $multiTenantAppId
}
New-AzStorageAccount @accountParams

Om du vill konfigurera kundhanterade nycklar mellan klientorganisationer för ett nytt lagringskonto med Azure CLI installerar du först Azure CLI, version 2.42.0 eller senare. Mer information om hur du installerar Azure CLI finns i Installera Azure CLI.

Därefter anropar du az storage account create, och anger resurs-ID för den användartilldelade hanterade identitet som du konfigurerade tidigare i ISV:ns prenumeration, samt applikations-ID:t (klient) för multitenant-applikationen som du konfigurerade tidigare i ISV:ns prenumeration. Ange nyckelvalvets URI och nyckelnamn från kundens nyckelvalv.

Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna värden och att använda variablerna som definierats i föregående exempel.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account create \
    --name $accountName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

För att manuellt rotera nyckelversionen med hjälp av Azure-portalen, följ följande steg:

1. Gå till ditt nyckelvalv. På tjänstmenyn går du till Objekt och väljer Nycklar.
2. Välj nyckeln och välj sedan den nya nyckelversionen. Kopiera värdet av Key Identifier. Värdet inkluderar nyckelversionen.
3. Gå till ditt lagringskonto. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
4. Välj Ändra nyckel.
5. För krypteringsnyckel, välj Enter key URI och klistra in nyckelidentifieraren i Key URI.
6. Välj Spara.

Om du vill rotera nyckelversionen manuellt med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group>, <storage-account-name>, <key-vault-name>och <key-name> med dina egna värden.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = $key.Version
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Om du vill rotera nyckelversionen manuellt med hjälp av Azure CLI kör du följande kommandon. Ersätt <storage-account-name>, <resource-group>, <key-vault-name>och <key-name> med dina egna värden.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

# Get the latest key version
KEY_VERSION=$(az keyvault key show \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --query key.kid -o tsv | sed -e 's|.*/||')

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <key-name> \
    --encryption-key-version $KEY_VERSION \
    --encryption-key-source Microsoft.Keyvault

Följ dessa steg om du vill ändra nyckeln med hjälp av Azure-portalen:

1. Gå till ditt lagringskonto.
2. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
3. Välj Ändra nyckel.
4. Välj Välj ett nyckelvalv och en nyckel. För nyckellagertyp, välj Key vault. Välj ditt nyckelvalv och ny nyckel och välj sedan Välj.
5. Välj Spara.

Om du vill ändra nyckeln med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group>, <storage-account-name>, <key-vault-name>och <new-key-name> med dina egna värden.

Cmdleten ställer in KeyVersion till ett tomt värde, vilket aktiverar automatisk uppdatering av nyckelversionen (rekommenderas). Om du utelämnar KeyVersion och lagringskontot använder en nyckelversion som du angav tidigare, behåller cmdleten den versionen och misslyckas, eftersom versionen inte finns för den nya nyckeln. För att använda manuell versionsuppdatering av nyckeln istället, sätt KeyVersion till $key.Version.

$keyVaultName = "<key-vault-name>"
$keyVault = Get-AzKeyVault -VaultName $keyVaultName
$key = Get-AzKeyVaultKey -VaultName $keyVaultName -Name "<new-key-name>"

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    KeyVaultUri = $keyVault.VaultUri
    KeyName = $key.Name
    KeyVersion = ""
    KeyVaultEncryption = $true
}
Set-AzStorageAccount @accountParams

Om du vill ändra nyckeln med hjälp av Azure CLI kör du följande kommandon. Ersätt <storage-account-name>, <resource-group>, <key-vault-name>och <new-key-name> med dina egna värden.

Kommandot ställer in --encryption-key-version till ett tomt värde, vilket aktiverar automatisk uppdatering av nyckelversionen (rekommenderat). Om du utelämnar --encryption-key-version och lagringskontot använder en nyckelversion som du angav tidigare, behåller kommandot den versionen och misslyckas, eftersom versionen inte finns för den nya nyckeln. För att använda manuell versionsuppdatering av nyckeln istället, ställ --encryption-key-version in på versionen av den nya nyckeln.

# Get the key vault URI
KEY_VAULT_URI=$(az keyvault show \
    --name <key-vault-name> \
    --query properties.vaultUri -o tsv)

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-vault $KEY_VAULT_URI \
    --encryption-key-name <new-key-name> \
    --encryption-key-version "" \
    --encryption-key-source Microsoft.Keyvault

Så här inaktiverar du nyckeln med hjälp av Azure-portalen:

1. Gå till ditt nyckelvalv i Azure-portalen.
2. På tjänstmenyn går du till Objekt och väljer Nycklar.
3. Högerklicka på nyckeln och välj Inaktivera.

Om du vill inaktivera nyckeln med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <key-vault-name> och <key-name> med dina egna värden.

$keyParams = @{
    VaultName = "<key-vault-name>"
    Name = "<key-name>"
    Enable = $false
}
Update-AzKeyVaultKey @keyParams

Om du vill inaktivera nyckeln med hjälp av Azure CLI kör du följande kommando. Ersätt <key-vault-name> och <key-name> med dina egna värden.

az keyvault key set-attributes \
    --vault-name <key-vault-name> \
    --name <key-name> \
    --enabled false

Följ dessa steg om du vill växla tillbaka till Microsoft-hanterade nycklar med hjälp av Azure portalen:

1. Gå till ditt lagringskonto i Azure-portalen.
2. På tjänstmenyn går du till Säkerhet + nätverk och väljer Kryptering.
3. Ändra krypteringstyp till Microsoft-hanterade nycklar.
4. Välj Spara.

Om du vill växla tillbaka till Microsoft hanterade nycklar med hjälp av Azure PowerShell kör du följande cmdlet. Ersätt <resource-group> och <storage-account-name> med dina egna värden.

$accountParams = @{
    ResourceGroupName = "<resource-group>"
    Name = "<storage-account-name>"
    StorageEncryption = $true
}
Set-AzStorageAccount @accountParams

Om du vill växla tillbaka till Microsoft hanterade nycklar med hjälp av Azure CLI kör du följande kommando. Ersätt <resource-group> och <storage-account-name> med dina egna värden.

az storage account update \
    --name <storage-account-name> \
    --resource-group <resource-group> \
    --encryption-key-source Microsoft.Storage