Skapa ett konto som stödjer kundhanterade nycklar för tabeller och köer

Azure Storage krypterar alla data i ett lagringskonto i vila. Som standard använder Kölagring och Tabelllagring en nyckel som är anpassad till tjänsten och hanteras av Microsoft. Du kan också välja att använda kundhanterade nycklar för att kryptera kö- eller tabelldata. För att använda kundhanterade nycklar med köer och tabeller måste du först skapa ett lagringskonto som använder en krypteringsnyckel som är kopplad till kontot, snarare än till tjänsten. När du har skapat ett konto som använder kontots krypteringsnyckel för kö- och tabelldata kan du konfigurera kundhanterade nycklar för det lagringskontot.

Den här artikeln beskriver hur man skapar ett lagringskonto som är beroende av en nyckel som är kopplad till kontot. När kontot först skapas använder Microsoft kontonyckeln för att kryptera datan i kontot, och Microsoft hanterar nyckeln. Du kan därefter konfigurera kundhanterade nycklar för kontot för att dra nytta av dessa fördelar, inklusive möjligheten att tillhandahålla egna nycklar, uppdatera nyckelversionen, rotera nycklarna och återkalla åtkomstkontroller.

Skapa ett konto som använder kontons krypteringsnyckel

Du måste konfigurera ett nytt lagringskonto så att det använder kontots krypteringsnyckel för köer och tabeller när du skapar lagringskontot. Omfattningen av krypteringsnyckeln kan inte ändras efter att kontot har skapats.

Lagringskontot måste vara av typen allmän användning v2. Du kan skapa lagringskontot och konfigurera det att förlita sig på kontots krypteringsnyckel genom att använda Azure-portalen, PowerShell, Azure CLI eller en Azure Resource Manager-mall.

För att lära dig mer om hur du skapar ett lagringskonto, se Skapa ett lagringskonto.

Note

Endast kö- och tabelllagring kan valfritt konfigureras för att kryptera data med kontots krypteringsnyckel när lagringskontot skapas. Blob Storage och Azure Files använder alltid kontons krypteringsnyckel för att kryptera data.

För att skapa ett lagringskonto som är beroende av kontons krypteringsnyckel med Azure-portalen, följ dessa steg:

I sökrutan högst upp i Azure-portalen, sök efter och välj Lagringskonton.
På sidan Lagringskonton väljer du Nytt.
Fyll i fälten på fliken Grunder .
På fliken Avancerat, hitta avsnittet Tabeller och köer och välj Aktivera stöd för kundhanterade nycklar.

För att använda PowerShell för att skapa ett lagringskonto som är beroende av kontots krypteringsnyckel, se till att du har installerat Azure PowerShell-modulen, version 3.4.0 eller senare. Mer information finns i Installera Azure PowerShell-modulen.

Därefter skapar du ett allmänt v2-lagringskonto genom att anropa kommandot New-AzStorageAccount , med lämpliga parametrar:

Inkludera alternativet -EncryptionKeyTypeForQueue och ange dess värde till Account för att använda kontots krypteringsnyckel för att kryptera data i kölagring.
Inkludera -EncryptionKeyTypeForTable alternativet och sätt dess värde till Account att använda kontots krypteringsnyckel för att kryptera data i Table Storage.

Följande exempel visar hur man skapar ett allmänt v2-lagringskonto som är konfigurerat för läsåtkomst geo-redundant lagring (RA-GRS) och som använder kontots krypteringsnyckel för att kryptera data för både kö- och tabelllagring. Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna värden:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

För att använda Azure CLI för att skapa ett lagringskonto som är beroende av kontots krypteringsnyckel, se till att du har installerat Azure CLI version 2.0.80 eller senare. Mer information finns i Installera Azure CLI.

Skapa sedan ett allmänt v2-lagringskonto genom att anropa az storage account create-kommandot , med lämpliga parametrar:

Inkludera alternativet --encryption-key-type-for-queue och ange värdet till Account för att använda kontots krypteringsnyckel för att kryptera data i Queue Storage.
Inkludera --encryption-key-type-for-table alternativet och sätt dess värde till Account att använda kontots krypteringsnyckel för att kryptera data i Table Storage.

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

Följande JSON-exempel skapar ett lagringskonto för allmänt bruk, version 2, som är konfigurerat för georedundant lagring med läsåtkomst (RA-GRS) och som använder kontokrypteringsnyckeln för att kryptera data för både kö- och tabellagring. Kom ihåg att ersätta platshållarvärdena inom hakparenteser med dina egna:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

När du har skapat ett konto som är beroende av kontons krypteringsnyckel kan du konfigurera kundhanterade nycklar som lagras i Azure Key Vault eller i Key Vault Managed Hardware Security Model (HSM). För att lära dig hur man lagrar kundhanterade nycklar i ett nyckelvalv, se Konfigurera kryptering med kundhanterade nycklar lagrade i Azure Key Vault. För att lära dig hur man lagrar kundhanterade nycklar i en hanterad HSM, se Konfigurera kryptering med kundhanterade nycklar lagrade i Azure Key Vault Managed HSM.

Verifiera kontots krypteringsnyckel

Efter att du skapat kontot kan du verifiera att lagringskontot använder en krypteringsnyckel som är kopplad till kontot genom att använda Azure-portalen, PowerShell eller Azure CLI.

För att verifiera att en tjänst i ett lagringskonto använder en krypteringsnyckel som är kopplad till kontot via Azure-portalen, följ dessa steg:

Navigera till ditt nya lagringskonto i Azure Portal.
I avsnittet Säkerhet + Nätverk, välj Kryptering.
Om lagringskontot skapades för att förlita sig på kontots krypteringsnyckel, kommer du att se på fliken Kryptering att kundhanterade nycklar kan aktiveras för alla fyra Azure Storage-tjänster: blobs, filer, tabeller och köer.

För att verifiera att en tjänst i ett lagringskonto använder kontots krypteringsnyckel med PowerShell, anropa kommandot Get-AzStorageAccount . Detta kommando returnerar en uppsättning lagringskontoegenskaper och deras värden. Sök efter KeyType fältet för varje tjänst inom egenskapen Encryption och kontrollera att det är satt till Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

För att verifiera att en tjänst i ett lagringskonto använder kontots krypteringsnyckel med Azure CLI, anropa az storage account show-kommandot. Detta kommando returnerar en uppsättning lagringskontoegenskaper och deras värden. Sök efter keyType fältet för varje tjänst inom krypteringsegenskapen och verifiera att det är satt till Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

När du har verifierat att lagringskontot använder en krypteringsnyckel som är kopplad till kontot kan du aktivera kundhanterade nycklar för kontot. Alla fyra Azure Storage-tjänster—blobs, filer, tabeller och köer—kommer sedan att använda den kundhanterade nyckeln för kryptering.

Priser och fakturering

Ett lagringskonto som skapas för att använda en krypteringsnyckel kopplad till kontot faktureras för tabelllagringskapacitet och transaktioner till en annan takt än ett konto som använder standardnyckeln i servicescoped. För detaljer, se prissättning av Azure Table Storage.

Nästa steg

Feedback

Var den här sidan till hjälp?

Last updated on 2026-09-02