Configurare le chiavi gestite dal cliente per Azure AI Search dati crittografati

L'abilitazione delle chiavi gestite dal cliente (CMK) aggiunge sicurezza aggiuntiva sulla crittografia dei dati inattivi predefinita quando si usano chiavi gestite da Microsoft. Quando si abilita cmk, si controllano le chiavi di crittografia usate per proteggere i dati, inclusa la possibilità di:

• Ruotare le chiavi in base a una pianificazione definita dal cliente
• Disabilitare o revocare le chiavi per bloccare l'accesso al contenuto crittografato (le chiavi memorizzate nella cache possono essere persistenti per un massimo di 60 minuti)
• Controllare l'utilizzo delle chiavi tramite la registrazione di Azure Key Vault

È possibile creare, archiviare e gestire le chiavi usando:

• Azure Key Vault

• Azure Key Vault modulo di protezione hardware gestito(Hardware Security Module). Un modulo di protezione hardware gestito di Azure Key Vault è un modulo di protezione hardware convalidato FIPS 140-2 livello 3. Per eseguire la migrazione da Azure Key Vault a HSM, rotate le chiavi e scegliere HSM gestito per l'archiviazione.

Questo articolo illustra come configurare cmk per una protezione aggiuntiva dei dati crittografati in Azure AI Search.

Configurare la chiave gestita dal cliente per gli oggetti Azure AI Search

Gli oggetti con dati crittografati che possono essere configurati con una chiave gestita dal cliente includono indici, elenchi sinonimi, indicizzatori, origini dati, vettori e set di competenze. La crittografia è dispendiosa a livello di calcolo per decrittografare in modo che solo il contenuto sensibile sia crittografato.

La crittografia viene eseguita su:

• Tutto il contenuto all'interno di indici e elenchi di sinonimi.

• Contenuto sensibile in indicizzatori, origini dati, set di competenze e vettorizzatori. Il contenuto sensibile si riferisce a stringhe di connessione, descrizioni, identità, chiavi e input utente. Ad esempio, i set di competenze hanno chiavi degli strumenti Foundry, e alcune abilità accettano input dagli utenti, come entità personalizzate. In entrambi i casi, le chiavi e gli input dell'utente vengono crittografati. Vengono crittografati anche eventuali riferimenti a risorse esterne, ad esempio Azure origini dati o Azure modelli OpenAI.

L'aggiunta di una chiave gestita dal cliente a un oggetto deve verificarsi quando l'oggetto viene appena creato. È importante tenere presente quanto segue:

• Non è possibile aggiungere retroattivamente una CMK a un oggetto esistente. Se si vuole aggiungere una chiave gestita dal cliente a un oggetto esistente, è necessario eliminare e ricreare l'oggetto con la crittografia abilitata.

• Dopo aver configurato la Chiave gestita dal cliente (CMK), la crittografia avviene ogni volta che il servizio scrive i dati, inclusi i dati a riposo (archiviazione a lungo termine) o i dati temporanei memorizzati nella cache (archiviazione a breve termine). Per oggetti come origini dati, indicizzatori e set di competenze, la definizione dell'oggetto viene crittografata. Per gli indici, i documenti indicizzati stessi (non solo lo schema dell'indice) vengono crittografati.

• Anche se non è possibile aggiungere la crittografia a un oggetto esistente, una volta configurato un oggetto per la crittografia, è possibile modificare tutte le parti della relativa definizione di crittografia, incluso il passaggio a un insieme di credenziali delle chiavi diverso o all'archiviazione HMS purché la risorsa si trovi nello stesso tenant.

• La crittografia con una CMK è irreversibile. È possibile ruotare le chiavi e cambiare la configurazione del CMK, ma la cifratura dell'indice dura per l'intera vita dell'indice. Dopo la crittografia con cmk, un indice è accessibile solo se il servizio di ricerca ha accesso alla chiave. Se si revoca l'accesso alla chiave eliminando o modificando l'assegnazione di ruolo, l'indice non è utilizzabile e il servizio non può essere ridimensionato finché l'indice non viene eliminato o non viene ripristinato l'accesso alla chiave. Se si eliminano o si ruotano le chiavi, la chiave più recente viene memorizzata nella cache per un massimo di 60 minuti.

• Se è necessaria la chiave gestita dal cliente (CMK) nel servizio di ricerca, impostare un criterio di applicazione.

• L'applicazione delle CMK tramite Criteri di Azure e la configurazione CMK a livello di servizio (ancora in anteprima) sono impostazioni indipendenti. È possibile usare uno o entrambi, a seconda delle esigenze. La configurazione CMK a livello di servizio applica una chiave predefinita ai nuovi oggetti, mentre l'applicazione di Criteri di Azure garantisce che tutti gli oggetti siano conformi ai requisiti di crittografia. Se si abilita un criterio di imposizione della chiave cmk senza una chiave a livello di servizio, tutti gli oggetti abilitati per cmk devono specificare la propria chiave di crittografia in fase di creazione. Le richieste di creazione di oggetti che omettono la configurazione cmk hanno esito negativo.

Abilitare CMK a livello di servizio su nuovi oggetti per impostazione predefinita (anteprima)

A partire dalla versione 2026-03-01-preview, è possibile configurare una chiave gestita dal cliente a livello di servizi nel servizio Azure AI Search stesso. Questa funzionalità consente di configurare la chiave una sola volta a livello di servizio e di applicarla a tutti gli oggetti appena creati per impostazione predefinita. Ciò garantisce che tutti i dati sensibili nel servizio di ricerca siano protetti da una chiave che si controlla, senza dover specificare le informazioni sulla chiave ogni volta che viene creato un oggetto.

L'abilitazione della Chiave gestita dal cliente (CMK) a livello di servizio significa:

• Tutti gli oggetti new creati nel servizio Azure AI Search usano automaticamente la chiave gestita dal cliente a livello di servizio per impostazione predefinita, pertanto non è più necessario specificare in modo esplicito i dettagli della chiave di crittografia ogni volta che si crea un oggetto.

• Questa funzionalità è facoltativa ed è possibile continuare a configurare cmk per ogni oggetto. È anche possibile eseguire l'override della chiave a livello di servizio per singoli oggetti e ruotare la chiave a livello di servizio in modo indipendente, consentendo di usare chiavi diverse per oggetti diversi in base alle esigenze.

È anche possibile ruotare questa chiave predefinita specificando una nuova chiave, specifica dell'oggetto che si sta creando. La chiave a livello di oggetto specificata eseguirà l'override della chiave a livello di servizio predefinita per tale oggetto.

Prerequisiti

• Azure AI Search in un livello a pagamento (Basic o superiore, in qualsiasi area).

• Azure Key Vault e una cassetta delle chiavi con soft-delete e protezione dalla cancellazione abilitato. In alternativa, Azure Key Vault Managed HSM. Questa risorsa può trovarsi in qualsiasi sottoscrizione e in un tenant diverso. Queste istruzioni presuppongono un singolo tenant. Per la configurazione tra tenant, vedere Configurare chiavi gestite dal cliente in tenant diversi.

• Possibilità di configurare le autorizzazioni per l'accesso alle chiavi e di assegnare ruoli. Per creare chiavi, è necessario essere Key Vault Crypto Officer in Azure Key Vault o Managed HSM Crypto Officer in Azure Key Vault HSM gestito.

  Per assegnare ruoli, è necessario essere Owner, Amministratore accesso utente, Amministratore del controllo di accesso basato sui ruoli o essere assegnati a un ruolo personalizzato con Microsoft.Authorization/roleAssignments/write.

Passaggio 1: Creare una chiave di crittografia

Usare Azure Key Vault o Azure Key Vault HSM gestito per creare una chiave. Azure AI Search crittografia supporta le chiavi RSA di dimensioni 2048, 3072 e 4096. Per altre informazioni sui tipi di chiave supportati, vedere Informazioni sulle chiavi.

Prima di iniziare, è consigliabile esaminare questi suggerimenti .

Le operazioni necessarie sono Wrap, Unwrap, Encrypt e Decrypt.

Passaggio 2: Creare un'entità di sicurezza

Creare un principale di sicurezza che il servizio di ricerca usa per accedere alla chiave di crittografia. È possibile usare un'identità gestita e un'assegnazione di ruolo oppure registrare un'applicazione e fare in modo che il servizio di ricerca fornisca l'ID applicazione alle richieste.

Usare un'identità gestita e assegnazioni di ruoli. È possibile usare un'identità gestita dal sistema o un'identità gestita dall'utente. Un'identità gestita consente al servizio di ricerca di eseguire l'autenticazione tramite Microsoft Entra ID, senza archiviare le credenziali (ApplicationID o ApplicationSecret) nel codice. Il ciclo di vita di questo tipo di identità gestita è associato al ciclo di vita del servizio di ricerca, che può avere un'unica identità gestita assegnata dal sistema. Per ulteriori informazioni sul funzionamento delle identità gestite, vedere Cosa sono le identità gestite per le risorse di Azure.

Passaggio 3: Concedere le autorizzazioni

Se il servizio di ricerca è stato configurato per l'uso di un'identità gestita, assegnare ruoli che gli consentono di accedere alla chiave di crittografia.

Il controllo degli accessi in base al ruolo è consigliato rispetto al modello di autorizzazioni basato sui criteri di accesso. Per ulteriori informazioni o passaggi di migrazione, inizia con Azure controllo degli accessi in base al ruolo (Azure RBAC) rispetto ai criteri di accesso (legacy).

1. Vai al tuo key vault nel portale Azure.

2. Selezionare Controllo di accesso (IAM) e selezionare Aggiungi assegnazione di ruolo.

3. Selezionare un ruolo:

   • In Azure Key Vault, selezionare Utente del servizio di crittografia Key Vault.
   • In HSM gestito, selezionare Managed HSM Crypto Service Encryption User (Utente di crittografia del servizio HSM gestito).

4. Selezionare identità gestite, selezionare membri e quindi selezionare l'identità gestita del servizio di ricerca. Se stai eseguendo il test sul tuo computer locale, assegna questo ruolo anche a te stesso.

5. Selezionare Rivedi + Assegna.

Attendere alcuni minuti prima che l'assegnazione di ruolo diventi operativa.

Passaggio 4: Aggiungere informazioni sulla chiave di crittografia agli oggetti Azure AI Search

Quando si crea un oggetto crittografato, immettere l'URI dell'insieme di credenziali delle chiavi, il nome della chiave e la versione della chiave. Se si usa un'applicazione Microsoft Entra ID per l'autenticazione, immettere anche l'ID applicazione e il segreto.

È possibile configurare nuovi oggetti di ricerca con una chiave gestita dal cliente a livello di servizio o a livello di oggetto. Quando si configura CMK a livello di servizio, per impostazione predefinita si applica la stessa chiave a tutti gli oggetti appena creati nel servizio, a meno che non si specifichi una chiave a livello di oggetto diversa per eseguire l'override del valore predefinito a livello di servizio.

Specificare la chiave gestita dal cliente nella definizione dell'oggetto quando si crea un oggetto crittografato. Questo oggetto può essere un indice, un indicizzatore, un'origine dati, un set di competenze, un vettore o una mappa sinonimo.

Per configurare CMK in un oggetto, usare il portale di Azure, API REST del servizio Search o un Azure SDK.

Configurare CMK a livello del servizio (anteprima)

Per abilitare la configurazione cmk a livello di servizio, è consigliabile usare l'API REST Search Management o un pacchetto Azure SDK aggiornato per supportare l'API REST di gestione della ricerca versione 2026-03-01-preview o successiva. Questa funzionalità non è ancora supportata nel portale di Azure. L'abilitazione della CMK (chiave gestita dal cliente) a livello di servizio non aggiunge la crittografia agli oggetti esistenti. Tuttavia, applica la stessa chiave per impostazione predefinita a tutti i nuovi oggetti creati nel servizio, a meno che non si specifichi una chiave diversa a livello di oggetto per sostituire l'impostazione predefinita a livello di servizio.

PATCH https://management.azure.com/subscriptions/{{subscription-id}}/resourceGroups/{{resource-group}}/providers/Microsoft.Search/searchServices/{{search-service}}?api-version=2026-03-01-preview
Authorization: Bearer {{token}}
Content-Type: application/json

{
  "encryptionWithCmk": {
    "serviceLevelEncryptionKey": {
      "keyVaultUri": "<YOUR-KEY-VAULT-URI>",
      "keyVaultKeyName": "<YOUR-ENCRYPTION-KEY-NAME>",
      "keyVaultKeyVersion": "<YOUR-ENCRYPTION-KEY-VERSION>"
    }
  }
}

{
  "encryptionWithCmk": {
    "serviceLevelEncryptionKey": {
      "keyVaultUri": "<YOUR-KEY-VAULT-URI>",
      "keyVaultKeyName": "<YOUR-ENCRYPTION-KEY-NAME>",
      "keyVaultKeyVersion": "<YOUR-ENCRYPTION-KEY-VERSION>",
      "identity": {
        "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
        "userAssignedIdentity": "/subscriptions/<your-subscription-ID>/resourceGroups/<your-resource-group-name>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<your-managed-identity-name>"
      }
    }
  }
}

{
  "encryptionWithCmk": {
    "serviceLevelEncryptionKey": {
          "keyVaultUri": "<YOUR-KEY-VAULT-URI>",
          "keyVaultKeyName": "<YOUR-ENCRYPTION-KEY-NAME>",
          "keyVaultKeyVersion": "<YOUR-ENCRYPTION-KEY-VERSION>",
          "accessCredentials": {
                  "applicationId": "<YOUR-APPLICATION-ID>",
                  "applicationSecret": "<YOUR-APPLICATION-SECRET>"
      }       
    }
  }
}

Passaggio 5: Testare la crittografia

Per verificare che la crittografia funzioni, revocare la chiave di crittografia, eseguire una query sull'indice (deve essere inutilizzabile) e quindi ripristinare la chiave di crittografia.

Usare il portale di Azure per questa attività. Assicurati di avere un'assegnazione di ruolo che conceda l'accesso in lettura alla chiave.

1. Nella pagina Azure Key Vault selezionare Objects>Keys.

2. Selezionare la chiave creata e quindi selezionare Elimina.

3. Nella pagina Azure AI Search selezionare Gestione ricerca>Indexes.

4. Selezionare l'indice e usare Esplora ricerche per eseguire una query. Verrà visualizzato un errore.

5. Tornare alla pagina Azure Key Vault Objects>Keys.

6. Selezionare Gestisci chiavi eliminate.

7. Selezionare la chiave e quindi selezionare Ripristina.

8. Torna al tuo indice in Azure AI Search ed esegui nuovamente la query. Verranno visualizzati i risultati della ricerca. Se non vengono visualizzati risultati immediati, attendere un minuto e riprovare.

Impostare una politica per garantire la conformità CMK (chiave gestita dal cliente)

Azure criteri consentono di applicare gli standard dell'organizzazione e di valutare la conformità su larga scala. Azure AI Search ha due criteri predefiniti facoltativi correlati alla CMK (chiave gestita dal cliente). Questi criteri si applicano ai servizi di ricerca nuovi ed esistenti.

Assegnare una politica

1. Nel portale di Azure passare a un criterio predefinito e quindi selezionare Assign.

   • AuditIfExists

   • Rifiuta

   Di seguito è riportato un esempio del criterio AuditIfExists nel portale di Azure:

   

2. Impostare l'ambito dei criteri selezionando la sottoscrizione e il gruppo di risorse. Escludere tutti i servizi di ricerca per i quali i criteri non devono essere applicati.

3. Accettare o modificare i valori predefiniti. Selezionare Rivedi e crea e quindi crea.

Abilitare l'applicazione dei criteri CMK

Quando si assegna un criterio a un gruppo di risorse nella sottoscrizione, esso entra in vigore immediatamente. I criteri di controllo contrassegnano le risorse non conformi, ma i criteri di negazione impediscono la creazione e l'aggiornamento di servizi di ricerca non conformi. Questa sezione illustra come creare un servizio di ricerca conforme o aggiornare un servizio per renderlo conforme. Per rendere gli oggetti conformi, iniziare al passaggio uno di questo articolo.

Creare un servizio di ricerca conforme

Per i nuovi servizi di ricerca, crearli con SearchEncryptionWithCmk impostato su Enabled.

Né il portale di Azure né gli strumenti da riga di comando (interfaccia della riga di comando di Azure e Azure PowerShell) forniscono questa proprietà in modo nativo, ma è possibile usare API RESTManagement per effettuare il provisioning di un servizio di ricerca con una definizione di criteri cmk.

### Create a search service (provide an existing resource group)
@resource-group = my-rg
@search-service-name = my-search
PUT https://management.azure.com/subscriptions/{{subscriptionId}}/resourceGroups/{{resource-group}}/providers/Microsoft.Search/searchServices/{{search-service-name}}?api-version=2025-05-01 HTTP/1.1
     Content-type: application/json
     Authorization: Bearer {{token}}

    {
        "location": "North Central US",
        "sku": {
            "name": "basic"
        },
        "properties": {
            "replicaCount": 1,
            "partitionCount": 1,
            "hostingMode": "default",
            "encryptionWithCmk": {
                "enforcement": "Enabled"
        }
      }
    }

Aggiornare un servizio di ricerca esistente

Per i servizi di ricerca esistenti non conformi, applicare patch usando Services - Update API o il comando interfaccia della riga di comando di Azure az resource update. L'applicazione di patch ai servizi ripristina la possibilità di aggiornare le proprietà del servizio di ricerca.

PATCH https://management.azure.com/subscriptions/<your-subscription-Id>/resourceGroups/<your-resource-group-name>/providers/Microsoft.Search/searchServices/<your-search-service-name>?api-version=2025-05-01

{
  "properties": {
      "encryptionWithCmk": {
          "enforcement": "Enabled"
      }
  }
}

az resource update --name SEARCH-SERVICE-PLACEHOLDER --resource-group RESOURCE-GROUP-PLACEHOLDER --resource-type searchServices --namespace Microsoft.Search --set properties.encryptionWithCmk.enforcement=Enabled

"encryptionWithCmk": {
      "encryptionComplianceStatus": "NonCompliant",
      "enforcement": "Enabled"
    }
...

Ruotare o aggiornare le chiavi di crittografia

Usare le istruzioni seguenti per ruotare le chiavi o eseguire la migrazione da Azure Key Vault al modello di protezione hardware.

Per la rotazione delle chiavi, usare le funzionalità di autorotation di Azure Key Vault. Se si usa l'autorotazione, omettere la versione della chiave nelle definizioni degli oggetti. Viene usata la chiave più recente anziché una versione specifica.

Quando si modifica una chiave o la relativa versione, aggiornare qualsiasi oggetto che usa la chiave per usare i nuovi valori prima di eliminare i valori precedenti. In caso contrario, l'oggetto diventa inutilizzabile perché non può essere decrittografato.

Se hai configurato la CMK a livello di servizio, la rotazione della chiave si applicherà agli oggetti creati in futuro. Gli oggetti che hanno già ereditato la chiave precedente a livello di servizio prelevano automaticamente la nuova chiave, quindi non è necessario aggiornarli. Tuttavia, se si dispone di oggetti configurati con una chiave a livello di oggetto che si vuole ruotare, è necessario aggiornare tali oggetti per usare la nuova chiave.

Le chiavi vengono memorizzate nella cache per 60 minuti. Ricorda questo quando testi e ruoti le chiavi.

1. Determinare la chiave usata da una mappa di indice o sinonimo.

2. Creare una nuova chiave nel key vault, ma lasciare disponibile la chiave originale. In questo passaggio è possibile passare dal Key Vault all'HSM (Hardware Security Module).

3. Aggiornare le proprietà di encryptionKey in una mappa di indice o di sinonimi per usare i nuovi valori. Solo gli oggetti creati originariamente con questa proprietà possono essere aggiornati per utilizzare un valore diverso.

4. Disabilitare o eliminare la chiave precedente nel Key Vault. Monitorare l'accesso alla chiave per verificare che venga usata la nuova chiave.

Per motivi di prestazioni, il servizio di ricerca memorizza nella cache la chiave per un massimo di diverse ore. Se si disabilita o si elimina la chiave senza specificarne una nuova, le query continuano a funzionare in modo temporaneo fino alla scadenza della cache. Tuttavia, una volta che il servizio di ricerca non è più in grado di decrittografare il contenuto, viene visualizzato questo messaggio: "Access forbidden. The query key used might have been revoked - please retry."

Suggerimenti Key Vault

• Se non si ha familiarità con Azure Key Vault, vedere questa guida introduttiva per informazioni sulle attività di base: Set e recuperare un segreto da Azure Key Vault usando PowerShell.

• Usare quanti archivi chiave sono necessari. Le chiavi gestite possono trovarsi in archivi di chiavi diversi. Un servizio di ricerca può avere più oggetti crittografati, ognuno crittografato con una chiave di crittografia gestita dal cliente diversa, archiviata in insiemi di credenziali delle chiavi diversi.

• Usare lo stesso tenant Azure tenant in modo da poter recuperare la chiave gestita tramite assegnazioni di ruolo e connettendosi tramite un sistema o un'identità gestita dall'utente. Per altre informazioni sulla creazione di un tenant, vedere Configurare un nuovo tenant.

• Abilitare la protezione dall'eliminazione e l'eliminazione temporanea in un insieme di credenziali delle chiavi. A causa della natura della crittografia con chiavi gestite dal cliente, nessuno può recuperare i dati se la chiave Azure Key Vault viene eliminata. Per evitare la perdita di dati causata da eliminazioni accidentali di chiavi di Key Vault, è necessario abilitare la protezione da eliminazione temporanea e protezione dalla cancellazione definitiva nel Key Vault. L'eliminazione temporanea è abilitata per impostazione predefinita, quindi si verificano problemi solo se lo si disabilita intenzionalmente. La protezione dall'eliminazione non è abilitata per impostazione predefinita, ma è necessaria per la crittografia con una chiave gestita dal cliente in Azure AI Search.

• Abilitare la registrazione nell'insieme di credenziali delle chiavi in modo da poter monitorare l'utilizzo delle chiavi.

• Abilitare l'autorotazione delle chiavi o seguire procedure rigorose durante la rotazione di routine delle chiavi del Key Vault, dei segreti e della registrazione delle applicazioni. Aggiornare sempre tutto il contenuto crittografato per usare nuovi segreti e chiavi prima di eliminarli. Se non si verifica questo passaggio, il contenuto non può essere decrittografato.

Usare il contenuto crittografato

Usando CMK (chiave gestita dal cliente), potresti notare latenza sia per l'indicizzazione che per le query a causa del lavoro aggiuntivo di crittografia/decrittografia. Azure AI Search non registra l'attività di crittografia, ma è possibile monitorare l'accesso alle chiavi tramite la registrazione del Key Vault.

È consigliabile abilitare il logging come parte della configurazione del Key Vault.

1. Creare un'area di lavoro Log Analytics.

2. Aggiungere una configurazione diagnostica in Key Vault che utilizza il workspace per la conservazione dei dati.

3. Selezionare audit o allLogs per la categoria, assegnare un nome all'impostazione di diagnostica e quindi salvarlo.

Passaggi successivi

Se non si ha familiarità con l'architettura di sicurezza di Azure, consultare la documentazione di Azure sulla sicurezza e in particolare questo articolo: