Настройка ключей, управляемых клиентом, в состоянии покоя

При создании новой учетной записи API Azure для FHIR® данные шифруются с помощью ключей, управляемых Корпорацией Майкрософт, по умолчанию. Теперь вы можете добавить второй уровень шифрования для данных с помощью ключа, который вы выбираете и управляете собой.

В Azure это обычно выполняется с помощью ключа шифрования в Azure Key Vault клиента. Azure SQL, служба хранилища Azure и Azure Cosmos DB — это некоторые примеры, которые предоставляют эту возможность. Azure API для FHIR использует эту поддержку из Azure Cosmos DB. При создании учетной записи у вас есть возможность указать URI ключа Azure Key Vault. Этот ключ передается в Azure Cosmos DB при создании учетной записи базы данных. Когда выполняется запрос ресурсов быстрого взаимодействия с здравоохранением (FHIR), Azure Cosmos DB извлекает ключ и использует его для шифрования и расшифровки данных.

Чтобы приступить к работе, ознакомьтесь со следующими ссылками:

• Регистрация поставщика ресурсов Azure Cosmos DB для подписки Azure
• Настройте экземпляр Azure Key Vault
• Добавьте политику доступа к экземпляру Azure Key Vault
• Создание ключа в Azure Key Vault

Использование портала Azure

При создании учетной записи Azure API для FHIR на портале Azure вы заметите параметр конфигурации шифрования данных в разделе "Параметры базы данных " на вкладке "Дополнительные параметры ". По умолчанию выбран параметр ключа, управляемого службой.

Вы можете выбрать ключ из KeyPicker:

Вы также можете указать ключ Azure Key Vault здесь, выбрав параметр ключа, управляемый клиентом .

Вы также можете ввести унифицированный ресурсный идентификатор ключа (URI), как показано ниже.

Для существующих учетных записей FHIR можно просмотреть выбор шифрования ключей (управляемый службой ключ или ключ, управляемый клиентом) в колонке базы данных следующим образом. Параметр конфигурации нельзя изменить после выбора. Однако вы можете изменить и обновить ключ.

Кроме того, можно создать новую версию указанного ключа, после чего данные шифруются с новой версией без прерывания работы службы. Вы также можете удалить доступ к ключу, чтобы удалить доступ к данным. Если ключ отключен, запросы приведут к ошибке. Если ключ снова включен, запросы будут выполнены успешно.

Использование Azure PowerShell

С помощью URI ключа Azure Key Vault можно настроить CMK с помощью PowerShell, выполнив следующую команду PowerShell.

New-AzHealthcareApisService
    -Name "myService"
    -Kind "fhir-R4"
    -ResourceGroupName "myResourceGroup"
    -Location "westus2"
    -CosmosKeyVaultKeyUri "https://<my-vault>.vault.azure.net/keys/<my-key>"

Использование Azure CLI

Как и в случае с методом PowerShell, можно настроить CMK, передав URI ключа Azure Key Vault в key-vault-key-uri параметре и выполнив следующую команду CLI.

az healthcareapis service create
    --resource-group "myResourceGroup"
    --resource-name "myResourceName"
    --kind "fhir-R4"
    --location "westus2"
    --cosmos-db-configuration key-vault-key-uri="https://<my-vault>.vault.azure.net/keys/<my-key>"

Использование шаблона Azure Resource Manager

С помощью URI ключа Azure Key Vault можно настроить CMK, передав его в свойство keyVaultKeyUri в объекте свойств .

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "services_myService_name": {
            "defaultValue": "myService",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.HealthcareApis/services",
            "apiVersion": "2020-03-30",
            "name": "[parameters('services_myService_name')]",
            "location": "westus2",
            "kind": "fhir-R4",
            "properties": {
                "accessPolicies": [],
                "cosmosDbConfiguration": {
                    "offerThroughput": 400,
                    "keyVaultKeyUri": "https://<my-vault>.vault.azure.net/keys/<my-key>"
                },
                "authenticationConfiguration": {
                    "authority": "https://login.microsoftonline.com/72f988bf-86f1-41af-91ab-2d7cd011db47",
                    "audience": "[concat('https://', parameters('services_myService_name'), '.azurehealthcareapis.com')]",
                    "smartProxyEnabled": false
                },
                "corsConfiguration": {
                    "origins": [],
                    "headers": [],
                    "methods": [],
                    "maxAge": 0,
                    "allowCredentials": false
                }
            }
        }
    ]
}

Вы можете развернуть шаблон с помощью следующего скрипта PowerShell.

$resourceGroupName = "myResourceGroup"
$accountName = "mycosmosaccount"
$accountLocation = "West US 2"
$keyVaultKeyUri = "https://<my-vault>.vault.azure.net/keys/<my-key>"

New-AzResourceGroupDeployment `
    -ResourceGroupName $resourceGroupName `
    -TemplateFile "deploy.json" `
    -accountName $accountName `
    -location $accountLocation `
    -keyVaultKeyUri $keyVaultKeyUri

Часто задаваемые вопросы

Используется ли cosmosdb_key_vault_key_versionless_id в API FHIR, предназначенном для подключения к службе FHIR, управляемой Cosmos DB?

Да, если вы включаете ключи, управляемые клиентом (customer-managed keys) в API FHIR, выбор 'cosmosdb_key_vault_key_versionless_id' подключает к службе FHIR, управляемой Cosmos DB.

Дальнейшие шаги

Из этой статьи вы узнали, как настроить неактивные ключи, управляемые клиентом, с помощью портала Azure, PowerShell, CLI и шаблона Resource Manager. Дополнительные сведения см. в разделе часто задаваемых вопросов о Azure Cosmos DB.