Настройка ключей, управляемых клиентом, в том же клиенте для новой учетной записи хранения

О том, как создать хранилище ключей с помощью портала Azure см. в этом кратком руководстве. При создании хранилища ключей выберите Включить защиту от очистки, как показано на следующем рисунке.

Чтобы включить защиту от очистки в существующем хранилище ключей, выполните следующие действия.

1. Откройте хранилище ключей на портале Azure.
2. В разделе Параметры выберите Свойства.
3. В разделе Защита от очистки выберите Включить защиту от очистки.

Чтобы создать новое хранилище ключей с помощью PowerShell, установите модуль PowerShell Az.KeyVault версии 2.0.0 или выше. Затем вызовите New-AzKeyVault, чтобы создать хранилище ключей. В модуле Az.KeyVault версии 2.0.0 и выше обратимое удаление включается по умолчанию при создании хранилища ключей.

В следующем примере создается новое хранилище ключей с включенным обратимым удалением и защитой очистки. Модель разрешений хранилища ключей настроена для использования Azure RBAC. Не забудьте заменить значения заполнителей в скобках собственными значениями.

$rgName = "<resource_group>"
$location = "<location>"
$kvName = "<key-vault>"

$keyVault = New-AzKeyVault -Name $kvName `
    -ResourceGroupName $rgName `
    -Location $location `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Дополнительные сведения о том, как включить защиту от очистки в существующем хранилище ключей с помощью PowerShell, см. в статье Общие сведения о восстановлении Azure Key Vault.

После создания хранилища ключей вам потребуется назначить роль офицера шифрования Key Vault для себя. Эта роль позволяет создать ключ в хранилище ключей. В следующем примере эта роль назначается пользователю, заданному в хранилище ключей:

New-AzRoleAssignment -SignInName "<user-email>" `
    -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $keyVault.ResourceId

Дополнительные сведения о назначении роли RBAC с помощью PowerShell см. в статье "Назначение ролей Azure с помощью Azure PowerShell".

Чтобы создать новое хранилище ключей с помощью Azure CLI, вызовите команду az keyvault create. В следующем примере создается новое хранилище ключей с включенным обратимым удалением и защитой очистки. Модель разрешений хранилища ключей настроена для использования Azure RBAC. Не забудьте заменить значения заполнителей в скобках собственными значениями.

rgName="<resource_group>"
location="<location>"
kvName="<key-vault>"

az keyvault create \
    --name $kvName \
    --resource-group $rgName \
    --location $location \
    --enable-purge-protection \
    --enable-rbac-authorization

Дополнительные сведения о том, как включить защиту от очистки в существующем хранилище ключей с помощью Azure CLI, см. в статье Общие сведения о восстановлении Azure Key Vault.

После создания хранилища ключей вам потребуется назначить роль офицера шифрования Key Vault для себя. Эта роль позволяет создать ключ в хранилище ключей. В следующем примере эта роль назначается пользователю, заданному в хранилище ключей:

kvResourceId=$(az keyvault show --resource-group $rgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --assignee "<user-email>" \
    --role "Key Vault Crypto Officer" \
    --scope $kvResourceId

Дополнительные сведения о назначении роли RBAC с помощью Azure CLI см. в статье "Назначение ролей Azure с помощью Azure CLI".

О том, как добавить ключ с помощью портала Azure, см. в статье Краткое руководство. Настройка и получение ключа из Azure Key Vault с помощью портала Azure.

Чтобы добавить ключ с помощью PowerShell, вызовите команду Add-AzKeyVaultKey. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

$keyName = "<key-name>"

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName `
    -Name $keyName `
    -Destination 'Software'

Чтобы добавить ключ с помощью Azure CLI, вызовите команду az keyvault key create. Не забудьте заменить значения заполнителей в скобках собственными значениями.

keyName="<key-name>"

az keyvault key create \
    --name $keyName \
    --vault-name $kvName

Прежде чем настроить управляемые клиентом ключи с помощью управляемого удостоверения, назначаемого пользователем, необходимо назначить роль пользователя шифрования службы шифрования Key Vault управляемому удостоверению, назначенному пользователем, в хранилище ключей. Эта роль предоставляет разрешения на управляемое удостоверение, назначаемое пользователем, для доступа к ключу в хранилище ключей. Дополнительные сведения о назначении ролей Azure RBAC с помощью портал Azure см. в статье "Назначение ролей Azure с помощью портал Azure".

При настройке ключей, управляемых клиентом, с помощью портала Azure вы можете выбрать существующее назначаемое пользователем удостоверение через пользовательский интерфейс портала.

В следующем примере показано, как получить управляемое удостоверение, назначаемое пользователем, и назначить ему необходимую роль RBAC, ограниченную хранилищем ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах:

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> `
    -ResourceGroupName $rgName

$principalId = $userIdentity.PrincipalId

New-AzRoleAssignment -ObjectId $principalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

В следующем примере показано, как получить управляемое удостоверение, назначаемое пользователем, и назначить ему необходимую роль RBAC, ограниченную хранилищем ключей. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах:

identityResourceId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query id \
    --output tsv)

principalId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-principal-type ServicePrincipal

Чтобы настроить ключи, управляемые клиентом, для новой учетной записи хранения с автоматическим обновлением версии ключа:

1. На портале Azure перейдите на страницу Учетные записи хранения и нажмите кнопку Создать, чтобы создать новую учетную запись.

2. Выполните шаги, описанные в разделе Создание учетной записи хранения, чтобы заполнить поля на вкладках Основные сведения, Дополнительно, Сеть и Защита данных.

3. На вкладке Шифрование укажите, для каких служб вы хотите включить поддержку ключей, управляемых клиентом, в поле Включить поддержку ключей, управляемых клиентом.

4. В поле Тип шифрования выберите Ключи, управляемые клиентом (CMK).

5. В поле Ключ шифрования щелкните Выберите хранилище ключей и ключ и укажите хранилище ключей и ключ.

6. В поле Назначаемое пользователем удостоверение выберите существующее управляемое удостоверение, назначаемое пользователем.

   

7. Нажмите кнопку Просмотреть для проверки и создания учетной записи.

Вы также можете настроить ключи, управляемые клиентом, с обновлением версии ключа вручную во время создания новой учетной записи хранения. Выполните действия, описанные в разделе Настройка шифрования для обновления версий ключей вручную.

Чтобы настроить управляемые клиентом ключи для новой учетной записи хранения с автоматическим обновлением версии ключа, вызовите New-AzStorageAccount, как показано в следующем примере. Используйте созданную ранее переменную для идентификатора ресурса для управляемого удостоверения, назначаемого пользователем. Вам также потребуются URI хранилища ключей и имя ключа.

$accountName = "<storage-account>"

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

Чтобы настроить управляемые клиентом ключи для новой учетной записи хранения с автоматическим обновлением версии ключа, вызовите az storage account create, как показано в следующем примере. Используйте созданную ранее переменную для идентификатора ресурса для управляемого удостоверения, назначаемого пользователем. Вам также потребуются URI хранилища ключей и имя ключа.

accountName="<storage-account>"

az storage account create \
    --name $accountName \
    --resource-group $rgName \
    --location $location \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault <key-vault-uri> \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, с помощью портале Azure, укажите URI ключа, включая версию, при создании учетной записи хранения. Чтобы указать ключ с помощью URI, выполните следующие действия.

1. На портале Azure перейдите на страницу Учетные записи хранения и нажмите кнопку Создать, чтобы создать новую учетную запись.

2. Выполните шаги, описанные в разделе Создание учетной записи хранения, чтобы заполнить поля на вкладках Основные сведения, Дополнительно, Сеть и Защита данных.

3. На вкладке Шифрование укажите, для каких служб вы хотите включить поддержку ключей, управляемых клиентом, в поле Включить поддержку ключей, управляемых клиентом.

4. В поле Тип шифрования выберите Ключи, управляемые клиентом (CMK).

5. Чтобы найти URI ключа на портале Azure, перейдите в хранилище ключей и выберите параметр Ключи. Выберите нужный ключ, а затем щелкните его, чтобы просмотреть его версии. Выберите версию ключа для просмотра ее параметров.

6. Скопируйте значение поля Идентификатор ключа, которое предоставляет универсальный код ресурса (URI).

   

7. В параметрах раздела Ключ шифрования для учетной записи хранения нажмите Введите URI ключа.

8. Вставьте скопированный URI в поле URI ключа. Включите версию ключа в URI для настройки обновления версии ключа вручную.

9. Укажите управляемое удостоверение, назначаемое пользователем, выбрав ссылку Выбрать удостоверение.

   

10. Нажмите кнопку Просмотреть для проверки и создания учетной записи.

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, явно укажите версию ключа при настройке шифрования во время создания учетной записи хранения. Вызовите команду Set-AzStorageAccount, чтобы обновить параметры шифрования учетной записи хранения, как показано в следующем примере, и укажите параметр -KeyvaultEncryption, чтобы включить ключи, управляемые клиентом, для учетной записи хранения.

Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

$accountName = "<storage-account>"

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

При ручном обновлении версии ключа нужно будет обновлять параметры шифрования учетной записи хранения, чтобы использовать новую версию. Сначала вызовите команду Get-AzKeyVaultKey, чтобы получить последнюю версию ключа. Затем вызовите команду Set-AzStorageAccount, чтобы обновить параметры шифрования учетной записи хранения для использования новой версии ключа, как показано в предыдущем примере.

Чтобы настроить ручное обновление версий ключей, управляемых клиентом, явно укажите версию ключа при настройке шифрования во время создания учетной записи хранения. Вызовите команду az storage account update, чтобы обновить параметры шифрования учетной записи хранения, как показано в следующем примере. Добавьте параметр --encryption-key-source и присвойте ему значение Microsoft.Keyvault, чтобы включить ключи, управляемые клиентом, для учетной записи.

Не забудьте заменить значения заполнителей в скобках собственными значениями.

accountName="<storage-account>"

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)

key_version=$(az keyvault key list-versions \
    --name <key> \
    --vault-name <key-vault> \
    --query [-1].kid \
    --output tsv | cut -d '/' -f 6)

az storage account create \
    --name $accountName \
    --resource-group $rgName \
    --location $location \
    --sku Standard_LRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $keyVaultUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-version $keyVersion \
    --key-vault-user-identity-id $identityResourceId

При ручном обновлении версии ключа нужно будет обновлять параметры шифрования учетной записи хранения, чтобы использовать новую версию. Сначала запросите универсальный код ресурса (URI) хранилища ключей, вызвав команду az keyvault show, а для версии ключа выполните команду az keyvault key list-versions. Затем вызовите команду az storage account update, чтобы обновить параметры шифрования учетной записи хранения для использования новой версии ключа, как показано в предыдущем примере.

Чтобы изменить ключ с помощью портала Azure, выполните следующие действия:

1. Перейдите к своей учетной записи хранения и откройте раздел параметров Шифрование.
2. Выберите хранилище ключей, а затем — новый ключ.
3. Сохранение изменений.

Чтобы изменить ключ с помощью PowerShell, вызовите команду Set-AzStorageAccount и укажите имя и версию нового ключа. Если новый ключ находится в другом хранилище ключей, необходимо также обновить URI хранилища ключей.

Чтобы изменить ключ с помощью Azure CLI, вызовите команду az storage account update, а также укажите имя и версию нового ключа. Если новый ключ находится в другом хранилище ключей, необходимо также обновить URI хранилища ключей.

Чтобы отключить управляемый клиентом ключ с помощью портал Azure, выполните следующие действия.

1. Перейдите в хранилище ключей, содержащее ключ.

2. В разделе "Объекты" выберите "Ключи".

3. Щелкните правой кнопкой мыши ключ и выберите "Отключить".

   

Чтобы отозвать управляемый клиентом ключ с помощью PowerShell, вызовите команду Update-AzKeyVaultKey , как показано в следующем примере. Не забудьте заменить значения заполнителей в квадратных скобках собственными значениями, чтобы определить переменные или использовать переменные, определенные в предыдущих примерах.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Чтобы отозвать управляемый клиентом ключ с помощью Azure CLI, вызовите команду az keyvault key set-attributes , как показано в следующем примере. Не забудьте заменить значения заполнителей в квадратных скобках собственными значениями, чтобы определить переменные или использовать переменные, определенные в предыдущих примерах.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Чтобы перейти с ключей, управляемых клиентом, обратно в управляемые корпорацией Майкрософт ключи в портал Azure, выполните следующие действия.

1. Перейдите к учетной записи хранилища.

2. В разделе "Безопасность и сеть" выберите "Шифрование".

3. Измените тип шифрования на ключи, управляемые корпорацией Майкрософт.

   

Чтобы переключиться с управляемых клиентом ключей обратно на ключи, управляемые корпорацией Майкрософт, с помощью PowerShell вызовите Set-AzStorageAccount с -StorageEncryption параметром, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Чтобы переключиться с ключей, управляемых клиентом, на ключи, управляемые корпорацией Майкрософт, с помощью Azure CLI, вызовите az storage account update и задайте значение --encryption-key-source parameter Microsoft.Storage, как показано в следующем примере. Не забудьте заменить значения заполнителей в скобках собственными значениями и использовать переменные, определенные в предыдущих примерах.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage