Správa klíčů spravovaných zákazníkem pro Azure Elastic SAN

Všechna data zapsaná do svazku Elastic SAN se automaticky šifrují neaktivní uložená data pomocí šifrovacího klíče dat (DEK). Sady Azure DEK jsou vždy spravované platformou (spravované Microsoftem). Azure používá šifrování obálek, označované také jako zabalení, což zahrnuje použití šifrovacího klíče klíče (KEK) k šifrování klíče DEK. Ve výchozím nastavení je klíč KEK spravovaný platformou, ale můžete vytvořit a spravovat vlastní klíč KEK. Klíče spravované zákazníkem nabízejí větší flexibilitu při správě řízení přístupu a můžou vám pomoct splnit požadavky vaší organizace na zabezpečení a dodržování předpisů.

Řídíte všechny aspekty šifrovacích klíčů klíčů, včetně těchto:

• Který klíč se používá
• Kde jsou vaše klíče uložené
• Jak se klíče otočí
• Možnost přepínat mezi klíči spravovanými zákazníkem a klíči spravovanými platformou

Tento článek vysvětluje, jak spravovat sady KEK spravované zákazníkem.

Omezení

Následující seznam obsahuje oblasti, ve kterých je v současné době k dispozici elastická síť SAN, a oblasti podporují zónově redundantní úložiště (ZRS) i místně redundantní úložiště (LRS) nebo pouze LRS:

• Austrálie – východ – LRS
• Brazílie – jih - LRS
• Kanada – střed – LRS
• USA – střed – LRS
• Východní Asie – LRS
• USA – východ – LRS
• USA – východ 2 – LRS
• Francie – střed - LRS a ZRS
• Německo – středozápad - LRS
• Indie – střed – LRS
• Japonsko – východ – LRS
• Korea – střed – LRS
• Severní Evropa – LRS a ZRS
• Norsko – východ – LRS
• Jižní Afrika – sever - LRS
• USA – středojižní – LRS
• Jihovýchodní Asie – LRS
• Švédsko – střed – LRS
• Švýcarsko – sever - LRS
• Spojené arabské emiráty – sever – LRS
• Velká Británie – jih – LRS
• Západní Evropa – LRS a ZRS
• USA – západ 2 – LRS a ZRS
• USA – západ 3 – LRS

Elastická síť SAN je dostupná také v následujících oblastech, ale bez podpory zóny dostupnosti:

• Kanada – východ – LRS
• Japonsko – západ – LRS
• USA – středosever – LRS

Pokud chcete tyto oblasti povolit, spusťte následující příkaz a zaregistrujte příznak potřebné funkce:

Register-AzProviderFeature -FeatureName "EnableElasticSANRegionalDeployment" -ProviderNamespace "Microsoft.ElasticSan"

Změna klíče

Klíč, který používáte pro šifrování Azure Elastic SAN, můžete kdykoli změnit.

Pokud je nový klíč v jiném trezoru klíčů, musíte spravované identitě udělit přístup k klíči v novém trezoru. Pokud se rozhodnete pro ruční aktualizaci verze klíče, budete také muset aktualizovat identifikátor URI trezoru klíčů.

Aktualizace verze klíče

Následující kryptografické osvědčené postupy znamenají obměně klíče, který chrání vaši skupinu svazků Elastic SAN v pravidelných intervalech, obvykle nejméně každé dva roky. Azure Elastic SAN nikdy neupravuje klíč v trezoru klíčů, ale můžete nakonfigurovat zásadu obměny klíčů tak, aby klíč otáčel podle vašich požadavků na dodržování předpisů. Další informace najdete v tématu Konfigurace automatické obměny kryptografického klíče ve službě Azure Key Vault.

Po obměně klíče v trezoru klíčů je potřeba aktualizovat konfiguraci KEK spravovanou zákazníkem pro vaši skupinu svazků ELASTIC SAN, aby používala novou verzi klíče. Klíče spravované zákazníkem podporují automatickou i ruční aktualizaci verze KEK. Můžete se rozhodnout, který přístup chcete použít při počáteční konfiguraci klíčů spravovaných zákazníkem nebo při aktualizaci konfigurace.

Při úpravě klíče nebo verze klíče se ochrana kořenového šifrovacího klíče změní, ale data ve skupině svazků Azure Elastic SAN zůstanou zašifrovaná vždy. Na vaší straně není potřeba žádná další akce, která zajistí, že jsou vaše data chráněná. Obměně verze klíče nemá vliv na výkon a k obměně verze klíče není přidružený žádný výpadek.

Automatická aktualizace verze klíče

Pokud chcete automaticky aktualizovat klíč spravovaný zákazníkem, když je k dispozici nová verze, vynecháte verzi klíče, když povolíte šifrování pomocí klíčů spravovaných zákazníkem pro skupinu svazků Elastic SAN. Pokud je verze klíče vynechána, azure Elastic SAN denně zkontroluje trezor klíčů pro novou verzi klíče spravovaného zákazníkem. Pokud je k dispozici nová verze klíče, azure Elastic SAN automaticky použije nejnovější verzi klíče.

Azure Elastic SAN kontroluje trezor klíčů pro novou verzi klíče jen jednou denně. Při obměně klíče nezapomeňte před zakázáním starší verze počkat 24 hodin.

Pokud byla skupina svazků Elastic SAN dříve nakonfigurovaná pro ruční aktualizaci verze klíče a chcete ji změnit tak, aby se aktualizovala automaticky, možná budete muset explicitně změnit verzi klíče na prázdný řetězec. Podrobnosti o tom, jak to udělat, najdete v tématu Obměně ruční verze klíče.

Ruční aktualizace verze klíče

Pokud chcete pro šifrování Azure Elastic SAN použít konkrétní verzi klíče, zadejte tuto verzi klíče, když povolíte šifrování pomocí klíčů spravovaných zákazníkem pro skupinu svazků Elastic SAN. Pokud zadáte verzi klíče, azure Elastic SAN tuto verzi použije k šifrování, dokud ručně neaktualizujete verzi klíče.

Pokud je verze klíče explicitně zadaná, musíte ručně aktualizovat skupinu svazků Elastic SAN tak, aby při vytváření nové verze používala identifikátor URI nové verze klíče. Informace o tom, jak aktualizovat skupinu svazků Elastic SAN tak, aby používala novou verzi klíče, najdete v tématu Konfigurace šifrování pomocí klíčů spravovaných zákazníkem uložených ve službě Azure Key Vault.

Odvolání přístupu ke skupině svazků, která používá klíče spravované zákazníkem

Pokud chcete dočasně odvolat přístup ke skupině svazků Elastic SAN, která používá klíče spravované zákazníkem, zakažte klíč, který se aktuálně používá v trezoru klíčů. K zakázání a opětovnému zblížení klíče nemá žádný dopad na výkon ani výpadek.

Po zakázání klíče nemůžou klienti volat operace, které čtou nebo zapisují do svazků ve skupině svazků nebo jejich metadata.

$KvName  = "<key-vault-name>"
$KeyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $KeyName -VaultName $KvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $KvName -Name $KeyName -Enable $enabled

KvName="key-vault-name"
KeyName="key-name"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $KvName \
    --name $KeyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $KvName \
    --name $KeyName \
    --enabled $enabled

Přepnutí zpět na klíče spravované platformou

Pomocí modulu Azure PowerShellu nebo Azure CLI můžete kdykoli přepnout z klíčů spravovaných zákazníkem zpět na klíče spravované platformou.

Update-AzElasticSanVolumeGroup -ResourceGroupName "ResourceGroupName" -ElasticSanName "ElasticSanName" -Name "ElasticSanVolumeGroupName" -Encryption EncryptionAtRestWithPlatformKey 

az elastic-san volume-group update \
    --elastic-san-name <ElasticSanName> \
    --name <ElasticSanVolumeGroupName> \
    --resource-group <ResourceGroupName> \
    --encryption EncryptionAtRestWithPlatformKey

Viz také

• Konfigurace klíčů spravovaných zákazníkem pro Azure Elastic SAN pomocí služby Azure Key Vault