Konfigurieren von kundenseitig verwalteten Schlüsseln im gleichen Mandanten für ein neues Speicherkonto

Informationen zum Erstellen eines Schlüsseltresors über das Azure-Portal finden Sie unter Schnellstart: Erstellen eines Schlüsseltresors über das Azure-Portal. Wenn Sie den Schlüsseltresor erstellen, wählen Sie Löschschutz aktivieren aus, wie in der folgenden Abbildung dargestellt.

Führen Sie die folgenden Schritte aus, um den Löschschutz für einen vorhandenen Schlüsseltresor zu aktivieren:

1. Navigieren Sie im Azure-Portal zu Ihrem Schlüsseltresor.
2. Wählen Sie unter Einstellungen die Option Eigenschaften aus.
3. Wählen Sie im Abschnitt Löschschutz die Option Löschschutz aktivieren aus.

Um einen neuen Schlüsseltresor mit PowerShell zu erstellen, installieren Sie Version 2.0.0 oder höher des PowerShell-Moduls Az.KeyVault. Rufen Sie dann New-AzKeyVault auf, um einen neuen Schlüsseltresor zu erstellen. Ab Version 2.0.0 des Az.KeyVault-Moduls ist das vorläufige Löschen standardmäßig aktiviert, wenn Sie einen neuen Schlüsseltresor erstellen.

Im folgenden Beispiel wird ein neuer Schlüsseltresor erstellt, der vor vorläufigen und endgültigen Löschvorgängen geschützt ist. Das Berechtigungsmodell des Schlüsseltresors ist auf die Verwendung von Azure RBAC festgelegt. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

$rgName = "<resource_group>"
$location = "<location>"
$kvName = "<key-vault>"

$keyVault = New-AzKeyVault -Name $kvName `
    -ResourceGroupName $rgName `
    -Location $location `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Informationen zum Aktivieren des Löschschutzes für einen vorhandenen Schlüsseltresor mit PowerShell finden Sie unter Azure Key Vault-Wiederherstellungsverwaltung mit Schutz durch vorläufiges Löschen und Bereinigungsschutz.

Nachdem Sie den Schlüsseltresor erstellt haben, müssen Sie sich selbst die Rolle Key Vault-Kryptografiebeauftragter zuweisen. Mit dieser Rolle können Sie einen Schlüssel im Schlüsseltresor erstellen. Im folgenden Beispiel wird diese Rolle einem Benutzer zugewiesen, der auf den Bereich des Schlüsseltresors bezogen ist:

New-AzRoleAssignment -SignInName "<user-email>" `
    -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $keyVault.ResourceId

Weitere Informationen zum Zuweisen einer RBAC-Rolle mit PowerShell finden Sie unter Zuweisen von Azure-Rollen mithilfe von Azure PowerShell.

Rufen Sie az keyvault create auf, um einen neuen Schlüsseltresor mit der Azure CLI zu erstellen. Im folgenden Beispiel wird ein neuer Schlüsseltresor erstellt, der vor vorläufigen und endgültigen Löschvorgängen geschützt ist. Das Berechtigungsmodell des Schlüsseltresors ist auf die Verwendung von Azure RBAC festgelegt. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

rgName="<resource_group>"
location="<location>"
kvName="<key-vault>"

az keyvault create \
    --name $kvName \
    --resource-group $rgName \
    --location $location \
    --enable-purge-protection \
    --enable-rbac-authorization

Informationen zum Aktivieren des Löschschutzes für einen vorhandenen Schlüsseltresor mit der Azure CLI finden Sie unter Azure Key Vault-Wiederherstellungsverwaltung mit Schutz durch vorläufiges Löschen und Bereinigungsschutz.

Nachdem Sie den Schlüsseltresor erstellt haben, müssen Sie sich selbst die Rolle Key Vault-Kryptografiebeauftragter zuweisen. Mit dieser Rolle können Sie einen Schlüssel im Schlüsseltresor erstellen. Im folgenden Beispiel wird diese Rolle einem Benutzer zugewiesen, der auf den Bereich des Schlüsseltresors bezogen ist:

kvResourceId=$(az keyvault show --resource-group $rgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --assignee "<user-email>" \
    --role "Key Vault Crypto Officer" \
    --scope $kvResourceId

Weitere Informationen zum Zuweisen einer RBAC-Rolle mit der Azure CLI finden Sie unter Zuweisen von Azure-Rollen mithilfe der Azure CLI.

Informationen zum Hinzufügen eines Schlüssels über das Azure-Portal finden Sie unter Schnellstart: Festlegen und Abrufen eines Schlüssels aus Azure Key Vault mit dem Azure-Portal.

Um einen Schlüssel mit PowerShell hinzuzufügen, rufen Sie Add-AzKeyVaultKey auf. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden.

$keyName = "<key-name>"

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName `
    -Name $keyName `
    -Destination 'Software'

Um einen Schlüssel mit der Azure CLI hinzuzufügen, rufen Sie az keyvault key create auf. Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

keyName="<key-name>"

az keyvault key create \
    --name $keyName \
    --vault-name $kvName

Bevor Sie kundenseitig verwaltete Schlüssel mit einer benutzerseitig zugewiesenen verwalteten Identität konfigurieren können, müssen Sie der benutzerseitig zugewiesenen verwalteten Identität die Rolle Key Vault Crypto Service Encryption-Benutzer zuweisen, die auf den Bereich des Schlüsseltresors bezogen ist. Mit dieser Rolle werden der benutzerseitig zugewiesenen verwalteten Identität Berechtigungen für den Zugriff auf den Schlüssel im Schlüsseltresor gewährt. Weitere Informationen zum Zuweisen von Azure RBAC-Rollen im Azure-Portal finden Sie unter Zuweisen von Azure-Rollen über das Azure-Portal.

Wenn Sie kundenseitig verwaltete Schlüssel über das Azure-Portal konfigurieren, können Sie über die Portalbenutzeroberfläche eine vorhandene benutzerseitig zugewiesene Identität auswählen.

Im folgenden Beispiel wird gezeigt, wie Sie die benutzerseitig zugewiesene verwaltete Identität abrufen und ihr die erforderliche RBAC-Rolle zuweisen, die auf den Bereich des Schlüsseltresors bezogen ist. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden:

$userIdentity = Get-AzUserAssignedIdentity -Name <user-assigned-identity> `
    -ResourceGroupName $rgName

$principalId = $userIdentity.PrincipalId

New-AzRoleAssignment -ObjectId $principalId `
    -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $keyVault.ResourceId

Im folgenden Beispiel wird gezeigt, wie Sie die benutzerseitig zugewiesene verwaltete Identität abrufen und ihr die erforderliche RBAC-Rolle zuweisen, die auf den Bereich des Schlüsseltresors bezogen ist. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden:

identityResourceId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query id \
    --output tsv)

principalId=$(az identity show --name <user-assigned-identity> \
    --resource-group $rgName \
    --query principalId \
    --output tsv)

az role assignment create --assignee-object-id $principalId \
    --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-principal-type ServicePrincipal

Führen Sie die folgenden Schritte aus, um kundenseitig verwaltete Schlüssel für ein neues Speicherkonto mit automatischer Aktualisierung der Schlüsselversion zu konfigurieren:

1. Navigieren Sie im Azure-Portal zur Seite Speicherkonten, und wählen Sie die Schaltfläche Erstellen aus, um ein neues Konto zu erstellen.

2. Führen Sie die Schritte unter Speicherkonto erstellen aus, um die Felder auf den Registerkarten Grundlagen, Erweitert, Netzwerk und Datenschutz auszufüllen.

3. Geben Sie auf der Registerkarte Verschlüsselung im Feld Unterstützung für kundenseitig verwaltete Schlüssel aktivieren an, für welche Dienste Sie die Unterstützung für kundenseitig verwaltete Schlüssel aktivieren möchten.

4. Wählen Sie im Feld Verschlüsselungstyp die Option Kundenseitig verwaltete Schlüssel (Customer managed keys, CMK) aus.

5. Wählen Sie im Feld Verschlüsselungsschlüssel die Option Key Vault und Schlüssel auswählen aus, und geben Sie den Schlüsseltresor und den Schlüssel an.

6. Wählen Sie für das Feld Benutzerseitig zugewiesene Identität eine vorhandene benutzerseitig zugewiesene verwaltete Identität aus.

   

7. Wählen Sie die Schaltfläche Überprüfung aus, um das Konto zu überprüfen und zu erstellen.

Sie können auch kundenseitig verwaltete Schlüssel mit manueller Aktualisierung der Schlüsselversion konfigurieren, wenn Sie ein neues Speicherkonto erstellen. Führen Sie die Schritte unter Konfigurieren der Verschlüsselung für die manuelle Aktualisierung von Schlüsselversionen aus.

Rufen Sie New-AzStorageAccount wie im folgenden Beispiel gezeigt auf, um kundenseitig verwaltete Schlüssel für ein neues Speicherkonto mit automatischer Aktualisierung der Schlüsselversion zu konfigurieren. Verwenden Sie für die benutzerseitig zugewiesene verwaltete Identität die zuvor erstellte Variable für die Ressourcen-ID. Außerdem benötigen Sie den Schlüsseltresor-URI und den Schlüsselnamen:

$accountName = "<storage-account>"

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

Rufen Sie az storage account create wie im folgenden Beispiel gezeigt auf, um kundenseitig verwaltete Schlüssel für ein neues Speicherkonto mit automatischer Aktualisierung der Schlüsselversion zu konfigurieren. Verwenden Sie für die benutzerseitig zugewiesene verwaltete Identität die zuvor erstellte Variable für die Ressourcen-ID. Außerdem benötigen Sie den Schlüsseltresor-URI und den Schlüsselnamen:

accountName="<storage-account>"

az storage account create \
    --name $accountName \
    --resource-group $rgName \
    --location $location \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault <key-vault-uri> \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId

Um kundenseitig verwaltete Schlüssel mit der manuellen Aktualisierung der Schlüsselversion im Azure-Portal zu konfigurieren, geben Sie beim Erstellen des Speicherkontos den Schlüssel-URI einschließlich der Version an. Gehen Sie wie folgt vor, um einen Schlüssel als URI anzugeben:

1. Navigieren Sie im Azure-Portal zur Seite Speicherkonten, und wählen Sie die Schaltfläche Erstellen aus, um ein neues Konto zu erstellen.

2. Führen Sie die Schritte unter Speicherkonto erstellen aus, um die Felder auf den Registerkarten Grundlagen, Erweitert, Netzwerk und Datenschutz auszufüllen.

3. Geben Sie auf der Registerkarte Verschlüsselung im Feld Unterstützung für kundenseitig verwaltete Schlüssel aktivieren an, für welche Dienste Sie die Unterstützung für kundenseitig verwaltete Schlüssel aktivieren möchten.

4. Wählen Sie im Feld Verschlüsselungstyp die Option Kundenseitig verwaltete Schlüssel (Customer managed keys, CMK) aus.

5. Um den Schlüssel-URI im Azure-Portal anzuzeigen, navigieren Sie zu Ihrem Schlüsseltresor, und wählen die Einstellung Schlüssel aus. Wählen Sie den gewünschten Schlüssel aus, und klicken Sie darauf, um dessen Versionen anzuzeigen. Wählen Sie eine Schlüsselversion aus, um die Einstellungen für diese Version anzuzeigen.

6. Kopieren Sie den Wert im Feld Schlüsselbezeichner, das den URI enthält.

   

7. Wählen Sie in den Einstellungen für den Verschlüsselungsschlüssel für Ihr Speicherkonto die Option Schlüssel-URI eingeben aus.

8. Fügen Sie den kopierten URI in das Feld Schlüssel-URI ein. Schließen Sie die Schlüsselversion in den URI ein, um die manuelle Aktualisierung der Schlüsselversion zu konfigurieren.

9. Geben Sie eine benutzerseitig zugewiesene verwaltete Identität an, indem Sie den Link Identität auswählen auswählen.

   

10. Wählen Sie die Schaltfläche Überprüfung aus, um das Konto zu überprüfen und zu erstellen.

Um kundenseitig verwaltete Schlüssel mit der manuellen Aktualisierung der Schlüsselversion zu konfigurieren, geben Sie die Schlüsselversion explizit an, wenn Sie beim Erstellen des Speicherkontos die Verschlüsselung konfigurieren. Rufen Sie Set-AzStorageAccount auf, um die Verschlüsselungseinstellungen des Speicherkontos zu aktualisieren, wie im folgenden Beispiel gezeigt, und fügen Sie die Option -KeyvaultEncryption ein, um kundenseitig verwaltete Schlüssel für das Speicherkonto zu aktivieren.

Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden.

$accountName = "<storage-account>"

New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -AllowBlobPublicAccess $false `
    -IdentityType SystemAssignedUserAssigned `
    -UserAssignedIdentityId $userIdentity.Id `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id

Wenn Sie die Schlüsselversion manuell aktualisieren, müssen Sie die Verschlüsselungseinstellungen des Speicherkontos aktualisieren, damit die neue Version verwendet wird. Rufen Sie zunächst Get-AzKeyVaultKey auf, um die neueste Version des Schlüssels abzurufen. Rufen Sie dann Set-AzStorageAccount auf, um die Verschlüsselungseinstellungen des Speicherkontos zu aktualisieren, damit wie im vorherigen Beispiel gezeigt die neue Version des Schlüssels verwendet wird.

Um kundenseitig verwaltete Schlüssel mit der manuellen Aktualisierung der Schlüsselversion zu konfigurieren, geben Sie die Schlüsselversion explizit an, wenn Sie beim Erstellen des Speicherkontos die Verschlüsselung konfigurieren. Rufen Sie az storage account update wie im folgenden Beispiel gezeigt auf, um die Verschlüsselungseinstellungen des Speicherkontos zu aktualisieren. Fügen Sie den Parameter --encryption-key-source ein, und legen Sie ihn auf Microsoft.Keyvault fest, um kundenseitig verwaltete Schlüssel für das Speicherkonto zu aktivieren.

Denken Sie daran, die Platzhalterwerte in den spitzen Klammern durch Ihre eigenen Werte zu ersetzen.

accountName="<storage-account>"

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)

key_version=$(az keyvault key list-versions \
    --name <key> \
    --vault-name <key-vault> \
    --query [-1].kid \
    --output tsv | cut -d '/' -f 6)

az storage account create \
    --name $accountName \
    --resource-group $rgName \
    --location $location \
    --sku Standard_LRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $keyVaultUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-version $keyVersion \
    --key-vault-user-identity-id $identityResourceId

Wenn Sie die Schlüsselversion manuell aktualisieren, müssen Sie die Verschlüsselungseinstellungen des Speicherkontos aktualisieren, damit die neue Version verwendet wird. Rufen Sie zunächst az keyvault show zum Abfragen des Schlüsseltresor-URIs und az keyvault key list-versions zum Abfragen der Schlüsselversion auf. Rufen Sie dann az storage account update auf, um die Verschlüsselungseinstellungen des Speicherkontos zu aktualisieren, damit wie im vorherigen Beispiel gezeigt die neue Version des Schlüssels verwendet wird.

Führen Sie die folgenden Schritte aus, um den Schlüssel im Azure-Portal zu ändern:

1. Navigieren Sie zu Ihrem Speicherkonto, und zeigen Sie die Einstellungen zur Verschlüsselung an.
2. Wählen Sie den Schlüsseltresor und dann einen neuen Schlüssel aus.
3. Speichern Sie die Änderungen.

Um den Schlüssel mit PowerShell zu ändern, rufen Sie Set-AzStorageAccount auf, und geben Sie den neuen Schlüsselnamen und die neue Version an. Wenn sich der neue Schlüssel in einem anderen Schlüsseltresor befindet, müssen Sie auch den Schlüsseltresor-URI aktualisieren.

Um den Schlüssel mit der Azure CLI zu ändern, rufen Sie az storage account update auf, und geben Sie den neuen Schlüsselnamen und die neue Version an. Wenn sich der neue Schlüssel in einem anderen Schlüsseltresor befindet, müssen Sie auch den Schlüsseltresor-URI aktualisieren.

Führen Sie zum Deaktivieren eines kundenseitig verwalteten Schlüssels über das Azure-Portal die folgenden Schritte aus:

1. Navigieren Sie zu dem Schlüsseltresor, der den Schlüssel enthält.

2. Wählen Sie unter Objekte die Option Schlüssel aus.

3. Klicken Sie mit der rechten Maustaste auf den Schlüssel, und wählen Sie Deaktivieren aus.

   

Zum Widerrufen eines kundenseitig verwalteten Schlüssels mit PowerShell rufen Sie den Befehl Update-AzKeyVaultKey auf, wie im folgenden Beispiel gezeigt wird. Denken Sie daran, zum Definieren der Variablen die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen, oder verwenden Sie die in den vorhergehenden Beispielen definierten Variablen.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Zum Widerrufen eines kundenseitig verwalteten Schlüssels mit der Azure CLI rufen Sie den Befehl az keyvault key set-attributes auf, wie im folgenden Beispiel gezeigt wird. Denken Sie daran, zum Definieren der Variablen die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen, oder verwenden Sie die in den vorhergehenden Beispielen definierten Variablen.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Führen Sie die folgenden Schritte aus, um im Azure-Portal von kundenseitig verwalteten Schlüsseln zu von Microsoft verwalteten Schlüsseln zurückzuwechseln:

1. Navigieren Sie zum Speicherkonto.

2. Wählen Sie unter Sicherheit + Netzwerk die Option Verschlüsselung aus.

3. Ändern Sie den Verschlüsselungstyp in von Microsoft verwaltete Schlüssel.

   

Wenn Sie mit PowerShell von kundenseitig verwalteten Schlüsseln zu von Microsoft verwalteten Schlüsseln zurückwechseln möchten, rufen Sie Set-AzStorageAccount mit der Option -StorageEncryption auf, wie im folgenden Beispiel gezeigt wird. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Wenn Sie mit Azure CLI von kundenseitig verwalteten Schlüsseln zu von Microsoft verwalteten Schlüsseln zurückwechseln möchten, rufen Sie az storage account update auf, und legen Sie --encryption-key-source parameter auf Microsoft.Storage fest, wie im folgenden Beispiel gezeigt wird. Denken Sie daran, die Platzhalterwerte in Klammern durch Ihre eigenen Werte zu ersetzen und die in den vorherigen Beispielen definierten Variablen zu verwenden.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage