Configurar chaves gerenciadas pelo cliente entre locatários em uma conta de armazenamento existente

Entre no portal do Azure e siga estas etapas.

O provedor de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário do provedor de serviços Tenant1.

O provedor de serviços cria um registro de aplicativo multilocatário

Você pode criar um novo registro de aplicativo multilocatário do Microsoft Entra ou começar com um registro de aplicativo multilocatário existente. Se estiver começando com um registro de aplicativo existente, anote a ID do aplicativo (ID do cliente) do aplicativo.

Para criar um registro:

1. Procure por Microsoft Entra ID na caixa de pesquisa. Localize e selecione a extensão Microsoft Entra ID.

2. Selecione Gerenciar > Registros de Aplicativo no painel esquerdo.

3. Selecione + Novo Registro.

4. Forneça o nome para o registro do aplicativo e selecione Conta em qualquer diretório organizacional (Qualquer diretório do Microsoft Entra – Multilocatário).

5. Selecione Registrar.

6. Anote a ApplicationId/ClientId do aplicativo.

   

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Crie uma identidade gerenciada atribuída pelo usuário a ser usada como uma credencial de identidade federada.

1. Procure Identidades Gerenciadas na caixa de pesquisa. Localize e selecione a extensão Identidades Gerenciadas.

2. Selecione + Criar.

3. Forneça o grupo de recursos, a região e o nome da identidade gerenciada.

4. Selecione Examinar + criar.

5. Após a implantação bem-sucedida, anote o ResourceId do Azure da identidade gerenciada atribuída pelo usuário, que está disponível em Propriedades. Por exemplo:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure a identidade gerenciada atribuída pelo usuário como uma credencial de identidade federada no aplicativo, para que ela possa representar a identidade do aplicativo.

1. Navegue até Microsoft Entra ID > Registros de aplicativo > seu aplicativo.

2. Selecione Certificados e segredos.

3. Selecione Credenciais federadas.

   

4. Selecione + Adicionar credencial.

5. Em Cenário de credencial federada, selecione Chaves Gerenciadas pelo Cliente.

6. Clique em Selecionar uma identidade gerenciada. No painel, selecione a assinatura. Em Identidade gerenciada, selecione a Identidade gerenciada atribuída pelo usuário. Na caixa Selecionar, procure a identidade gerenciada que você criou e clique em Selecionar na parte inferior do painel.

   

7. Em Detalhes da credencial, forneça um nome e uma descrição opcional para a credencial e selecione Adicionar.

   

Instale o módulo Az mais recente para usar o Azure PowerShell ao configurar o locatário do ISV. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com o PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo do Az PowerShell.
  • Conecte-se à sua conta do Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Confira Visão geral do Azure Cloud Shell para obter mais informações.

O provedor de serviços configura identidades

As etapas a seguir são seguidas pelo provedor de serviços no respectivo locatário (ISV), Tenant1.

O provedor de serviços entra no Azure

No Azure PowerShell, entre no locatário do ISV e defina a assinatura ativa como a assinatura do ISV.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

O provedor de serviços cria um registro de aplicativo multilocatário

Escolha um nome para o aplicativo multilocatário registrado em Tenant1 e crie-o no portal do Azure.

O nome que você fornecer ao aplicativo multilocatário será utilizado pelo cliente para identificar o aplicativo no Tenant2. Anote a ID do aplicativo e do objeto do aplicativo. Você precisará desses valores nas próximas etapas.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Entre no locatário do ISV e crie uma identidade gerenciada atribuída pelo usuário que será usada como uma credencial de identidade federada. Para criar uma identidade gerenciada atribuída pelo usuário, você deve ter uma função que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Configure a identidade gerenciada atribuída pelo usuário como uma credencial de identidade federada no aplicativo, para que ela possa representar a identidade do aplicativo.

Para configurar a credencial de identidade federada no PowerShell, primeiro instale a versão 6.3.0 ou mais recente do módulo Az.Resources.

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for CMK"

• Use o ambiente Bash no Azure Cloud Shell. Para obter mais informações, confira Início Rápido para Bash no Azure Cloud Shell.

  

• Se preferir executar os comandos de referência da CLI localmente, instale a CLI do Azure. Para execuções no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.

  • Se estiver usando uma instalação local, entre com a CLI do Azure usando o comando az login. Para concluir o processo de autenticação, siga as etapas exibidas no terminal. Para ver outras opções de entrada, confira Conectar-se com a CLI do Azure.

  • Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar extensões com a CLI do Azure.

  • Execute az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para fazer a atualização para a versão mais recente, execute az upgrade.

O provedor de serviços configura identidades

As etapas a seguir são executadas pelo provedor de serviços no locatário do provedor de serviços Tenant1.

O provedor de serviços entra no Azure

Entrar no Azure para usar a CLI do Azure.

az login

O provedor de serviços cria um registro de aplicativo multilocatário

Escolha um nome para o aplicativo multilocatário em Tenant1 e crie o aplicativo multilocatário no portal do Azure.

O nome que você fornecer ao aplicativo multilocatário será utilizado pelo cliente para identificar o aplicativo no Tenant2. Copie a ID do aplicativo (ou a ID do cliente) do aplicativo, a ID de objeto do aplicativo e a ID do locatário do aplicativo. Você precisará desses valores nas etapas a seguir.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

O provedor de serviços cria uma identidade gerenciada atribuída pelo usuário

Entre no locatário do ISV e crie uma identidade gerenciada atribuída pelo usuário que será usada como uma credencial de identidade federada. Para criar uma identidade gerenciada atribuída pelo usuário, você deve ter uma função que inclua a ação Microsoft.ManagedIdentity/userAssignedIdentities/write.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

O provedor de serviços configura a identidade gerenciada atribuída pelo usuário como uma credencial federada no aplicativo

Execute o método az ad app federated-credential create para configurar uma credencial de identidade federada em um aplicativo e criar uma relação de confiança com um provedor de identidade externo.

Use api://AzureADTokenExchange como o valor audience na credencial de identidade federada. Confira a referência da API para obter mais detalhes.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for CMK",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Entre no portal do Azure e siga estas etapas.

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Para instalar o aplicativo registrado do provedor de serviços no locatário do cliente, crie uma entidade de serviço com a ID do aplicativo registrado. Você pode criar a entidade de serviço de uma das seguintes maneiras:

• Use o Microsoft Graph, o PowerShell do Microsoft Graph, o Azure PowerShell ou a CLI do Azure para criar a entidade de serviço manualmente.
• Construa uma URL de consentimento do administrador e dê consentimento a todo o locatário para criar a entidade de serviço. Você precisará fornecê-los com a AppId.

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do usuário precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

1. No menu ou na home page do portal do Azure, selecione + Criar um recurso. Na caixa Pesquisa, digite Cofres de chaves. Na lista de resultados, selecione Cofres de chaves. Na página Cofres de chaves, selecione Criar.

2. Na guia Informações básicas, escolha uma assinatura. Em Grupo de recursos, selecione Criar e insira um nome para o grupo de recursos.

3. Insira um nome exclusivo para o cofre de chaves.

4. Selecione uma região e um tipo de preço.

5. Habilite a proteção contra limpeza no novo cofre de chaves.

6. Na guia Política de acesso, selecione Controle de acesso baseado em função do Azure para Modelo de permissão.

7. Selecione Examinar + criar e depois Criar.

   

Observe que o nome do cofre de chaves e os aplicativos de URI que acessam o cofre de chaves deverão usar esse URI.

Para obter mais informações, confira Guia de início rápido – Criar um Azure Key Vault com o portal do Azure.

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Esta etapa garante que você possa criar as chaves de criptografia.

1. Navegue até o cofre de chaves e selecione Controle de Acesso (IAM) no painel à esquerda.
2. Em Permitir acesso a esse recurso, selecione Adicionar atribuição de função.
3. Pesquise e selecione Responsável pela Criptografia do Key Vault.
4. Em Membros, selecione Usuário, grupo ou entidade de serviço.
5. Selecione Membros e procure sua conta de usuário.
6. Selecione Examinar + Atribuir.

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário precisa receber a função Responsável pela Criptografia do Key Vault ou outra função que permita a criação de uma chave.

1. Na página de propriedades do Key Vault, selecione Chaves.
2. Selecione Gerar/Importar.
3. Na tela Criar uma chave, especifique um nome para a chave. Deixe os outros valores com seus padrões.
4. Selecione Criar.
5. Copie o URI da chave.

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função RBAC do Azure Usuário de Criptografia do Serviço de Criptografia do Key Vault ao aplicativo registrado do provedor de serviços para que ele possa acessar o cofre de chaves.

1. Navegue até o cofre de chaves e selecione Controle de Acesso (IAM) no painel à esquerda.
2. Em Permitir acesso a esse recurso, selecione Adicionar atribuição de função.
3. Procure e selecione Usuário de Criptografia do Serviço de Criptografia do Key Vault.
4. Em Membros, selecione Usuário, grupo ou entidade de serviço.
5. Selecione Membros e procure o nome do aplicativo que você instalou do provedor de serviços.
6. Selecione Examinar + Atribuir.

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

Instale o módulo Az mais recente para usar o Azure PowerShell ao configurar o locatário do cliente. Para obter mais informações sobre como instalar o PowerShell, consulte Instalar o Azure PowerShell no Windows com o PowerShellGet.

• Se você optar por usar o Azure PowerShell localmente:
  • Instale a versão mais recente do módulo do Az PowerShell.
  • Conecte-se à sua conta do Azure usando o cmdlet Connect-AzAccount.
• Se você optar por usar o Azure Cloud Shell:
  • Confira Visão geral do Azure Cloud Shell para obter mais informações.

O cliente entra no Azure

No Azure PowerShell, entre no locatário do cliente e defina a assinatura ativa como a assinatura do cliente.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber a ID do aplicativo multilocatário do provedor de serviços, instale o aplicativo no locatário Tenant2 criando uma entidade de serviço.

Execute os comandos a seguir no locatário em que você planeja criar o cofre de chaves.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Atribua a função de responsável pela criptografia do Key Vault a uma conta de usuário. Essa etapa garante que o usuário possa criar o cofre de chaves e as chaves de criptografia. O exemplo a seguir atribui a função ao usuário conectado no momento.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário precisa receber a função Responsável pela Criptografia do Key Vault ou outra função que permita a criação de uma chave.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função RBAC do Azure usuário de criptografia do serviço de criptografia do Key Vault ao aplicativo registrado do provedor de serviços por meio da entidade de serviço criada anteriormente a fim de que ele possa acessar o cofre de chaves.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

• Use o ambiente Bash no Azure Cloud Shell. Para obter mais informações, confira Início Rápido para Bash no Azure Cloud Shell.

  

• Se preferir executar os comandos de referência da CLI localmente, instale a CLI do Azure. Para execuções no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.

  • Se estiver usando uma instalação local, entre com a CLI do Azure usando o comando az login. Para concluir o processo de autenticação, siga as etapas exibidas no terminal. Para ver outras opções de entrada, confira Conectar-se com a CLI do Azure.

  • Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar extensões com a CLI do Azure.

  • Execute az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para fazer a atualização para a versão mais recente, execute az upgrade.

O cliente entra no Azure

Entrar no Azure para usar a CLI do Azure.

az login

O cliente instala o aplicativo do provedor de serviços no locatário do cliente

Depois de receber a ID do aplicativo multilocatário do provedor de serviços, instale o aplicativo no locatário Tenant2 usando o comando a seguir. A instalação do aplicativo cria uma entidade de serviço em seu locatário.

Execute os comandos a seguir no locatário em que você planeja criar o cofre de chaves.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

O cliente cria um cofre de chaves

Para criar o cofre de chaves, a conta do cliente precisa receber a função Colaborador do Key Vault ou outra função que permita a criação de um cofre de chaves.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

O cliente atribui a função de Responsável pela Criptografia do Key Vault a uma conta de usuário

Essa etapa garante que você possa criar o cofre de chaves e as chaves de criptografia.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

O cliente cria uma chave de criptografia

Para criar a chave de criptografia, a conta do usuário precisa receber a função Responsável pela Criptografia do Key Vault ou outra função que permita a criação de uma chave.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

O cliente permite ao aplicativo do provedor de serviços acesso ao cofre de chaves

Atribua a função RBAC do Azure usuário de criptografia do serviço de criptografia do Key Vault ao aplicativo registrado do provedor de serviços por meio da entidade de serviço criada anteriormente a fim de que ele possa acessar o cofre de chaves.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Agora você pode configurar chaves gerenciadas pelo cliente com o URI e a chave do cofre de chaves.

Para configurar chaves gerenciadas pelo cliente entre locatários em uma conta de armazenamento existente no portal do Azure, siga estas etapas:

1. Navegue para sua conta de armazenamento.

2. Em Segurança + rede, selecione Criptografia. Por padrão, o gerenciamento de chaves é definido como chaves gerenciadas pela Microsoft, como é mostrado na imagem a seguir.

   

3. Selecione a opção Chaves gerenciadas pelo cliente.

4. Escolha a opção Selecionar do Cofre de chaves.

5. Selecione Inserir URI da chave e especifique o URI da chave. Omita a versão da chave do URI se quiser que o Armazenamento do Azure verifique automaticamente se há uma nova versão de chave e atualize-a.

6. Selecione a assinatura que contém o cofre de chaves e a chave.

7. No campo Tipo de identidade, selecione Atribuído pelo usuário e especifique a identidade gerenciada com a credencial de identidade federada que você criou.

8. Expanda a seção Avançado e selecione o aplicativo registrado multilocatário que você criou no locatário do ISV.

   

9. Salve suas alterações.

Depois que você especificar a chave do cofre de chaves no locatário do cliente, o portal do Azure indicará que as chaves gerenciadas pelo cliente estão configuradas com essa chave. Ele também indicará que a atualização automática da versão de chave está habilitada e exibirá a versão da chave em uso para criptografia no momento. O portal também exibe o tipo de identidade gerenciada usada para autorizar o acesso ao cofre de chaves, a ID da entidade de segurança da identidade gerenciada e a ID do aplicativo multilocatário.

Para configurar as chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento no PowerShell, primeiro instale o módulo Az.Storage PowerShell, versão 5.1.0 ou posterior. Este módulo é instalado com o módulo do Az PowerShell, versão 9.1.0 ou posterior.

Em seguida, chame Set-AzStorageAccount, fornecendo a ID do recurso para a identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV e a ID do aplicativo (cliente) para o aplicativo multilocatário que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores e de usar as variáveis definidas nos exemplos anteriores.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

Set-AzStorageAccount -ResourceGroupName $isvRgName `
    -Name $accountName `
    -KeyvaultEncryption `
    -UserAssignedIdentityId $userIdentity.Id `
    -IdentityType SystemAssignedUserAssigned `
    -KeyName $keyName `
    -KeyVaultUri $kvUri `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id `
    -KeyVaultFederatedClientId $multiTenantAppId 

Para configurar chaves gerenciadas pelo cliente entre locatários para uma conta de armazenamento existente com a CLI do Azure, primeiro instale a CLI do Azure, versão 2.42.0 ou posterior. Para obter informações sobre como instalar a CLI do Azure, consulte Instalar a CLI do Azure.

Em seguida, chame az storage account update, fornecendo a ID do recurso para a identidade gerenciada atribuída pelo usuário que você configurou anteriormente na assinatura do ISV e a ID do aplicativo (cliente) para o aplicativo multilocatário que você configurou anteriormente na assinatura do ISV. Forneça o URI do cofre de chaves e o nome da chave do cofre de chaves do cliente.

Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores e de usar as variáveis definidas nos exemplos anteriores.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Para alterar a chave com o portal do Azure, siga estas etapas:

1. Navegue até a conta de armazenamento e exiba as configurações de Criptografia.
2. Selecione o cofre de chaves e escolha uma nova chave.
3. Salve suas alterações.

Para alterar a chave com o PowerShell, chame Set-AzStorageAccount e forneça o nome e a versão da nova chave. Se a nova chave estiver em um cofre de chaves diferente, você também deverá atualizar o URI do cofre de chaves.

Para alterar a chave com a CLI do Azure, chame az storage account update e forneça o nome e a versão da nova chave. Se a nova chave estiver em um cofre de chaves diferente, você também deverá atualizar o URI do cofre de chaves.

Para desabilitar uma chave gerenciada pelo cliente com o portal do Azure, siga estas etapas:

1. Navegue até o cofre de chaves que contém a chave.

2. Em Objetos, selecione Chaves.

3. Clique com o botão direito do mouse na chave e selecione Desabilitar.

   

Para revogar uma chave gerenciada pelo cliente com o PowerShell, chame o comando Update-AzKeyVaultKey, conforme mostrado no exemplo a seguir. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores para definir as variáveis ou use as variáveis definidas nos exemplos anteriores.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Para revogar uma chave gerenciada pelo cliente com a CLI do Azure, chame o comando az keyvault key set-attributes, conforme mostrado no exemplo a seguir. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores para definir as variáveis ou use as variáveis definidas nos exemplos anteriores.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Para sair das chaves gerenciadas pelo cliente e voltar para as chaves gerenciadas pela Microsoft no portal do Azure, siga estas etapas:

1. Navegue para sua conta de armazenamento.

2. Em Segurança + rede, selecione Criptografia.

3. Altere o Tipo de criptografia para Chaves gerenciadas pela Microsoft.

   

Para sair das chaves gerenciadas pelo cliente e voltar para as chaves gerenciadas ela Microsoft com o PowerShell, chame Set-AzStorageAccount com a opção -StorageEncryption, conforme mostrado no exemplo a seguir. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores e de usar as variáveis definidas nos exemplos anteriores.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Para sair das chaves gerenciadas pelo cliente e voltar para as chaves gerenciadas pela Microsoft com a CLI do Azure, chame az storage account update e defina --encryption-key-source parameter como Microsoft.Storage, conforme mostrado no exemplo a seguir. Lembre-se de substituir os valores de espaço reservado entre colchetes pelos seus valores e de usar as variáveis definidas nos exemplos anteriores.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage