Criar uma conta que suporte chaves geridas pelo cliente para tabelas e filas

Para criar uma conta de armazenamento que dependa da chave de encriptação da conta com o portal do Azure, siga estes passos:

1. No menu do portal esquerdo, selecione Contas de armazenamento para apresentar uma lista das suas contas de armazenamento.

2. Na página Contas de armazenamento , selecione Novo.

3. Preencha os campos no separador Noções Básicas .

4. No separador Avançadas, localize a secção Tabelas e Filas e selecione Ativar suporte para chaves geridas pelo cliente.

   

Para utilizar o PowerShell para criar uma conta de armazenamento que depende da chave de encriptação da conta, certifique-se de que instalou o módulo Azure PowerShell, versão 3.4.0 ou posterior. Para obter mais informações, veja Instalar o módulo Azure PowerShell.

Em seguida, crie uma conta de armazenamento para fins gerais v2 ao chamar o comando New-AzStorageAccount , com os parâmetros adequados:

• Inclua a opção e defina o -EncryptionKeyTypeForQueue respetivo valor para Account utilizar a chave de encriptação de conta para encriptar dados no Armazenamento de filas.
• Inclua a opção e defina o -EncryptionKeyTypeForTable respetivo valor para Account utilizar a chave de encriptação de conta para encriptar dados no Armazenamento de tabelas.

O exemplo seguinte mostra como criar uma conta de armazenamento para fins gerais v2 configurada para armazenamento georredundante de acesso de leitura (RA-GRS) e que utiliza a chave de encriptação de conta para encriptar dados para armazenamento de Filas e Tabelas. Lembre-se de substituir os valores do marcador de posição entre parênteses pelos seus próprios valores:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Para utilizar a CLI do Azure para criar uma conta de armazenamento que depende da chave de encriptação de conta, certifique-se de que instalou a versão 2.0.80 ou posterior da CLI do Azure. Para obter mais informações, veja Instalar a CLI do Azure.

Em seguida, crie uma conta de armazenamento para fins gerais v2 ao chamar o comando az storage account create , com os parâmetros adequados:

• Inclua a opção e defina o --encryption-key-type-for-queue respetivo valor para Account utilizar a chave de encriptação de conta para encriptar dados no Armazenamento de filas.
• Inclua a opção e defina o --encryption-key-type-for-table respetivo valor para Account utilizar a chave de encriptação de conta para encriptar dados no Armazenamento de tabelas.

O exemplo seguinte mostra como criar uma conta de armazenamento para fins gerais v2 configurada para armazenamento georredundante de acesso de leitura (RA-GRS) e que utiliza a chave de encriptação de conta para encriptar dados para armazenamento de Filas e Tabelas. Lembre-se de substituir os valores do marcador de posição entre parênteses pelos seus próprios valores:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

O exemplo JSON seguinte cria uma conta de armazenamento para fins gerais v2 configurada para armazenamento georredundante de acesso de leitura (RA-GRS) e que utiliza a chave de encriptação de conta para encriptar dados para armazenamento de Filas e Tabelas. Lembre-se de substituir os valores do marcador de posição em parênteses angulares pelos seus próprios valores:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Para verificar se um serviço numa conta de armazenamento está a utilizar uma chave de encriptação que está no âmbito da conta com o portal do Azure, siga estes passos:

1. No portal do Azure, navegue para a sua nova conta de armazenamento.

2. Na secção Segurança + Rede , selecione Encriptação.

3. Se a conta de armazenamento tiver sido criada para depender da chave de encriptação da conta, verá no separador Encriptação que as chaves geridas pelo cliente podem ser ativadas para os quatro serviços de Armazenamento do Azure: blobs, ficheiros, tabelas e filas.

   

Para verificar se um serviço numa conta de armazenamento está a utilizar a chave de encriptação de conta com o PowerShell, chame o comando Get-AzStorageAccount . Este comando devolve um conjunto de propriedades da conta de armazenamento e os respetivos valores. Procure o KeyType campo para cada serviço na Encryption propriedade e verifique se está definido como Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Para verificar se um serviço numa conta de armazenamento está a utilizar a chave de encriptação de conta com a CLI do Azure, chame o comando az storage account show . Este comando devolve um conjunto de propriedades da conta de armazenamento e os respetivos valores. Procure o keyType campo para cada serviço na propriedade de encriptação e verifique se está definido como Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

N/D