Использование ключей, управляемых клиентом, в Azure Key Vault для службы импорта и экспорта
Служба импорта и экспорта Azure защищает ключи BitLocker, используемые для блокировки дисков с помощью ключа шифрования. По умолчанию ключи BitLocker шифруются с помощью ключей, управляемых корпорацией Майкрософт. Для дополнительного контроля над ключами шифрования можно также предоставить управляемые клиентом ключи.
Управляемые клиентом ключи должны быть созданы и сохранены в Azure Key Vault. Дополнительные сведения об Azure Key Vault см. в статье Что такое Azure Key Vault?
В этой статье показано, как использовать управляемые клиентом ключи для службы импорта и экспорта на портале Azure.
Необходимые компоненты
Перед тем как начать, убедитесь в следующем:
Вы создали задание импорта или экспорта согласно следующим инструкциям:
У вас уже есть Azure Key Vault с ключом, который можно использовать для защиты ключа BitLocker. Сведения о создании хранилища ключей с помощью портала Azure см. в статье Краткое руководство. Создание хранилища ключей с помощью портала Azure.
Функции обратимого удаления и Do not purge (Не очищать) установлены для существующего решения Key Vault. По умолчанию эти свойства отключены. Чтобы включить эти свойства, см. разделы Включение обратимого удаления и Включение защиты от очистки в одной из следующих статей:
Существующее хранилище Key Vault должно иметь ключ RSA размером 2048 бит или более. Подробнее см. в статье Сведения о ключах.
Key Vault должно находиться в том же регионе, что и учетная запись хранения ваших данных.
Вы можете создать встроенное решение Azure Key Vault, если его у вас нет, как описано в следующем разделе.
Включение ключей
Настройка управляемого клиентом ключа для службы импорта и экспорта является необязательной. По умолчанию служба импорта и экспорта использует ключ под управлением корпорации Майкрософт для защиты ключа BitLocker. Чтобы включить управляемый клиентом ключ на портале Azure, выполните следующие действия.
Перейдите к колонке Обзор для задания импорта.
В правой области выберите Choose how your BitLocker keys are encrypted (Выберите способ шифрования ключей BitLocker).
В колонке Шифрование можно просмотреть и скопировать ключ BitLocker устройства. В разделе Тип шифрования можно выбрать способ защиты ключа BitLocker. По умолчанию используется ключ под управлением корпорации Майкрософт.
Вы можете указать управляемый клиентом ключ. Выбрав управляемый клиентом ключ, щелкните Выберите хранилище ключей и ключ.
В колонке Select key from Azure Key Vault (Выбор ключа из Azure Key Vault) подписка заполняется автоматически. Для поля Хранилище ключей можно выбрать существующее хранилище Key Vault из раскрывающегося списка.
Чтобы создать Key Vault, можно также выбрать Создать. В колонке Создать Key Vault введите группу ресурсов и имя Key Vault. Примите все остальные значения по умолчанию. Выберите Review + Create (Просмотреть и создать).
Проверьте сведения, связанные с Key Vault, и выберите Создать. Подождите несколько минут, пока не завершится создание Key Vault.
В колонке Select key from Azure Key Vault (Выбор ключа из Azure Key Vault) можно выбрать ключ в существующем Key Vault.
После создания Key Vault выберите Создать, чтобы создать ключ. Размер ключа RSA может быть 2048 бит или больше.
Если при создании Key Vault отключена защита от обратимого удаления и очистки, Key Vault будет обновлено для включения этих функций.
Укажите имя ключа, примите остальные значения по умолчанию и нажмите кнопку Создать.
Выберите версию и нажмите кнопку Выбрать. Вы получите уведомление о том, что в Key Vault создан ключ.
В колонке Шифрование можно просмотреть Key Vault и ключ, выбранный для управляемого клиентом ключа.
Внимание
Вы можете отключить только ключи под управлением корпорации Майкрософт и перейти на управляемые клиентом ключи на любом этапе задания импорта и экспорта. Однако нельзя отключить управляемый клиентом ключ после его создания.
Устранение ошибок ключей, управляемых клиентом
Если вы получаете ошибки, связанные с управляемым клиентом ключом, воспользуйтесь следующей таблицей для устранения неполадок:
| Код ошибки | Сведения | Восстановимая |
|---|---|---|
| CmkErrorAccessRevoked | Доступ к управляемому клиентом ключу отозван. | Да, проверьте, есть ли:
|
| CmkErrorKeyDisabled | Управляемый клиентом ключ отключен. | Да, включив версию ключа. |
| CmkErrorKeyNotFound | Не удается найти управляемый клиентом ключ. | Да, если ключ был удален, но все еще находится в пределах периода очистки, отмените удаление ключа Key vault. Еще
|
| CmkErrorVaultNotFound | Не удается найти Key Vault для управляемого клиентом ключа. | Если Key Vault удалено:
В противном случае, если Key Vault было перенесено на другой клиент, его можно восстановить, выполнив одно из следующих действий:
|