Azure NetApp Files birim şifrelemesi için müşteri tarafından yönetilen anahtarları yapılandırma

Azure NetApp Files birim şifrelemesi için müşteri tarafından yönetilen anahtarlar, yeni bir birim oluştururken platform tarafından yönetilen anahtar yerine kendi anahtarlarınızı kullanmanıza olanak tanır. Müşteri tarafından yönetilen anahtarlarla anahtarın yaşam döngüsü, anahtar kullanım izinleri ve anahtarlardaki denetim işlemleri arasındaki ilişkiyi tam olarak yönetebilirsiniz.

Aşağıdaki diyagramda müşteri tarafından yönetilen anahtarların Azure NetApp Files ile nasıl çalıştığı gösterilmektedir:

1. Azure NetApp Files yönetilen bir kimliğe şifreleme anahtarları için izinler verir. Yönetilen kimlik, oluşturduğunuz ve yönettiğiniz kullanıcı tarafından atanan yönetilen kimlik veya NetApp hesabıyla ilişkilendirilmiş sistem tarafından atanan yönetilen kimliktir.

2. Şifrelemeyi NetApp hesabı için müşteri tarafından yönetilen bir anahtarla yapılandırabilirsiniz.

3. Azure Key Vault yöneticisinin 1. adımda Microsoft Entra Id aracılığıyla Azure Key Vault'a erişimin kimliğini doğrulamak için izin verdiği yönetilen kimliği kullanırsınız.

4. Azure NetApp Files, hesap şifreleme anahtarını Azure Key Vault'ta müşteri tarafından yönetilen anahtarla sarmalar.

   Müşteri tarafından yönetilen anahtarların Azure NetApp Files üzerinde performans etkisi yoktur. Platform tarafından yönetilen anahtarlardan tek farkı anahtarın yönetilma şeklidir.

5. Okuma/yazma işlemleri için Azure NetApp Files, şifreleme ve şifre çözme işlemlerini gerçekleştirmek üzere hesap şifreleme anahtarını açmak için Azure Key Vault'a istek gönderir.

Dikkat edilmesi gereken noktalar

• Müşteri tarafından yönetilen anahtarları kullanarak birim oluşturmak için Standart ağ özelliklerini seçmeniz gerekir. Temel ağ özellikleri kullanılarak yapılandırılmış birimle müşteri tarafından yönetilen anahtar birimleri kullanamazsınız. Birim oluşturma sayfasındaki Ağ Özelliklerini Ayarla seçeneğini belirlemek için içindeki yönergeleri izleyin.
• Daha fazla güvenlik için anahtar kasanızın ağ ayarlarından Genel erişimi devre dışı bırak seçeneğini belirleyebilirsiniz. Bu seçeneği belirtirken, Azure NetApp Files hizmetinin şifreleme anahtarınıza erişmesine izin vermek için Güvenilen Microsoft hizmetleri bu güvenlik duvarını atlamasına izin ver'i de seçmeniz gerekir.
• Müşteri tarafından yönetilen anahtarlar, otomatik Yönetilen Sistem Kimliği (MSI) sertifika yenilemeyi destekler. Sertifikanız geçerliyse, sertifikayı el ile güncelleştirmeniz gerekmez.
• Özel bağlantı alt ağında Azure ağ güvenlik gruplarının Azure Key Vault'a uygulanması, Azure NetApp Files müşteri tarafından yönetilen anahtarlar için desteklenmez. Ağ güvenlik grupları, alt ağda etkinleştirilmediği sürece Private endpoint network policy Özel Bağlantı bağlantısını etkilemez. Bu seçeneğin devre dışı bırakılması gerekir.
• Azure NetApp Files müşteri tarafından yönetilen bir anahtar birimi oluşturamazsa hata iletileri görüntülenir. Daha fazla bilgi için Hata iletileri ve sorun giderme bölümüne bakın.
• Müşteri tarafından yönetilen anahtarlar birimi oluşturduktan sonra temel alınan Azure Key Vault veya Azure Özel Uç Noktası'na herhangi bir değişiklik yapmayın. Değişiklik yapmak, birimlere erişilemez hale gelebilir.
• Azure Anahtar Kasası erişilemez hale gelirse Azure NetApp Files, şifreleme anahtarlarına erişimini ve müşteri tarafından yönetilen anahtarlarla etkinleştirilen birimlere veri okuma veya yazma özelliğini kaybeder. Bu durumda, etkilenen birimlere erişimin manuel geri yüklenme için bir destek bileti oluşturun.
• Azure NetApp Files, bölgeler arası çoğaltma veya bölgeler arası çoğaltma ilişkileri olan kaynak ve veri çoğaltma birimlerinde müşteri tarafından yönetilen anahtarları destekler.

Desteklenen bölgeler

Azure NetApp Files müşteri tarafından yönetilen anahtarlar aşağıdaki bölgeler için desteklenir:

• Orta Avustralya
• Orta Avustralya 2
• Doğu Avustralya
• Güneydoğu Avustralya
• Güney Brezilya
• Güneydoğu Brezilya
• Orta Kanada
• Doğu Kanada
• Orta Hindistan
• Central US
• Doğu Asya
• Doğu ABD
• Doğu ABD 2
• Orta Fransa
• Kuzey Almanya
• Orta Batı Almanya
• Orta İsrail
• Kuzey İtalya
• Doğu Japonya
• Batı Japonya
• Güney Kore - Orta
• Güney Kore - Güney
• Orta Kuzey ABD
• Kuzey Avrupa
• Doğu Norveç
• Batı Norveç
• Katar Merkezi
• Güney Afrika - Kuzey
• Orta Güney ABD
• Güney Hindistan
• Güneydoğu Asya
• İspanya Orta
• Orta İsveç
• Kuzey İsviçre
• Batı İsviçre
• BAE Orta
• Kuzey BAE
• Güney Birleşik Krallık
• Batı Birleşik Krallık
• US Gov Arizona
• US Gov Teksas
• US Gov Virginia
• West Europe
• Batı ABD
• Batı ABD 2
• Batı ABD 3

Gereksinimler

Müşteri tarafından yönetilen ilk anahtar biriminizi oluşturmadan önce şunları ayarlamanız gerekir:

• En az bir anahtar içeren bir Azure Key Vault.
  • Anahtar kasasında geçici silme ve temizleme koruması etkinleştirilmelidir.
  • Anahtar RSA türünde olmalıdır.
• Anahtar kasasının bir Azure Özel Uç Noktası olmalıdır.
  • Özel uç nokta, Azure NetApp Files'a temsilci olarak atanandan farklı bir alt ağda bulunmalıdır. Alt ağ, Azure NetApp'e temsilci olarak atanan ağ ile aynı sanal ağda olmalıdır.

Azure Key Vault ve Azure Özel Uç Noktası hakkında daha fazla bilgi için bkz:

• Hızlı Başlangıç: Anahtar kasası oluşturma
• Kasaya anahtar oluşturma veya içeri aktarma
• Özel uç nokta oluşturma
• Anahtarlar ve desteklenen anahtar türleri hakkında daha fazla bilgi
• Ağ güvenlik grupları
• Özel uç noktalar için ağ ilkelerini yönetme

NetApp hesabını müşteri tarafından yönetilen anahtarları kullanacak şekilde yapılandırma

Rol tabanlı erişim denetimi kullanma

Azure rol tabanlı erişim denetimini kullanmak üzere yapılandırılmış bir Azure Key Vault kullanabilirsiniz. Azure portalı aracılığıyla müşteri tarafından yönetilen anahtarları yapılandırmak için kullanıcı tarafından atanan bir kimlik sağlamanız gerekir.

1. Azure hesabınızda Anahtar kasaları'na ve ardından Erişim ilkeleri'ne gidin.

2. Erişim ilkesi oluşturmak için İzin modeli'nin altında Azure rol tabanlı erişim denetimi'ni seçin.

3. Kullanıcı tarafından atanan rolü oluştururken, müşteri tarafından yönetilen anahtarlar için üç izin gerekir:

   1. Microsoft.KeyVault/vaults/keys/read
   2. Microsoft.KeyVault/vaults/keys/encrypt/action
   3. Microsoft.KeyVault/vaults/keys/decrypt/action

   Bu izinleri içeren önceden tanımlanmış roller olsa da, bu roller gerekenden daha fazla ayrıcalık verir. Yalnızca gerekli en düşük izinlere sahip bir özel rol oluşturmanız önerilir. Daha fazla bilgi için bkz . Azure özel rolleri.

   {
       "id": "/subscriptions/<subscription>/Microsoft.Authorization/roleDefinitions/<roleDefinitionsID>",
       "properties": {
           "roleName": "NetApp account",
           "description": "Has the necessary permissions for customer-managed key encryption: get key, encrypt and decrypt",
           "assignableScopes": [
               "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>"
           ],
           "permissions": [
             {
               "actions": [],
               "notActions": [],
               "dataActions": [
                   "Microsoft.KeyVault/vaults/keys/read",
                   "Microsoft.KeyVault/vaults/keys/encrypt/action",
                   "Microsoft.KeyVault/vaults/keys/decrypt/action"
               ],
               "notDataActions": []
               }
           ]
         }
   }
   

4. Özel rol oluşturulduktan ve anahtar kasasıyla birlikte kullanılabilir duruma geçtikten sonra, bunu kullanıcı tarafından atanan kimliğe uygularsınız.

Müşteri tarafından yönetilen anahtarları kullanarak Azure NetApp Files birimi oluşturma

1. Azure NetApp Files'da Birimler'i ve ardından + Birim ekle'yi seçin.

2. Azure NetApp Files birimi için ağ özelliklerini yapılandırma başlığı altındaki yönergeleri izleyin:

   • Birim oluşturma sayfasında Ağ Özellikleri seçeneğini ayarlayın.
   • Birimin temsilci alt ağı için ağ güvenlik grubu, NetApp'in depolama VM'sinden gelen trafiğe izin vermelidir.

3. Müşteri tarafından yönetilen anahtar kullanacak şekilde yapılandırılmış bir NetApp hesabı için Birim Oluştur sayfasında Şifreleme Anahtarı Kaynağı seçeneği bulunur.

   Birimi anahtarınız ile şifrelemek için Şifreleme Anahtarı Kaynağı açılan menüsünde Müşteri Tarafından Yönetilen Anahtar'ı seçin.

   Müşteri tarafından yönetilen bir anahtar kullanarak birim oluşturduğunuzda, Ağ özellikleri seçeneği için Standart'ı da seçmeniz gerekir. Temel ağ özellikleri desteklenmez.

   Bir anahtar kasası özel uç noktası da seçmelisiniz. Açılan menüde seçili Sanal ağdaki özel uç noktalar görüntülenir. Seçili sanal ağda anahtar kasanız için özel uç nokta yoksa açılan menü boş olur ve devam edemeyeceksiniz. Öyleyse bkz . Azure Özel Uç Noktası.

   

4. Birim oluşturma işlemini tamamlamaya devam edin. Şu belgelere bakın:

   • NFS birimi oluşturma
   • SMB birimi oluşturma
   • Çift protokollü birim oluşturma

Azure NetApp Files birimini müşteri tarafından yönetilen anahtarlara geçirme (önizleme)

Azure NetApp Files, platform tarafından yönetilen anahtarları kullanarak mevcut birimleri müşteri tarafından yönetilen anahtarlara taşıma özelliğini destekler. Geçişi tamamladıktan sonra platform tarafından yönetilen anahtarlara geri dönemezsiniz.

Özelliği kaydetme

Azure NetApp Files için şifreleme anahtarı geçişi şu anda önizleme aşamasındadır. Bu özelliği ilk kez kullanmadan önce kaydetmeniz gerekir.

1. Özelliği kaydedin:

   Register-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMigratePmkToCmk 
   

2. Özellik kaydının durumunu denetleyin:

   Get-AzProviderFeature -ProviderNamespace Microsoft.NetApp -FeatureName ANFMigratePmkToCmk
   

   Not

   RegistrationState, olarak değiştirilmeden Registeredönce 60 dakikaya kadar durumunda olabilirRegistering. Devam etmeden önce durum Kayıtlı olana kadar bekleyin.

Ayrıca Azure CLI komutlarını az feature register az feature show kullanarak özelliği kaydedebilir ve kayıt durumunu görüntüleyebilirsiniz.

Geçiş birimleri

1. Azure NetApp Files hesabınızı müşteri tarafından yönetilen anahtarları kullanacak şekilde yapılandırdığınızdan emin olun.
2. Azure portalında Şifreleme'ye gidin.
3. CMK Geçişi sekmesini seçin.
4. Açılan menüden, kullanmak istediğiniz sanal ağı ve anahtar kasası özel uç noktasını seçin.
5. Azure, müşteri tarafından yönetilen anahtarınız tarafından şifrelenecek birimlerin listesini oluşturur.
6. Geçişi başlatmak için Onayla'yı seçin.

NetApp hesabı altındaki tüm birimleri yeniden anahtarlama

NetApp hesabınızı müşteri tarafından yönetilen anahtarlar için zaten yapılandırdıysanız ve müşteri tarafından yönetilen anahtarlarla şifrelenmiş bir veya daha fazla biriminiz varsa, NetApp hesabı altındaki tüm birimleri şifrelemek için kullanılan anahtarı değiştirebilirsiniz. Aynı anahtar kasasında bulunan herhangi bir anahtarı seçebilirsiniz. Anahtar kasalarının değiştirilmesi desteklenmez.

1. NetApp hesabınızın altında Şifreleme menüsüne gidin. Geçerli anahtar girişi alanının altında Yeniden Anahtarla bağlantısını seçin.

2. Yeniden Anahtarla menüsünde, açılan menüden kullanılabilir tuşlardan birini seçin. Seçilen anahtar geçerli anahtardan farklı olmalıdır.

3. Kaydetmek için Tamam’ı seçin. Yeniden anahtar işlemi birkaç dakika sürebilir.

Sistem tarafından atanan kimlikten kullanıcı tarafından atanan kimliğe geçiş yapma

Sistem tarafından atanan kimlikten kullanıcı tarafından atanan kimliğe geçmek için hedef kimliğe okuma/alma, şifreleme ve şifre çözme izinleriyle kullanılan anahtar kasasına erişim izni vermelisiniz.

1. Komutunu kullanarak bir PATCH isteği göndererek NetApp hesabını güncelleştirin az rest :

   az rest -m PATCH -u <netapp-account-resource-id>?api-versions=2022-09-01 -b @path/to/payload.json
   

   Yük aşağıdaki yapıyı kullanmalıdır:

   {
     "identity": {
       "type": "UserAssigned",
       "userAssignedIdentities": {
        "<identity-resource-id>": {}
       }
     },
     "properties": {
       "encryption": {
         "identity": {
           "userAssignedIdentity": "<identity-resource-id>"
         }
       }
     }
   }
   

2. komutuyla işlemin başarıyla tamamlandığını az netappfiles account show onaylayın. Çıktı aşağıdaki alanları içerir:

       "id": "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.NetApp/netAppAccounts/account",
       "identity": {
           "principalId": null,
           "tenantId": null,
           "type": "UserAssigned",
           "userAssignedIdentities": {
               "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>": {
                   "clientId": "<client-id>",
                   "principalId": "<principalId>",
                   "tenantId": <tenantId>"
               }
           }
       },
   

   Şunlardan emin olun:

   • encryption.identity.principalId içindeki değerle eşleşir identity.userAssignedIdentities.principalId
   • encryption.identity.userAssignedIdentity içindeki değerle eşleşir identity.userAssignedIdentities[]

   "encryption": {
       "identity": {
           "principalId": "<principal-id>",
           "userAssignedIdentity": "/subscriptions/<subscriptionId>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>"
       },
       "KeySource": "Microsoft.KeyVault",
   },
   

Hata iletileri ve sorun giderme

Bu bölümde, Azure NetApp Files'ın müşteri tarafından yönetilen anahtar şifrelemesini yapılandıramaması veya müşteri tarafından yönetilen anahtar kullanarak birim oluşturması durumunda hata iletileri ve olası çözümler listelenmektedir.

NetApp hesabında müşteri tarafından yönetilen anahtar şifrelemesini yapılandırma hataları

Müşteri tarafından yönetilen anahtarlarla şifrelenmiş birim oluşturma hataları

Sonraki adımlar

• Azure NetApp Files API'si
• Yönetilen Donanım Güvenlik Modülü ile müşteri tarafından yönetilen anahtarları yapılandırma