Mevcut depolama hesabı için kiracılar arası müşteri tarafından yönetilen anahtarları yapılandırma

Azure portalında oturum açın ve şu adımları izleyin.

Hizmet sağlayıcısı kimlikleri yapılandırıyor

Aşağıdaki adımlar hizmet sağlayıcısının Kiracı1 kiracısında hizmet sağlayıcısı tarafından gerçekleştirilir.

Hizmet sağlayıcısı yeni bir çok kiracılı uygulama kaydı oluşturur

Yeni bir çok kiracılı Microsoft Entra uygulama kaydı oluşturabilir veya mevcut çok kiracılı uygulama kaydıyla başlayabilirsiniz. Mevcut bir uygulama kaydıyla başlıyorsanız, uygulamanın uygulama kimliğini (istemci kimliği) not edin.

Yeni kayıt oluşturmak için:

1. Arama kutusunda Microsoft Entra Id için arama yapın. Microsoft Entra ID uzantısını bulun ve seçin.

2. Sol bölmeden Uygulama kayıtları yönet'i > seçin.

3. + Yeni kayıt'ı seçin.

4. Uygulama kaydının adını belirtin ve herhangi bir kuruluş dizininde (Herhangi bir Microsoft Entra dizini – Çok Kiracılı) Hesap'ı seçin.

5. Kaydet'i seçin.

6. Uygulamanın ApplicationId/ClientId değerini not edin.

   

Hizmet sağlayıcısı kullanıcı tarafından atanan bir yönetilen kimlik oluşturur

Federasyon kimliği kimlik bilgileri olarak kullanılacak kullanıcı tarafından atanan bir yönetilen kimlik oluşturun.

1. Arama kutusunda Yönetilen Kimlikler'i arayın. Yönetilen Kimlikler uzantısını bulun ve seçin.

2. +Oluştur'u seçin.

3. Yönetilen kimlik için kaynak grubunu, bölgeyi ve adını belirtin.

4. Gözden geçir ve oluştur’u seçin.

5. Başarılı bir dağıtımda, Özellikler altında bulunan kullanıcı tarafından atanan yönetilen kimliğin Azure ResourceId değerini not edin. Örneğin:

   /subscriptions/tttttttt-0000-tttt-0000-tttt0000tttt/resourcegroups/XTCMKDemo/providers/Microsoft.ManagedIdentity/userAssignedIdentities/ConsotoCMKDemoUA

   

Hizmet sağlayıcısı, kullanıcı tarafından atanan yönetilen kimliği uygulamada federasyon kimlik bilgisi olarak yapılandırıyor

Kullanıcı tarafından atanan yönetilen kimliği, uygulamanın kimliğine bürünebilmesi için uygulamada federasyon kimliği kimlik bilgileri olarak yapılandırın.

1. Uygulamanızı Uygulama kayıtları > Microsoft Entra Id'ye > gidin.

2. Sertifikalar ve gizli diziler'i seçin.

3. Federasyon kimlik bilgileri'ne tıklayın.

   

4. + Kimlik bilgisi ekle'yi seçin.

5. Federasyon kimlik bilgisi senaryosu altında Müşteri Tarafından Yönetilen Anahtarlar'ı seçin.

6. Yönetilen kimlik seçin'e tıklayın. Bölmeden aboneliği seçin. Yönetilen kimlik'in altında Kullanıcı tarafından atanan yönetilen kimlik'i seçin. Seç kutusunda, daha önce oluşturduğunuz yönetilen kimliği arayın ve bölmenin alt kısmındaki Seç'e tıklayın.

   

7. Kimlik bilgisi ayrıntıları'nın altında, kimlik bilgisi için bir ad ve isteğe bağlı bir açıklama sağlayın ve Ekle'yi seçin.

   

AZURE PowerShell'i kullanarak ISV'nin kiracısını yapılandırmak için en son Az modülünü yükleyin. PowerShell'i yükleme hakkında daha fazla bilgi için bkz . PowerShellGet ile Windows'a Azure PowerShell yükleme.

• Azure PowerShell'i yerel olarak kullanmayı seçerseniz:
  • Az PowerShell modülünün en son sürümünü yükleyin.
  • Connect-AzAccount cmdlet'ini kullanarak Azure hesabınıza bağlanın.
• Azure Cloud Shell'i kullanmayı seçerseniz:
  • Daha fazla bilgi için bkz . Azure Cloud Shell'e genel bakış.

Hizmet sağlayıcısı kimlikleri yapılandırıyor

Aşağıdaki adımlar hizmet sağlayıcısının Kiracı1 kiracısında hizmet sağlayıcısı (ISV) tarafından gerçekleştirilir.

Hizmet sağlayıcısı Azure'da oturum açar

Azure PowerShell'de ISV'nin kiracısında oturum açın ve etkin aboneliği ISV'nin aboneliğine ayarlayın.

$isvTenantId="<isv-tenant-id>"
$isvSubscriptionId="<isv-subscription-id>"

# Sign in to Azure in the ISV's tenant.
Connect-AzAccount -Tenant $isvTenantId
# Set the context to the ISV's subscription.
Set-AzContext -Subscription $isvSubscriptionId

Hizmet sağlayıcısı yeni bir çok kiracılı uygulama kaydı oluşturur

Kiracı1'de çok kiracılı kayıtlı uygulamanız için bir ad seçin ve Azure portalında çok kiracılı uygulamayı oluşturun.

Çok kiracılı uygulama için sağladığınız ad, kiracı2'de uygulamayı tanımlamak için müşteri tarafından kullanılır. Uygulamanın nesne kimliğini ve uygulama kimliğini not edin. Sonraki adımlarda bu değerlere ihtiyacınız olacaktır.

$multiTenantAppName="<multi-tenant-app>"
$multiTenantApp = New-AzADApplication -DisplayName $multiTenantAppName `
    -SignInAudience AzureADMultipleOrgs

# Object ID for the new multi-tenant app
$objectId = $multiTenantApp.Id
# Application (client) ID for the multi-tenant app
$multiTenantAppObjectId = $multiTenantApp.AppId

Hizmet sağlayıcısı kullanıcı tarafından atanan bir yönetilen kimlik oluşturur

ISV'nin kiracısında oturum açın ve ardından federasyon kimliği kimlik bilgileri olarak kullanılacak kullanıcı tarafından atanan yönetilen kimliği oluşturun. Kullanıcı tarafından atanan yeni bir yönetilen kimlik oluşturmak için Size Microsoft.ManagedIdentity/userAssignedIdentities/write eylemini içeren bir rol atanmalıdır.

$isvRgName="<isv-resource-group>"
$isvLocation="<location>"
$userIdentityName="<user-assigned-managed-identity>"

# Create a new resource group in the ISV's subscription.
New-AzResourceGroup -Location $isvLocation -ResourceGroupName $isvRgName

# Create the new user-assigned managed identity.
$userIdentity = New-AzUserAssignedIdentity -Name $userIdentityName `
    -ResourceGroupName $isvRgName `
    -Location $isvLocation `
    -SubscriptionId $isvSubscriptionId

Hizmet sağlayıcısı, kullanıcı tarafından atanan yönetilen kimliği uygulamada federasyon kimlik bilgisi olarak yapılandırıyor

Kullanıcı tarafından atanan yönetilen kimliği, uygulamanın kimliğine bürünebilmesi için uygulamada federasyon kimliği kimlik bilgileri olarak yapılandırın.

PowerShell'den federasyon kimliği kimlik bilgilerini yapılandırmak için önce Az.Resources modülünün 6.3.0 veya sonraki bir sürümünü yükleyin.

New-AzADAppFederatedCredential -ApplicationObjectId $multiTenantApp.Id `
    -Name "MyFederatedIdentityCredential" `
    -Audience "api://AzureADTokenExchange" `
    -Issuer "https://login.microsoftonline.com/<tenant-id>/v2.0" `
    -Subject $userIdentity.PrincipalId `
    -Description "Federated Identity Credential for CMK"

• Azure Cloud Shell'de Bash ortamını kullanın. Daha fazla bilgi için bkz . Azure Cloud Shell'de Bash için hızlı başlangıç.

  

• CLI başvuru komutlarını yerel olarak çalıştırmayı tercih ediyorsanız Azure CLI'yı yükleyin . Windows veya macOS üzerinde çalışıyorsanız Azure CLI’yi bir Docker kapsayıcısında çalıştırmayı değerlendirin. Daha fazla bilgi için bkz . Docker kapsayıcısında Azure CLI'yi çalıştırma.

  • Yerel yükleme kullanıyorsanız az login komutunu kullanarak Azure CLI ile oturum açın. Kimlik doğrulama işlemini tamamlamak için terminalinizde görüntülenen adımları izleyin. Diğer oturum açma seçenekleri için bkz . Azure CLI ile oturum açma.

  • İstendiğinde, ilk kullanımda Azure CLI uzantısını yükleyin. Uzantılar hakkında daha fazla bilgi için bkz. Azure CLI ile uzantıları kullanma.

  • Yüklü sürümü ve bağımlı kitaplıkları bulmak için az version komutunu çalıştırın. En son sürüme yükseltmek için az upgrade komutunu çalıştırın.

Hizmet sağlayıcısı kimlikleri yapılandırıyor

Aşağıdaki adımlar hizmet sağlayıcısının Kiracı1 kiracısında hizmet sağlayıcısı tarafından gerçekleştirilir.

Hizmet sağlayıcısı Azure'da oturum açar

Azure CLI'yi kullanmak için Azure'da oturum açın.

az login

Hizmet sağlayıcısı yeni bir çok kiracılı uygulama kaydı oluşturur

Kiracı1'de çok kiracılı uygulamanız için bir ad seçin ve Azure portalında çok kiracılı uygulamayı oluşturun.

Çok kiracılı uygulama için sağladığınız ad, kiracı2'de uygulamayı tanımlamak için müşteri tarafından kullanılır. Uygulamanın uygulama kimliğini (veya istemci kimliğini), uygulamanın nesne kimliğini ve ayrıca uygulamanın kiracı kimliğini kopyalayın. Aşağıdaki adımlarda bu değerlere ihtiyacınız olacaktır.

multiTenantAppName="<multi-tenant-app>"
multiTenantAppObjectId=$(az ad app create --display-name $multiTenantAppName \
    --sign-in-audience AzureADMultipleOrgs \
    --query id \
    --output tsv)

multiTenantAppId=$(az ad app show --id $multiTenantAppObjectId --query appId --output tsv)

Hizmet sağlayıcısı kullanıcı tarafından atanan bir yönetilen kimlik oluşturur

ISV'nin kiracısında oturum açın ve ardından federasyon kimliği kimlik bilgileri olarak kullanılacak kullanıcı tarafından atanan yönetilen kimliği oluşturun. Kullanıcı tarafından atanan yeni bir yönetilen kimlik oluşturmak için Size Microsoft.ManagedIdentity/userAssignedIdentities/write eylemini içeren bir rol atanmalıdır.

isvSubscriptionId="<isv-subscription-id>"
isvRgName="<isv-resource-group>"
isvLocation="<location>"
userIdentityName="<user-assigned-managed-identity>"

az group create --location $isvLocation \
    --resource-group $isvRgName \
    --subscription $isvSubscriptionId

principalId=$(az identity create --name $userIdentityName \
    --resource-group $isvRgName \
    --location $isvLocation \
    --subscription $isvSubscriptionId \
    --query principalId \
    --out tsv)

Hizmet sağlayıcısı, kullanıcı tarafından atanan yönetilen kimliği uygulamada federasyon kimlik bilgisi olarak yapılandırıyor

Bir uygulamada federasyon kimliği kimlik bilgilerini yapılandırmak ve bir dış kimlik sağlayıcısıyla güven ilişkisi oluşturmak için az ad app federated-credential create yöntemini çalıştırın.

Federasyon kimliği kimlik bilgilerindeki değer olarak audience kullanınapi://AzureADTokenExchange. Daha fazla ayrıntı için API başvurusuna bakın.

# Create a file named "credential.json" with the following content.
# Replace placeholders in angle brackets with your own values.
{
    "name": "MyFederatedIdentityCredential",
    "issuer": "https://login.microsoftonline.com/<tenantID>/v2.0",
    "subject": "<user-assigned-identity-principal-id>",
    "description": "Federated Identity Credential for CMK",
    "audiences": [
        "api://AzureADTokenExchange"
    ]
}

az ad app federated-credential create --id $multiTenantAppObjectId --parameters credential.json

Azure portalında oturum açın ve şu adımları izleyin.

Müşteri, hizmet sağlayıcısı uygulamasını müşteri kiracısında yükler

Hizmet sağlayıcısının kayıtlı uygulamasını müşterinin kiracısına yüklemek için kayıtlı uygulamadan uygulama kimliğiyle bir hizmet sorumlusu oluşturursunuz. Hizmet sorumlusunu aşağıdaki yollardan biriyle oluşturabilirsiniz:

• Hizmet sorumlusunu el ile oluşturmak için Microsoft Graph, Microsoft Graph PowerShell, Azure PowerShell veya Azure CLI kullanın.
• Yönetici onayı URL'si oluşturun ve hizmet sorumlusunu oluşturmak için kiracı genelinde onay verin. Onlara AppId'nizi sağlamanız gerekir.

Müşteri bir anahtar kasası oluşturur

Anahtar kasasını oluşturmak için kullanıcının hesabına Key Vault Katılımcısı rolü veya anahtar kasası oluşturulmasına izin veren başka bir rol atanmalıdır.

1. Azure portalı menüsünden veya Giriş sayfasında + Kaynak oluştur'u seçin. Arama kutusuna Anahtar kasaları yazın. Sonuç listesinden Anahtar kasaları'nı seçin. Anahtar kasaları sayfasında Oluştur'u seçin.

2. Temel Bilgiler sekmesinde bir abonelik seçin. Kaynak grubu'nun altında Yeni oluştur'u seçin ve bir kaynak grubu adı girin.

3. Anahtar kasası için benzersiz bir ad girin.

4. Bir bölge ve fiyatlandırma katmanı seçin.

5. Yeni anahtar kasası için temizleme korumasını etkinleştirin.

6. Erişim ilkesi sekmesinde İzin modeli için Azure rol tabanlı erişim denetimi'ni seçin.

7. Gözden Geçir + oluştur'u ve ardından Oluştur'u seçin.

   

Anahtar kasası adını ve URI'yi not alın Anahtar kasanıza erişen uygulamaların bu URI'yi kullanması gerekir.

Daha fazla bilgi için bkz . Hızlı Başlangıç - Azure portal ile Azure Key Vault oluşturma.

Müşteri bir kullanıcı hesabına Key Vault Şifreleme Yetkilisi rolü atar

Bu adım, şifreleme anahtarları oluşturabilmenizi sağlar.

1. Anahtar kasanıza gidin ve sol bölmeden Erişim Denetimi (IAM) öğesini seçin.
2. Bu kaynağa erişim ver'in altında Rol ataması ekle'yi seçin.
3. Key Vault Crypto Officer'ı arayın ve seçin.
4. Üyeler'in altında Kullanıcı, grup veya hizmet sorumlusu'nun seçin.
5. Üyeler'i seçin ve kullanıcı hesabınızı arayın.
6. Gözden geçir + Ata'yı seçin.

Müşteri bir şifreleme anahtarı oluşturur

Şifreleme anahtarını oluşturmak için kullanıcının hesabına Anahtar Kasası Şifreleme Yetkilisi rolü veya anahtar oluşturulmasına izin veren başka bir rol atanmalıdır.

1. Key Vault özellikleri sayfasında Anahtarlar'ı seçin.
2. Oluştur/İçeri Aktar'ı seçin.
3. Anahtar oluştur ekranında anahtar için bir ad belirtin. Diğer değerleri varsayılan değerlerinde bırakın.
4. Oluştur'u belirleyin.
5. Anahtar URI'sini kopyalayın.

Müşteri, hizmet sağlayıcısı uygulamasına anahtar kasasına erişim verir

Anahtar kasasına erişebilmesi için Hizmet sağlayıcısının kayıtlı uygulamasına Azure RBAC rolü Key Vault Şifreleme Hizmeti Şifreleme Kullanıcısını atayın.

1. Anahtar kasanıza gidin ve sol bölmeden Erişim Denetimi (IAM) öğesini seçin.
2. Bu kaynağa erişim ver'in altında Rol ataması ekle'yi seçin.
3. Key Vault Şifreleme Hizmeti Şifreleme Kullanıcısını arayın ve seçin.
4. Üyeler'in altında Kullanıcı, grup veya hizmet sorumlusu'nun seçin.
5. Üyeler'i seçin ve hizmet sağlayıcısından yüklediğiniz uygulamanın uygulama adını arayın.
6. Gözden geçir + Ata'yı seçin.

Artık anahtar kasası URI'siyle ve anahtarıyla müşteri tarafından yönetilen anahtarları yapılandırabilirsiniz.

İstemcinin kiracısını yapılandırmak üzere Azure PowerShell'i kullanmak için en son Az modülünü yükleyin. PowerShell'i yükleme hakkında daha fazla bilgi için bkz . PowerShellGet ile Windows'a Azure PowerShell yükleme.

• Azure PowerShell'i yerel olarak kullanmayı seçerseniz:
  • Az PowerShell modülünün en son sürümünü yükleyin.
  • Connect-AzAccount cmdlet'ini kullanarak Azure hesabınıza bağlanın.
• Azure Cloud Shell'i kullanmayı seçerseniz:
  • Daha fazla bilgi için bkz . Azure Cloud Shell'e genel bakış.

Müşteri Azure'da oturum açar

Azure PowerShell'de müşterinin kiracısında oturum açın ve etkin aboneliği müşterinin aboneliğine ayarlayın.

$customerTenantId="<customer-tenant-id>"
$customerSubscriptionId="<customer-subscription-id>"

# Sign in to Azure in the customer's tenant.
Connect-AzAccount -Tenant $customerTenantId
# Set the context to the customer's subscription.
Set-AzContext -Subscription $customerSubscriptionId

Müşteri, hizmet sağlayıcısı uygulamasını müşteri kiracısında yükler

Hizmet sağlayıcısının çok kiracılı uygulamasının uygulama kimliğini aldıktan sonra, bir hizmet sorumlusu oluşturarak uygulamayı Kiracı2 kiracınıza yükleyin.

Anahtar kasasını oluşturmayı planladığınız kiracıda aşağıdaki komutları yürütebilirsiniz.

$customerRgName="<customer-resource-group>"
$customerLocation="<location>"
$multiTenantAppId="<multi-tenant-app-id>" # appId value from Tenant1 

# Create a resource group in the customer's subscription.
New-AzResourceGroup -Location $customerLocation -ResourceGroupName $customerRgName

# Create the service principal with the registered app's application ID (client ID).
$servicePrincipal = New-AzADServicePrincipal -ApplicationId $multiTenantAppId

Müşteri bir anahtar kasası oluşturur

Anahtar kasasını oluşturmak için müşterinin hesabına Key Vault Katılımcısı rolü veya anahtar kasası oluşturulmasına izin veren başka bir rol atanmalıdır.

$kvName="<key-vault>"

$kv = New-AzKeyVault -Location $customerLocation `
    -Name $kvName `
    -ResourceGroupName $customerRgName `
    -SubscriptionId $customerSubscriptionId `
    -EnablePurgeProtection `
    -EnableRbacAuthorization

Müşteri bir kullanıcı hesabına Key Vault Şifreleme Yetkilisi rolü atar

Key Vault Şifreleme Yetkilisi rolünü bir kullanıcı hesabına atayın. Bu adım, kullanıcının anahtar kasasını ve şifreleme anahtarlarını oluşturmasını sağlar. Aşağıdaki örnek, rolü geçerli oturum açmış kullanıcıya atar.

$currentUserObjectId = (Get-AzADUser -SignedIn).Id

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Officer" `
    -Scope $kv.ResourceId `
    -ObjectId $currentUserObjectId

Müşteri bir şifreleme anahtarı oluşturur

Şifreleme anahtarını oluşturmak için kullanıcının hesabına Anahtar Kasası Şifreleme Yetkilisi rolü veya anahtar oluşturulmasına izin veren başka bir rol atanmalıdır.

$keyName="<key-name>"

Add-AzKeyVaultKey -Name $keyName `
    -VaultName $kvName `
    -Destination software

Müşteri, hizmet sağlayıcısı uygulamasına anahtar kasasına erişim verir

Anahtar kasasına erişebilmesi için daha önce oluşturduğunuz hizmet sorumlusu aracılığıyla Azure RBAC rolü Key Vault Şifreleme Hizmeti Şifreleme Kullanıcısını hizmet sağlayıcısının kayıtlı uygulamasına atayın.

New-AzRoleAssignment -RoleDefinitionName "Key Vault Crypto Service Encryption User" `
    -Scope $kv.ResourceId `
    -ObjectId $servicePrincipal.Id

Artık anahtar kasası URI'siyle ve anahtarıyla müşteri tarafından yönetilen anahtarları yapılandırabilirsiniz.

• Azure Cloud Shell'de Bash ortamını kullanın. Daha fazla bilgi için bkz . Azure Cloud Shell'de Bash için hızlı başlangıç.

  

• CLI başvuru komutlarını yerel olarak çalıştırmayı tercih ediyorsanız Azure CLI'yı yükleyin . Windows veya macOS üzerinde çalışıyorsanız Azure CLI’yi bir Docker kapsayıcısında çalıştırmayı değerlendirin. Daha fazla bilgi için bkz . Docker kapsayıcısında Azure CLI'yi çalıştırma.

  • Yerel yükleme kullanıyorsanız az login komutunu kullanarak Azure CLI ile oturum açın. Kimlik doğrulama işlemini tamamlamak için terminalinizde görüntülenen adımları izleyin. Diğer oturum açma seçenekleri için bkz . Azure CLI ile oturum açma.

  • İstendiğinde, ilk kullanımda Azure CLI uzantısını yükleyin. Uzantılar hakkında daha fazla bilgi için bkz. Azure CLI ile uzantıları kullanma.

  • Yüklü sürümü ve bağımlı kitaplıkları bulmak için az version komutunu çalıştırın. En son sürüme yükseltmek için az upgrade komutunu çalıştırın.

Müşteri Azure'da oturum açar

Azure CLI'yi kullanmak için Azure'da oturum açın.

az login

Müşteri, hizmet sağlayıcısı uygulamasını müşteri kiracısında yükler

Hizmet sağlayıcısının çok kiracılı uygulamasının uygulama kimliğini aldıktan sonra, aşağıdaki komutu kullanarak uygulamayı Kiracı2 kiracınıza yükleyin. Uygulamayı yüklemek kiracınızda bir hizmet sorumlusu oluşturur.

Anahtar kasasını oluşturmayı planladığınız kiracıda aşağıdaki komutları yürütebilirsiniz.

# Create the service principal with the registered app's application ID (client ID)
multiTenantAppId="<multi-tenant-app-id>"
az ad sp create --id $multiTenantAppId --query id --out tsv

Müşteri bir anahtar kasası oluşturur

Anahtar kasasını oluşturmak için müşterinin hesabına Key Vault Katılımcısı rolü veya anahtar kasası oluşturulmasına izin veren başka bir rol atanmalıdır.

customerSubscriptionId="<customer-subscription-id>"
customerRgName="<customer-resource-group>"
customerLocation="<location>"
kvName="<key-vault>"

az group create --location $customerLocation \
    --name $customerRgName

az keyvault create --name $kvName \
    --location $customerLocation \
    --resource-group $customerRgName \
    --subscription $customerSubscriptionId \
    --enable-purge-protection true \
    --enable-rbac-authorization true

Müşteri bir kullanıcı hesabına Key Vault Şifreleme Yetkilisi rolü atar

Bu adım, anahtar kasasını ve şifreleme anahtarlarını oluşturabilmenizi sağlar.

currentUserObjectId=$(az ad signed-in-user show --query id --output tsv)

kvResourceId=$(az keyvault show --resource-group $customerRgName \
    --name $kvName \
    --query id \
    --output tsv)

az role assignment create --role "Key Vault Crypto Officer" \
    --scope $kvResourceId \
    --assignee-object-id $currentUserObjectId

Müşteri bir şifreleme anahtarı oluşturur

Şifreleme anahtarını oluşturmak için kullanıcının hesabına Anahtar Kasası Şifreleme Yetkilisi rolü veya anahtar oluşturulmasına izin veren başka bir rol atanmalıdır.

keyName="<key-name>"
az keyvault key create --name $keyName --vault-name $kvName

Müşteri, hizmet sağlayıcısı uygulamasına anahtar kasasına erişim verir

Azure RBAC rolü Key Vault Şifreleme Hizmeti Şifreleme Kullanıcısını daha önce oluşturduğunuz hizmet sorumlusu aracılığıyla hizmet sağlayıcısının kayıtlı uygulamasına atayın; böylece kayıtlı uygulama anahtar kasasına erişebilir.

servicePrincipalId=$(az ad sp show --id $multiTenantAppId --query id --output tsv)

az role assignment create --role "Key Vault Crypto Service Encryption User" \
    --scope $kvResourceId \
    --assignee-object-id $servicePrincipalId

Artık anahtar kasası URI'siyle ve anahtarıyla müşteri tarafından yönetilen anahtarları yapılandırabilirsiniz.

Azure portalında mevcut bir depolama hesabı için kiracılar arası müşteri tarafından yönetilen anahtarları yapılandırmak için şu adımları izleyin:

1. Depolama hesabınıza gidin.

2. Güvenlik + ağ altında Şifreleme'yi seçin. Varsayılan olarak, aşağıdaki görüntüde gösterildiği gibi anahtar yönetimi Microsoft tarafından yönetilen anahtarlar olarak ayarlanır.

   

3. Müşteri tarafından yönetilen anahtarlar seçeneğini belirleyin.

4. Key Vault'tan Seç seçeneğini belirleyin.

5. Anahtar URI'sini girin'i seçin ve anahtar URI'sini belirtin. Azure Depolama'nın yeni bir anahtar sürümünü otomatik olarak denetlemesini ve güncelleştirmesini istiyorsanız URI'den anahtar sürümünü atlayın.

6. Anahtar kasasını ve anahtarı içeren aboneliği seçin.

7. Kimlik türü alanında Kullanıcı tarafından atanan'ı seçin, ardından daha önce oluşturduğunuz federasyon kimliği kimlik bilgileriyle yönetilen kimliği belirtin.

8. Gelişmiş bölümünü genişletin ve ISV'nin kiracısında daha önce oluşturduğunuz çok kiracılı kayıtlı uygulamayı seçin.

   

9. Değişikliklerinizi kaydedin.

Müşterinin kiracısında anahtar kasasından anahtarı belirttikten sonra Azure portalı, müşteri tarafından yönetilen anahtarların bu anahtarla yapılandırıldığını gösterir. Ayrıca anahtar sürümünün otomatik olarak güncelleştirilmesinin etkinleştirildiğini ve şifreleme için kullanılmakta olan anahtar sürümünün görüntülendiğini gösterir. Portal ayrıca anahtar kasasına erişimi yetkilendirmek için kullanılan yönetilen kimliğin türünü, yönetilen kimliğin asıl kimliğini ve çok kiracılı uygulamanın uygulama kimliğini görüntüler.

PowerShell ile yeni bir depolama hesabı için kiracılar arası müşteri tarafından yönetilen anahtarları yapılandırmak için önce Az.Storage PowerShell modülünün 5.1.0 veya sonraki bir sürümünü yükleyin. Bu modül Az PowerShell modülü, sürüm 9.1.0 veya üzeri ile yüklenir.

Ardından, DAHA önce ISV'nin aboneliğinde yapılandırdığınız kullanıcı tarafından atanan yönetilen kimliğin kaynak kimliğini ve ISV aboneliğinde daha önce yapılandırdığınız çok kiracılı uygulamanın uygulama (istemci) kimliğini sağlayarak Set-AzStorageAccount çağrısı yapın. Müşterinin anahtar kasasından anahtar kasası URI'sini ve anahtar adını sağlayın.

Köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi ve önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

$accountName = "<storage-account>"
$kvUri = "<key-vault-uri>"
$keyName = "<key-name>"
$multiTenantAppId = "<multi-tenant-app-id>"

Set-AzStorageAccount -ResourceGroupName $isvRgName `
    -Name $accountName `
    -KeyvaultEncryption `
    -UserAssignedIdentityId $userIdentity.Id `
    -IdentityType SystemAssignedUserAssigned `
    -KeyName $keyName `
    -KeyVaultUri $kvUri `
    -KeyVaultUserAssignedIdentityId $userIdentity.Id `
    -KeyVaultFederatedClientId $multiTenantAppId 

Azure CLI ile mevcut bir depolama hesabı için kiracılar arası müşteri tarafından yönetilen anahtarları yapılandırmak için önce Azure CLI, sürüm 2.42.0 veya üzerini yükleyin. Azure CLI'yı yükleme hakkında daha fazla bilgi için bkz . Azure CLI'yı yükleme.

Ardından, daha önce ISV'nin aboneliğinde yapılandırdığınız kullanıcı tarafından atanan yönetilen kimliğin kaynak kimliğini ve ISV'nin aboneliğinde daha önce yapılandırdığınız çok kiracılı uygulamanın uygulama (istemci) kimliğini sağlayarak az storage account update komutunu çağırın. Müşterinin anahtar kasasından anahtar kasası URI'sini ve anahtar adını sağlayın.

Köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi ve önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

accountName="<storage-account>"
kvUri="<key-vault-uri>"
keyName="<key-name>"
multiTenantAppId="<multi-tenant-app-id>" # appId value from multi-tenant app

# Get the resource ID for the user-assigned managed identity.
identityResourceId=$(az identity show --name $userIdentityName \
    --resource-group $isvRgName \
    --query id \
    --output tsv)

az storage account update --name $accountName \
    --resource-group $isvRgName \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id $identityResourceId \
    --encryption-key-vault $kvUri \
    --encryption-key-name $keyName \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id $identityResourceId \
    --key-vault-federated-client-id $multiTenantAppId

Anahtarı Azure portalıyla değiştirmek için şu adımları izleyin:

1. Depolama hesabınıza gidin ve Şifreleme ayarlarını görüntüleyin.
2. Anahtar kasasını seçin ve yeni bir anahtar seçin.
3. Değişikliklerinizi kaydedin.

Anahtarı PowerShell ile değiştirmek için Set-AzStorageAccount çağrısı yapıp yeni anahtar adını ve sürümünü sağlayın. Yeni anahtar farklı bir anahtar kasasındaysa anahtar kasası URI'sini de güncelleştirmeniz gerekir.

Anahtarı Azure CLI ile değiştirmek için az storage account update komutunu çağırın ve yeni anahtar adını ve sürümünü sağlayın. Yeni anahtar farklı bir anahtar kasasındaysa anahtar kasası URI'sini de güncelleştirmeniz gerekir.

Müşteri tarafından yönetilen bir anahtarı Azure portalıyla devre dışı bırakmak için şu adımları izleyin:

1. Anahtarı içeren anahtar kasasına gidin.

2. Nesneler'in altında Anahtarlar'ı seçin.

3. Tuşa sağ tıklayın ve Devre dışı bırak'ı seçin.

   

PowerShell ile müşteri tarafından yönetilen bir anahtarı iptal etmek için, aşağıdaki örnekte gösterildiği gibi Update-AzKeyVaultKey komutunu çağırın. Değişkenleri tanımlamak için köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi veya önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

$kvName  = "<key-vault-name>"
$keyName = "<key-name>"
$enabled = $false
# $false to disable the key / $true to enable it

# Check the current state of the key (before and after enabling/disabling it)
Get-AzKeyVaultKey -Name $keyName -VaultName $kvName

# Disable (or enable) the key
Update-AzKeyVaultKey -VaultName $kvName -Name $keyName -Enable $enabled

Azure CLI ile müşteri tarafından yönetilen bir anahtarı iptal etmek için aşağıdaki örnekte gösterildiği gibi az keyvault key set-attributes komutunu çağırın. Değişkenleri tanımlamak için köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi veya önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

kvName="<key-vault-name>"
keyName="<key-name>"
enabled="false"
# "false" to disable the key / "true" to enable it:

# Check the current state of the key (before and after enabling/disabling it)
az keyvault key show \
    --vault-name $kvName \
    --name $keyName

# Disable (or enable) the key
az keyvault key set-attributes \
    --vault-name $kvName \
    --name $keyName \
    --enabled $enabled

Müşteri tarafından yönetilen anahtarlardan Azure portalında Microsoft tarafından yönetilen anahtarlara geri dönmek için şu adımları izleyin:

1. Depolama hesabınıza gidin.

2. Güvenlik + ağ altında Şifreleme'yi seçin.

3. Şifreleme türünü Microsoft tarafından yönetilen anahtarlar olarak değiştirin.

   

Müşteri tarafından yönetilen anahtarlardan PowerShell ile Microsoft tarafından yönetilen anahtarlara geri dönmek için, aşağıdaki örnekte gösterildiği gibi seçeneğiyle -StorageEncryption Set-AzStorageAccount'ı çağırın. Köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi ve önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption  

Müşteri tarafından yönetilen anahtarlardan Azure CLI ile Microsoft tarafından yönetilen anahtarlara geri dönmek için az storage account update komutunu çağırın ve aşağıdaki örnekte gösterildiği gibi değerini olarak Microsoft.Storageayarlayın--encryption-key-source parameter. Köşeli ayraç içindeki yer tutucu değerlerini kendi değerlerinizle değiştirmeyi ve önceki örneklerde tanımlanan değişkenleri kullanmayı unutmayın.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage