Konfigurasikan enkripsi data di Azure Database for PostgreSQL flexible server

Gunakan portal Azure:

1. Selama provisi server fleksibel Azure Database for PostgreSQL baru, konfigurasikan enkripsi data di tab Keamanan. Untuk Kunci enkripsi data, pilih opsi Kunci yang dikelola layanan.

   

2. Jika Anda mengaktifkan penyimpanan cadangan geo-redundan untuk disediakan bersama dengan server, aspek tab Keamanan sedikit berubah karena server menggunakan dua kunci enkripsi terpisah. Satu kunci digunakan untuk wilayah utama tempat Anda menerapkan server, dan satu kunci lainnya digunakan untuk wilayah pasangannya, tempat cadangan server direplikasi secara asinkron.

   

Anda dapat mengaktifkan enkripsi data dengan menggunakan kunci enkripsi yang ditetapkan sistem saat menyediakan server baru dengan menggunakan perintah az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Gunakan portal Azure:

1. Buat identitas terkelola yang ditetapkan pengguna, jika Anda belum memilikinya. Jika server Anda mengaktifkan cadangan geo-redundan, Anda perlu membuat dua identitas yang berbeda. Masing-masing identitas tersebut mengakses masing-masing dari dua kunci enkripsi data.

1. Buat Azure Key Vault atau buat HSM Terkelola, jika Anda belum membuat penyimpanan kunci. Pastikan Anda memenuhi persyaratan. Selain itu, ikuti rekomendasi sebelum Anda mengonfigurasi penyimpanan kunci, dan sebelum Anda membuat kunci dan menetapkan izin yang diperlukan ke identitas terkelola yang ditetapkan pengguna. Jika server Anda mengaktifkan cadangan geo-redundan, Anda perlu membuat penyimpanan kunci kedua. Penyimpanan kunci kedua menyimpan kunci enkripsi data yang digunakan untuk mengenkripsi cadangan Anda yang disalin ke wilayah pasangan server.

1. Buat kunci di penyimpanan kunci Anda. Jika server Anda mengaktifkan cadangan geo-redundan, Anda memerlukan satu kunci di setiap penyimpanan kunci. Dengan menggunakan salah satu kunci ini, Anda mengenkripsi semua data server Anda (termasuk semua database sistem dan pengguna, file sementara, log server, segmen log write-ahead, dan cadangan). Dengan menggunakan kunci kedua, Anda mengenkripsi salinan backup yang disalin secara asinkron ke region yang dipasangkan dari server Anda.

2. Selama provisi server fleksibel Azure Database for PostgreSQL baru, konfigurasikan enkripsi data di tab Keamanan. Untuk Kunci enkripsi data, pilih tombol radio kunci yang dikelola pelanggan.

   

3. Jika Anda mengaktifkan penyimpanan cadangan geo-redundan untuk disediakan bersama dengan server, aspek tab Keamanan sedikit berubah karena server menggunakan dua kunci enkripsi terpisah. Satu kunci digunakan untuk wilayah utama tempat Anda menerapkan server, dan satu kunci lainnya digunakan untuk wilayah pasangan tempat cadangan server direplikasi secara asinkron.

   

4. Di Identitas terkelola yang ditetapkan pengguna, pilih Ubah identitas.

   

5. Dari daftar identitas terkelola yang ditetapkan pengguna, pilih identitas yang Anda inginkan untuk digunakan server Anda untuk mengakses kunci enkripsi data yang disimpan dalam Azure Key Vault.

   

6. Pilih Tambahkan.

   

7. Pilih Gunakan pembaruan versi kunci otomatis, jika Anda lebih suka membiarkan layanan memperbarui referensi secara otomatis ke versi terbaru dari kunci yang dipilih, setiap kali versi saat ini diputar secara manual atau otomatis. Untuk memahami manfaat menggunakan pembaruan versi kunci otomatis, lihat pembaruan versi kunci otomatis.

   

8. Pilih Pilih kunci.

   

9. Langganan secara otomatis diisi dengan nama langganan tempat server Anda akan dibuat. Penyimpanan kunci yang menyimpan kunci enkripsi data harus ada dalam langganan yang sama dengan server.

   

10. Di Jenis penyimpanan kunci, pilih tombol radio yang sesuai dengan jenis penyimpanan kunci tempat Anda berencana untuk menyimpan kunci enkripsi data. Dalam contoh ini, pilih Key vault, tetapi langkahnya serupa jika Anda memilih Managed HSM.

    

11. Perluas Brankas kunci (atau HSM Terkelola, jika Anda memilih jenis penyimpanan tersebut), dan pilih instans tempat kunci enkripsi data ada.

    

    Nota

    Saat Anda memperluas kotak dropdown, kotak dropdown menunjukkan Tidak ada item yang tersedia. Perlu beberapa detik hingga sistem menampilkan semua instans Key Vault yang diterapkan di wilayah yang sama dengan server.

12. Perluas Kunci, dan pilih nama kunci yang ingin Anda gunakan untuk enkripsi data.

    

13. Jika Anda tidak memilih Gunakan pembaruan versi kunci otomatis, Anda juga harus memilih versi kunci tertentu. Untuk melakukannya, perluas Versi, dan pilih pengidentifikasi versi kunci yang ingin Anda gunakan untuk enkripsi data.

    

14. Pilih Pilih.

    

15. Konfigurasikan semua pengaturan lain dari server baru dan pilih Tinjau + buat.

    

Gunakan perintah az postgres flexible-server create untuk mengaktifkan enkripsi data dengan kunci enkripsi yang ditetapkan pengguna, sambil menyediakan server baru.

Jika server Anda tidak mengaktifkan cadangan geo-redundan:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Jika cadangan georedundan diaktifkan di server Anda:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Gunakan portal Azure:

1. Pilih Azure Database untuk server fleksibel PostgreSQL Anda.

2. Di menu sumber daya, di bawah bagian Keamanan , pilih Enkripsi data.

   

3. Untuk mengubah identitas terkelola yang ditetapkan pengguna yang digunakan server untuk mengakses penyimpanan kunci, perluas menu dropdown Identitas terkelola yang ditetapkan pengguna , dan pilih salah satu identitas yang tersedia.

   

   Nota

   Kotak kombo hanya menampilkan identitas yang ditetapkan oleh server fleksibel Azure Database for PostgreSQL Anda. Meskipun tidak diperlukan, untuk menjaga ketahanan regional, pilih identitas terkelola pengguna di wilayah yang sama dengan server Anda. Jika server Anda mengaktifkan redundansi cadangan geografis, identitas terkelola yang ditetapkan pengguna kedua, yang digunakan untuk mengakses kunci enkripsi data untuk cadangan yang redundan secara geografis, harus ada di wilayah berpasangan server.

4. Jika identitas terkelola yang ditetapkan pengguna dan ingin Anda gunakan untuk mengakses kunci enkripsi data belum ditetapkan ke server fleksibel Azure Database for PostgreSQL Anda, dan identitas tersebut belum ada sebagai sumber daya Azure dengan objek terkaitnya di Microsoft Entra ID, buat identitas tersebut dengan memilih Create.

   

5. Di panel Buat Identitas Terkelola yang Ditetapkan Pengguna, masukkan detail identitas terkelola yang ditetapkan pengguna yang ingin Anda buat, dan tetapkan secara otomatis ke server fleksibel Azure Database for PostgreSQL Anda untuk mengakses kunci enkripsi data.

   

6. Jika identitas terkelola yang ditetapkan pengguna yang ingin Anda gunakan untuk mengakses kunci enkripsi data tidak ditetapkan ke server fleksibel Azure Database for PostgreSQL Anda, tetapi ada sebagai sumber daya Azure dengan objek yang sesuai di Microsoft Entra ID, tetapkan identitas tersebut dengan memilih Pilih.

   

7. Dari daftar identitas terkelola yang ditetapkan pengguna, pilih identitas yang Anda inginkan untuk digunakan server Anda untuk mengakses kunci enkripsi data yang disimpan dalam Azure Key Vault.

   

8. Pilih Tambahkan.

   

9. Pilih Gunakan pembaruan versi kunci otomatis jika Anda ingin layanan memperbarui referensi secara otomatis ke versi terbaru dari kunci yang dipilih setiap kali versi saat ini diputar secara manual atau otomatis. Untuk memahami manfaat menggunakan pembaruan versi kunci otomatis, lihat [pembaruan versi kunci otomatis](.. . /security/security-data-encryption.md##CMK pembaruan versi kunci).

   

10. Jika Anda memutar kunci dan tidak mengaktifkan Gunakan pembaruan versi kunci otomatis. Atau jika Anda ingin menggunakan kunci yang berbeda, perbarui server fleksibel Azure Database for PostgreSQL Anda sehingga menunjuk ke versi kunci baru atau kunci baru. Untuk melakukannya, salin pengenal sumber daya kunci, lalu tempelkan ke kotak Pengenal kunci.

    

11. Jika pengguna yang mengakses portal Microsoft Azure memiliki izin untuk mengakses kunci yang disimpan di penyimpanan kunci, Anda dapat menggunakan pendekatan alternatif untuk memilih kunci baru atau versi kunci baru. Untuk melakukannya, dalam Metode pemilihan kunci, pilih tombol radio Pilih kunci .

    

12. Pilih Pilih kunci.

    

13. Langganan secara otomatis diisi dengan nama langganan tempat server Anda akan dibuat. Penyimpanan kunci yang menyimpan kunci enkripsi data harus ada dalam langganan yang sama dengan server.

    

14. Di Jenis penyimpanan kunci, pilih tombol radio yang sesuai dengan jenis penyimpanan kunci tempat Anda berencana untuk menyimpan kunci enkripsi data. Dalam contoh ini, pilih Key vault, tetapi langkahnya serupa jika Anda memilih Managed HSM.

    

15. Perluas Brankas kunci (atau HSM Terkelola, jika Anda memilih jenis penyimpanan tersebut), dan pilih instans tempat kunci enkripsi data ada.

    

    Nota

    Saat Anda memperluas kotak dropdown, kotak dropdown menunjukkan Tidak ada item yang tersedia. Perlu beberapa detik hingga sistem menampilkan semua instans Key Vault yang diterapkan di wilayah yang sama dengan server.

16. Perluas Kunci, dan pilih nama kunci yang ingin Anda gunakan untuk enkripsi data.

    

17. Jika Anda tidak memilih Gunakan pembaruan versi kunci otomatis, Anda juga harus memilih versi kunci tertentu. Untuk melakukannya, perluas Versi, dan pilih pengidentifikasi versi kunci yang ingin Anda gunakan untuk enkripsi data.

    

18. Pilih Pilih.

    

19. Saat Anda puas dengan perubahan, pilih Simpan.

    

Gunakan perintah az postgres flexible-server update untuk mengonfigurasi enkripsi data dengan kunci enkripsi yang ditetapkan pengguna, untuk server yang ada.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Apakah Anda hanya ingin mengubah identitas terkelola yang ditetapkan pengguna yang digunakan untuk mengakses kunci, atau Anda hanya ingin mengubah kunci yang digunakan untuk enkripsi data, atau Anda ingin mengubah keduanya pada saat yang sama, Anda harus menyediakan parameter --identity dan --key (atau --backup-identity dan --backup-key untuk cadangan geo-redundan). Jika Anda hanya menyediakan satu parameter, Anda mendapatkan salah satu kesalahan berikut:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Jika kunci yang Anda tentukan dengan --key parameter (atau --backup-key untuk cadangan geo-redundan) tidak ada, atau jika identitas terkelola yang ditetapkan pengguna yang pengidentifikasi sumber dayanya Anda berikan ke --identity parameter (atau --backup-identity untuk cadangan geo-redundan) tidak memiliki izin yang diperlukan untuk mengakses kunci, Anda mendapatkan kesalahan berikut:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Jika server Anda mengaktifkan cadangan geo-redundan, Anda dapat mengonfigurasi kunci yang digunakan untuk enkripsi cadangan geo-redundan, dan identitas yang digunakan untuk mengakses kunci tersebut. Untuk melakukannya, gunakan --backup-identity parameter dan --backup-key .

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Jika Anda meneruskan parameter --backup-identity dan --backup-key ke az postgres flexible server update perintah , dan merujuk ke server yang ada yang tidak mengaktifkan cadangan geo-redundan, Anda mendapatkan kesalahan berikut:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Jika Anda menambahkan identitas ke --identity parameter dan --backup-identity valid, sistem secara otomatis menambahkannya ke daftar identitas terkelola yang ditetapkan pengguna yang terkait dengan server fleksibel Azure Database for PostgreSQL Anda. Tindakan ini terjadi bahkan jika perintah nanti gagal dengan beberapa kesalahan lainnya. Dalam kasus seperti itu, Anda mungkin ingin menggunakan perintah az postgres flexible-server identity untuk mencantumkan, menetapkan, atau menghapus identitas terkelola yang ditetapkan pengguna yang ditetapkan ke server fleksibel Azure Database for PostgreSQL Anda. Untuk mempelajari selengkapnya tentang mengonfigurasi identitas terkelola yang ditetapkan pengguna di server fleksibel Azure Database for PostgreSQL Anda, lihat mengaitkan identitas terkelola yang ditetapkan pengguna ke server yang ada, memisahkan identitas terkelola yang ditetapkan pengguna ke server yang ada, dan memperlihatkan identitas terkelola yang ditetapkan pengguna terkait.