Konfigurowanie szyfrowania danych na serwerze elastycznym Azure Database for PostgreSQL

Użyj portalu Azure:

1. Podczas aprowizowania nowego serwera elastycznego Azure Database for PostgreSQL skonfiguruj szyfrowanie danych na karcie Zabezpieczenia. W polu Klucz szyfrowania danych wybierz opcję Klucz zarządzany przez usługę.

   

2. Jeśli włączysz obsługę magazynu kopii zapasowych z redundancją geograficzną, który ma być aprowizowany razem z serwerem, wygląd karty Zabezpieczenia nieco się zmienia, ponieważ serwer używa dwóch oddzielnych kluczy szyfrowania. Jednym z kluczy jest region podstawowy, w którym wdrażasz serwer, a jednym z nich jest sparowany region, w którym kopie zapasowe serwera są replikowane asynchronicznie.

   

Szyfrowanie danych można włączyć przy użyciu klucza szyfrowania przypisanego przez system podczas aprowizowania nowego serwera za pomocą polecenia az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Użyj portalu Azure:

1. Utwórz tożsamość zarządzaną przypisaną przez użytkownika, jeśli jeszcze jej nie masz. Jeśli serwer ma włączone geograficznie nadmiarowe kopie zapasowe, musisz utworzyć dwie różne tożsamości. Każda z tych tożsamości uzyskuje dostęp do każdego z dwóch kluczy szyfrowania danych.

1. Utwórz Azure Key Vault lub utwórz zarządzany moduł HSM, jeśli nie masz jeszcze utworzonego magazynu kluczy. Upewnij się, że spełniasz wymagania. Ponadto przed skonfigurowaniem magazynu kluczy oraz przed utworzeniem klucza i przypisaniem wymaganych uprawnień do tożsamości zarządzanej przypisanej przez użytkownika zapoznaj się z zaleceniami. Jeśli serwer ma włączone geograficznie nadmiarowe kopie zapasowe, należy utworzyć drugi magazyn kluczy. Ten drugi magazyn kluczy przechowuje klucz szyfrowania danych, który szyfruje kopie zapasowe skopiowane do sparowanego regionu serwera.

1. Utwórz klucz w Twoim magazynie kluczy. Jeśli serwer ma włączone geograficznie nadmiarowe kopie zapasowe, potrzebny jest jeden klucz w każdym z magazynów kluczy. Za pomocą jednego z tych kluczy szyfrujesz wszystkie dane serwera (w tym wszystkie bazy danych systemu i użytkowników, pliki tymczasowe, dzienniki serwera, segmenty dzienników z wyprzedzeniem zapisu i kopie zapasowe). Za pomocą drugiego klucza szyfrujesz kopie zapasowe, które są asynchronicznie kopiowane do sparowanego regionu serwera.

2. Podczas aprowizowania nowego serwera elastycznego Azure Database for PostgreSQL skonfiguruj szyfrowanie danych na karcie Zabezpieczenia. W polu Klucz szyfrowania danych wybierz przycisk radiowy Klucz zarządzany przez klienta.

   

3. Jeśli włączysz obsługę magazynu kopii zapasowych z redundancją geograficzną, który ma być aprowizowany razem z serwerem, wygląd karty Zabezpieczenia nieco się zmienia, ponieważ serwer używa dwóch oddzielnych kluczy szyfrowania. Jednym z kluczy jest region podstawowy, w którym wdrażasz serwer, a jednym z nich jest sparowany region, w którym kopie zapasowe serwera są replikowane asynchronicznie.

   

4. W obszarze Tożsamość zarządzana przypisana przez użytkownika wybierz pozycję Zmień tożsamość.

   

5. Z listy tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której serwer ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w Azure Key Vault.

   

6. Wybierz Dodaj.

   

7. Wybierz pozycję Użyj automatycznej aktualizacji wersji klucza, jeśli wolisz zezwolić usłudze na automatyczne aktualizowanie odwołania do najnowszej wersji wybranego klucza, za każdym razem, gdy bieżąca wersja jest obracana ręcznie lub automatycznie. Aby zrozumieć zalety korzystania z automatycznych aktualizacji wersji klucza, zobacz automatyczna aktualizacja wersji klucza.

   

8. Wybierz klucz.

   

9. Subskrypcja jest wypełniana automatycznie nazwą subskrypcji, na której ma zostać utworzony serwer. Magazyn kluczy, który przechowuje klucz szyfrowania danych, musi istnieć w tej samej subskrypcji co serwer.

   

10. W polu Typ magazynu kluczy wybierz przycisk radiowy odpowiadający typowi magazynu kluczy, w którym planujesz przechowywać klucz szyfrowania danych. W tym przykładzie wybierz pozycję Magazyn kluczy, ale proces jest podobny, jeśli wybierzesz pozycję Zarządzany moduł HSM.

    

11. Rozwiń Magazyn kluczy (lub zarządzany moduł HSM, jeśli wybrano ten typ magazynu), a następnie wybierz wystąpienie zawierające klucz szyfrowania danych.

    

    Uwaga / Notatka

    Po rozwinięciu pola listy rozwijanej zostanie wyświetlona pozycja Brak dostępnych elementów. Minie kilka sekund, zanim zostaną wyświetlone wszystkie instancje usługi Key Vault wdrożone w tym samym regionie co serwer.

12. Rozwiń Klucz i wybierz nazwę klucza, którego chcesz użyć do szyfrowania danych.

    

13. Jeśli nie wybrano opcji Użyj automatycznej aktualizacji wersji klucza, musisz również wybrać określoną wersję klucza. W tym celu rozwiń węzeł Wersja, i wybierz identyfikator wersji klucza, którego chcesz użyć do szyfrowania danych.

    

14. Wybierz Wybierz.

    

15. Skonfiguruj wszystkie inne ustawienia nowego serwera i wybierz pozycję Przejrzyj i utwórz.

    

Użyj polecenia az postgres flexible-server create , aby włączyć szyfrowanie danych przy użyciu klucza szyfrowania przypisanego przez użytkownika podczas aprowizowania nowego serwera.

Jeśli serwer nie ma włączonych geograficznie nadmiarowych kopii zapasowych:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Jeśli serwer ma włączone geograficznie nadmiarowe kopie zapasowe:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Użyj portalu Azure:

1. Wybierz elastyczny serwer bazy danych Azure dla PostgreSQL.

2. W menu zasobów w sekcji Zabezpieczenia wybierz pozycję Szyfrowanie danych.

   

3. Aby zmienić tożsamość zarządzaną przypisaną przez użytkownika, której serwer używa do uzyskiwania dostępu do magazynu kluczy, rozwiń listę rozwijaną Tożsamość zarządzana przypisana przez użytkownika i wybierz dowolną z dostępnych tożsamości.

   

   Uwaga / Notatka

   Pole kombi wyświetla tylko tożsamości przypisane do Twojego elastycznego serwera Azure Database for PostgreSQL. Mimo że nie jest to wymagane, w celu zachowania odporności regionalnej wybierz tożsamości zarządzane przez użytkownika w tym samym regionie co serwer. Jeśli serwer ma włączoną nadmiarowość geograficzną kopii zapasowej, druga tożsamość zarządzana przez użytkownika, używana do uzyskiwania dostępu do klucza szyfrowania danych dla geograficznie nadmiarowych kopii zapasowych, powinna istnieć w sparowanym regionie serwera.

4. Jeśli tożsamość zarządzana przypisana przez użytkownika, której chcesz użyć do uzyskiwania dostępu do klucza szyfrowania danych, nie jest przypisana do serwera elastycznego Azure Database for PostgreSQL i nie istnieje jako zasób Azure z odpowiednim obiektem w Microsoft Entra ID, utwórz go, wybierając pozycję Utwórz.

   

5. W panelu Tworzenie tożsamości zarządzanej przypisanej przez użytkownika wprowadź szczegóły tożsamości zarządzanej przypisanej przez użytkownika, którą chcesz utworzyć, i automatycznie przypisz ją do serwera elastycznego Azure Database for PostgreSQL w celu uzyskania dostępu do klucza szyfrowania danych.

   

6. Jeśli tożsamość zarządzana przypisana przez użytkownika, której chcesz użyć do uzyskiwania dostępu do klucza szyfrowania danych, nie jest przypisana do serwera elastycznego Azure Database for PostgreSQL, ale istnieje jako zasób Azure z odpowiednim obiektem w Microsoft Entra ID, przypisz go, wybierając pozycję Wybierz.

   

7. Z listy tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której serwer ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w Azure Key Vault.

   

8. Wybierz Dodaj.

   

9. Wybierz pozycję Użyj automatycznej aktualizacji wersji klucza , jeśli chcesz, aby usługa automatycznie zaktualizowała odwołanie do najnowszej wersji wybranego klucza za każdym razem, gdy bieżąca wersja jest obracana ręcznie lub automatycznie. Aby zrozumieć zalety korzystania z automatycznych aktualizacji wersji klucza, zobacz [automatyczna aktualizacja wersji klucza](.. /security/security-data-encryption.md##CMK aktualizacji wersji klucza).

   

10. Jeśli obrócisz klucz i nie włączysz opcji Użyj automatycznej aktualizacji wersji klucza. Możesz też użyć innego klucza, zaktualizuj serwer elastyczny Azure Database for PostgreSQL tak, aby wskazuje on nową wersję klucza lub nowy klucz. W tym celu skopiuj identyfikator zasobu klucza i wklej go w polu Identyfikator klucza .

    

11. Jeśli użytkownik, który uzyskuje dostęp do witryny Azure Portal, ma uprawnienia dostępu do klucza przechowywanego w magazynie kluczy, możesz użyć alternatywnego podejścia, aby wybrać nowy klucz lub nową wersję klucza. Aby to zrobić, w metodzie Wyboru klucza wybierz przycisk radiowy Wybierz klucz .

    

12. Wybierz Wybierz klucz.

    

13. Subskrypcja jest wypełniana automatycznie nazwą subskrypcji, na której ma zostać utworzony serwer. Magazyn kluczy, który przechowuje klucz szyfrowania danych, musi istnieć w tej samej subskrypcji co serwer.

    

14. W polu Typ magazynu kluczy wybierz przycisk radiowy odpowiadający typowi magazynu kluczy, w którym planujesz przechowywać klucz szyfrowania danych. W tym przykładzie wybierz pozycję Magazyn kluczy, ale proces jest podobny, jeśli wybierzesz pozycję Zarządzany moduł HSM.

    

15. Rozwiń Magazyn kluczy (lub zarządzany moduł HSM, jeśli wybrano ten typ magazynu), a następnie wybierz wystąpienie zawierające klucz szyfrowania danych.

    

    Uwaga / Notatka

    Po rozwinięciu pola listy rozwijanej zostanie wyświetlona pozycja Brak dostępnych elementów. Minie kilka sekund, zanim zostaną wyświetlone wszystkie instancje usługi Key Vault wdrożone w tym samym regionie co serwer.

16. Rozwiń Klucz i wybierz nazwę klucza, którego chcesz użyć do szyfrowania danych.

    

17. Jeśli nie wybrano opcji Użyj automatycznej aktualizacji wersji klucza, musisz również wybrać określoną wersję klucza. W tym celu rozwiń węzeł Wersja, i wybierz identyfikator wersji klucza, którego chcesz użyć do szyfrowania danych.

    

18. Wybierz Wybierz.

    

19. Jeśli zmiany są zadowalające, wybierz pozycję Zapisz.

    

Użyj polecenia az postgres flexible-server update , aby skonfigurować szyfrowanie danych przy użyciu klucza szyfrowania przypisanego przez użytkownika dla istniejącego serwera.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Niezależnie od tego, czy chcesz zmienić tylko tożsamość zarządzaną przypisaną przez użytkownika w celu uzyskania dostępu do klucza, czy chcesz zmienić tylko klucz używany do szyfrowania danych, czy chcesz zmienić obie te tożsamości w tym samym czasie, musisz podać parametry --identity i --key (lub i --backup-identity--backup-key dla geograficznie nadmiarowych kopii zapasowych). Jeśli podasz tylko jeden parametr, zostanie wyświetlony dowolny z następujących błędów:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Jeśli klucz określony za pomocą parametru --key (lub --backup-key dla kopii zapasowych geograficznie nadmiarowych) nie istnieje lub jeśli tożsamość zarządzana przypisana przez użytkownika, którego identyfikator zasobu przekazany do parametru --identity (lub --backup-identity dla geograficznie nadmiarowych kopii zapasowych) nie ma wymaganych uprawnień dostępu do klucza, zostanie wyświetlony następujący błąd:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Jeśli serwer ma włączone geograficznie nadmiarowe kopie zapasowe, możesz skonfigurować klucz używany do szyfrowania geograficznie nadmiarowych kopii zapasowych oraz tożsamość używana do uzyskiwania dostępu do tego klucza. W tym celu użyj parametrów --backup-identity i --backup-key .

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Jeśli przekażesz parametry --backup-identity i --backup-key do az postgres flexible server update polecenia i odwołasz się do istniejącego serwera, który nie ma włączonej geograficznie nadmiarowej kopii zapasowej, zostanie wyświetlony następujący błąd:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Jeśli dodasz tożsamości do parametrów --identity i --backup-identity, a są one prawidłowe, system automatycznie doda je do listy tożsamości zarządzanych przypisanych przez użytkownika skojarzonych z elastycznym serwerem Azure Database for PostgreSQL. Ta akcja występuje nawet wtedy, gdy polecenie później zakończy się niepowodzeniem z innym błędem. W takich przypadkach możesz użyć poleceń az postgres flexible-server identity do wyświetlania, przypisywania i usuwania tożsamości zarządzanych przypisanych przez użytkownika na serwerze elastycznym usługi Azure Database for PostgreSQL. Aby dowiedzieć się więcej o konfigurowaniu tożsamości zarządzanych przypisanych przez użytkownika na elastycznym serwerze Azure Database for PostgreSQL, zobacz przypisywanie tożsamości zarządzanych przypisanych przez użytkownika do istniejących serwerów, odłączanie tożsamości zarządzanych przypisanych przez użytkownika od istniejących serwerów i wyświetlanie przypisanych tożsamości zarządzanych przypisanych przez użytkownika.