Esnek PostgreSQL için Azure Veri Tabanı sunucuda veri şifrelemeyi yapılandırma

Azure portalını kullanın:

1. Yeni PostgreSQL için Azure Veri Tabanı esnek sunucu sağlanırken Güvenlik sekmesinde veri şifrelemesini yapılandırın. Veri şifreleme anahtarı için Hizmet tarafından yönetilen anahtar seçeneğini belirleyin.

   

2. Coğrafi olarak yedekli yedekleme depolama alanının sunucuyla birlikte sağlanmasını etkinleştirirseniz, sunucu iki ayrı şifreleme anahtarı kullandığından Güvenlik sekmesinin yönü biraz değişir. Anahtarlardan biri, sunucunuzu konuşlandırdığınız birincil bölge içindir; diğer anahtar ise sunucu yedeklemelerinin eşzamansız olarak çoğaltıldığı eşleştirilmiş bölge içindir.

   

Az postgres flexible-server create komutunu kullanarak yeni bir sunucu sağlarken sistem tarafından atanan bir şifreleme anahtarı kullanarak veri şifrelemesini etkinleştirebilirsiniz.

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Azure portalını kullanın:

1. Henüz bir yönetilen kimliğiniz yoksa, kullanıcı tarafından atanan bir yönetilen kimlik oluşturun. Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirildiyse iki farklı kimlik oluşturmanız gerekir. Bu kimliklerin her biri iki veri şifreleme anahtarının her birine erişir.

1. Henüz bir anahtar deponuz oluşturulmadıysa bir Azure Key Vault oluşturun veya Yönetilen HSM oluşturun. Gereksinimleri karşıladığınızdan emin olun. Ayrıca, anahtar depoyu yapılandırmadan önce ve anahtarı oluşturup kullanıcı tarafından atanan yönetilen kimliğe gerekli izinleri atamadan önce önerileri izleyin. Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirildiyse ikinci bir anahtar deposu oluşturmanız gerekir. bu ikinci anahtar deposu, yedeklerinizi sunucunun eşleştirilmiş bölgesine kopyalayan veri şifreleme anahtarını tutar.

1. Anahtar deponuzda bir anahtar oluşturun. Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirildiyse, anahtar depolarının her birinde bir anahtara ihtiyacınız vardır. Bu anahtarlardan birini kullanarak tüm sunucunuzun verilerini (tüm sistem ve kullanıcı veritabanları, geçici dosyalar, sunucu günlükleri, önceden yazma günlük segmentleri ve yedeklemeler dahil) şifrelersiniz. İkinci anahtarı kullanarak, sunucunuzun eşleştirilmiş bölgesi üzerinden zaman uyumsuz olarak kopyalanan yedeklerin kopyalarını şifrelersiniz.

2. Yeni PostgreSQL için Azure Veri Tabanı esnek sunucu sağlanırken Güvenlik sekmesinde veri şifrelemesini yapılandırın. Veri şifreleme anahtarı için Müşteri tarafından yönetilen anahtar radyo düğmesini seçin.

   

3. Coğrafi olarak yedekli yedekleme depolama alanının sunucuyla birlikte sağlanmasını etkinleştirirseniz, sunucu iki ayrı şifreleme anahtarı kullandığından Güvenlik sekmesinin yönü biraz değişir. Anahtarlardan biri, sunucunuzu dağıttığınız birincil bölge içindir; diğeri de sunucu yedeklerinin eşzamansız olarak çoğaltıldığı eşleştirilmiş bölge içindir.

   

4. Kullanıcı tarafından atanan yönetilen kimlik bölümünde Kimliği değiştir'i seçin.

   

5. Kullanıcı tarafından atanan yönetilen kimlikler listesinden, sunucunuzun bir Azure Key Vault depolanan veri şifreleme anahtarına erişmek için kullanmasını istediğiniz kimliği seçin.

   

6. Add (Ekle) seçeneğini belirleyin.

   

7. Geçerli sürüm manuel veya otomatik olarak döndürüldüğünde, hizmetin seçilen anahtarın en güncel sürümüne yönelik başvuruyu otomatik olarak güncellemesine izin vermek istiyorsanız Otomatik anahtar sürümü güncelleştirmesini kullan seçeneğini belirleyin. Otomatik anahtar sürümü güncelleştirmelerini kullanmanın avantajlarını anlamak için bkz. otomatik anahtar sürümü güncelleştirmesi.

   

8. Bir anahtar seçin seçeneğini belirleyin.

   

9. Abonelik otomatik olarak sunucunuzun oluşturulmak üzere olduğu aboneliğin adıyla doldurulur. Veri şifreleme anahtarını tutan anahtar deposu, sunucuyla aynı abonelikte bulunmalıdır.

   

10. Anahtar deposu türü bölümünde, veri şifreleme anahtarını depolamayı planladığınız anahtar deposunun türüne karşılık gelen radyo düğmesini seçin. Bu örnekte Anahtar kasasını seçin, ancak Yönetilen HSMyi seçseniz de izlenecek adımlar benzerdir.

    

11. Anahtar kasası'nı (veya bu depolama türünü seçtiyseniz Yönetilen HSM) genişletin ve veri şifreleme anahtarının bulunduğu örneği seçin.

    

    Uyarı

    Açılan kutuyu genişlettiğiniz zaman Kullanılabilir öğe yok seçeneğini gösterir. Sunucuyla aynı bölgede dağıtılmış tüm Anahtar Kasası örneklerinin listelenmesi birkaç saniye sürer.

12. Anahtar'ı genişletin ve veri şifrelemesi için kullanmak istediğiniz anahtarın adını seçin.

    

13. Otomatik anahtar sürümü güncelleştirmesini kullan'ı seçmediyseniz anahtarın belirli bir sürümünü de seçmeniz gerekir. Bunu yapmak için Sürüm'i genişletin ve veri şifrelemesi için kullanmak istediğiniz anahtarın sürümünün tanımlayıcısını seçin.

    

14. 'ı seçin'i seçin.

    

15. Yeni sunucunun diğer tüm ayarlarını yapılandırın ve Gözden geçir ve oluştur'u seçin.

    

Yeni bir sunucu sağlarken kullanıcı tarafından atanan şifreleme anahtarıyla veri şifrelemesini etkinleştirmek için az postgres flexible-server create komutunu kullanın.

Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirilmemişse:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirildiyse:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Azure portalını kullanın:

1. PostgreSQL için Azure Veri Tabanı esnek sunucunuzu seçin.

2. Kaynak menüsünde, Güvenlik bölümünün altında Veri şifrelemesi'ni seçin.

   

3. Sunucunun anahtar deposuna erişmek için kullandığı kullanıcı tarafından atanan yönetilen kimliği değiştirmek için Kullanıcı tarafından atanan yönetilen kimlik açılan listesini genişletin ve kullanılabilir kimliklerden herhangi birini seçin.

   

   Uyarı

   Birleşik giriş kutusu yalnızca PostgreSQL için Azure Veri Tabanı esnek sunucunuzun atadığı kimlikleri gösterir. Gerekli olmasa da bölgesel dayanıklılığı korumak için sunucunuzla aynı bölgede kullanıcı tarafından yönetilen kimlikleri seçin. Sunucunuzda coğrafi yedekleme yedekliliği etkinleştirildiyse, coğrafi olarak yedekli yedeklemeler için veri şifreleme anahtarına erişmek için kullanılan ikinci kullanıcı tarafından yönetilen kimlik, sunucunun eşleştirilmiş bölgesinde bulunmalıdır.

4. Veri şifreleme anahtarına erişmek için kullanmak istediğiniz kullanıcı tarafından atanan yönetilen kimlik, PostgreSQL için Azure Veri Tabanı esnek sunucunuza atanmamışsa ve Microsoft Entra ID’de karşılık gelen nesnesiyle birlikte bir Azure kaynağı olarak mevcut değilse, Oluştur'u seçerek bunu oluşturun.

   

5. Kullanıcı Tarafından Atanan Yönetilen Kimlik Oluştur panelinde, oluşturmak istediğiniz kullanıcı tarafından atanan yönetilen kimliğin ayrıntılarını girin ve veri şifreleme anahtarına erişmek için otomatik olarak PostgreSQL için Azure Veri Tabanı esnek sunucunuza atayın.

   

6. Veri şifreleme anahtarına erişmek için kullanmak istediğiniz kullanıcı tarafından atanan yönetilen kimlik PostgreSQL için Azure Veri Tabanı esnek sunucunuza atanmamışsa ancak Microsoft Entra ID'da ilgili nesnesiyle Azure bir kaynak olarak mevcutsa, Seç'i seçerek bu kimliği atayın.

   

7. Kullanıcı tarafından atanan yönetilen kimlikler listesinden, sunucunuzun bir Azure Key Vault depolanan veri şifreleme anahtarına erişmek için kullanmasını istediğiniz kimliği seçin.

   

8. Add (Ekle) seçeneğini belirleyin.

   

9. Hizmetin, mevcut sürüm el ile veya otomatik olarak döndürüldüğünde seçilen anahtarın en güncel sürümüne yönelik başvuruyu otomatik olarak güncellemesini istiyorsanız Otomatik anahtar sürümü güncelleştirmesini kullan seçeneğini belirleyin. Otomatik anahtar sürüm güncelleştirmelerini kullanmanın avantajlarını anlamak için bkz. [otomatik anahtar sürüm güncelleştirmesi](.. /security/security-data-encryption.md##CMK anahtar sürüm güncelleştirmeleri).

   

10. Anahtarı döndürüp Otomatik anahtar sürümü güncellemesini kullan seçeneğini etkinleştirmezseniz. Veya farklı bir anahtar kullanmak istiyorsanız, PostgreSQL için Azure Veri Tabanı esnek sunucunuzu yeni anahtar sürümüne veya yeni anahtara işaret eden şekilde güncelleştirin. Bunu yapmak için anahtarın kaynak tanımlayıcısını kopyalayın ve Anahtar tanımlayıcı kutusuna yapıştırın.

    

11. Azure portalına erişen kullanıcının anahtar deposunda depolanan anahtara erişme izinleri varsa, yeni anahtarı veya yeni anahtar sürümünü seçmek için alternatif bir yaklaşım kullanabilirsiniz. Bunu yapmak için, Anahtar seçim yöntemi'nde Bir anahtar seçin seçenek düğmesini seçin.

    

12. Tuş seç seçeneğini belirleyin.

    

13. Abonelik otomatik olarak sunucunuzun oluşturulmak üzere olduğu aboneliğin adıyla doldurulur. Veri şifreleme anahtarını tutan anahtar deposu, sunucuyla aynı abonelikte bulunmalıdır.

    

14. Anahtar deposu türü bölümünde, veri şifreleme anahtarını depolamayı planladığınız anahtar deposunun türüne karşılık gelen radyo düğmesini seçin. Bu örnekte Anahtar kasasını seçin, ancak Yönetilen HSMyi seçseniz de izlenecek adımlar benzerdir.

    

15. Anahtar kasası'nı (veya bu depolama türünü seçtiyseniz Yönetilen HSM) genişletin ve veri şifreleme anahtarının bulunduğu örneği seçin.

    

    Uyarı

    Açılan kutuyu genişlettiğiniz zaman Kullanılabilir öğe yok seçeneğini gösterir. Sunucuyla aynı bölgede dağıtılmış tüm Anahtar Kasası örneklerinin listelenmesi birkaç saniye sürer.

16. Anahtar'ı genişletin ve veri şifrelemesi için kullanmak istediğiniz anahtarın adını seçin.

    

17. Otomatik anahtar sürümü güncelleştirmesini kullan'ı seçmediyseniz anahtarın belirli bir sürümünü de seçmeniz gerekir. Bunu yapmak için Sürüm'i genişletin ve veri şifrelemesi için kullanmak istediğiniz anahtarın sürümünün tanımlayıcısını seçin.

    

18. 'ı seçin'i seçin.

    

19. Değişikliklerden memnun olduğunuzda Kaydet'i seçin.

    

Mevcut bir sunucu için kullanıcı tarafından atanan şifreleme anahtarıyla veri şifrelemesini yapılandırmak için az postgres flexible-server update komutunu kullanın.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

İster anahtara erişmek için kullanılan kullanıcı tarafından atanmış yönetilen kimliği değiştirmek, ister yalnızca veri şifrelemesi için kullanılan anahtarı değiştirmek, ister her ikisini aynı anda değiştirmek isteyin, her iki parametreyi de (--identity ve --key ya da coğrafi olarak yedekli yedeklemeler için --backup-identity ve --backup-key) sağlamanız gerekir. Yalnızca bir parametre sağlarsanız aşağıdaki hatalardan herhangi birini alırsınız:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

parametresiyle --key belirttiğiniz anahtar (veya --backup-key coğrafi olarak yedekli yedeklemeler için) yoksa veya kaynak tanımlayıcısını parametreye --identity geçirdiğiniz (veya --backup-identity coğrafi olarak yedekli yedeklemeler için) kullanıcı tarafından atanan yönetilen kimlik anahtara erişmek için gerekli izinlere sahip değilse, aşağıdaki hatayı alırsınız:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Sunucunuzda coğrafi olarak yedekli yedeklemeler etkinleştirildiyse, coğrafi olarak yedekli yedeklemeleri şifrelemek için kullanılan anahtarı ve bu anahtara erişmek için kullanılan kimliği yapılandırabilirsiniz. Bunu yapmak için --backup-identity ve --backup-key parametrelerini kullanın.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

az postgres flexible server update komutuna --backup-identity ve --backup-key parametrelerini geçirir ve coğrafi olarak yedekli yedeklemenin etkinleştirilmediği mevcut bir sunucuyu belirtirseniz, aşağıdaki hatayı alırsınız:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

ve --identity parametrelerine --backup-identity kimlik eklerseniz ve bunlar geçerliyse, sistem bunları otomatik olarak PostgreSQL için Azure Veri Tabanı esnek sunucunuzla ilişkili kullanıcı tarafından atanan yönetilen kimlikler listesine ekler. Bu eylem, komut daha sonra başka bir hatayla başarısız olsa bile gerçekleşir. Bu gibi durumlarda, PostgreSQL için Azure Veri Tabanı esnek sunucunuza atanmış kullanıcı tarafından atanan yönetilen kimlikleri listelemek, atamak veya kaldırmak için az postgres flexible-server identity komutlarını kullanmak isteyebilirsiniz. PostgreSQL için Azure Veri Tabanı esnek sunucunuzda kullanıcı tarafından atanan yönetilen kimlikleri yapılandırma hakkında daha fazla bilgi edinmek için bkz. Kullanıcı tarafından atanan yönetilen kimlikleri var olan sunucularla ilişkilendirme, kullanıcı tarafından atanan yönetilen kimlikleri mevcut sunucularla ilişkilendirme ve ilişkili kullanıcı tarafından atanan yönetilen kimlikleri gösterme.