启用基础结构加密，对数据进行双重加密

若要使用 Azure 门户创建启用了基础结构加密的存储帐户，请执行以下步骤：

1. 在 Azure 门户中，导航到“存储帐户”页。

2. 选择“添加”按钮，添加新的常规用途 v2、高级块 blob、高级页 blob 或高级文件共享帐户。

3. 在“加密”选项卡上，找到“启用基础结构”加密，并选择“已启用”。

4. 选择“查看 + 创建”，完成存储帐户的创建。

   

若要验证是否通过 Azure 门户为存储帐户启用了基础结构加密，请执行以下步骤：

1. 导航到 Azure 门户中的存储帐户。

2. 在“安全性 + 网络”下，选择“加密”。

   

若要使用 PowerShell 创建启用了基础结构加密的存储帐户，请确保已安装 Az.Storage PowerShell 模块 2.2.0 或更高版本。 有关详细信息，请参阅安装 Azure PowerShell。

接下来，通过调用 New-AzStorageAccount 命令来创建常规用途 v2、高级块 blob、高级页 blob 或高级文件共享存储帐户。 包括 -RequireInfrastructureEncryption 选项来启用基础结构加密。

下面的示例演示如何创建常规用途 v2 存储帐户，帐户配置用于读取访问异地冗余存储 (RA-GRS) ，并启用基础结构加密用于对数据进行两次加密。 请记得将括号中的占位符值替换为你自己的值：

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -AllowBlobPublicAccess $false `
    -RequireInfrastructureEncryption

若要验证是否为存储帐户启用了基础结构加密，请调用 Get-AzStorageAccount 命令。 此命令返回一组存储帐户属性及其值。 在 RequireInfrastructureEncryption 属性内检索 Encryption 字段，并验证其是否设置为 True。

下面的示例检索 RequireInfrastructureEncryption 属性的值。 请务必将尖括号中的占位符值替换为你自己的值：

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.RequireInfrastructureEncryption

若要使用 Azure CLI 创建启用了基础结构加密的存储帐户，请确保已安装 Azure CLI 2.8.0 或更高版本。 有关详细信息，请参阅安装 Azure CLI。

接下来，通过调用 az storage account create 命令创建常规用途 v2、高级块 blob、高级页 blob 或高级文件共享帐户，并包括 --require-infrastructure-encryption option 来启用基础结构加密。

下面的示例演示如何创建常规用途 v2 存储帐户，帐户配置用于读取访问异地冗余存储 (RA-GRS) ，并启用基础结构加密用于对数据进行两次加密。 请记得将括号中的占位符值替换为你自己的值：

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --allow-blob-public-access false \
    --require-infrastructure-encryption

若要验证是否为存储帐户启用了基础结构加密，请调用 az storage account show 命令。 此命令返回一组存储帐户属性及其值。 在 requireInfrastructureEncryption 属性内查找 encryption 字段，并验证其是否设置为 true。

下面的示例检索 requireInfrastructureEncryption 属性的值。 请务必将尖括号中的占位符值替换为你自己的值：

az storage account show /
    --name <storage-account> /
    --resource-group <resource-group>

下面的 JSON 示例创建了常规用途 v2 存储帐户，帐户配置用于读取访问异地冗余存储 (RA-GRS) ，并启用基础结构加密用于对数据进行两次加密。 请记得将括号中的占位符值替换为你自己的值：

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "keySource": "Microsoft.Storage",
                "requireInfrastructureEncryption": true,
                "services": {
                    "blob": { "enabled": true },
                    "file": { "enabled": true }
              }
            }
        }
    }
],