使用存储在 Azure Key Vault 中的客户管理的密钥配置加密

Azure 存储对静态存储帐户中的所有数据进行加密。 默认情况下,数据使用 Microsoft 管理的密钥进行加密。 为了更进一步控制加密密钥,你可以管理自己的密钥。 客户管理的密钥必须存储在 Azure Key Vault 中。

本文介绍了如何使用 Azure 门户、PowerShell 或 Azure CLI,通过存储在密钥保管库中的客户管理的密钥配置加密。

配置密钥保管库

你可以使用新的或现有的密钥保管库来存储客户管理的密钥。 存储帐户和 Key Vault 必须在同一个区域中,但可以在不同的订阅中。

使用带有 Azure 存储加密的客户管理的密钥需要为密钥保管库启用软删除和清除保护。 创建新密钥保管库时,默认会启用软删除,并且无法禁用。 你可以在创建密钥保管库时或创建后启用清除保护。

若要了解如何使用 Azure 门户创建密钥保管库,请参阅快速入门:使用 Azure 门户创建密钥保管库。 创建密钥保管库时,选择“启用清除保护”,如下图所示。

显示如何在创建密钥保管库时启用清除保护的屏幕截图

若要在现有密钥保管库上启用清除保护,请执行以下步骤:

  1. 在 Azure 门户中导航到密钥保管库。
  2. 在“设置”下面,选择“属性”。
  3. 在“清除保护”部分,选择“启用清除保护” 。

添加密钥

接下来,在密钥保管库中添加密钥。

Azure 存储加密支持 2048、3072 和 4096 大小的 RSA 密钥。 有关密钥的详细信息,请参阅关于密钥

若要了解如何使用 Azure 门户添加密钥,请参阅快速入门:使用 Azure 门户在 Azure Key Vault 中设置和检索密钥中的说明创建密钥保管库。

配置使用客户管理的密钥进行加密

接下来,请将 Azure 存储帐户配置为通过 Azure Key Vault 使用客户管理的密钥,然后指定要与存储帐户关联的密钥。

使用客户管理的密钥配置加密时,只要关联的密钥保管库中有新版本可用,就可以选择自动更新用于 Azure 存储加密的密钥版本。 也可显式指定在手动更新密钥版本之前用于加密的密钥版本。

备注

若要轮换密钥,请在 Azure Key Vault 中创建密钥的新版本。 Azure 存储不会处理 Azure Key Vault 中的密钥轮换,因此你需要手动轮换密钥,或创建一个函数以便按计划轮换密钥。

配置加密以自动更新密钥版本

Azure 存储可以自动更新客户管理的密钥(用于加密),以使用最新密钥版本。 当在 Azure Key Vault 中轮换客户管理的密钥时,Azure 存储会自动开始将最新版本的密钥用于加密。

若要在 Azure 门户中配置客户管理的密钥并自动更新密钥版本,请执行以下步骤:

  1. 导航到存储帐户。

  2. 在存储帐户的“设置”边栏选项卡上,单击“加密”。 默认情况下,密钥管理设置为“Microsoft 管理的密钥”,如下图所示。

    显示加密选项的门户屏幕截图

  3. 选择“客户管理的密钥”选项。

  4. 选择“从 Key Vault 中选择”选项。

  5. 选择“选择密钥保管库和密钥”。

  6. 选择包含要使用的密钥的密钥保管库。

  7. 从密钥保管库中选择密钥。

    屏幕截图,显示如何选择密钥保管库和密钥

  8. 保存所做更改。

指定密钥后,Azure 门户会指示启用密钥版本的自动更新,并显示当前用于加密的密钥版本。

屏幕截图,其中显示已启用自动更新密钥版本

为手动更新密钥版本配置加密

如果希望手动更新密钥版本,请在使用客户管理的密钥配置加密时显式指定该版本。 在这种情况下,当在密钥库中创建新版本时,Azure 存储将不会自动更新密钥版本。若要使用新的密钥版本,必须手动更新用于 Azure 存储加密的版本。

若要在 Azure 门户中配置客户管理的密钥并手动更新密钥版本,请指定密钥 URI,包括版本。 若要将某个密钥指定为 URI,请执行下列步骤:

  1. 若要在 Azure 门户中查找密钥 URI,请导航到 Key Vault,然后选择“密钥”设置。 选择所需的密钥,然后单击该密钥以查看其版本。 选择一个密钥版本,查看该版本的设置。

  2. 复制“密钥标识符”字段的值(提供 URI)。

    显示 Key Vault 密钥 URI 的屏幕截图

  3. 在存储帐户的“加密密钥”设置中,选择“输入密钥 URI”选项。

  4. 将复制的 URI 粘贴到“密钥 URI”字段中。 从 URI 中省略密钥版本,以启用自动更新密钥版本。

    显示如何输入密钥 URI 的屏幕截图

  5. 指定包含密钥保管库的订阅。

  6. 保存所做更改。

更改密钥

你可以在任何时候更改用于 Azure 存储加密的密钥。

若要使用 Azure 门户更改密钥,请执行以下步骤:

  1. 导航到你的存储帐户,并显示“加密”设置。
  2. 选择密钥保管库并选择一个新密钥。
  3. 保存更改。

撤销客户托管密钥

撤消客户管理的密钥会删除存储帐户和密钥保管库之间的关联。

若要使用 Azure 门户撤消客户管理的密钥,请按照禁用客户管理的密钥中所述禁用该密钥。

禁用客户托管密钥

禁用客户托管密钥时,将再次使用 Microsoft 托管密钥对存储帐户进行加密。

若要在 Azure 门户中禁用客户管理的密钥,请执行以下步骤:

  1. 导航到你的存储帐户,并显示“加密”设置。
  2. 取消选中“使用自己的密钥”设置旁边的复选框。

后续步骤