创建一个支持用于表和队列的客户管理密钥的账户

要创建依赖Azure门户账户加密密钥的存储账户，请遵循以下步骤：

1. 在 Azure 门户顶部的搜索框中，搜索并选择存储账户。

2. 在 “存储帐户 ”页上，选择“ 新建”。

3. 在 基础 标签页填写字段。

4. 在高级选项卡中，找到 “表和队列 ”部分，选择 启用客户管理密钥的支持。

   

要使用 PowerShell 创建一个依赖账户加密密钥的存储账户，请确保你安装了 Azure PowerShell 模块，版本为 3.4.0 或更高版本。 有关详细信息，请参阅 安装 Azure PowerShell 模块。

接下来，通过调用 New-AzStorageAccount 命令创建通用的 v2 存储账户，并满足相应参数：

• 添加 -EncryptionKeyTypeForQueue 选项，并将其值设置为 Account，以使用帐户加密密钥对队列存储中的数据进行加密。
• 包含 -EncryptionKeyTypeForTable 该选项，并将其值 Account 设置为使用账户加密密钥来加密表存储中的数据。

以下示例展示了如何创建一个通用的v2存储账户，该账户配置为可读访问地理冗余存储（RA-GRS），并使用账户加密密钥加密队列存储和表存储的数据。 请记得将括号中的占位符值替换为你自己的值：

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

要使用 Azure CLI 创建一个依赖账户加密密钥的存储账户，请确保你安装的是 Azure CLI 2.0.80 或更高版本。 有关详细信息，请参阅安装 Azure CLI。

接下来，通过调用 az storage account create 命令创建通用v2存储账户，并满足相应参数：

• 添加 --encryption-key-type-for-queue 选项，并将其值设置为 Account，以使用帐户加密密钥对队列存储中的数据进行加密。
• 包含 --encryption-key-type-for-table 该选项，并将其值 Account 设置为使用账户加密密钥来加密表存储中的数据。

以下示例展示了如何创建一个通用的v2存储账户，该账户配置为可读访问地理冗余存储（RA-GRS），并使用账户加密密钥加密队列存储和表存储的数据。 请记得将括号中的占位符值替换为你自己的值：

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

以下 JSON 示例创建了一个通用的 v2 存储账户，该账户配置为可读访问地理冗余存储（RA-GRS），并使用账户加密密钥加密队列存储和表存储的数据。 请务必将尖括号中的占位符值替换为你自己的值：

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "location": "[parameters('<location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

要验证存储账户中的服务是否使用了与Azure门户账户有范围的加密密钥，请遵循以下步骤：

1. 在 Azure 门户中导航到新的存储帐户。

2. 在 “安全+网络” 部分，选择 加密。

3. 如果存储账户是为依赖账户加密密钥创建的，你会在加密标签页看到客户管理密钥可以为所有四种 Azure 存储 服务：blob、文件、表和队列启用。

   

要验证存储账户中的服务是否使用PowerShell的账户加密密钥，请调用 Get-AzStorageAccount 命令。 此命令返回一组存储帐户属性及其值。 在 Encryption 属性中查找每个服务的 KeyType 字段，并确认其设置为 Account。

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

要验证存储账户中的服务是否使用了带有 Azure CLI 的账户加密密钥，调用 az storage account show 命令。 此命令返回一组存储帐户属性及其值。 在加密属性中寻找 keyType 每个服务的字段，并确认它被设置为 Account。

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

N/A