تمكين تشفير البيانات باستخدام مفاتيح يديرها العميل في Azure Cosmos DB ل PostgreSQL

مقالة
01/05/2024

ينطبق على: Azure Cosmos DB ل PostgreSQL (مدعوم بملحق قاعدة بيانات Citus إلى PostgreSQL)

المتطلبات الأساسية

Azure Cosmos DB موجود لحساب PostgreSQL.
- إذا كان لديك اشتراك Azure، فبادر بإنشاء حساب جديد.
- في حال لم يكن لديك اشتراك Azure، فأنشئ حساباً مجانيّاً قبل البدء.
- بدلا من ذلك، يمكنك تجربة Azure Cosmos DB مجانا قبل الالتزام.

تمكين تشفير البيانات باستخدام المفاتيح التي يديرها العميل

هام

إنشاء جميع الموارد التالية في نفس المنطقة حيث سيتم نشر Azure Cosmos DB لنظام مجموعة PostgreSQL.

إنشاء هوية مُدارة يُعينها المستخدم. حاليا، يدعم Azure Cosmos DB ل PostgreSQL الهويات المدارة المعينة من قبل المستخدم فقط.
أنشئ Azure Key Vault وأضف نهج وصول إلى الهوية المدارة المعينة من قبل المستخدم التي تم إنشاؤها باستخدام أذونات المفتاح التالية: Get و Unwrap Key و Wrap Key.
إنشاء مفتاح في key vault (أنواع المفاتيح المدعومة: RSA 2048، 3071، 4096).
حدد خيار تشفير المفتاح المدار من قبل العميل أثناء إنشاء نظام مجموعة Azure Cosmos DB ل PostgreSQL وحدد الهوية المدارة المناسبة المعينة من قبل المستخدم وخزنة المفاتيح والمفتاح التي تم إنشاؤها في الخطوات 1 و2 و3.

الخطوات التفصيلية

الهوية المُدارة التي يعيّنها المُستخدم

ابحث عن الهويات المدارة في شريط البحث العمومي.
إنشاء هوية مدارة معينة من قبل مستخدم جديد في نفس المنطقة مثل Azure Cosmos DB لنظام مجموعة PostgreSQL.

تعرف على المزيد حول الهوية المدارة المعينة من قبل المستخدم.

المخزن الرئيسي

يتطلب استخدام المفاتيح المدارة من قبل العميل مع Azure Cosmos DB ل PostgreSQL تعيين خاصيتين على مثيل Azure Key Vault الذي تخطط لاستخدامه لاستضافة مفاتيح التشفير الخاصة بك: Soft Delete و Purge Protection.

إذا قمت بإنشاء مثيل Azure Key Vault جديد، فقم بتمكين هذه الخصائص أثناء الإنشاء:
إذا كنت تستخدم مثيل Azure Key Vault الحالي، فيمكنك التحقق من تمكين هذه الخصائص من خلال الاطلاع على قسم الخصائص في مدخل Microsoft Azure. إذا لم يتم تمكين أي من هذه الخصائص، فشاهد قسمي "تمكين الحذف المبدئي" و"تمكين الحماية من التطهير" في إحدى المقالات التالية.
- كيفية استخدام الحذف المبدئي مع PowerShell.
- كيفية استخدام الحذف المبدئي مع Azure CLI.
يجب تعيين Key Vault مع 90 يوما للأيام للاحتفاظ بالمخازن المحذوفة. إذا تم تكوين Key Vault الموجود برقم أقل، فستحتاج إلى إنشاء مخزن مفاتيح جديد حيث لا يمكن تعديل هذا الإعداد بعد الإنشاء.

هام

يجب أن يسمح مثيل Azure Key Vault بالوصول العام من جميع الشبكات.

إضافة نهج وصول إلى Key Vault

من مدخل Microsoft Azure، انتقل إلى مثيل Azure Key Vault الذي تخطط لاستخدامه لاستضافة مفاتيح التشفير. حدد Access configuration من القائمة اليسرى. تأكد من تحديد نهج الوصول إلى Vault ضمن نموذج الإذن ثم حدد Go للوصول إلى النهج.
حدد + إنشاء.
في علامة التبويب أذونات ضمن القائمة المنسدلة أذونات المفاتيح، حدد أذونات Get و Unwrap Key و Wrap Key.
في علامة التبويب "Principal"، حدد "User Assigned Managed Identity" التي أنشأتها في خطوة المتطلبات الأساسية.
انتقل إلى Review + create حدد Create.

إنشاء / استيراد مفتاح

من مدخل Microsoft Azure، انتقل إلى مثيل Azure Key Vault الذي تخطط لاستخدامه لاستضافة مفاتيح التشفير.
حدد Keys من القائمة اليسرى ثم حدد +Generate/Import.
يمكن أن يكون المفتاح الذي يديره العميل لاستخدامه لتشفير DEK نوع مفتاح RSA غير متماثل فقط. يتم دعم جميع أحجام مفاتيح RSA 2048 و3072 و4096.
يجب أن يكون تاريخ تنشيط المفتاح (إذا تم تعيينه) تاريخاً ووقتاً في الماضي. يجب أن يكون تاريخ انتهاء الصلاحية (إن تم تعيينه) تاريخاً ووقتاً في المستقبل.
يجب أن يكون المفتاح في الحالة ممكّن.
إذا كنت تقوم باستيراد مفتاح موجود إلى مخزن المفاتيح، فتأكد من توفيره بتنسيقات الملفات المدعومة (.pfx، .byok، ). .backup
إذا كنت تقوم بتناوب المفتاح يدويا، فلا يجب حذف إصدار المفتاح القديم لمدة 24 ساعة على الأقل.

تمكين تشفير CMK أثناء توفير نظام مجموعة جديد

المدخل
قالب ARM

أثناء توفير Azure Cosmos DB جديد لنظام مجموعة PostgreSQL، بعد توفير المعلومات الضرورية ضمن علامات تبويب الأساسيات والشبكات، انتقل إلى علامة التبويب التشفير .
حدد المفتاح المدار بواسطة العميل ضمن خيار مفتاح تشفير البيانات.
حدد الهوية المدارة المعينة من قبل المستخدم التي تم إنشاؤها في القسم السابق.
حدد key vault الذي تم إنشاؤه في الخطوة السابقة، والذي يحتوي على نهج الوصول إلى الهوية المدارة للمستخدم المحددة في الخطوة السابقة.
حدد المفتاح الذي تم إنشاؤه في الخطوة السابقة، ثم حدد Review + create.
بمجرد إنشاء نظام المجموعة، تحقق من تمكين تشفير CMK عن طريق الانتقال إلى شفرة تشفير البيانات في Azure Cosmos DB لنظام مجموعة PostgreSQL في مدخل Microsoft Azure.

إشعار

يمكن تكوين تشفير البيانات فقط أثناء إنشاء نظام مجموعة جديد ولا يمكن تحديثه على نظام مجموعة موجود. الحل البديل لتحديث تكوين التشفير على نظام مجموعة موجود هو إجراء استعادة نظام المجموعة وتكوين تشفير البيانات أثناء إنشاء نظام المجموعة المستعادة حديثا.

   {
       "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "serverGroupName": {
               "type": "string"
           },
           "location": {
               "type": "string"
           },
           "administratorLoginPassword": {
               "type": "secureString"
           },
           "previewFeatures": {
               "type": "bool"
           },
           "postgresqlVersion": {
               "type": "string"
           },
           "coordinatorVcores": {
               "type": "int"
           },
           "coordinatorStorageSizeMB": {
               "type": "int"
           },
           "numWorkers": {
               "type": "int"
           },
           "workerVcores": {
               "type": "int"
           },
           "workerStorageSizeMB": {
               "type": "int"
           },
           "enableHa": {
               "type": "bool"
           },
           "enablePublicIpAccess": {
               "type": "bool"
           },
           "serverGroupTags": {
               "type": "object"
           },
           "userAssignedIdentityUrl": {
               "type": "string"
           },
           "encryptionKeyUrl": {
               "type": "string"
           }
       },
       "variables": {},
       "resources": [
           {
               "name": "[parameters('serverGroupName')]",
               "type": "Microsoft.DBforPostgreSQL/serverGroupsv2",
               "kind": "CosmosDBForPostgreSQL",
               "apiVersion": "2020-10-05-privatepreview",
               "identity":
               {
                   "type": "UserAssigned",
                   "userAssignedIdentities":
                   {
                       "/subscriptions/04b0358b-392b-41d6-899e-b75cb292321e/resourcegroups/yogkuleuapcmkmarlintest/providers/Microsoft.ManagedIdentity/userAssignedIdentities/marlincmktesteus2euapuai1": {}
                   }
               },
               "location": "[parameters('location')]",
               "tags": "[parameters('serverGroupTags')]",
               "properties": {
                   "createMode": "Default",
                   "administratorLogin": "citus",
                   "administratorLoginPassword": "[parameters('administratorLoginPassword')]",
                   "backupRetentionDays": 35,
                   "enableMx": false,
                   "enableZfs": false,
                   "previewFeatures": "[parameters('previewFeatures')]",
                   "postgresqlVersion": "[parameters('postgresqlVersion')]",
                   "dataencryption":
                   {
                       "primaryKeyUri": "[parameters('encryptionKeyUrl')]",
                       "primaryUserAssignedIdentityId": "[parameters('userAssignedIdentityUrl')]",
                       "type": "AzureKeyVault"
                   },
                   "serverRoleGroups": [
                       {
                           "name": "",
                           "role": "Coordinator",
                           "serverCount": 1,
                           "serverEdition": "GeneralPurpose",
                           "vCores": "[parameters('coordinatorVcores')]",
                           "storageQuotaInMb": "[parameters('coordinatorStorageSizeMB')]",
                           "enableHa": "[parameters('enableHa')]"
                       },
                       {
                           "name": "",
                           "role": "Worker",
                           "serverCount": "[parameters('numWorkers')]",
                           "serverEdition": "MemoryOptimized",
                           "vCores": "[parameters('workerVcores')]",
                           "storageQuotaInMb": "[parameters('workerStorageSizeMB')]",
                           "enableHa": "[parameters('enableHa')]",
                           "enablePublicIpAccess": "[parameters('enablePublicIpAccess')]"
                       }
                   ]
               },
               "dependsOn": []
           }
       ],
       "outputs": {}
   }

التوافر العالي

عند تمكين تشفير CMK على المجموعة الأساسية، يتم تشفير جميع عقد قابلية الوصول العالية الاحتياطية تلقائيا بواسطة مفتاح نظام المجموعة الأساسي.

تغيير تكوين التشفير عن طريق إجراء PITR

يمكن تغيير تكوين التشفير من التشفير المدار بواسطة الخدمة إلى التشفير المدار من قبل العميل أو العكس أثناء تنفيذ عملية استعادة نظام المجموعة (PITR - استعادة في نقطة زمنية).

المدخل
قالب ARM

انتقل إلى شفرة تشفير البيانات، وحدد بدء عملية الاستعادة. بدلا من ذلك، يمكنك تنفيذ PITR عن طريق تحديد الخيار Restore في شفرة Overview .
يمكنك تغيير/تكوين تشفير البيانات في علامة تبويب التشفير لصفحة استعادة نظام المجموعة.

   {
       "$schema": "http://schema.management.azure.com/schemas/2014-04-01-preview/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {
           "location": {
               "type": "string"
           },
           "sourceLocation": {
               "type": "string"
           },
           "subscriptionId": {
               "type": "string"
           },
           "resourceGroupName": {
               "type": "string"
           },
           "serverGroupName": {
               "type": "string"
           },
           "sourceServerGroupName": {
               "type": "string"
           },
           "restorePointInTime": {
               "type": "string"
           },
           "encryptionKeyUrl": {
               "type": "string"
           },
           "userAssignedIdentityUrl": {
               "type": "string"
           }
       },
       "variables": {
           "api": "2020-02-14-privatepreview"
       },
       "resources": [
           {
               "apiVersion": "2020-10-05-privatepreview",
               "location": "[parameters('location')]",
               "name": "[parameters('serverGroupName')]",
               "identity":
               {
                   "type": "UserAssigned",
                   "userAssignedIdentities":
                   {
                       "/subscriptions/04b0358b-392b-41d6-899e-b75cb292321e/resourcegroups/yogkuleuapcmkmarlintest/providers/Microsoft.ManagedIdentity/userAssignedIdentities/marlincmktesteus2euapuai1": {}
                   }
               },
               "properties": {
                   "createMode": "PointInTimeRestore",
                   "sourceServerGroupName": "[parameters('sourceServerGroupName')]",
                   "pointInTimeUTC": "[parameters('restorePointInTime')]",
                   "sourceLocation": "[parameters('location')]",
                   "sourceSubscriptionId": "[parameters('subscriptionId')]",
                   "sourceResourceGroupName": "[parameters('resourceGroupName')]",
                   "enableMx": false,
                   "enableZfs": false,
                   "dataencryption":
                   {
                       "primaryKeyUri": "[parameters('encryptionKeyUrl')]",
                       "primaryUserAssignedIdentityId": "[parameters('userAssignedIdentityUrl')]",
                       "type": "AzureKeyVault"
                   },
               }
               "type": "Microsoft.DBforPostgreSQL/serverGroupsv2"
           }
       ]
   }

مراقبة المفتاح المدار من قبل العميل في Key Vault

لمراقبة حالة قاعدة البيانات وتمكين التنبيه لفقدان الوصول إلى أداة حماية تشفير البيانات الشفاف قم بتكوين ميزات Azure التالية:

Azure Resource Health: تظهر قاعدة البيانات التي يتعذر الوصول إليها والتي فقدت الوصول إلى مفتاح العميل على أنها "غير قابلة للوصول" بعد رفض الاتصال الأول بقاعدة البيانات.
Activity log: عند فشل الوصول إلى "مفتاح العميل" في مخزن المفاتيح المُدار بواسطة العميل، تتم إضافة الإدخالات إلى سجل النشاط. يمكنك إعادة الوصول في أقرب وقت ممكن، إن قمت بإنشاء تنبيهات لهذه الأحداث.
مجموعات الإجراءات: حدد هذه المجموعات لإرسال إعلامات وتنبيهات إليك استنادا إلى تفضيلاتك.

الخطوات التالية

تعرف على تشفير البيانات باستخدام المفاتيح التي يديرها العميل
تحقق من حدود وقيود CMK في Azure Cosmos DB ل PostgreSQL

مشاركة عبر