Konfigurieren von kundenseitig verwalteten HSM-Schlüsseln für DBFS über das Azure-Portal

Artikel
03/01/2024

Hinweis

Dieses Feature ist nur im Premium-Plan verfügbar.

Sie können das Azure-Portal verwenden, um Ihren eigenen Verschlüsselungsschlüssel für das Verschlüsseln des DBFS-Stammspeicherkontos zu konfigurieren. In diesem Artikel wird beschrieben, wie Sie Ihren eigenen Schlüssel aus Azure Key Vault Managed HSM konfigurieren. Eine Anleitung zur Verwendung eines Schlüssels aus Azure Key Vault-Tresoren finden Sie unter Konfigurieren von kundenseitig verwalteten Schlüsseln für DBFS über das Azure-Portal.

Wichtig

Key Vault muss sich im selben Azure-Mandanten wie Ihr Azure Databricks-Arbeitsbereich befinden.

Weitere Informationen zu kundenseitig verwalteten Schlüsseln für DBFS finden Sie unter Kundenseitig verwaltete Schlüssel für den DBFS-Stamm.

Erstellen eines in Azure Key Vault verwalteten HSM und eines HSM-Schlüssels

Sie können ein vorhandenes in Azure Key Vault verwaltetes HSM verwenden oder ein neues wie in Schnellstart: Bereitstellen und Aktivieren eines verwalteten HSM mithilfe der Azure CLI beschrieben aktivieren. Für das in Azure Key Vault verwaltete HSM muss Löschschutz aktiviert sein.

Um einen HSM-Schlüssel zu erstellen, folgen Sie den Anweisungen unter Erstellen eines HSM-Schlüssels.

Vorbereiten des DBFS-Stammspeicherkontos

Navigieren Sie im Azure-Portal zu Ihrer Azure Databricks-Dienstressource.
Wählen Sie im VM-Menü unter Automation die Option Vorlage exportieren aus.
Klicken Sie auf Bereitstellen.
Klicken Sie auf Vorlage bearbeiten, suchen Sie nach prepareEncryption, und ändern Sie den Tresor in den Typ true. Beispiel:
```
  "prepareEncryption": {
           "type": "Bool",
           "value": "true"
        }
```
Klicken Sie auf Speichern.
Klicken Sie zum Bereitstellen der Änderung auf Überprüfen + erstellen.
Klicken Sie rechts unter Essentials auf JSON-Ansicht.
Suchen Sie nach storageAccountIdentity, und kopieren Sie die principalId.

Konfigurieren der Rollenzuweisung für verwaltetes HSM

Navigieren Sie im Azure-Portal zu Ihrer verwalteten HSM-Ressource.
Wählen Sie im Menü links unter Einstellungen die Option Lokale RBAC aus.
Klicken Sie auf Hinzufügen.
Wählen Sie im Feld Rolle die Option Managed HSM Crypto Service Encryption User (Benutzer der Kryptografiedienstverschlüsselung für verwaltete HSMs) aus.
Wählen Sie im Feld Bereich die Option All keys (/) aus.
Geben Sie im Feld Sicherheitsprinzipal den principalId des DBFS-Stammspeicherkontos in der Suchleiste ein. Wählen Sie das Ergebnis aus.
Klicken Sie auf Erstellen.
Wählen Sie im linken Menü unter Einstellungen die Option Schlüssel aus, und wählen Sie Ihren Schlüssel aus.
Kopieren Sie den Text in das Feld Schlüsselbezeichner.

Verschlüsseln des DBFS-Stammspeicherkontos mit Ihrem HSM-Schlüssel

Navigieren Sie im Azure-Portal zu Ihrer Azure Databricks-Dienstressource.
Wählen Sie im linken Menü unter Einstellungen die Option Verschlüsselung aus.
Wählen Sie Eigenen Schlüssel verwenden aus, geben Sie den Schlüsselbezeichner Ihres verwalteten HSM-Schlüssels ein, und wählen Sie das Abonnement mit dem Schlüssel aus.
Klicken Sie zum Speichern der Schlüsselkonfiguration auf Speichern.

Erneutes Generieren (Rotieren) von Schlüsseln

Wenn Sie einen Schlüssel erneut generieren, müssen Sie in Ihrer Azure Databricks-Dienstressource zur Seite Verschlüsselung zurückkehren, das Feld Schlüsselbezeichner mit Ihrem neuen Bezeichner aktualisieren und auf Speichern klicken. Dies gilt sowohl für neue Versionen desselben Schlüssels als auch für neue Schlüssel.