Adattitkosítás önálló Azure Database for PostgreSQL-kiszolgálóhoz az Azure CLI használatával
A KÖVETKEZŐKRE VONATKOZIK:
Azure Database for PostgreSQL – Önálló kiszolgáló
Fontos
Azure Database for PostgreSQL – Az önálló kiszolgáló a kivezetési útvonalon van. Határozottan javasoljuk, hogy frissítsen az Azure Database for PostgreSQL rugalmas kiszolgálóra. A rugalmas Azure Database for PostgreSQL-kiszolgálóra való migrálással kapcsolatos további információkért lásd: Mi történik az önálló Azure Database for PostgreSQL-kiszolgálóval?
Megtudhatja, hogyan állíthatja be és kezelheti az önálló Azure Database for PostgreSQL-kiszolgáló adattitkosítását az Azure CLI használatával.
Az Azure CLI előfeltételei
Azure-előfizetéssel kell rendelkeznie, és rendszergazdai jogosultságokkal kell rendelkeznie az adott előfizetésben.
Hozzon létre egy kulcstartót és egy, az ügyfél által felügyelt kulcshoz használható kulcsot. Emellett engedélyezze a törlés elleni védelmet és a helyreállítható törlést a kulcstartón.
az keyvault create -g <resource_group> -n <vault_name> --enable-soft-delete true --enable-purge-protection trueA létrehozott Azure Key Vaultban hozza létre az önálló Azure Database for PostgreSQL-kiszolgáló adattitkosításához használt kulcsot.
az keyvault key create --name <key_name> -p software --vault-name <vault_name>Meglévő kulcstartó használatához a következő tulajdonságokkal kell rendelkeznie, amelyeket ügyfél által felügyelt kulcsként kell használnia:
-
az resource update --id $(az keyvault show --name \ <key_vault_name> -o tsv | awk '{print $1}') --set \ properties.enableSoftDelete=true -
az keyvault update --name <key_vault_name> --resource-group <resource_group_name> --enable-purge-protection true
-
A kulcsnak az alábbi attribútumokkal kell rendelkeznie felhasználó által felügyelt kulcsként:
- Nincs lejárati dátum
- Nincs letiltva
- Lekérési, körbefuttatási és kicsomagolási műveletek végrehajtása
A kulcsműveletek megfelelő engedélyeinek beállítása
Az önálló Azure Database for PostgreSQL-kiszolgáló felügyelt identitásának lekérése kétféleképpen lehetséges.
Hozzon létre egy új Azure Database for PostgreSQL-kiszolgálót felügyelt identitással.
az postgres server create --name <server_name> -g <resource_group> --location <location> --storage-size <size> -u <user> -p <pwd> --backup-retention <7> --sku-name <sku name> --geo-redundant-backup <Enabled/Disabled> --assign-identityEgy meglévő Azure Database for PostgreSQL-kiszolgáló frissítése felügyelt identitás lekéréséhez.
az postgres server update --resource-group <resource_group> --name <server_name> --assign-identityAdja meg a Főkiszolgáló kulcsengedélyeit (Get, Wrap, Unwrap) a PostgreSQL egykiszolgálós kiszolgáló neveként.
az keyvault set-policy --name -g <resource_group> --key-permissions get unwrapKey wrapKey --object-id <principal id of the server>
Adattitkosítás beállítása önálló Azure Database for PostgreSQL-kiszolgálóhoz
Engedélyezze az önálló Azure Database for PostgreSQL-kiszolgáló adattitkosítását az Azure Key Vaultban létrehozott kulccsal.
az postgres server key create --name <server_name> -g <resource_group> --kid <key_url>Kulcs URL-címe:
https://YourVaultName.vault.azure.net/keys/YourKeyName/01234567890123456789012345678901>
Adattitkosítás használata visszaállítási vagy replikakiszolgálókhoz
Miután az Önálló Azure Database for PostgreSQL-kiszolgáló titkosítva lett egy ügyfél Key Vaultban tárolt felügyelt kulcsával, a kiszolgáló újonnan létrehozott példányai is titkosítva lesznek. Ezt az új példányt helyi vagy georedundáns visszaállítási művelettel, vagy replika (helyi/régióközi) művelettel készítheti el. Egy titkosított PostgreSQL-kiszolgáló esetében tehát az alábbi lépésekkel hozhat létre titkosított visszaállított kiszolgálót.
Visszaállított/replikakiszolgáló létrehozása
A kiszolgáló visszaállítása után állítsa újra újra a visszaállított kiszolgáló adattitkosítását
- Identitás hozzárendelése a replikakiszolgálóhoz
az postgres server update --name <server name> -g <resource_group> --assign-identity
- A visszaállított/replikakiszolgálóhoz használandó meglévő kulcs lekérése
az postgres server key list --name '<server_name>' -g '<resource_group_name>'
- A visszaállított/replikakiszolgáló új identitásának házirendjének beállítása
az keyvault set-policy --name <keyvault> -g <resource_group> --key-permissions get unwrapKey wrapKey --object-id <principl id of the server returned by the step 1>
- A visszaállított/replikakiszolgáló ismételt ellenőrzése a titkosítási kulccsal
az postgres server key create –name <server name> -g <resource_group> --kid <key url>
Az önálló Azure Database for PostgreSQL-kiszolgálóhoz használt kulcs további képessége
A használt kulcs lekérése
az postgres server key show --name <server name> -g <resource_group> --kid <key url>
Kulcs URL-címe: https://YourVaultName.vault.azure.net/keys/YourKeyName/01234567890123456789012345678901>
A használt kulcs listázása
az postgres server key list --name <server name> -g <resource_group>
A használt kulcs elvetése
az postgres server key delete -g <resource_group> --kid <key url>
Azure Resource Manager-sablon használata adattitkosítás engedélyezéséhez
Az Azure Portalon kívül az önálló Azure Database for PostgreSQL-kiszolgálón is engedélyezheti az adattitkosítást azure Resource Manager-sablonokkal az új és a meglévő kiszolgálóhoz.
Meglévő kiszolgáló esetén
Emellett Azure Resource Manager-sablonokkal engedélyezheti az adattitkosítást a meglévő Önálló Azure Database for PostgreSQL-kiszolgálókon.
Adja meg a tulajdonságobjektum tulajdonsága alatt
Urikorábban másolt Azure Key Vault-kulcs erőforrás-azonosítóját.Api-verzióként használja a 2020-01-01-preview verziót.
{
"$schema": "http://schema.management.azure.com/schemas/2014-04-01-preview/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"location": {
"type": "string"
},
"serverName": {
"type": "string"
},
"keyVaultName": {
"type": "string",
"metadata": {
"description": "Key vault name where the key to use is stored"
}
},
"keyVaultResourceGroupName": {
"type": "string",
"metadata": {
"description": "Key vault resource group name where it is stored"
}
},
"keyName": {
"type": "string",
"metadata": {
"description": "Key name in the key vault to use as encryption protector"
}
},
"keyVersion": {
"type": "string",
"metadata": {
"description": "Version of the key in the key vault to use as encryption protector"
}
}
},
"variables": {
"serverKeyName": "[concat(parameters('keyVaultName'), '_', parameters('keyName'), '_', parameters('keyVersion'))]"
},
"resources": [
{
"type": "Microsoft.DBforPostgreSQL/servers",
"apiVersion": "2017-12-01",
"kind": "",
"location": "[parameters('location')]",
"identity": {
"type": "SystemAssigned"
},
"name": "[parameters('serverName')]",
"properties": {
}
},
{
"type": "Microsoft.Resources/deployments",
"apiVersion": "2019-05-01",
"name": "addAccessPolicy",
"resourceGroup": "[parameters('keyVaultResourceGroupName')]",
"dependsOn": [
"[resourceId('Microsoft.DBforPostgreSQL/servers', parameters('serverName'))]"
],
"properties": {
"mode": "Incremental",
"template": {
"$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"resources": [
{
"type": "Microsoft.KeyVault/vaults/accessPolicies",
"name": "[concat(parameters('keyVaultName'), '/add')]",
"apiVersion": "2018-02-14-preview",
"properties": {
"accessPolicies": [
{
"tenantId": "[subscription().tenantId]",
"objectId": "[reference(resourceId('Microsoft.DBforPostgreSQL/servers/', parameters('serverName')), '2017-12-01', 'Full').identity.principalId]",
"permissions": {
"keys": [
"get",
"wrapKey",
"unwrapKey"
]
}
}
]
}
}
]
}
}
},
{
"name": "[concat(parameters('serverName'), '/', variables('serverKeyName'))]",
"type": "Microsoft.DBforPostgreSQL/servers/keys",
"apiVersion": "2020-01-01-preview",
"dependsOn": [
"addAccessPolicy",
"[resourceId('Microsoft.DBforPostgreSQL/servers', parameters('serverName'))]"
],
"properties": {
"serverKeyType": "AzureKeyVault",
"uri": "[concat(reference(resourceId(parameters('keyVaultResourceGroupName'), 'Microsoft.KeyVault/vaults/', parameters('keyVaultName')), '2018-02-14-preview', 'Full').properties.vaultUri, 'keys/', parameters('keyName'), '/', parameters('keyVersion'))]"
}
}
]
}
Következő lépések
További információ az adattitkosításról: Azure Database for PostgreSQL Egykiszolgálós adattitkosítás ügyfél által felügyelt kulccsal.