Azure Key Vault에 저장된 고객 관리형 키를 사용하여 암호화 구성

아티클
07/27/2022
읽는 데 37분 걸림

Azure Storage는 미사용 스토리지 계정의 모든 데이터를 암호화합니다. 기본적으로 데이터는 Microsoft 관리형 키로 암호화됩니다. 암호화 키에 대한 추가 제어를 위해 사용자 고유의 키를 관리할 수 있습니다. 고객 관리형 키는 Azure Key Vault 또는 Key Vault 관리형 HSM(하드웨어 보안 모델)에 저장되어 있어야 합니다.

이 문서에서는 Azure Portal, PowerShell 또는 Azure CLI를 사용하여 키 자격 증명 모음에 저장된 고객 관리형 키로 암호화를 구성하는 방법에 대해 알아봅니다. 관리형 HSM에 저장된 고객 관리형 키로 암호화를 구성하는 방법에 대한 자세한 내용은 Azure Key Vault 관리형 HSM에 저장된 고객 관리형 키로 암호화 구성을 참조하세요.

참고

Azure Key Vault 및 Azure Key Vault 관리형 HSM은 구성에 대해 동일한 API 및 관리 인터페이스를 지원합니다.

키 자격 증명 모음 구성

신규 또는 기존 키 자격 증명 모음을 사용하여 고객 관리형 키를 저장할 수 있습니다. 스토리지 계정 및 키 자격 증명 모음은 동일한 테넌트의 다른 지역 또는 구독에 있을 수 있습니다. Azure Key Vault에 대한 자세한 내용을 보려면 Azure Key Vault 개요 및 Azure Key Vault란?을 참조하세요.

Azure Storage 암호화에서 고객 관리형 키를 사용하려면 키 자격 증명 모음에 대해 일시 삭제 및 제거 보호를 모두 사용하도록 설정해야 합니다. 일시 삭제는 새 키 자격 증명 모음을 만들 때 기본적으로 사용하도록 설정되며 해제할 수 없습니다. 키 자격 증명 모음을 만들 때 또는 만든 후에 제거 보호를 사용하도록 설정할 수 있습니다.

Azure Portal을 사용하여 키 자격 증명 모음을 만드는 방법은 빠른 시작: Azure Portal을 사용하여 키 자격 증명 모음 만들기를 참조하세요. 키 자격 증명 모음을 만들 때 다음 그림에 표시된 것처럼 보호 제거 사용을 선택합니다.

Screenshot showing how to enable purge protection when creating a key vault

기존 키 자격 증명 모음에 보호 제거를 사용하도록 설정하려면 다음 단계를 수행합니다.

Azure Portal에서 키 자격 증명 모음으로 이동합니다.
설정 아래에서 속성을 선택합니다.
보호 제거 섹션에서 보호 제거 사용을 선택합니다.

PowerShell을 사용하여 새 키 자격 증명 모음을 만들려면 버전 2.0.0 이상의 Az.KeyVault PowerShell 모듈을 설치합니다. 그런 다음 New-AzKeyVault를 호출하여 새 키 자격 증명 모음을 만듭니다. Az.KeyVault 모듈의 2.0.0 이상 버전을 사용하는 경우 새 키 자격 증명 모음을 만들 때 일시 삭제가 기본적으로 사용하도록 설정됩니다.

다음 예제에서는 일시 삭제 및 제거 보호를 모두 사용하도록 설정하여 새 키 자격 증명 모음을 만듭니다. 대괄호의 자리 표시자 값을 사용자 고유의 값으로 바꿔야 합니다.

$keyVault = New-AzKeyVault -Name <key-vault> `
    -ResourceGroupName <resource_group> `
    -Location <location> `
    -EnablePurgeProtection

PowerShell을 사용하여 기존 키 자격 증명 모음에 보호 제거를 사용하도록 설정하는 방법은 Azure Key Vault 복구 개요를 참조하세요.

Azure CLI를 사용하여 새 키 자격 증명 모음을 만들려면 az keyvault create를 호출합니다. 대괄호의 자리 표시자 값을 사용자 고유의 값으로 바꿔야 합니다.

az keyvault create \
    --name <key-vault> \
    --resource-group <resource_group> \
    --location <region> \
    --enable-purge-protection

Azure CLI를 사용하여 기존 키 자격 증명 모음에 보호 제거를 사용하도록 설정하는 방법은 Azure Key Vault 복구 개요를 참조하세요.

키 추가

다음으로 키 자격 증명 모음에 키를 추가합니다.

Azure Storage 암호화는 2048, 3072, 4096 크기의 RSA 및 RSA HSM 키를 지원합니다. 지원되는 키 유형에 대한 자세한 내용은 키 정보를 참조하세요.

Azure Portal을 사용하여 키를 추가하는 방법은 빠른 시작: Azure Portal을 사용하여 Azure Key Vault에서 키 설정 및 검색을 참조하세요.

PowerShell을 사용하여 키를 추가하려면 Add-AzKeyVaultKey를 호출합니다. 대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName `
    -Name <key> `
    -Destination 'Software'

Azure CLI를 사용하여 키를 추가하려면 az keyvault key create를 호출합니다. 대괄호의 자리 표시자 값을 사용자 고유의 값으로 바꿔야 합니다.

az keyvault key create \
    --name <key> \
    --vault-name <key-vault>

키 자격 증명 모음에 대한 액세스 권한을 부여하기 위한 관리 ID 선택

스토리지 계정에 대해 고객 관리형 키를 사용하도록 설정하는 경우 해당 키가 포함된 키 자격 증명 모음에 대한 액세스 권한을 부여하는 데 사용할 관리 ID를 지정해야 합니다. 관리 ID에는 키 자격 증명 모음의 키에 액세스할 수 있는 권한이 있어야 합니다.

키 자격 증명 모음에 대한 액세스 권한을 부여하는 관리 ID는 다음과 같은 시나리오에 따라 사용자가 할당한 관리 ID이거나 시스템이 할당한 관리 ID일 수 있습니다.

스토리지 계정을 만들 때 고객 관리형 키를 구성하는 경우 사용자가 할당한 관리 ID를 지정해야 합니다.
기존 스토리지 계정에서 고객 관리형 키를 구성하는 경우에는 사용자가 할당한 관리 ID 또는 시스템이 할당한 관리 ID를 지정할 수 있습니다.

시스템이 할당한 관리 ID와 사용자가 할당한 관리 ID에 대해 자세히 알아보려면 관리 ID 유형을 참조하세요.

사용자가 할당한 관리 ID를 사용하여 액세스 권한 부여

사용자 할당은 독립 실행형 Azure 리소스입니다. 사용자가 할당한 관리 ID를 만들고 관리하는 방법에 대해 자세히 알아보려면 사용자 할당 관리 ID 관리를 참조하세요.

새 스토리지 계정과 기존 스토리지 계정 모두 사용자 할당 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여할 수 있습니다. 고객 관리형 키를 구성하기 전에 사용자 할당 ID를 만들어야 합니다.

Azure Portal을 사용하여 고객 관리형 키를 구성하는 경우 포털 사용자 인터페이스를 통해 기존 사용자 할당 ID를 선택할 수 있습니다. 자세한 내용은 다음 섹션 중 하나를 참조하세요.

새 계정에 대해 고객 관리형 키 구성
기존 계정에 대해 고객 관리형 키 구성

사용자가 할당한 관리 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여하려면 사용자가 할당한 관리 ID의 리소스 ID 및 주체 ID가 필요합니다. Get-AzUserAssignedIdentity를 호출하여 사용자가 할당한 관리 ID를 가져온 다음, 리소스 ID 및 주체 ID를 변수에 저장합니다. 이후 단계에서 이러한 값이 필요합니다.

$userIdentityId = Get-AzUserAssignedIdentity -Name <user-assigned-identity> -ResourceGroupName <resource-group>
$principalId = $userIdentity.PrincipalId

사용자가 할당한 관리 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여하려면 사용자가 할당한 관리 ID의 리소스 ID 및 주체 ID가 필요합니다. az identity show 명령을 호출하여 사용자가 할당한 관리 ID를 가져온 다음, 리소스 ID 및 주체 ID를 변수에 저장합니다. 이후 단계에서 이러한 값이 필요합니다.

userIdentityId=$(az identity show --name sample-user-assigned-identity --resource-group storagesamples-rg --query id)
principalId=$(az identity show --name sample-user-assigned-identity --resource-group storagesamples-rg --query principalId)

시스템이 할당한 관리 ID를 사용하여 액세스 권한 부여

시스템이 할당한 관리 ID는 Azure 서비스 인스턴스와 연결됩니다(이 경우 Azure Storage 계정). 시스템이 할당한 관리 ID를 사용하여 고객 관리형 키가 포함된 키 자격 증명 모음에 대한 액세스 권한을 부여하려면 먼저 스토리지 계정에 시스템이 할당한 관리 ID를 명시적으로 할당해야 합니다.

기존 스토리지 계정만 시스템 할당 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여할 수 있습니다. 계정 생성 시 고객 관리형 키를 구성한 경우 새 스토리지 계정은 사용자 할당 ID를 사용해야 합니다.

시스템이 할당한 관리 ID를 사용하여 Azure Portal에서 고객 관리형 키를 구성하면 시스템이 할당한 관리 ID가 내부적으로 스토리지 계정에 할당됩니다. 자세한 내용은 기존 계정에 대해 고객 관리형 키 구성을 참조하세요.

시스템이 할당한 관리 ID를 스토리지 계정에 할당하려면 Set-AzStorageAccount를 호출합니다.

$storageAccount = Set-AzStorageAccount -ResourceGroupName <resource_group> `
    -Name <storage-account> `
    -AssignIdentity

다음으로, 시스템이 할당한 관리 ID에 대한 주체 ID를 가져와 변수에 저장합니다. 다음 단계에서 키 자격 증명 모음 액세스 정책을 만드는 데 이 값이 필요합니다.

$principalId = $storageAccount.Identity.PrincipalId

시스템이 할당한 관리 ID를 사용하여 키 자격 증명 모음에 대한 액세스를 인증하려면 az storage account update를 호출하여 스토리지 계정에 시스템이 할당한 관리 ID를 할당합니다.

az storage account update \
    --name <storage-account> \
    --resource-group <resource_group> \
    --assign-identity

principalId = $(az storage account show --name <storage-account> --resource-group <resource_group> --query identity.principalId)

키 자격 증명 모음 액세스 정책 구성

다음 단계는 키 자격 증명 모음 액세스 정책을 구성하는 것입니다. 키 자격 증명 모음 액세스 정책은 키 자격 증명 모음에 대한 액세스 권한을 부여하는 데 사용할 관리 ID에 대한 권한을 부여합니다. 키 자격 증명 모음 액세스 정책에 대한 자세한 내용은 Azure Key Vault 개요 및 Azure Key Vault 보안 개요를 참조하세요.

Azure Portal을 사용하여 키 자격 증명 모음 액세스 정책을 구성하는 방법에 대해 자세히 알아보려면 Azure Key Vault 액세스 정책 할당을 참조하세요.

PowerShell을 사용하여 키 자격 증명 모음 액세스 정책을 구성하려면 Set-AzKeyVaultAccessPolicy를 호출하여 이전에 관리 ID에 대해 찾아온 주체 ID에 대한 변수를 제공합니다.

Set-AzKeyVaultAccessPolicy `
    -VaultName $keyVault.VaultName `
    -ObjectId $principalId `
    -PermissionsToKeys wrapkey,unwrapkey,get

PowerShell을 사용하여 키 자격 증명 모음 액세스 정책을 할당하는 방법에 대해 자세히 알아보려면 Azure Key Vault 액세스 정책 할당을 참조하세요.

PowerShell을 사용하여 키 자격 증명 모음 액세스 정책을 구성하려면 az keyvault set-policy를 호출하여 이전에 관리 ID에 대해 찾아온 주체 ID에 대한 변수를 제공합니다.

az keyvault set-policy \
    --name <key-vault> \
    --resource-group <resource_group>
    --object-id $principalId \
    --key-permissions get unwrapKey wrapKey

Azure CLI를 사용하여 키 자격 증명 모음 액세스 정책을 할당하는 방법에 대해 자세히 알아보려면 Azure Key Vault 액세스 정책 할당을 참조하세요.

새 계정에 대해 고객 관리형 키 구성

새 스토리지 계정에 대해 고객 관리형 키를 사용하여 암호화를 구성하는 경우 연결된 키 자격 증명 모음에서 새 버전을 사용할 수 있을 때마다 Azure Storage 암호화에 사용되는 키 버전을 자동으로 업데이트하도록 선택할 수 있습니다. 또는, 키 버전이 수동으로 업데이트될 때까지 암호화에 사용할 키 버전을 명시적으로 지정할 수 있습니다.

스토리지 계정을 만드는 동안 고객 관리형 키를 구성할 경우 기존의 사용자가 할당한 관리 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여해야 합니다. 사용자가 할당한 관리 ID에는 키 자격 증명 모음에 액세스할 수 있는 적절한 권한이 있어야 합니다.

키 버전 자동 업데이트를 통해 새 스토리지 계정에 대한 고객 관리형 키를 구성하려면 다음 단계를 수행합니다.

Azure Portal에서 스토리지 계정 페이지로 이동하고 만들기 단추를 선택하여 새 계정을 만듭니다.
스토리지 계정 만들기에 설명된 단계를 수행하여 기본, 고급, 네트워킹 및 데이터 보호 탭의 필드를 채웁니다.
암호화 탭의 고객 관리형 키에 대한 지원을 사용하도록 설정 필드에서 고객 관리형 키에 대한 지원을 사용하도록 설정하려는 서비스를 나타냅니다.
암호화 유형 필드에서 CMK(고객 관리형 키)를 선택합니다.
암호화 키 필드에서 키 자격 증명 모음 및 키 선택을 선택하고 키 자격 증명 모음과 키를 지정합니다.
사용자 할당 ID 필드의 경우 기존의 사용자가 할당한 관리 ID를 선택합니다.
검토 + 만들기를 선택하여 새 계정의 유효성을 검사하고 만듭니다.

새 스토리지 계정을 만들 때 키 버전의 수동 업데이트를 사용하여 고객 관리형 키를 구성할 수도 있습니다. 암호화에서 키 버전 수동 업데이트 구성에 설명된 단계를 따릅니다.

키 버전 자동 업데이트를 통해 새 스토리지 계정에 대한 고객 관리형 키를 구성하려면 다음 예제와 같이 New-AzStorageAccount를 호출합니다. 사용자가 할당한 관리 ID에 대한 리소스 ID에 대해 이전에 만든 변수를 사용합니다. 키 자격 증명 모음 URI 및 키 이름도 필요합니다.

New-AzStorageAccount -ResourceGroupName <resource-group> `
    -Name <storage-account> `
    -Kind StorageV2 `
    -SkuName Standard_LRS `
    -Location $location `
    -IdentityType SystemAssignedUserAssigned `
    -UserIdentityId $userIdentityId `
    -KeyVaultUri $keyVault.VaultUri `
    -KeyName $key.Name `
    -KeyVaultUserAssignedIdentityId $userIdentityId

키 버전 자동 업데이트를 통해 새 스토리지 계정에 대한 고객 관리형 키를 구성하려면 다음 예제와 같이 az storage account create를 호출합니다. 사용자가 할당한 관리 ID에 대한 리소스 ID에 대해 이전에 만든 변수를 사용합니다. 키 자격 증명 모음 URI 및 키 이름도 필요합니다.

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --location <location> \
    --sku Standard_LRS \
    --kind StorageV2 \
    --identity-type SystemAssigned,UserAssigned \
    --user-identity-id <user-assigned-managed-identity> \
    --encryption-key-vault <key-vault-uri> \
    --encryption-key-name <key-name> \
    --encryption-key-source Microsoft.Keyvault \
    --key-vault-user-identity-id <user-assigned-managed-identity>

기존 계정에 대해 고객 관리형 키 구성

기존 스토리지 계정에 대해 고객 관리형 키를 사용하여 암호화를 구성하는 경우 연결된 키 자격 증명 모음에서 새 버전을 사용할 수 있을 때마다 Azure Storage 암호화에 사용되는 키 버전을 자동으로 업데이트하도록 선택할 수 있습니다. 또는, 키 버전이 수동으로 업데이트될 때까지 암호화에 사용할 키 버전을 명시적으로 지정할 수 있습니다.

기존 스토리지 계정에 대해 고객 관리형 키를 구성할 경우 시스템이 할당한 관리 ID 또는 사용자가 할당한 관리 ID를 사용하여 키 자격 증명 모음에 대한 액세스 권한을 부여할 수 있습니다.

참고

키를 회전하려면 Azure Key Vault에서 새 버전의 키를 만듭니다. Azure Storage는 키 회전을 처리하지 않으므로 키 자격 증명 모음에서 키 회전을 관리해야 합니다. Azure Key Vault에서 키 자동 회전을 구성하거나 키를 수동으로 회전할 수 있습니다.

암호화에서 키 버전 자동 업데이트 구성

Azure Storage는 키 자격 증명 모음의 최신 키 버전을 사용하도록 암호화에 사용되는 고객 관리형 키를 자동으로 업데이트할 수 있습니다. Azure Storage는 매일 키 자격 증명 모음에서 새 키 버전을 확인합니다. 새 버전을 사용할 수 있게 되면 Azure Storage에서 자동으로 최신 버전의 암호화 키를 사용하기 시작합니다.

중요

Azure Storage는 키 자격 증명 모음에서 새 키 버전을 매일 한 번만 확인합니다. 키를 회전하는 경우 이전 버전을 사용하지 않도록 설정할 때까지 24시간 동안 기다려야 합니다.

Azure Portal에서 키 버전 자동 업데이트를 사용하여 기존 계정에 대한 고객 관리형 키를 구성하려면 다음 단계를 수행합니다.

스토리지 계정으로 이동합니다.
스토리지 계정에 대한 설정 블레이드에서 암호화를 클릭합니다. 기본적으로 키 관리는 다음 이미지와 같이 Microsoft 관리 키로 설정됩니다.
고객 관리형 키 옵션을 선택합니다.
Key Vault에서 선택 옵션을 선택합니다.
키 자격 증명 모음 및 키 선택을 선택합니다.
사용하려는 키가 포함된 키 자격 증명 모음을 선택합니다. 새 키 자격 증명 모음을 만들 수도 있습니다.
키 자격 증명 모음에서 키를 선택합니다. 새 키를 만들 수도 있습니다.
키 자격 증명 모음에 대한 액세스를 인증하는 데 사용할 ID 유형을 선택합니다. 옵션에는 시스템 할당(기본값) 또는 사용자 할당이 포함됩니다. 관리 ID의 각 유형에 대해 자세히 알아보려면 관리 ID 유형을 참조하세요.
1. 시스템 할당을 선택하면 스토리지 계정에 대한 시스템이 할당한 관리 ID가 아직 없는 경우 사용자에게 보이지 않게 만들어집니다.
2. 사용자 할당을 선택하면 키 자격 증명 모음에 액세스할 수 있는 권한이 있는 기존의 사용자 할당 ID를 선택해야 합니다. 사용자가 할당한 ID를 만드는 방법을 알아보려면 사용자가 할당한 관리 ID 관리를 참조하세요.
변경 내용을 저장합니다.

키를 지정하면 Azure Portal은 키 버전 자동 업데이트가 사용하도록 설정되어 있음을 나타내고 현재 암호화에 사용 중인 키 버전을 표시합니다. 또한 포털에서는 키 자격 증명 모음에 대한 액세스 권한을 부여하는 데 사용되는 관리 ID 유형과 관리 ID에 대한 주체 ID를 표시합니다.

Screenshot showing automatic updating of the key version enabled

PowerShell에서 키 버전 자동 업데이트를 사용하여 기존 계정에 대한 고객 관리형 키를 구성하려면 Az.Storage 모듈 버전 2.0.0 이상을 설치합니다.

그런 다음, Set-AzStorageAccount를 호출하여 스토리지 계정의 암호화 설정을 업데이트하고 키 버전을 생략합니다. -KeyvaultEncryption 옵션을 포함하여 스토리지 계정에 대해 고객 관리형 키를 사용하도록 설정합니다.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -KeyvaultEncryption `
    -KeyName $key.Name `
    -KeyVaultUri $keyVault.VaultUri

Azure CLI에서 키 버전 자동 업데이트를 사용하여 기존 계정에 대한 고객 관리형 키를 구성하려면 Azure CLI 버전 2.4.0 이상을 설치합니다. 자세한 내용은 Azure CLI 설치를 참조하세요.

그런 다음, az storage account update를 호출하여 스토리지 계정의 암호화 설정을 업데이트하고 키 버전을 생략합니다. --encryption-key-source 매개 변수를 포함하고 이를 Microsoft.Keyvault로 설정하여 계정에서 고객 관리형 키를 사용하도록 설정합니다.

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)
az storage account update
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-name <key> \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $key_vault_uri

암호화에서 키 버전 수동 업데이트 구성

키 버전을 수동으로 업데이트하려면 암호화에서 고객 관리형 키를 구성할 때 버전을 명시적으로 지정합니다. 이 경우 Azure Storage는 자격 증명 모음에서 새 버전을 만들 때 키 버전을 자동으로 업데이트하지 않습니다. 새 키 버전을 사용하려면 Azure Storage 암호화에 사용되는 버전을 수동으로 업데이트해야 합니다.

Azure Portal에서 키 버전 수동 업데이트를 사용하도록 고객 관리형 키를 구성하려면 버전을 포함하여 키 URI를 지정합니다. 키를 URI로 지정하려면 다음 단계를 수행합니다.

Azure Portal에서 키 URI를 찾으려면 키 자격 증명 모음으로 이동하여 키 설정을 선택합니다. 원하는 키를 선택한 다음, 키를 클릭하여 버전을 확인합니다. 키 버전을 선택하여 해당 버전의 설정을 봅니다.
URI를 제공하는 키 식별자 필드의 값을 복사합니다.
스토리지 계정에 대한 암호화 키 설정에서 키 URI 입력 옵션을 선택합니다.
복사한 URI를 키 URI 필드에 붙여넣습니다. 키 버전 자동 업데이트를 사용하도록 설정하려면 URI에서 키 버전을 생략합니다.
키 자격 증명 모음을 포함하는 구독을 지정합니다.
시스템이 할당한 관리 ID 또는 사용자가 할당한 관리 ID를 지정합니다.
변경 내용을 저장합니다.

키 버전 수동 업데이트를 사용하도록 고객 관리형 키를 구성하려면 스토리지 계정의 암호화를 구성할 때 키 버전을 명시적으로 제공합니다. 다음 예제와 같이 Set-AzStorageAccount를 호출하여 스토리지 계정의 암호화 설정을 업데이트하고 -KeyvaultEncryption 옵션을 포함하여 스토리지 계정에 고객 관리형 키를 사용하도록 설정합니다.

대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -KeyvaultEncryption `
    -KeyName $key.Name `
    -KeyVersion $key.Version `
    -KeyVaultUri $keyVault.VaultUri

키 버전을 수동으로 업데이트할 때 새 버전을 사용하도록 스토리지 계정의 암호화 설정을 업데이트해야 합니다. 먼저 Get-AzKeyVaultKey를 호출하여 최신 버전의 키를 가져옵니다. 그런 다음 이전 예제와 같이 Set-AzStorageAccount를 호출하여 새 버전의 키를 사용하도록 스토리지 계정의 암호화 설정을 업데이트합니다.

키 버전 수동 업데이트를 사용하도록 고객 관리형 키를 구성하려면 스토리지 계정의 암호화를 구성할 때 키 버전을 명시적으로 제공합니다. 다음 예제와 같이 az storage account update를 호출하여 스토리지 계정의 암호화 설정을 업데이트합니다. --encryption-key-source 매개 변수를 포함하고 이를 Microsoft.Keyvault로 설정하여 계정에서 고객 관리형 키를 사용하도록 설정합니다.

대괄호의 자리 표시자 값을 사용자 고유의 값으로 바꿔야 합니다.

key_vault_uri=$(az keyvault show \
    --name <key-vault> \
    --resource-group <resource_group> \
    --query properties.vaultUri \
    --output tsv)
key_version=$(az keyvault key list-versions \
    --name <key> \
    --vault-name <key-vault> \
    --query [-1].kid \
    --output tsv | cut -d '/' -f 6)
az storage account update
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-name <key> \
    --encryption-key-version $key_version \
    --encryption-key-source Microsoft.Keyvault \
    --encryption-key-vault $key_vault_uri

키 버전을 수동으로 업데이트할 때 새 버전을 사용하도록 스토리지 계정의 암호화 설정을 업데이트해야 합니다. 먼저 az keyvault show를 호출하여 키 자격 증명 모음 URI를 쿼리하고 az keyvault key list-versions를 호출하여 키 버전을 쿼리합니다. 그런 다음 이전 예제와 같이 az storage account update를 호출하여 새 버전의 키를 사용하도록 스토리지 계정의 암호화 설정을 업데이트합니다.

키 변경

Azure Storage 암호화에 사용하는 키는 언제든지 변경할 수 있습니다.

Azure Portal을 사용하여 키를 변경하려면 다음 단계를 수행합니다.

스토리지 계정으로 이동하여 암호화 설정을 표시합니다.
키 자격 증명 모음을 선택하고 새 키를 선택합니다.
변경 내용을 저장합니다.

고객 관리형 키 철회

고객 관리형 키를 철회하면 스토리지 계정과 키 자격 증명 모음 간의 연결이 제거됩니다.

Azure Portal을 사용하여 고객 관리형 키를 철회하려면 고객 관리형 키 사용 안 함에 설명된 대로 키를 사용하지 않도록 설정합니다.

키 자격 증명 모음 액세스 정책을 제거하여 고객 관리형 키를 철회할 수 있습니다. PowerShell을 사용하여 고객 관리형 키를 철회하려면 다음 예제와 같이 Remove-AzKeyVaultAccessPolicy 명령을 호출합니다. 대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

Remove-AzKeyVaultAccessPolicy -VaultName $keyVault.VaultName `
    -ObjectId $storageAccount.Identity.PrincipalId `

키 자격 증명 모음 액세스 정책을 제거하여 고객 관리형 키를 철회할 수 있습니다. Azure CLI를 사용하여 고객 관리형 키를 철회하려면 다음 예제와 같이 az keyvault delete-policy 명령을 호출합니다. 대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

az keyvault delete-policy \
    --name <key-vault> \
    --object-id $storage_account_principal

고객 관리형 키 사용 안 함

고객 관리형 키를 사용하지 않도록 설정하면 스토리지 계정이 Microsoft 관리 키로 다시 암호화됩니다.

Azure Portal에서 고객 관리형 키를 사용하지 않도록 설정하려면 다음 단계를 수행합니다.

스토리지 계정으로 이동하여 암호화 설정을 표시합니다.
사용자 고유 키 사용 설정 옆에 있는 확인란의 선택을 취소합니다.

PowerShell을 사용하여 고객 관리형 키를 사용하지 않도록 설정하려면 다음 예제와 같이 -StorageEncryption 옵션을 사용하여 Set-AzStorageAccount 명령을 호출합니다. 대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

Set-AzStorageAccount -ResourceGroupName $storageAccount.ResourceGroupName `
    -AccountName $storageAccount.StorageAccountName `
    -StorageEncryption

Azure CLI를 사용하여 고객 관리형 키를 사용하지 않도록 설정하려면 다음 예제와 같이 az storage account update 명령을 호출하고 --encryption-key-source parameter를 Microsoft.Storage로 설정합니다. 대괄호 안의 자리 표시자 값을 사용자 고유의 값으로 바꾸고 위의 예제에 정의된 변수를 사용해야 합니다.

az storage account update
    --name <storage-account> \
    --resource-group <resource_group> \
    --encryption-key-source Microsoft.Storage