Door klant beheerde sleutels configureren voor DBFS met PowerShell

Artikel
05/23/2024

Notitie

Deze functie is alleen beschikbaar in het Premium-abonnement.

U kunt PowerShell gebruiken om uw eigen versleutelingssleutel te configureren voor het versleutelen van het opslagaccount van de werkruimte. In dit artikel wordt beschreven hoe u uw eigen sleutel configureert vanuit Azure Key Vault-kluizen. Zie HSM door de klant beheerde HSM-sleutels configureren voor DBFS met behulp van PowerShell voor instructies over het gebruik van een sleutel uit Azure Key Vault Managed HSM.

Zie voor meer informatie over door de klant beheerde sleutels voor DBFS de door de klant beheerde sleutels voor de DBFS-hoofdmap.

De Azure Databricks PowerShell-module installeren

Een nieuwe of bestaande Azure Databricks-werkruimte voorbereiden voor versleuteling

Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden. Dit <workspace-name> is de resourcenaam die wordt weergegeven in Azure Portal.

Versleuteling voorbereiden wanneer u een werkruimte maakt:

$workSpace = New-AzDatabricksWorkspace -Name <workspace-name> -Location <workspace-location> -ResourceGroupName <resource-group> -Sku premium -PrepareEncryption

Een bestaande werkruimte voorbereiden voor versleuteling:

$workSpace = Update-AzDatabricksWorkspace -Name <workspace-name> -ResourceGroupName <resource-group> -PrepareEncryption

Zie de naslaginformatie over Az.Databricks voor meer informatie over PowerShell-cmdlets voor Azure Databricks-werkruimten.

Een nieuwe sleutelkluis maken

De Azure Key Vault die u gebruikt voor het opslaan van door de klant beheerde sleutels voor standaard dbFS (root) moet twee instellingen voor sleutelbeveiliging zijn ingeschakeld, Voorlopig verwijderen en Beveiliging opschonen.

Belangrijk

De Key Vault moet zich in dezelfde Azure-tenant bevinden als uw Azure Databricks-werkruimte.

In versie 2.0.0 en hoger van de Az.KeyVault module is voorlopig verwijderen standaard ingeschakeld wanneer u een nieuwe Sleutelkluis maakt.

In het volgende voorbeeld wordt een nieuwe sleutelkluis gemaakt met de eigenschappen Voorlopig verwijderen en Beveiliging opschonen ingeschakeld. Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden.

$keyVault = New-AzKeyVault -Name <key-vault> `
     -ResourceGroupName <resource-group> `
     -Location <location> `
     -EnablePurgeProtection

Zie 'Voorlopig verwijderen inschakelen' en 'Beveiliging tegen opschonen inschakelen' in Key Vault met PowerShell voor meer informatie over het inschakelen van voorlopig verwijderen en opschonen van een bestaande sleutelkluis met PowerShell.

Key Vault-toegangsbeleid configureren

Stel het toegangsbeleid voor de Key Vault in, zodat de Azure Databricks-werkruimte toegang heeft tot de werkruimte met behulp van Set-AzKeyVaultAccessPolicy.

Set-AzKeyVaultAccessPolicy `
      -VaultName $keyVault.VaultName `
      -ObjectId $workspace.StorageAccountIdentity.PrincipalId `
      -PermissionsToKeys wrapkey,unwrapkey,get

een nieuwe sleutel maken

Maak een nieuwe sleutel in key vault met behulp van de cmdlet Add-AzKeyVaultKey . Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden.

$key = Add-AzKeyVaultKey -VaultName $keyVault.VaultName -Name <key> -Destination 'Software'

DBFS-hoofdopslag ondersteunt RSA- en RSA-HSM-sleutels van grootte 2048, 3072 en 4096. Zie voor meer informatie over sleutels Meer informatie over sleutels van Key Vault.

DBFS-versleuteling configureren met door de klant beheerde sleutels

Configureer uw Azure Databricks-werkruimte om de sleutel te gebruiken die u hebt gemaakt in uw Azure Key Vault. Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden.

Update-AzDatabricksWorkspace -ResourceGroupName <resource-group> `
      -Name <workspace-name>
     -EncryptionKeySource Microsoft.Keyvault `
     -EncryptionKeyName $key.Name `
     -EncryptionKeyVersion $key.Version `
     -EncryptionKeyVaultUri $keyVault.VaultUri

Door de klant beheerde sleutels uitschakelen

Wanneer u door de klant beheerde sleutels uitschakelt, wordt uw opslagaccount opnieuw versleuteld met door Microsoft beheerde sleutels.

Vervang de tijdelijke aanduidingen tussen haakjes door uw eigen waarden en gebruik de variabelen die in de vorige stappen zijn gedefinieerd.

Update-AzDatabricksWorkspace -Name <workspace-name> -ResourceGroupName <resource-group> -EncryptionKeySource Default

Delen via