Door de klant beheerde HSM-sleutels voor DBFS configureren met behulp van de Azure CLI

Artikel
05/23/2024

Notitie

Deze functie is alleen beschikbaar in het Premium-abonnement.

U kunt de Azure CLI gebruiken om uw eigen versleutelingssleutel te configureren voor het versleutelen van het opslagaccount van de werkruimte. In dit artikel wordt beschreven hoe u uw eigen sleutel configureert vanuit azure Key Vault Managed HSM. Zie Door de klant beheerde sleutels configureren voor DBFS met behulp van de Azure CLI voor instructies over het gebruik van een sleutel uit Azure Key Vault-kluizen.

Belangrijk

De Key Vault moet zich in dezelfde Azure-tenant bevinden als uw Azure Databricks-werkruimte.

Zie voor meer informatie over door de klant beheerde sleutels voor DBFS de door de klant beheerde sleutels voor de DBFS-hoofdmap.

De Azure Databricks CLI-extensie installeren

Installeer de Azure CLI.
Installeer de Azure Databricks CLI-extensie.
```
az extension add --name databricks
```

Een nieuwe of bestaande Azure Databricks-werkruimte voorbereiden voor versleuteling

Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden. Dit <workspace-name> is de resourcenaam die wordt weergegeven in Azure Portal.

az login
az account set --subscription <subscription-id>

Voorbereiden op versleuteling tijdens het maken van de werkruimte:

az databricks workspace create --name <workspace-name> --location <workspace-location> --resource-group <resource-group> --sku premium --prepare-encryption

Een bestaande werkruimte voorbereiden voor versleuteling:

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --prepare-encryption

Let op het principalId veld in de storageAccountIdentity sectie van de opdrachtuitvoer. U geeft deze op als de waarde van de beheerde identiteit wanneer u de roltoewijzing voor uw Sleutelkluis configureert.

Zie de opdrachtreferentie az databricks workspace voor meer informatie over Azure CLI-opdrachten voor Azure Databricks-werkruimten.

Een door Azure Key Vault beheerde HSM en een HSM-sleutel maken

U kunt een bestaande beheerde HSM van Azure Key Vault gebruiken of een nieuwe quickstart maken en activeren: Een beheerde HSM inrichten en activeren met behulp van Azure CLI. Voor de beheerde HSM van Azure Key Vault moet Purge Protection zijn ingeschakeld.

Als u een HSM-sleutel wilt maken, volgt u Een HSM-sleutel maken.

De toewijzing van de beheerde HSM-rol configureren

Configureer een roltoewijzing voor de beheerde HSM van Key Vault, zodat uw Azure Databricks-werkruimte gemachtigd is om deze te openen. Vervang de tijdelijke aanduidingen tussen vierkante haken door uw eigen waarden.

az keyvault role assignment create \
        --role "Managed HSM Crypto Service Encryption User" \
        --scope "/" \
        --hsm-name <hsm-name> \
        --assignee-object-id <managed-identity>

Vervang <managed-identity> door de principalId waarde die u hebt genoteerd toen u uw werkruimte voorbereidde voor versleuteling.

DBFS-versleuteling configureren met door de klant beheerde sleutels

Configureer uw Azure Databricks-werkruimte om de sleutel te gebruiken die u hebt gemaakt in uw Azure Key Vault.

Vervang de tijdelijke aanduidingen door uw eigen waarden.

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --key-source Microsoft.KeyVault --key-name <key> --key-vault <hsm-uri> --key-version <key-version>

Door de klant beheerde sleutels uitschakelen

Wanneer u door de klant beheerde sleutels uitschakelt, wordt uw opslagaccount opnieuw versleuteld met door Microsoft beheerde sleutels.

Vervang de tijdelijke aanduidingen tussen haakjes door uw eigen waarden en gebruik de variabelen die in de vorige stappen zijn gedefinieerd.

az databricks workspace update --name <workspace-name> --resource-group <resource-group> --key-source Default

Delen via