你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Azure 数据资源管理器中为群集启用双重加密

创建群集时，数据将自动在服务级别加密。 为提高数据安全性，还可以额外启用双重加密。

启用双重加密后，存储帐户中的数据会使用两种不同的算法进行两次加密。

重要

• 只能在创建群集期间启用双重加密。
• 在群集上启用基础结构加密后，无法禁用这种加密。

Azure 门户

1. 创建 Azure 数据资源管理器群集

2. 在“安全性”选项卡 >“启用双重加密”中，选择“打开”。 若要删除双重加密，请选择“关闭”。

3. 选择“下一页: 网络 >”或“查看 + 创建”以创建群集。

   

C#

在创建群集期间可以使用 C# 启用基础结构加密。

先决条件

使用 Azure 数据资源管理器 C# 客户端设置托管标识：

• 安装 Azure 数据资源管理器 NuGet 包。
• 安装 Microsoft.IdentityModel.Clients.ActiveDirectory NuGet 包以进行身份验证。
• 创建可访问资源的 Azure Active Directory 应用程序和服务主体。 我们在订阅范围添加角色分配，并获取所需的 Directory (tenant) ID、Application ID 和 Client Secret。

创建群集

1. 使用 enableDoubleEncryption 属性创建群集：

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";//Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";//Application ID
   var clientSecret = "PlaceholderClientSecret";//Client Secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var authenticationContext = new AuthenticationContext($"https://login.windows.net/{tenantId}");
   var credential = new ClientCredential(clientId, clientSecret);
   var result = await authenticationContext.AcquireTokenAsync(resource: "https://management.core.windows.net/", clientCredential: credential);
   
   var credentials = new TokenCredentials(result.AccessToken, result.AccessTokenType);
   
   var kustoManagementClient = new KustoManagementClient(credentials)
   {
       SubscriptionId = subscriptionId
   };
   
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var location = "East US";
   var skuName = "Standard_D13_v2";
   var tier = "Standard";
   var capacity = 5;
   var sku = new AzureSku(skuName, tier, capacity);
   var enableDoubleEncryption = true;
   var cluster = new Cluster(location, sku, enableDoubleEncryption: enableDoubleEncryption);
   await kustoManagementClient.Clusters.CreateOrUpdateAsync(resourceGroupName, clusterName, cluster);
   

2. 运行以下命令，检查群集是否已成功创建：

   kustoManagementClient.Clusters.Get(resourceGroupName, clusterName);
   

   如果结果包含带 Succeeded 值的 ProvisioningState，则表示已成功创建群集。

ARM 模板

在创建群集期间可以使用 Azure 资源管理器启用基础结构加密。

Azure 资源管理器模板可以用于自动化 Azure 资源部署。 若要详细了解如何部署到 Azure 数据资源管理器，请参阅使用 Azure 资源管理器模板创建 Azure 数据资源管理器群集和数据库。

使用 Azure 资源管理器模板添加系统分配的标识

添加“EnableDoubleEncryption”类型，告知 Azure 要为群集启用基础结构加密（双重加密）。

{
    "apiVersion": "2020-06-14",
    "type": "Microsoft.Kusto/clusters",
    "name": "[variables('clusterName')]",
    "location": "[resourceGroup().location]",
    "properties": {
        "trustedExternalTenants": [],
        "virtualNetworkConfiguration": null,
        "optimizedAutoscale": null,
        "enableDiskEncryption": false,
        "enableStreamingIngest": false,
        "enableDoubleEncryption": true,
    }
}

注意事项

以下注意事项适用于所选卷的加密：

• 最多可达一位数的性能影响
• 不能与沙盒配合使用

后续步骤

• 为群集启用磁盘加密
• 检查群集运行状况