为 Azure 托管磁盘配置 HSM 客户管理的密钥

计算平面中的 Azure Databricks 计算工作负荷将临时数据存储在 Azure 托管磁盘上。 默认情况下，将使用 Microsoft 托管的密钥通过服务器端加密对托管磁盘上存储的数据进行静态加密。 本文介绍如何从 Azure 密钥保管库 HSM 中为 Azure Databricks 工作区配置客户管理的密钥以用于托管磁盘加密。 有关使用 Azure 密钥保管库中的密钥的说明，请参阅使为 Azure 托管磁盘配置客户管理的密钥。

重要

• 托管磁盘存储的客户管理的密钥适用于数据磁盘，但不适用于操作系统 (OS) 磁盘。
• 托管磁盘存储的客户管理的密钥并不适用于无服务器计算资源，例如无服务器 SQL 仓库和模型服务。 无服务器计算资源使用的磁盘生存期较短，与无服务器工作负载的生命周期相关。 停止或纵向缩减计算资源时，VM 及其存储将被销毁。

要求

• Azure Databricks 工作区必须采用高级计划。

• 如果你要启用自动密钥轮换，请注意仅支持大小为 2048 位、3072 位和 4096 位的 RSA-HSM 密钥。

• 符合 FedRAMP 规范的工作区不支持此功能。 有关详细信息，请联系 Azure Databricks 客户团队。

• 要将 Azure CLI 用于这些任务，请安装 Azure CLI 工具并安装 Databricks 扩展：

  az extension add --name databricks
  

• 要将 Powershell 用于这些任务，请安装 Azure PowerShell 并安装 Databricks Powershell 模块。 此外，还必须登录：

  Connect-AzAccount
  

  要以用户身份登录到 Azure 帐户，请参阅使用 Azure Databricks 用户帐户登录 PowerShell。 要以服务主体身份登录到 Azure 帐户，请参阅使用 Microsoft Entra ID 服务主体进行 PowerShell 登录。

步骤 1：创建 Azure Key Vault 托管 HSM 和 HSM 密钥

可以使用现有的 Azure Key Vault 托管 HSM，也可以按照托管 HSM 文档中的快速入门创建和激活新的 HSM。 请参阅快速入门：使用 Azure CLI 预配和激活托管 HSM。 Azure Key Vault 托管 HSM 必须启用清除保护。

若要创建 HSM 密钥，请按照创建 HSM 密钥中的说明进行操作。

步骤 2：如果要更新工作区以初次添加密钥，请停止所有计算资源

如果你是初次在现有工作区中为托管磁盘添加客户管理的密钥，请先停止所有计算资源（群集、池、经典或专业 SQL 仓库），然后再更新。

更新完成后，可以启动已停止的计算资源。 对于已经为托管磁盘提供了客户管理的密钥的工作区，可以在不终止计算资源的情况下轮换密钥。

步骤 3：创建或更新工作区

可以使用 Azure 门户、Azure CLI 或 Azure Powershell 为托管磁盘创建或更新具有客户管理的密钥的工作区。

使用 Azure 门户

本部分介绍如何通过 Azure 门户中的使用托管磁盘的客户管理的密钥创建或更新工作区。

1. 开始创建或更新工作区：

   使用密钥创建新工作区：

   1. 转到 Azure 门户主页，然后单击页面左上角的“创建资源”。
   2. 在搜索栏中键入 Azure Databricks，然后单击“Azure Databricks”。
   3. 在“Azure Databricks”小组件中选择“创建”。
   4. 在“基本信息”和“网络”选项卡上的窗体字段中输入值。
   5. 在“加密”选项卡中，选中“托管磁盘”部分中的“使用自己的密钥”复选框。

   初次向现有工作区添加密钥：

   1. 转到 Azure 门户的 Azure Databricks 主页。
   2. 导航到现有的 Azure Databricks 工作区。
   3. 在左侧面板中打开“加密”选项卡。
   4. 在“客户管理的密钥”部分下，启用“托管磁盘”。

2. 设置加密字段。

   

   • 在“密钥标识符”字段中，粘贴托管 HSM 密钥的密钥标识符。
   • 在“订阅”下拉列表中，输入你的托管 HSM 密钥的订阅名称。
   • 若要启用密钥自动轮换，请启用“启用密钥自动轮换”。

3. 填写剩余的选项卡，然后单击“查看 + 创建”（若要新建工作区）或“保存”（若要更新工作区）。

4. 部署工作区后，导航到新的 Azure Databricks 工作区。

5. 在 Azure Databricks 工作区的“概述”选项卡中，单击“托管资源组”。

6. 在托管资源组的“概述”选项卡中，查找在此资源组中创建的“磁盘加密集”类型的对象。 复制磁盘加密集的名称。

使用 Azure CLI

对于新的和更新的工作区，请将以下参数添加到命令：

• disk-key-name：托管 HSM 名称
• disk-key-vault：托管 HSM URI
• disk-key-version：托管 HSM 版本
• disk-key-auto-rotation：为密钥启用自动轮换（true 或 false）。 这是一个可选字段。 默认为 false。

1. 创建或更新工作区：

   • 示例 - 使用以下托管磁盘参数创建工作区：

     az databricks workspace create --name <workspace-name> \
     --resource-group <resource-group-name> \
     --location <location> \
     --sku premium --disk-key-name <hsm-name> \
     --disk-key-vault <hsm-uri> \
     --disk-key-version <hsm-version> \
     --disk-key-auto-rotation <true-or-false>
     

   • 示例 - 使用以下托管磁盘参数更新工作区：

     az databricks workspace update \
     --name <workspace-name> \
     --resource-group <resource-group-name> \
     --disk-key-name <hsm-name> \
     --disk-key-vault <hsm-uri> \
     --disk-key-version <hsm-version> \
     --disk-key-auto-rotation <true-or-false>
     

   在上述任一命令的输出中存在一个 managedDiskIdentity 对象。 保存此对象中属性“principalId”的值。 在之后的步骤中，会将此值用作主体 ID。

使用 Powershell

对于新的和更新的工作区，请将以下参数添加到命令：

• location：工作区位置
• ManagedDiskKeyVaultPropertiesKeyName：托管 HSM 名称
• ManagedDiskKeyVaultPropertiesKeyVaultUri：托管 HSM URI
• ManagedDiskKeyVaultPropertiesKeyVersion：托管 HSM 版本
• ManagedDiskRotationToLatestKeyVersionEnabled：为密钥启用自动轮换（true 或 false）。 这是一个可选字段。 默认值为 false。

1. 创建或更新工作区：

   • 示例 - 使用以下托管磁盘参数创建工作区：

     $workspace = New-AzDatabricksWorkspace -Name <workspace-name> \
     -ResourceGroupName <resource-group-name> \
     -location <location> \
     -Sku premium \
     -ManagedDiskKeyVaultPropertiesKeyName <key-name> \
     -ManagedDiskKeyVaultPropertiesKeyVaultUri <hsm-uri> \
     -ManagedDiskKeyVaultPropertiesKeyVersion <key-version> -ManagedDiskRotationToLatestKeyVersionEnabled
     

   • 示例 - 使用以下托管磁盘参数更新工作区：

     $workspace = Update-AzDatabricksworkspace -Name <workspace-name> \
     -ResourceGroupName <resource-group-name> \
     -ManagedDiskKeyVaultPropertiesKeyName <key-name> \
     -ManagedDiskKeyVaultPropertiesKeyVaultUri <hsm-uri> \
     -ManagedDiskKeyVaultPropertiesKeyVersion <key-version> -ManagedDiskRotationToLatestKeyVersionEnabled
     

步骤 4：配置托管 HSM 角色分配

请为密钥保管库托管 HSM 配置角色分配，以便 Azure Databricks 工作区有权访问它。 可以使用 Azure 门户、Azure CLI 或 Powershell 配置角色分配。

使用 Azure 门户

1. 在 Azure 门户中转到你的托管 HSM 资源。
2. 在左侧菜单中的“设置”下，选择“本地 RBAC”。
3. 单击“添加” 。
4. 在“角色”字段中，选择“托管 HSM 加密服务加密用户”。
5. 在“范围”字段中，选择 All keys (/)。
6. 在“安全主体”字段的搜索栏中，输入 Azure Databricks 工作区的受管理资源组中的磁盘加密集名称。 选择结果。
7. 单击 “创建” 。

使用 Azure CLI

配置托管 HSM 角色分配。 将 <hsm-name> 替换为托管 HSM 名称，并将 <principal-id> 替换为上一步中 managedDiskIdentity 的主体 ID。

az keyvault role assignment create --role "Managed HSM Crypto Service Encryption User"
    --scope "/" --hsm-name <hsm-name>
    --assignee-object-id <principal-id>

使用 Azure PowerShell

将 <hsm-name> 替换为托管 HSM 名称。

New-AzKeyVaultRoleAssignment -HsmName <hsm-name> \
-RoleDefinitionName "Managed HSM Crypto Service Encryption User" \
-ObjectId $workspace.ManagedDiskIdentityPrincipalId

步骤 5：启动先前已终止的计算资源

仅当首次更新工作区以添加密钥时才必须执行此步骤，这种情况下，会终止任何上一步中正在运行的计算资源。 如果创建了新工作区或只是轮换密钥，则计算资源在上一步中未终止，在这种情况下，可以跳过此步骤。

1. 确保工作区更新已完成。 如果只是在模板中更改了密钥，则更新过程通常在 5 分钟内即可完成，否则可能需要更多时间。
2. 手动启动先前已终止的所有计算资源。

如果任何计算资源无法成功启动，原因通常是需要为磁盘加密集授予密钥保管库访问权限。

稍后轮换密钥

在已有密钥的现有工作区上，有两种类型的密钥轮换：

• 自动轮换：如果工作区的 rotationToLatestKeyVersionEnabled 设置为 true，则磁盘加密集将检测密钥版本更改并指向最新密钥版本。
• 手动轮换：可以使用新密钥更新现有托管磁盘客户管理的密钥工作区。 按照上面的说明操作，就如同最初将密钥添加到现有工作区一样，重要的差别在于，不需要终止任何正在运行的计算资源。

对于这两种轮换类型，Azure 虚拟机存储服务会自动选取新密钥，并使用它来加密数据加密密钥。 Azure Databricks 计算资源不受影响。 有关详细信息，请参阅 Azure 文档中的客户管理的密钥。

在轮换密钥之前不需要终止计算资源。