在 Azure Key Vault 中針對匯入/匯出服務使用客戶自控金鑰
Azure 匯入/匯出可保護用來透過加密金鑰鎖定磁碟機的 BitLocker 金鑰。 根據預設，系統會使用 Microsoft 受控金鑰加密 BitLocker 金鑰。 若要進一步控制加密金鑰，您也可以提供客戶自控金鑰。
客戶自控金鑰必須在 Azure Key Vault 中建立和儲存。 如需 Azure 金鑰保存庫的詳細資訊，請參閱 什麼是 Azure 金鑰保存庫？
本文說明如何在 Azure 入口網站中搭配匯入/匯出服務使用客戶自控金鑰。
必要條件
在您開始前，請確定：
您已依照下列指示建立匯入或匯出作業：
您有現有的 Azure Key Vault，其中包含可用來保護 BitLocker 金鑰的金鑰。 若要了解如何使用 Azure 入口網站建立金鑰保存庫，請參閱快速入門：使用 Azure 入口網站建立 Azure Key Vault。
您現有的金鑰保存庫會設定虛刪除和不清除。 預設上不會啟用這些屬性。 若要啟用這些屬性，請參閱下列其中一篇文章中的啟用虛刪除和啟用清除保護幾節：
現有的金鑰保存庫應具有大小 2048 以上的 RSA 金鑰。 如需金鑰的相關詳細資訊，請參閱關於金鑰。
金鑰保存庫必須位於與您資料儲存體帳戶相同的區域。
如果您沒有現有的 Azure Key Vault ，也可以依照下一節的說明內嵌建立。
啟用金鑰
為匯入/匯出服務設定客戶自控金鑰是選擇性操作。 根據預設，匯入/匯出服務會使用 Microsoft 受控金鑰來保護 BitLocker 金鑰。 若要在 Azure 入口網站中啟用客戶自控金鑰，請遵循下列步驟：
前往匯入作業的 [概觀] 刀鋒視窗。
在右窗格中，選取 [選擇 BitLocker 金鑰的加密方式]。
在 [加密] 刀鋒視窗中，您可以檢視及複製裝置 BitLocker 金鑰。 在 [加密類型] 底下，您可以選擇保護 BitLocker 金鑰的方式。 預設上會使用 Microsoft 受控金鑰。
您可以選擇指定客戶自控金鑰。 選取客戶自控金鑰之後，請選取金鑰保存庫和金鑰。
在 [從 Azure Key Vault 選取金鑰] 刀鋒視窗中，會自動填入訂用帳戶。 針對 [金鑰保存庫]，您可以從下拉式清單中選取現有的金鑰保存庫。
您也可以選取 [建立新的]，以建立新的金鑰保存庫。 在 [建立金鑰保存庫] 刀鋒視窗中，輸入資源群組和金鑰保存庫名稱。 接受所有其他預設值。 選取 [檢閱 + 建立] 。
檢閱金鑰保存庫的相關資訊，然後選取 [建立]。 等待幾分鐘的時間，讓金鑰保存庫完成建立。
在 [從 Azure Key Vault 選取金鑰] 中，您可以選取現有金鑰保存庫中的金鑰。
如果您要建立新的金鑰保存庫，請選取 [新建] 以建立金鑰。 RSA 大小可以是 2048 以上。
如果您在建立金鑰保存庫時沒有啟用虛刪除和清除保護功能，金鑰保存庫將會更新為啟用虛刪除和清除保護功能。
提供金鑰的名稱，接受其他預設值，然後選取 [建立]。
選取 [版本]，然後選擇 [選取]。 系統會通知您已在金鑰保存庫中建立金鑰。
在 [加密] 刀鋒視窗中，您可以看到針對客戶自控金鑰選取的金鑰保存庫和金鑰。
重要
您只能在匯入/匯出作業的任何階段停用 Microsoft 受控金鑰，並改用客戶自控金鑰。 不過客戶自控金鑰一旦建立就無法停用。
針對客戶自控金鑰錯誤進行疑難排解
如果您收到與客戶自控金鑰相關的任何錯誤，請使用下表進行疑難排解：
| 錯誤碼 | 詳細資料 | 可復原？ |
|---|---|---|
| CmkErrorAccessRevoked | 撤銷對客戶自控金鑰的存取權。 | 是，檢查以下項目是否：
|
| CmkErrorKeyDisabled | 客戶自控金鑰已停用。 | 是，啟用金鑰版本 |
| CmkErrorKeyNotFound | 找不到客戶自控金鑰。 | 是，如果金鑰已刪除，但仍在清除期間內，請使用復原金鑰保存庫金鑰移除的操作。 其他情況下，
|
| CmkErrorVaultNotFound | 找不到客戶自控金鑰的金鑰保存庫。 | 如果金鑰保存庫已刪除：
另外，如果金鑰保存庫已移轉至不同的租用戶，可以使用下列其中一個步驟進行復原：
|