Konfigurera kundhanterade nycklar för Azure NetApp Files-volymkryptering

Med kundhanterade nycklar för Azure NetApp Files-volymkryptering kan du använda dina egna nycklar i stället för en plattformshanterad nyckel när du skapar en ny volym. Med kundhanterade nycklar kan du helt hantera relationen mellan en nyckels livscykel, behörigheter för nyckelanvändning och granskningsåtgärder på nycklar.

Följande diagram visar hur kundhanterade nycklar fungerar med Azure NetApp Files:

1. Azure NetApp Files ger behörighet till krypteringsnycklar till en hanterad identitet. Den hanterade identiteten är antingen en användartilldelad hanterad identitet som du skapar och hanterar eller en systemtilldelad hanterad identitet som är associerad med NetApp-kontot.

2. Du konfigurerar kryptering med en kundhanterad nyckel för NetApp-kontot.

3. Du använder den hanterade identitet som Azure Key Vault-administratören beviljade behörigheter till i steg 1 för att autentisera åtkomst till Azure Key Vault via Microsoft Entra-ID.

4. Azure NetApp Files omsluter kontokrypteringsnyckeln med den kundhanterade nyckeln i Azure Key Vault.

   Kundhanterade nycklar påverkar inte prestanda för Azure NetApp Files. Den enda skillnaden från plattformshanterade nycklar är hur nyckeln hanteras.

5. För läs-/skrivåtgärder skickar Azure NetApp Files begäranden till Azure Key Vault för att packa upp kontokrypteringsnyckeln för att utföra krypterings- och dekrypteringsåtgärder.

Kundhanterade nycklar för klientövergripande är tillgängliga i alla regioner som stöds av Azure NetApp Files.

Att tänka på

• Om du vill skapa en volym med kundhanterade nycklar måste du välja standardnätverksfunktionerna. Du kan inte använda kundhanterade nyckelvolymer med volym konfigurerad med hjälp av grundläggande nätverksfunktioner. Följ anvisningarna i för att ange alternativet Nätverksfunktioner på sidan för att skapa volymer.
• För ökad säkerhet kan du välja alternativet Inaktivera offentlig åtkomst i nätverksinställningarna för ditt nyckelvalv. När du väljer det här alternativet måste du också välja Tillåt betrodda Microsoft-tjänster att kringgå den här brandväggen för att tillåta azure NetApp Files-tjänsten att komma åt din krypteringsnyckel.
• Kundhanterade nycklar stöder automatisk msi-certifikatförnyelse (Managed System Identity). Om certifikatet är giltigt behöver du inte uppdatera det manuellt.
• Om Azure NetApp Files inte kan skapa en kundhanterad nyckelvolym visas felmeddelanden. Mer information finns i Felmeddelanden och felsökning.
• Gör inga ändringar i den underliggande privata Azure Key Vault- eller Azure-slutpunkten när du har skapat en volym för kundhanterade nycklar. Att göra ändringar kan göra volymerna otillgängliga. Om du måste göra ändringar kan du läsa Uppdatera ip-adressen för den privata slutpunkten för kundhanterade nycklar.
• Azure NetApp Files stöder möjligheten att överföra befintliga volymer från plattformshanterade nycklar (PMK) till kundhanterade nycklar (CMK) utan datamigrering. Detta ger flexibilitet med krypteringsnyckelns livscykel (förnyelser, rotationer) och extra säkerhet för reglerade branschkrav.
• Om Azure Key Vault blir otillgängligt förlorar Azure NetApp Files sin åtkomst till krypteringsnycklarna och möjligheten att läsa eller skriva data till volymer som är aktiverade med kundhanterade nycklar. I sådant fall skapar du en supportbegäran för att få åtkomsten återställd manuellt för de berörda volymerna.
• Azure NetApp Files stöder kundhanterade nycklar på källa och datareplicationvolymer med replikering mellan regioner eller relationer för replikering mellan zoner.
• Användning av Azure-nätverkssäkerhetsgrupper (NSG) i det privata länkundernätet till Azure Key Vault stöds för kundhanterade Azure NetApp Files-nycklar. NSG:er påverkar inte anslutningen till privata länkar om inte en privat slutpunktsnätverksprincip är aktiverad i undernätet.
• Wrap/unwrap stöds inte. Kundhanterade nycklar använder kryptering/dekryptering. Mer information finns i RSA-algoritmer.

Krav

Innan du skapar din första kundhanterade nyckelvolym måste du konfigurera:

• Ett Azure Key Vault som innehåller minst en nyckel.
  • Nyckelvalvet måste ha soft delete och rensningsskydd aktiverat.
  • Nyckeln måste vara av typen RSA.
• Nyckelvalvet måste ha en privat Azure-slutpunkt.
  • Den privata slutpunkten måste finnas i ett annat undernät än den som delegeras till Azure NetApp Files. Undernätet måste finnas i samma virtuella nätverk som det som delegerats till Azure NetApp.

Mer information om Azure Key Vault och azure private endpoint finns i:

• Snabbstart: Skapa ett nyckelvalv
• Skapa eller importera en nyckel till valvet
• Skapa en privat slutpunkt
• Mer om nycklar och nyckeltyper som stöds
• Nätverkssäkerhetsgrupper
• Hantera nätverksprinciper för privata slutpunkter

Konfigurera ett NetApp-konto för att använda kundhanterade nycklar

Använd rollbaserad åtkomstkontroll

Du kan använda ett Azure Key Vault som är konfigurerat för att använda rollbaserad åtkomstkontroll i Azure. För att konfigurera kundhanterade nycklar via Azure Portal måste du ange en användartilldelad identitet.

1. I ditt Azure-konto går du till Nyckelvalv och sedan Åtkomstprinciper.

2. Om du vill skapa en åtkomstprincip väljer du Rollbaserad åtkomstkontroll i Azure under Behörighetsmodell.

3. När du skapar den användartilldelade rollen krävs tre behörigheter för kundhanterade nycklar:

   1. Microsoft.KeyVault/vaults/keys/read
   2. Microsoft.KeyVault/vaults/keys/encrypt/action
   3. Microsoft.KeyVault/vaults/keys/decrypt/action

   Även om det finns fördefinierade roller som innehåller dessa behörigheter, ger dessa roller fler privilegier än vad som krävs. Vi rekommenderar att du skapar en anpassad roll med endast de minsta behörigheter som krävs. Mer information finns i Anpassade Azure-roller.

   {
       "id": "/subscriptions/<subscription>/Microsoft.Authorization/roleDefinitions/<roleDefinitionsID>",
       "properties": {
           "roleName": "NetApp account",
           "description": "Has the necessary permissions for customer-managed key encryption: get key, encrypt and decrypt",
           "assignableScopes": [
               "/subscriptions/<subscriptionID>/resourceGroups/<resourceGroup>"
           ],
           "permissions": [
             {
               "actions": [],
               "notActions": [],
               "dataActions": [
                   "Microsoft.KeyVault/vaults/keys/read",
                   "Microsoft.KeyVault/vaults/keys/encrypt/action",
                   "Microsoft.KeyVault/vaults/keys/decrypt/action"
               ],
               "notDataActions": []
               }
           ]
         }
   }
   

4. När den anpassade rollen har skapats och är tillgänglig för användning med nyckelvalvet tillämpar du den på den användartilldelade identiteten.

Skapa en Azure NetApp Files-volym med kundhanterade nycklar

1. Från Azure NetApp Files väljer du Volymer och sedan + Lägg till volym.

2. Följ anvisningarna i Konfigurera nätverksfunktioner för en Azure NetApp Files-volym:

   • Ange alternativet Nätverksfunktioner på sidan för att skapa volymer.
   • Nätverkssäkerhetsgruppen för volymens delegerade undernät måste tillåta inkommande trafik från NetApps virtuella lagringsdator.

3. För ett NetApp-konto som är konfigurerat för att använda en kundhanterad nyckel innehåller sidan Skapa volym alternativet för krypteringsnyckelkälla.

   Om du vill kryptera volymen med din nyckel väljer du Customer-Managed Nyckel i listrutan Krypteringsnyckelkälla .

   När du skapar en volym med en kundhanterad nyckel måste du också välja Standard för alternativet Nätverksfunktioner . Grundläggande nätverksfunktioner stöds inte.

   Du måste välja en nyckelvalvets privata slutpunkt också. Den nedrullningsbara menyn visar privata slutpunkter i det valda virtuella nätverket. Om det inte finns någon privat slutpunkt för ditt nyckelvalv i det valda virtuella nätverket är listrutan tom och du kommer inte att kunna fortsätta. Om du stöter på det här scenariot kan du läsa Azure Private Endpoint.

   

4. Fortsätt att slutföra volymskapandeprocessen. Läs mer:

   • Skapa en NFS-volym
   • Skapa en SMB-volym
   • Skapa en volym med dubbla protokoll

Överföra en Azure NetApp Files-volym till kundhanterade nycklar

Azure NetApp Files stöder möjligheten att flytta befintliga volymer med plattformshanterade nycklar till kundhanterade nycklar. När du har slutfört migreringen kan du inte återgå till plattformshanterade nycklar.

Övergångsvolymer

1. Se till att du har konfigurerat ditt Azure NetApp Files-konto för att använda kundhanterade nycklar.
2. I Azure-portalen går du till Kryptering.
3. Välj fliken CMK-migrering .
4. I den nedrullningsbara menyn väljer du den privata slutpunkten för det virtuella nätverket och nyckelvalvet som du vill använda.
5. Azure genererar en lista över volymer som ska krypteras av din kundhanterade nyckel.
6. Välj Bekräfta för att initiera migreringen.

Ändra nyckelhantering för alla volymer under ett NetApp-konto

Om du redan har konfigurerat ditt NetApp-konto för kundhanterade nycklar och har en eller flera volymer krypterade med kundhanterade nycklar kan du ändra nyckeln som används för att kryptera alla volymer under NetApp-kontot. Du kan välja valfri nyckel som finns i samma nyckelvalv. Att byta nyckelvalv stöds inte.

1. Under ditt NetApp-konto går du till menyn Kryptering . Under fältet Aktuell nyckelinmatning väljer du länken Nyckel igen.

2. Välj en av de tillgängliga nycklarna i rullgardinsmenyn på Nyckel-menyn. Den valda nyckeln måste skilja sig från den aktuella nyckeln.

3. Välj OK för att spara. Omnycklingsoperationen kan ta några minuter.

Växla från systemtilldelad till användartilldelad identitet

Om du vill växla från systemtilldelad till användartilldelad identitet måste du ge målidentiteten åtkomst till nyckelvalvet som används med läs-/hämta-, krypterings- och dekrypteringsbehörigheter.

1. Uppdatera NetApp-kontot genom att skicka en PATCH-begäran med kommandot az rest :

   az rest -m PATCH -u <netapp-account-resource-id>?api-versions=2022-09-01 -b @path/to/payload.json
   

   Nyttolasten bör använda följande struktur:

   {
     "identity": {
       "type": "UserAssigned",
       "userAssignedIdentities": {
        "<identity-resource-id>": {}
       }
     },
     "properties": {
       "encryption": {
         "identity": {
           "userAssignedIdentity": "<identity-resource-id>"
         }
       }
     }
   }
   

2. Bekräfta att åtgärden har slutförts med az netappfiles account show kommandot . Utdata innehåller följande fält:

       "id": "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.NetApp/netAppAccounts/account",
       "identity": {
           "principalId": null,
           "tenantId": null,
           "type": "UserAssigned",
           "userAssignedIdentities": {
               "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>": {
                   "clientId": "<client-id>",
                   "principalId": "<principalId>",
                   "tenantId": <tenantId>"
               }
           }
       },
   

   Se till att du har gjort följande:

   • encryption.identity.principalId matchar värdet i identity.userAssignedIdentities.principalId
   • encryption.identity.userAssignedIdentity matchar värdet i identity.userAssignedIdentities[]

   "encryption": {
       "identity": {
           "principalId": "<principal-id>",
           "userAssignedIdentity": "/subscriptions/<subscriptionId>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity>"
       },
       "KeySource": "Microsoft.KeyVault",
   },
   

Uppdatera den privata slutpunkten

Att göra ändringar i den privata Azure-slutpunkten när du har skapat en kundhanterad nyckelvolym kan göra volymen otillgänglig. Om du behöver göra ändringar måste du skapa en ny slutpunkt och uppdatera volymen så att den pekar på den nya slutpunkten.

1. Skapa en ny slutpunkt mellan det virtuella nätverket och Azure Key Vault.
2. Uppdatera alla volymer med den gamla slutpunkten för att använda den nya slutpunkten.

   az netappfiles volume update --g $resource-group-name --account-name $netapp-account-name --pool-name $pool-name --name $volume-name --key-vault-private-endpoint-resource-id $newendpoint
   

3. Ta bort den gamla privata slutpunkten.

Nästa steg

• Felsöka kundhanterade nycklar
• Azure NetApp Files API
• Konfigurera kundhanterade nycklar med hanterad maskinvarusäkerhetsmodul
• Konfigurera kundhanterade nycklar mellan olika klientorganisationer
• Förstå datakryptering i Azure NetApp Files