Konfigurera kundhanterade nycklar med hanterad maskinvarusäkerhetsmodul för Azure NetApp Files-volymkryptering

Azure NetApp Files-volymkryptering med kundhanterade nycklar med den hanterade maskinvarusäkerhetsmodulen (HSM) är ett tillägg till kundhanterade nycklar för krypteringsfunktionen för Azure NetApp Files-volymer. Med kundhanterade nycklar med HSM kan du lagra dina krypteringsnycklar i en säkrare FIPS 140-2 HSM på nivå 3 i stället för FIPS 140-2 nivå 1- eller nivå 2-tjänsten som används av Azure Key Vault (AKV).

Krav

• Kundhanterade nycklar med hanterad HSM stöds med hjälp av API-versionen 2022.11 eller senare.
• Kundhanterade nycklar med hanterad HSM stöds endast för Azure NetApp Files-konton som inte har befintlig kryptering.
• Innan du skapar en volym med en kundhanterad nyckel med hanterad HSM-volym måste du ha:
  • skapat ett Azure Key Vault som innehåller minst en nyckel.
    • Nyckelvalvet måste ha mjuk borttagning och skydd mot rensning aktiverat.
    • Nyckeln måste vara av RSA-typ.
  • skapat ett virtuellt nätverk med ett undernät som delegerats till Microsoft.Netapp/volymer.
  • en användar- eller systemtilldelad identitet för ditt Azure NetApp Files-konto.
  • Installerade och aktiverade en hanterad HSM.

Regioner som stöds

• Centrala Australien
• Australien Central 2
• Australien, östra
• Australien, sydöstra
• Sydbrasilien
• Brasilien, sydöstra
• Centrala Kanada
• Kanada, östra
• Centrala Indien
• Centrala USA
• Asien, östra
• Östra USA
• USA, östra 2
• Centrala Frankrike
• Tyskland, norra
• Tyskland, västra centrala
• Centrala Israel
• Italien, norra
• Japan, östra
• Västra Japan
• Korea Centrala
• Sydkorea
• USA, norra centrala
• Europa, norra
• Norge, östra
• Norge, västra
• Centrala Qatar
• Sydafrika, norra
• Södra centrala USA
• Södra Indien
• Sydostasien
• Centrala Spanien
• Centrala Sverige
• Schweiz, norra
• Schweiz, västra
• Centrala Förenade Arabemiraten
• Förenade Arabemiraten, norra
• Storbritannien, södra
• Storbritannien Väst
• Europa, västra
• Västra USA
• Västra USA 2
• Västra USA 3

Konfigurera kundhanterade nycklar med hanterad HSM för systemtilldelad identitet

När du konfigurerar kundhanterade nycklar med en systemtilldelad identitet konfigurerar Azure NetApp-kontot automatiskt genom att lägga till en systemtilldelad identitet. Åtkomstprincipen skapas i Azure Key Vault med nyckelbehörigheter för Get, Encrypt och Decrypt.

Krav

Om du vill använda en systemtilldelad identitet måste Azure Key Vault konfigureras för att använda vault-åtkomstprincipen som sin behörighetsmodell. Annars måste du använda en användartilldelad identitet.

Steg

1. I Azure Portal navigerar du till Azure NetApp Files och väljer sedan Kryptering.

2. I menyn Kryptering anger du följande värden:

   • För Krypteringsnyckelkälla väljer du Kundhanterad nyckel.
   • För Nyckel-URI väljer du Ange nyckel-URI och anger sedan URI:n för den hanterade HSM:n.
   • Välj NetApp-prenumerationen.
   • Som Identitetstyp väljer du Systemtilldelad.

   

3. Välj Spara.

Konfigurera kundhanterade nycklar med hanterad HSM för användartilldelad identitet

1. I Azure Portal navigerar du till Azure NetApp Files och väljer sedan Kryptering.

2. I menyn Kryptering anger du följande värden:

   • För Krypteringsnyckelkälla väljer du Kundhanterad nyckel.
   • För Nyckel-URI väljer du Ange nyckel-URI och anger sedan URI:n för den hanterade HSM:n.
   • Välj NetApp-prenumerationen.
   • Som Identitetstyp väljer du Användartilldelad.

3. När du väljer Användartilldelad öppnas ett kontextfönster för att välja identiteten.

   • Om ditt Azure Key Vault har konfigurerats för att använda en åtkomstprincip för valv konfigurerar Azure NetApp-kontot automatiskt och lägger till den användartilldelade identiteten till ditt NetApp-konto. Åtkomstprincipen skapas i Azure Key Vault med nyckelbehörigheter för Get, Encrypt och Decrypt.
   • Om ditt Azure Key Vault har konfigurerats för att använda rollbaserad åtkomstkontroll i Azure (RBAC) kontrollerar du att den valda användartilldelade identiteten har en rolltilldelning i nyckelvalvet med behörigheter för dataåtgärder:
     • "Microsoft.KeyVault/vaults/keys/read"
     • "Microsoft.KeyVault/vaults/keys/encrypt/action"
     • "Microsoft.KeyVault/vaults/keys/decrypt/action" Den användartilldelade identiteten som du väljer läggs till i ditt NetApp-konto. På grund av att RBAC är anpassningsbart konfigurerar Azure Portal inte åtkomst till nyckelvalvet. Mer information finns i Använda Azure RBAC-behörigheter för hemlighet, nyckel och certifikat med Key Vault

   

4. Välj Spara.

Nästa steg

• Konfigurera kundhanterade nycklar
• Vanliga frågor och svar om säkerhet