Die Datenverschlüsselung in Azure Database for PostgreSQL – flexibler Server konfigurieren

Verwenden Sie das Azure-Portal:

1. Konfigurieren Sie während der Bereitstellung eines neuen Azure Database for PostgreSQL flexiblen Servers die Datenverschlüsselung auf der Registerkarte "Sicherheit". Wählen Sie für den Datenverschlüsselungsschlüssel die Option "Dienstverwalteter Schlüssel" aus.

   

2. Wenn Sie den georedundanten Sicherungsspeicher zusammen mit dem Server bereitstellen, ändert sich der Aufbau der Registerkarte Sicherheit geringfügig, da der Server zwei separate Verschlüsselungsschlüssel verwendet: Ein Schlüssel ist für die primäre Region vorgesehen, in der Sie Ihren Server bereitstellen, und ein Schlüssel ist für die gepaarte Region vorgesehen, in die Serversicherungen asynchron repliziert werden.

   

Sie können die Datenverschlüsselung mithilfe eines vom System zugewiesenen Verschlüsselungsschlüssels aktivieren, während Sie einen neuen Server bereitstellen, indem Sie den Befehl "az postgres flexible-server create " verwenden.

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Verwenden Sie das Azure-Portal:

1. Erstellen Sie eine vom Benutzer zugewiesene verwaltete Identität, wenn Sie noch keine haben. Wenn Ihr Server georedundante Sicherungen aktiviert hat, müssen Sie zwei verschiedene Identitäten erstellen. Jede dieser Identitäten greift auf jeden der beiden Datenverschlüsselungsschlüssel zu.

1. Erstellen Sie eine Azure Key Vault, oder erstellen Sie ein verwaltetes HSM, wenn Sie noch keinen Schlüsselspeicher erstellt haben. Stellen Sie sicher, dass Sie die Anforderungen erfüllen. Folgen Sie außerdem den Empfehlungen, bevor Sie den Schlüsselspeicher konfigurieren, den Schlüssel erstellen und die erforderlichen Berechtigungen der benutzerseitig zugewiesenen verwalteten Identität zuweisen. Wenn georedundante Sicherungen auf Ihrem Server aktiviert ist, müssen Sie einen zweiten Schlüsselspeicher erstellen. Dieser zweite Schlüsselspeicher behält den Datenverschlüsselungsschlüssel bei, der Ihre Sicherungen verschlüsselt, die in den gekoppelten Bereich des Servers kopiert wurden.

1. Erstellen Sie einen Schlüssel in Ihrem Schlüsselspeicher. Wenn georedundante Sicherungen auf Ihrem Server aktiviert sind, benötigen Sie einen Schlüssel in jedem der Schlüsselspeicher. Mithilfe eines dieser Schlüssel verschlüsseln Sie alle Daten Ihres Servers (einschließlich aller System- und Benutzerdatenbanken, temporäre Dateien, Serverprotokolle, Schreib-Ahead-Protokollsegmente und Sicherungen). Mithilfe des zweiten Schlüssels verschlüsseln Sie die Kopien der Sicherungen, die asynchron über den gekoppelten Bereich Des Servers kopiert werden.

2. Konfigurieren Sie während der Bereitstellung eines neuen Azure Database for PostgreSQL – Flexible Server die Datenverschlüsselung auf der Registerkarte Sicherheit. Wählen Sie unter Datenverschlüsselungsschlüssel das Optionsfeld Kundenseitig verwalteter Schlüssel aus.

   

3. Wenn Sie den georedundanten Sicherungsspeicher zusammen mit dem Server bereitstellen, ändert sich der Aufbau der Registerkarte Sicherheit geringfügig, da der Server zwei separate Verschlüsselungsschlüssel verwendet: Ein Schlüssel ist für die primäre Region vorgesehen, in der Sie Ihren Server bereitstellen, und der andere Schlüssel für die gekoppelte Region, in die die Serversicherungen asynchron repliziert werden.

   

4. Wählen Sie unter Benutzerseitig zugewiesene verwaltete Identität die Option Identität ändern aus.

   

5. Wählen Sie in der Liste der vom Benutzer zugewiesenen verwalteten Identitäten den Server aus, der für den Zugriff auf den in einem Azure Key Vault gespeicherten Datenverschlüsselungsschlüssel verwendet werden soll.

   

6. Wählen Sie Hinzufügen aus.

   

7. Wählen Sie Automatisches Update der Schlüsselversion verwenden aus, wenn Sie möchten, dass der Dienst den Verweis automatisch auf die neueste Version des ausgewählten Schlüssels aktualisiert, wenn die aktuelle Version manuell oder automatisch rotiert wird. Informationen zu den Vorteilen der Verwendung von automatischen Updates der Schlüsselversion finden Sie unter Automatisches Update der Schlüsselversion.

   

8. Wählen Sie Schlüssel auswählen aus.

   

9. Abonnement wird automatisch mit dem Namen des Abonnements ausgefüllt, in dem Ihr Server erstellt werden soll. Der Schlüsselspeicher, der den Datenverschlüsselungsschlüssel aufbewahrt, muss im selben Abonnement wie der Server vorhanden sein.

   

10. Wählen Sie unter Schlüsselspeichertyp das Optionsfeld aus, das dem Typ des Schlüsselspeichers entspricht, in dem Sie den Datenverschlüsselungsschlüssel speichern möchten. Wählen Sie in diesem Beispiel Key Vault aus; die Vorgehensweise ist jedoch ähnlich, wenn Sie Managed HSM auswählen.

    

11. Erweitern Sie Schlüsseltresor (oder Verwaltetes HSM, wenn Sie diesen Speichertyp ausgewählt haben), und wählen Sie die Instanz aus, in der der Datenverschlüsselungsschlüssel vorhanden ist.

    

    Hinweis

    Wenn Sie das Dropdownfeld erweitern, wird Keine Elemente verfügbar angezeigt. Es dauert einige Sekunden, bis alle Instanzen des Schlüsseltresors, die in derselben Region wie der Server bereitgestellt wurden, aufgelistet werden.

12. Erweitern Sie Schlüssel, und wählen Sie den Namen des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.

    

13. Wenn Sie die Option Automatisches Update der Schlüsselversion verwenden nicht ausgewählt haben, müssen Sie außerdem eine bestimmte Version des Schlüssels auswählen. Erweitern Sie dazu Version, und wählen Sie den Bezeichner der Version des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.

    

14. Wählen Sie Select aus.

    

15. Konfigurieren Sie alle anderen Einstellungen des neuen Servers, und wählen Sie Überprüfen und erstellen aus.

    

Verwenden Sie den Befehl "az postgres flexible-server create ", um die Datenverschlüsselung mit dem vom Benutzer zugewiesenen Verschlüsselungsschlüssel zu ermöglichen, während ein neuer Server bereitgestellt wird.

Wenn georedundante Sicherungen nicht auf Ihrem Server aktiviert sind:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Wenn georedundante Sicherungen auf Ihrem Server aktiviert sind:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Verwenden Sie das Azure-Portal:

1. Wählen Sie Ihren Azure Database for PostgreSQL flexiblen Server aus.

2. Wählen Sie im Ressourcenmenü unter dem Abschnitt "Sicherheit " die Option "Datenverschlüsselung" aus.

   

3. Um die vom Server für den Zugriff auf den Schlüsselspeicher verwendete verwaltete Identität des Benutzers zu ändern, erweitern Sie das Dropdownmenü "Vom Benutzer zugewiesene verwaltete Identität ", und wählen Sie eine der verfügbaren Identitäten aus.

   

   Hinweis

   Das Kombinationsfeld zeigt nur die Identitäten an, die Ihr Azure Database for PostgreSQL – Flexibler Server zugewiesen hat. Obwohl es nicht erforderlich ist, um regionale Resilienz aufrechtzuerhalten, wählen Sie vom Benutzer verwaltete Identitäten in derselben Region wie Ihr Server aus. Wenn Ihr Server Geo-Backup-Redundanz aktiviert hat, sollte die zweite vom Benutzer verwaltete Identität, die für den Zugriff auf den Datenverschlüsselungsschlüssel für georedundante Sicherungen verwendet wird, in der gekoppelten Region des Servers vorhanden sein.

4. Wenn die vom Benutzer zugewiesene verwaltete Identität, die Sie für den Zugriff auf den Datenverschlüsselungsschlüssel verwenden möchten, ihrem Azure Database for PostgreSQL flexiblen Server nicht zugewiesen ist und es nicht als Azure Ressource mit dem entsprechenden Objekt in Microsoft Entra ID vorhanden ist, erstellen Sie ihn, indem Sie "Erstellen" auswählen.

   

5. Geben Sie im Bereich "Vom Benutzer zugewiesene verwaltete Identität erstellen" die Details der verwalteten Identität des Benutzers ein, die Sie erstellen möchten, und weisen Sie sie ihrem Azure Database for PostgreSQL flexiblen Server automatisch zu, um auf den Datenverschlüsselungsschlüssel zuzugreifen.

   

6. Wenn die benutzerseitig zugewiesene verwaltete Identität, die Sie für den Zugriff auf den Datenverschlüsselungsschlüssel verwenden möchten, Ihrem Azure Database for PostgreSQL Flex Server nicht zugewiesen ist, sie jedoch als Azure-Ressource mit dem entsprechenden Objekt in Microsoft Entra ID vorhanden ist, weisen Sie sie zu, indem Sie Auswählen auswählen.

   

7. Wählen Sie in der Liste der vom Benutzer zugewiesenen verwalteten Identitäten den Server aus, der für den Zugriff auf den in einem Azure Key Vault gespeicherten Datenverschlüsselungsschlüssel verwendet werden soll.

   

8. Wählen Sie Hinzufügen aus.

   

9. Wählen Sie "Automatische Schlüsselversionsaktualisierung verwenden " aus, wenn der Dienst den Verweis automatisch auf die aktuellste Version des ausgewählten Schlüssels aktualisieren soll, wenn die aktuelle Version manuell oder automatisch gedreht wird. Informationen zu den Vorteilen der Verwendung von automatischen Schlüsselversionsupdates finden Sie unter [Automatische Schlüsselversionsaktualisierung](.). /security/security-data-encryption.md##CMK Schlüsselversionsupdates).

   

10. Wenn Sie den Schlüssel drehen und die Automatische Aktualisierung der Schlüsselversion nicht aktivieren. Wenn Sie einen anderen Schlüssel verwenden möchten, aktualisieren Sie ihren Azure Database for PostgreSQL flexiblen Server so, dass er auf die neue Schlüsselversion oder den neuen Schlüssel verweist. Kopieren Sie dazu den Ressourcenbezeichner des Schlüssels, und fügen Sie ihn in das Feld "Schlüsselbezeichner " ein.

    

11. Wenn der Benutzer, der auf das Azure-Portal zugreift, über Berechtigungen für den Zugriff auf den im Schlüsselspeicher gespeicherten Schlüssel verfügt, können Sie einen alternativen Ansatz verwenden, um den neuen Schlüssel oder die neue Schlüsselversion auszuwählen. Wählen Sie hierfür unter Schlüsselauswahlmethode das Optionsfeld Schlüssel auswählen aus.

    

12. Wählen Sie Schlüssel auswählen aus.

    

13. Abonnement wird automatisch mit dem Namen des Abonnements ausgefüllt, in dem Ihr Server erstellt werden soll. Der Schlüsselspeicher, der den Datenverschlüsselungsschlüssel aufbewahrt, muss im selben Abonnement wie der Server vorhanden sein.

    

14. Wählen Sie unter Schlüsselspeichertyp das Optionsfeld aus, das dem Typ des Schlüsselspeichers entspricht, in dem Sie den Datenverschlüsselungsschlüssel speichern möchten. Wählen Sie in diesem Beispiel Key Vault aus; die Vorgehensweise ist jedoch ähnlich, wenn Sie Managed HSM auswählen.

    

15. Erweitern Sie Schlüsseltresor (oder Verwaltetes HSM, wenn Sie diesen Speichertyp ausgewählt haben), und wählen Sie die Instanz aus, in der der Datenverschlüsselungsschlüssel vorhanden ist.

    

    Hinweis

    Wenn Sie das Dropdownfeld erweitern, wird Keine Elemente verfügbar angezeigt. Es dauert einige Sekunden, bis alle Instanzen des Schlüsseltresors, die in derselben Region wie der Server bereitgestellt wurden, aufgelistet werden.

16. Erweitern Sie Schlüssel, und wählen Sie den Namen des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.

    

17. Wenn Sie die Option Automatisches Update der Schlüsselversion verwenden nicht ausgewählt haben, müssen Sie außerdem eine bestimmte Version des Schlüssels auswählen. Erweitern Sie dazu Version, und wählen Sie den Bezeichner der Version des Schlüssels aus, den Sie für die Datenverschlüsselung verwenden möchten.

    

18. Wählen Sie Select aus.

    

19. Wenn Sie mit den Änderungen zufrieden sind, wählen Sie "Speichern" aus.

    

Verwenden Sie den Befehl "az postgres flexible-server update " zum Konfigurieren der Datenverschlüsselung mit dem vom Benutzer zugewiesenen Verschlüsselungsschlüssel für einen vorhandenen Server.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Ganz gleich, ob Sie nur die vom Benutzer zugewiesene verwaltete Identität ändern möchten, die für den Zugriff auf den Schlüssel verwendet wird, oder Sie möchten nur den für die Datenverschlüsselung verwendeten Schlüssel ändern, oder Sie möchten beide gleichzeitig ändern, sie müssen sowohl Parameter --identity als --key auch (oder --backup-identity für --backup-key georedundante Sicherungen) bereitstellen. Wenn Sie nur einen Parameter angeben, erhalten Sie einen der folgenden Fehler:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Wenn der mit dem --key Parameter angegebene Schlüssel (oder --backup-key für georedundante Sicherungen) nicht vorhanden ist oder wenn der vom Benutzer zugewiesene verwaltete Identität, deren Ressourcenbezeichner Sie an den --identity Parameter übergeben (oder --backup-identity für georedundante Sicherungen), nicht über die erforderlichen Berechtigungen für den Zugriff auf den Schlüssel verfügt, wird die folgende Fehlermeldung angezeigt:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Wenn georedundante Sicherungen auf Ihrem Server aktiviert sind, können Sie den Schlüssel konfigurieren, der für die Verschlüsselung georedundanter Sicherungen verwendet wird, und die Identität, die für den Zugriff auf diesen Schlüssel verwendet wird. Verwenden Sie dazu die --backup-identity Parameter und --backup-key

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Wenn Sie die Parameter --backup-identity und --backup-key an den Befehl az postgres flexible server update übergeben und auf einen vorhandenen Server verweisen, auf dem keine georedundante Sicherung aktiviert ist, wird die folgende Fehlermeldung angezeigt:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Wenn Sie den Parametern --identity und --backup-identity Identitäten hinzufügen und diese gültig sind, fügt das System sie automatisch der Liste der vom Benutzer zugewiesenen verwalteten Identitäten hinzu, die Ihrem flexiblen Azure Database for PostgreSQL-Server zugeordnet sind. Diese Aktion tritt auch dann auf, wenn der Befehl später mit einem anderen Fehler fehlschlägt. In solchen Fällen können Sie die az postgres flexible-server-Identitätsbefehle verwenden, um verwaltete Identitäten von Benutzern aufzulisten, zuzuweisen oder zu entfernen, die Ihrer Azure-Datenbank für PostgreSQL flexiblen Server zugewiesen sind. Weitere Informationen zum Konfigurieren von benutzerseitig zugewiesenen verwalteten Identitäten in Ihrem Azure Database for PostgreSQL – Flexibler Server finden Sie unter Benutzerseitig zugewiesene verwaltete Identitäten vorhandenen Servern zuordnen, die Zuordnung benutzerseitig zugewiesener verwalteter Identitäten zu vorhandenen Servern aufheben und die zugeordneten benutzerseitig zugewiesenen verwalteten Identitäten anzeigen.