Kundenseitig verwaltete Schlüssel für die Azure Storage-Verschlüsselung

Sie können Ihren eigenen Verschlüsselungsschlüssel verwenden, um die Daten Ihres Speicherkontos zu schützen. Wenn Sie einen vom Kunden verwalteten Schlüssel angeben, verwendet Azure Storage diesen Schlüssel, um den Zugriff auf den Schlüssel zu schützen und zu kontrollieren, der Ihre Daten verschlüsselt. Vom Kunden verwaltete Schlüssel ermöglichen eine höhere Flexibilität bei der Verwaltung von Zugriffssteuerungen.

Sie müssen einen der folgenden Azure-Schlüsselspeicher verwenden, um Ihre kundenseitig verwalteten Schlüssel zu speichern:

Sie können entweder Ihre eigenen Schlüssel erstellen und im Schlüsseltresor oder im verwalteten HSM speichern, oder Sie können mit den Azure Key Vault-APIs Schlüssel generieren. Das Speicherkonto und der Schlüsseltresor oder das verwaltete HSM können sich in verschiedenen Microsoft Entra-Mandanten, -Regionen und -Abonnements befinden.

Hinweis

Azure Key Vault und über Azure Key Vault verwaltete HSMs unterstützen dieselben APIs und Verwaltungsschnittstellen für die Konfiguration kundenseitig verwalteter Schlüssel. Jede Aktion, die für Azure Key Vault unterstützt wird, wird auch für ein über Azure Key Vault verwaltetes HSM unterstützt.

Informationen zu kundenseitig verwalteten Schlüsseln

Das folgende Diagramm zeigt, wie Azure Storage Microsoft Entra ID und einen Schlüsseltresor oder verwalteten HSM verwendet, um Anfragen mit dem vom Kunden verwalteten Schlüssel zu bearbeiten:

Diagramm darüber, wie kundenverwaltete Schlüssel in Azure Storage mit Microsoft Entra ID und einem Schlüsseltresor funktionieren.

In der folgenden Liste werden die nummerierten Schritte im Diagramm erläutert:

  1. Ein Azure Key Vault-Administrator erteilt einer verwalteten Identität Berechtigungen für Verschlüsselungsschlüssel. Die verwaltete Identität kann entweder eine benutzerzugewiesene verwaltete Identität sein, die Sie erstellen und verwalten, oder eine systemzugewiesene verwaltete Identität, die mit dem Speicherkonto verknüpft ist.
  2. Ein Azure Storage-Administrator konfiguriert die Verschlüsselung mit einem vom Kunden verwalteten Schlüssel für das Speicherkonto.
  3. Azure Storage verwendet die verwaltete Identität, für die der Azure Key Vault-Administrator in Schritt 1 Berechtigungen erteilt hat, um den Zugriff auf Azure Key Vault über Microsoft Entra ID zu authentifizieren.
  4. Azure Storage umschließt den Kontoverschlüsselungsschlüssel mit dem kundenseitig verwalteten Schlüssel in Azure Key Vault.
  5. Für Lese- und Schreiboperationen sendet Azure Storage Anfragen an Azure Key Vault, um den Konto-Verschlüsselungsschlüssel zu entpacken, um Verschlüsselungs- und Entschlüsselungsoperationen durchzuführen.

Die dem Speicherkonto zugeordnete verwaltete Identität muss mindestens über diese Berechtigungen verfügen, um in Azure Key Vault auf einen kundenseitig verwalteten Schlüssel zugreifen zu können:

  • wrapKey
  • unwrapKey
  • Abrufen

Weitere Informationen zu Schlüsselberechtigungen finden Sie unter Schlüsseltypen, Algorithmen und Vorgänge.

Azure Policy bietet eine integrierte Richtlinie, die erfordert, dass Speicherkonten kundenseitig verwaltete Schlüssel für Blob Storage und Azure Files-Workloads verwenden. Weitere Informationen finden Sie in Integrierte Azure Policy-Richtliniendefinitionen im Abschnitt Speicher.

Kundenseitig verwaltete Schlüssel für Warteschlangen und Tabellen

Daten, die in Warteschlangen- und Tabellenspeicher gespeichert sind, sind nicht automatisch durch einen kundenverwalteten Schlüssel geschützt, wenn Sie kundenverwaltete Schlüssel für das Speicherkonto aktivieren. Sie können diese Dienste optional so konfigurieren, dass sie in diesen Schutz aufgenommen werden, wenn Sie das Speicherkonto erstellen.

Weitere Informationen zur Erstellung eines Speicherkontos, für das vom Kunden verwaltete Schlüssel für Warteschlangen und Tabellen unterstützt werden, finden Sie unter Erstellen eines Kontos, das kundenseitig verwaltete Schlüssel für Tabellen und Warteschlangen unterstützt.

Daten in Blob Storage und Azure Files sind immer durch kundenverwaltete Schlüssel geschützt, wenn Sie kundenverwaltete Schlüssel für das Speicherkonto konfigurieren.

Aktivieren von kundenseitig verwalteten Schlüsseln für ein Speicherkonto

Wenn Sie kundenseitig verwaltete Schlüssel für ein Speicherkonto konfigurieren, umschließt Azure Storage den Stammdaten-Verschlüsselungsschlüssel für das Konto im zugeordneten Schlüsseltresor oder im verwalteten HSM mit dem kundenseitig verwalteten Schlüssel. Der Schutz des Stammverschlüsselungsschlüssels ändert sich, aber die Daten in Ihrem Azure Storage-Konto bleiben jederzeit verschlüsselt. Sie müssen keine weiteren Maßnahmen ergreifen, um sicherzustellen, dass Ihre Daten verschlüsselt bleiben. Der Schutz durch kundenseitig verwaltete Schlüssel wird sofort wirksam.

Sie können jederzeit zwischen kundenseitig verwalteten Schlüsseln und von Microsoft verwalteten Schlüsseln wechseln. Weitere Informationen zu von Microsoft verwalteten Schlüsseln finden Sie unter Informationen zur Verwaltung von Verschlüsselungsschlüsseln.

Schlüsseltresoranforderungen

Der Schlüsseltresor oder verwaltete HSM, der den Schlüssel speichert, muss folgende Anforderungen erfüllen:

  • Die Soft-Löschung ist aktiviert.
  • Der Löschschutz ist aktiviert.
  • Der Schlüssel ist ein RSA- oder RSA-HSM-Schlüssel.
  • Die Schlüsselgröße beträgt 2048, 3072 oder 4096.

Weitere Informationen über Schlüssel finden Sie unter Informationen zu Schlüsseln.

Ein Schlüsseltresor oder verwaltetes HSM hat damit verbundene Kosten. Weitere Informationen finden Sie auf der Seite Key Vault – Preise.

Kundenseitig verwaltete Schlüssel mit Schlüsseltresor im selben Mandanten

Sie können kundenseitig verwaltete Schlüssel mit dem Schlüsseltresor und dem Speicherkonto in demselben Mandanten oder in verschiedenen Microsoft Entra-Mandanten konfigurieren. Informationen zum Konfigurieren der Azure Storage-Verschlüsselung mit kundenseitig verwalteten Schlüsseln, wenn sich der Schlüsseltresor und das Speicherkonto in denselben Mandanten befinden, finden Sie in einem der folgenden Artikel:

Wenn Sie kundenverwaltete Schlüssel mit einem Schlüsseltresor im selben Mieter aktivieren, müssen Sie eine verwaltete Identität angeben, um den Zugriff auf den Schlüsseltresor zu autorisieren, der den Schlüssel enthält. Die verwaltete Identität kann entweder eine benutzerzugewiesene oder systemzugewiesene verwaltete Identität sein:

  • Wenn Sie zum Zeitpunkt der Erstellung eines Speicherkontos kundenseitig verwaltete Schlüssel konfigurieren, müssen Sie eine benutzerseitig zugewiesene verwaltete Identität verwenden.
  • Wenn Sie kundenseitig verwaltete Schlüssel für ein vorhandenes Speicherkonto konfigurieren, können Sie entweder eine benutzerseitig zugewiesene verwaltete Identität oder eine systemseitig zugewiesene verwaltete Identität verwenden.

Weitere Informationen zu systemzugewiesenen und benutzerzugewiesenen verwalteten Identitäten finden Sie unter Verwaltete Identitäten für Azure-Ressourcen. Informationen zum Erstellen und Verwalten einer benutzerseitig zugewiesenen verwalteten Identität finden Sie unter Benutzerseitig zugewiesene verwaltete Identitäten verwalten.

Kundenseitig verwaltete Schlüssel mit Schlüsseltresor in einem anderen Mandanten

Informationen zum Konfigurieren der Azure Storage-Verschlüsselung mit kundenseitig verwalteten Schlüsseln, wenn sich der Schlüsseltresor und das Speicherkonto in verschiedenen Microsoft Entra-Mandanten befinden, finden Sie in einem der folgenden Artikel:

Vom Kunden verwaltete Schlüssel mit einem verwalteten HSM

Sie können kundenseitig verwaltete Schlüssel mit einem über Azure Key Vault verwalteten HSM für ein neues oder vorhandenes Konto konfigurieren. Außerdem können Sie kundenseitig verwaltete Schlüssel mit einem verwalteten HSM konfigurieren, das sich im selben Mandanten wie das Speicherkonto oder in einem anderen Mandanten befindet. Der Prozess zum Konfigurieren von kundenseitig verwalteten Schlüsseln in einem verwalteten HSM ist derselbe wie der zum Konfigurieren von kundenseitig verwalteten Schlüsseln in einem Schlüsseltresor, aber die Berechtigungen unterscheiden sich geringfügig. Weitere Informationen finden Sie unter Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in über Azure Key Vault verwalteten HSM gespeichert sind.

Aktualisieren der Schlüsselversion

Um kryptografische Best Practices zu befolgen, rotieren Sie den Schlüssel, der Ihr Speicherkonto schützt, regelmäßig, in der Regel mindestens alle zwei Jahre. Azure Storage ändert den Schlüssel im Schlüsseltresor nie, aber Sie können eine Schlüsselrotationsrichtlinie konfigurieren, um den Schlüssel entsprechend Ihren Complianceanforderungen zu rotieren. Weitere Informationen finden Sie unter Konfigurieren der automatischen Kryptografieschlüsselrotation in Azure Key Vault.

Nachdem der Schlüssel im Schlüsseltresor rotiert wurde, müssen Sie die vom Kunden verwaltete Schlüsselkonfiguration Ihres Speicherkontos aktualisieren, um die neue Schlüsselversion zu verwenden. Kundenverwaltete Schlüssel unterstützen sowohl automatische als auch manuelle Aktualisierung der Schlüsselversion für den Schlüssel, der das Konto schützt. Sie können entscheiden, welchen Ansatz Sie verwenden möchten, wenn Sie kundenseitig verwaltete Schlüssel konfigurieren oder ihre Konfiguration aktualisieren.

Wenn Sie den Schlüssel oder die Schlüsselversion ändern, ändert sich der Schutz des Stammverschlüsselungsschlüssels, die Daten in Ihrem Azure Storage-Konto bleiben jederzeit verschlüsselt. Sie müssen keine zusätzlichen Maßnahmen ergreifen, um sicherzustellen, dass Ihre Daten geschützt sind. Die Rotation der Schlüsselversion wirkt sich nicht auf die Leistung aus. Beim Rotieren der Schlüsselversion kommt es zu keiner Ausfallzeit.

Wichtig

Um einen Schlüssel zu rotieren, erstellen Sie eine neue Version des Schlüssels im Schlüsseltresor oder im verwalteten HSM entsprechend Ihren Complianceanforderungen. Azure Storage übernimmt keine Schlüsselrotation, daher musst du die Rotation des Schlüssels im Key Vault verwalten.

Wenn Sie den Schlüssel drehen, der für kundenverwaltete Schlüssel verwendet wird, wird diese Aktion derzeit nicht in den Azure Monitor-Logs von Azure Storage protokolliert.

Automatisches Update der Schlüsselversion

Um einen kundenseitig verwalteten Schlüssel bei Verfügbarkeit einer neuen Version automatisch zu aktualisieren, lassen Sie die Schlüsselversion aus, wenn Sie die Verschlüsselung mit kundenseitig verwalteten Schlüsseln für das Speicherkonto konfigurieren. Wenn Sie die Schlüsselversion weglassen, überprüft Azure Storage täglich den Key Vault oder das verwaltete HSM auf eine neue Version eines kundenverwalteten Schlüssels. Wenn eine neue Schlüsselversion verfügbar ist, verwendet Azure Storage automatisch die neueste Version des Schlüssels.

Azure Storage überprüft den Schlüsseltresor nur einmal täglich auf eine neue Schlüsselversion. Wenn Sie einen Schlüssel drehen, warten Sie 24 Stunden, bevor Sie die ältere Version deaktivieren.

Wenn das Speicherkonto zuvor für die manuelle Aktualisierung der Schlüsselversion konfiguriert wurde und Sie es in ein automatisches Update ändern möchten, müssen Sie die Schlüsselversion möglicherweise explizit in eine leere Zeichenfolge ändern. Ausführliche Informationen dazu finden Sie unter Konfigurieren der Verschlüsselung für die automatische Aktualisierung von Schlüsselversionen.

Manuelles Aktualisieren der Schlüsselversion

Zur Verwendung einer bestimmten Version eines Schlüssels für die Azure Storage-Verschlüsselung geben Sie diese Schlüsselversion beim Aktivieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln für das Speicherkonto an. Wenn Sie die Schlüsselversion angeben, verwendet Azure Storage diese Version für die Verschlüsselung, bis Sie die Schlüsselversion manuell aktualisieren.

Wenn Sie explizit die Schlüsselversion angeben, müssen Sie das Speicherkonto manuell aktualisieren, um die neue Schlüsselversions-URI zu verwenden, wenn eine neue Version erstellt wird. Informationen dazu, wie Sie das Speicherkonto für die Verwendung einer neuen Version des Schlüssels aktualisieren, finden Sie unter Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in Azure Key Vault gespeichert sind und Konfigurieren der Verschlüsselung mit kundenseitig verwalteten Schlüsseln, die in einem verwalteten Azure Key Vault Managed-HSM gespeichert sind.

Zugriff auf ein Speicherkonto widerrufen, das kundenseitig verwaltete Schlüssel verwendet

Um den Zugriff auf ein Speicherkonto zu widerrufen, das kundenseitig verwaltete Schlüssel verwendet, deaktivieren Sie den Schlüssel im Schlüsseltresor. Wie Sie den Schlüssel deaktivieren können, erfahren Sie unter Widerrufen des Zugriffs auf ein Speicherkonto, das kundenseitig verwaltete Schlüssel verwendet.

Nachdem der Schlüssel deaktiviert wurde, können Clients keine Operationen aufrufen, die von einer Ressource oder deren Metadaten lesen oder darauf schreiben. Versuche, diese Operationen aufzurufen, schlagen mit dem Fehlercode 403 (Verboten) für alle Benutzer fehl.

Stellen Sie den Zugriff auf den vom Kunden verwalteten Schlüssel wieder her, um diese Vorgänge erneut aufzurufen.

Alle Datenoperationen, die in den folgenden Abschnitten nicht aufgeführt sind, können nach dem Widerruf von kundenverwalteten Schlüsseln oder nach der Deaktivierung oder Löschung eines Schlüssels fortgesetzt werden.

Zum Widerrufen des Zugriffs auf von Kunden verwaltete Schlüssel können Sie PowerShell oder die Azure-Befehlszeilenschnittstelle verwenden.

Blob Storage-Vorgänge, die nach dem Widerrufen eines Schlüssels fehlschlagen

Azure Files Vorgänge, die nach dem Widerrufen eines Schlüssels fehlschlagen

Vom Kunden verwaltete Schlüssel für von Azure verwaltete Datenträger

Sie können auch kundenverwaltete Schlüssel verwenden, um die Verschlüsselung von Azure-verwalteten Festplatten zu verwalten. Kundenverwaltete Schlüssel funktionieren für verwaltete Festplatten anders als für Azure Storage-Ressourcen. Weitere Informationen finden Sie unter serverseitige Verschlüsselung von von Azure verwalteten Datenträgern.

Nächste Schritte

  • Last updated on