Configurar el cifrado de datos en Servidor flexible de Azure Database for PostgreSQL

Usa el portal de Azure:

1. Durante el aprovisionamiento de una nueva Azure Database for PostgreSQL servidor flexible, configure el cifrado de datos en la pestaña Seguridad. En Clave de cifrado de datos, seleccione la opción Clave administrada por el servicio.

   

2. Si habilita el almacenamiento de copia de seguridad con redundancia geográfica para que se aprovisione junto con el servidor, el aspecto de la pestaña Seguridad cambia ligeramente porque el servidor usa dos claves de cifrado independientes. Una clave es para la región primaria en la que va a implementar el servidor y una clave es para la región emparejada a la que se replican asincrónicamente las copias de seguridad del servidor.

   

Puede habilitar el cifrado de datos mediante una clave de cifrado asignada por el sistema al aprovisionar un nuevo servidor mediante el comando az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Usa el portal de Azure:

1. Cree una identidad administrada asignada por el usuario, si aún no tiene una. Si el servidor tiene habilitadas copias de seguridad con redundancia geográfica, debe crear dos identidades diferentes. Cada una de esas identidades accede a cada una de las dos claves de cifrado de datos.

1. Cree un Azure Key Vault o cree un HSM administrado, si aún no tiene un almacén de claves creado. Asegúrese de cumplir los requisitos. Además, siga las recomendaciones antes de configurar el almacén de claves y antes de crear la clave y asignar los permisos necesarios a la identidad administrada asignada por el usuario. Si el servidor tiene habilitadas copias de seguridad con redundancia geográfica, debe crear un segundo almacén de claves. Ese segundo almacén de claves mantiene la clave de cifrado de datos que cifra las copias de seguridad copiadas en la región emparejada del servidor.

1. Cree una clave en el almacén de claves. Si el servidor tiene habilitadas copias de seguridad con redundancia geográfica, necesita una clave en cada uno de los almacenes de claves. Mediante una de estas claves, cifra todos los datos del servidor (incluidas todas las bases de datos de usuario y del sistema, archivos temporales, registros de servidor, segmentos de registro de escritura anticipada y copias de seguridad). Con la segunda clave, cifra las copias de las copias de seguridad que se copian de forma asincrónica en la región emparejada del servidor.

2. Durante el aprovisionamiento de un nuevo servidor flexible de Azure Database for PostgreSQL, configure el cifrado de los datos en la pestaña Seguridad. En Clave de cifrado de datos, seleccione el botón de opción Clave administrada por el cliente.

   

3. Si habilita el almacenamiento de copia de seguridad con redundancia geográfica para que se aprovisione junto con el servidor, el aspecto de la pestaña Seguridad cambia ligeramente porque el servidor usa dos claves de cifrado independientes. Una clave es para la región primaria en la que va a implementar el servidor y una clave es para la región emparejada a la que se replican asincrónicamente las copias de seguridad del servidor.

   

4. En Identidad administrada asignada por el usuario, seleccione Cambiar identidad.

   

5. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que use el servidor para acceder a la clave de cifrado de datos almacenada en un Azure Key Vault.

   

6. Selecciona Agregar.

   

7. Seleccione Usar actualización automática de la versión de la clave, si prefiere permitir que el servicio actualice automáticamente la referencia a la versión más reciente de la clave elegida, siempre que la versión actual se gire manual o automáticamente. Para comprender las ventajas de usar las actualizaciones automáticas de la versión de la clave, consulte Actualización automática de la versión de la clave.

   

8. Seleccione Seleccionar una clave.

   

9. La suscripción se rellena automáticamente con el nombre de la suscripción en la que se va a crear el servidor. El almacén de claves que mantiene la clave de cifrado de datos debe existir en la misma suscripción que el servidor.

   

10. En Tipo de almacén de claves, seleccione el botón de radio correspondiente al tipo de almacén de claves en el que planea almacenar la clave de cifrado de datos. En este ejemplo, elija Almacén de claves, pero la experiencia es similar si elige HSM administrado.

    

11. Expanda Almacén de claves (o HSM administrado, si seleccionó ese tipo de almacenamiento) y seleccione la instancia en la que existe la clave de cifrado de datos.

    

    Nota:

    Al expandir el cuadro desplegable, muestra No hay elementos disponibles. Tarda unos segundos hasta que se muestran todas las instancias de Azure Key Vault que se implementan en la misma región que el servidor.

12. Expanda Clave y seleccione el nombre de la clave que desea usar para el cifrado de datos.

    

13. Si no seleccionó Usar actualización automática de la versión de la clave, también debe seleccionar una versión específica de la clave. Para ello, expanda Versión y seleccione el identificador de la versión de la clave que desea usar para el cifrado de datos.

    

14. Elija Seleccionar.

    

15. Configure todas las demás opciones del nuevo servidor y seleccione Revisar y crear.

    

Use el comando az postgres flexible-server create para habilitar el cifrado de datos con la clave de cifrado asignada por el usuario, al tiempo que aprovisiona un nuevo servidor.

Si el servidor no tiene habilitadas las copias de seguridad con redundancia geográfica:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Si el servidor tiene habilitadas las copias de seguridad con redundancia geográfica:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Usa el portal de Azure:

1. Seleccione su servidor flexible de Azure Database for PostgreSQL.

2. En el menú de recursos, en la sección Seguridad , seleccione Cifrado de datos.

   

3. Para cambiar la identidad administrada asignada por el usuario que usa el servidor para acceder al almacén de claves, expanda la lista desplegable Identidad administrada asignada por el usuario y seleccione cualquiera de las identidades disponibles.

   

   Nota:

   El cuadro combinado muestra solo las identidades que tiene asignadas su servidor flexible de Azure Database for PostgreSQL. Aunque no es necesario, para mantener la resistencia regional, seleccione identidades administradas por el usuario en la misma región que el servidor. Si el servidor tiene habilitada la redundancia de copia de seguridad geográfica, la segunda identidad administrada por el usuario, que se usa para acceder a la clave de cifrado de datos para las copias de seguridad con redundancia geográfica, debe existir en la región emparejada del servidor.

4. Si la identidad administrada asignada por el usuario que desea usar para acceder a la clave de cifrado de datos no está asignada al servidor flexible de Azure Database for PostgreSQL y no existe como un recurso de Azure con su objeto correspondiente en Microsoft Entra ID, créelo seleccionando Crear.

   

5. En el panel Crear identidad administrada asignada por el usuario, escriba los detalles de la identidad administrada asignada por el usuario que desea crear y asígnela automáticamente al servidor flexible de Azure Database for PostgreSQL para acceder a la clave de cifrado de datos.

   

6. Si la identidad administrada asignada por el usuario que desea usar para acceder a la clave de cifrado de datos no está asignada a su servidor flexible de Azure Database for PostgreSQL, pero existe como un recurso de Azure con su objeto correspondiente en Microsoft Entra ID, asígnelo seleccionando Seleccionar.

   

7. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que use el servidor para acceder a la clave de cifrado de datos almacenada en un Azure Key Vault.

   

8. Selecciona Agregar.

   

9. Seleccione Usar actualización automática de la versión de clave si desea que el servicio actualice automáticamente la referencia a la versión más reciente de la clave elegida siempre que la versión actual se gire manualmente o automáticamente. Para comprender las ventajas de usar las actualizaciones automáticas de la versión de clave, consulte [actualización automática de la versión de clave](.. /security/security-data-encryption.md##CMK actualizaciones de la versión de clave).

   

10. Si rota la clave y no activa Usar actualización automática de la versión de clave. O bien, si desea usar una clave diferente, actualice el Azure Database for PostgreSQL servidor flexible para que apunte a la nueva versión de la clave o a la nueva clave. Para ello, copie el identificador de recurso de la clave y péguelo en el cuadro Identificador de clave .

    

11. Si el usuario que accede a Azure Portal tiene permisos para acceder a la clave almacenada en el almacén de claves, puede usar un enfoque alternativo para elegir la nueva clave o la nueva versión de la clave. Para ello, en Método de selección de claves, seleccione el botón de radio Seleccionar una tecla .

    

12. Seleccione Seleccionar clave.

    

13. La suscripción se rellena automáticamente con el nombre de la suscripción en la que se va a crear el servidor. El almacén de claves que mantiene la clave de cifrado de datos debe existir en la misma suscripción que el servidor.

    

14. En Tipo de almacén de claves, seleccione el botón de radio correspondiente al tipo de almacén de claves en el que planea almacenar la clave de cifrado de datos. En este ejemplo, elija Almacén de claves, pero la experiencia es similar si elige HSM administrado.

    

15. Expanda Almacén de claves (o HSM administrado, si seleccionó ese tipo de almacenamiento) y seleccione la instancia en la que existe la clave de cifrado de datos.

    

    Nota:

    Al expandir el cuadro desplegable, muestra No hay elementos disponibles. Tarda unos segundos hasta que se muestran todas las instancias de Azure Key Vault que se implementan en la misma región que el servidor.

16. Expanda Clave y seleccione el nombre de la clave que desea usar para el cifrado de datos.

    

17. Si no seleccionó Usar actualización automática de la versión de la clave, también debe seleccionar una versión específica de la clave. Para ello, expanda Versión y seleccione el identificador de la versión de la clave que desea usar para el cifrado de datos.

    

18. Elija Seleccionar.

    

19. Cuando esté satisfecho con los cambios, seleccione Guardar.

    

Use el comando az postgres flexible-server update para configurar el cifrado de datos con la clave de cifrado asignada por el usuario, para un servidor existente.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Tanto si desea cambiar solo la identidad administrada asignada por el usuario que se usa para acceder a la clave, o si desea cambiar solo la clave usada para el cifrado de datos, o si desea cambiar ambas al mismo tiempo, debe proporcionar parámetros --identity y --key (o para --backup-identity--backup-key copias de seguridad con redundancia geográfica). Si solo proporciona un parámetro, obtendrá cualquiera de los siguientes errores:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Si la clave especificada con el --key parámetro (o --backup-key para las copias de seguridad con redundancia geográfica) no existe, o si la identidad administrada asignada por el usuario cuyo identificador de recurso pasa al --identity parámetro (o --backup-identity para las copias de seguridad con redundancia geográfica) no tiene los permisos necesarios para acceder a la clave, obtendrá el siguiente error:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Si el servidor tiene habilitadas copias de seguridad con redundancia geográfica, puede configurar la clave usada para el cifrado de copias de seguridad con redundancia geográfica y la identidad usada para acceder a esa clave. Para ello, use los --backup-identity parámetros y --backup-key .

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Si pasa los parámetros --backup-identity y --backup-key al az postgres flexible server update comando y hace referencia a un servidor existente que no tiene habilitada la copia de seguridad con redundancia geográfica, obtendrá el siguiente error:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Si agrega identidades a los --identity parámetros y --backup-identity y son válidos, el sistema los agrega automáticamente a la lista de identidades administradas asignadas por el usuario asociadas al servidor flexible Azure Database for PostgreSQL. Esta acción se lleva a cabo incluso si el comando falla más tarde por algún otro error. En tales casos, es posible que quiera usar los comandos az postgres flexible-server identity para enumerar, asignar o quitar identidades administradas asignadas por el usuario asignadas al servidor flexible de Azure Database for PostgreSQL. Para obtener más información sobre cómo configurar identidades administradas asignadas por el usuario en el servidor flexible de Azure Database for PostgreSQL, consulte Asociar identidades administradas asignadas por el usuario a servidores existentes, desasociar las identidades administradas asignadas por el usuario a los servidores existentes y mostrar las identidades administradas asignadas por el usuario asociado.