Configurar a criptografia de dados no servidor flexível Banco de Dados do Azure para PostgreSQL

Use o portal do Azure:

1. Durante o provisionamento de um novo servidor Banco de Dados do Azure para PostgreSQL flexível, configure a criptografia de dados na guia Segurança. Para a chave de criptografia de dados, selecione a opção de chave gerenciada pelo serviço.

   

2. Se você habilitar o armazenamento de backups com redundância geográfica junto com o servidor, a guia Segurança mudará um pouco porque o servidor usa duas chaves de criptografia distintas. Uma chave é para a região primária na qual você está implantando seu servidor e uma chave é para a região emparelhada à qual os backups do servidor são replicados de forma assíncrona.

   

Você pode habilitar a criptografia de dados usando uma chave de criptografia atribuída pelo sistema ao provisionar um novo servidor usando o comando az postgres flexible-server create .

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Use o portal do Azure:

1. Crie uma identidade gerenciada atribuída pelo usuário, se você ainda não tiver uma. Se o servidor tiver backups com redundância geográfica habilitados, você precisará criar duas identidades diferentes. Cada uma dessas identidades acessa cada uma das duas chaves de criptografia de dados.

1. Crie um Azure Key Vault ou crie um HSM Gerenciado se você ainda não tiver um repositório de chaves criado. Verifique se você atende aos requisitos. Além disso, siga as recomendações antes de configurar o repositório de chaves, criar a chave e atribuir as permissões necessárias à identidade gerenciada atribuída pelo usuário. Se o seu servidor tiver backups com redundância geográfica habilitados, você precisará criar um segundo repositório de chaves. Esse segundo repositório de chaves mantém a chave de criptografia de dados que criptografa seus backups copiados para a região emparelhada do servidor.

1. Crie uma chave no repositório de chaves. Se o seu servidor tiver backups com redundância geográfica habilitados, você precisará de uma chave em cada um dos repositórios de chaves. Ao usar uma dessas chaves, você criptografa todos os dados do servidor (incluindo todos os bancos de dados do sistema e do usuário, arquivos temporários, logs de servidor, segmentos de log com gravação antecipada e backups). Usando a segunda chave, você criptografa as cópias dos backups que são copiados de forma assíncrona sobre a região emparelhada do servidor.

2. Durante o provisionamento de um novo Azure Database para PostgreSQL – servidor flexível, configure a criptografia de dados na guia Segurança. Em Chave de criptografia de dados, selecione a opção Chave gerenciada pelo cliente.

   

3. Se você habilitar o armazenamento de backups com redundância geográfica junto com o servidor, a guia Segurança mudará um pouco porque o servidor usa duas chaves de criptografia distintas. Uma chave é para a região primária na qual você está implantando seu servidor e uma chave é para a região emparelhada à qual os backups do servidor são replicados de forma assíncrona.

   

4. Em Identidade gerenciada atribuída pelo usuário, selecione Alterar identidade.

   

5. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu servidor use para acessar a chave de criptografia de dados armazenada em um Azure Key Vault.

   

6. Selecione Adicionar.

   

7. Selecione Usar atualização automática de versão de chave, se preferir permitir que o serviço atualize automaticamente a referência para a versão mais atual da chave escolhida, sempre que a versão atual for girada manualmente ou automaticamente. Para entender os benefícios do uso de atualizações automáticas de versão de chave, consulte atualização automática da versão da chave.

   

8. Selecione Selecionar uma chave.

   

9. A Assinatura é preenchida automaticamente com o nome da assinatura na qual seu servidor será criado. O repositório de chaves que armazena a chave de criptografia de dados deve existir na mesma assinatura do servidor.

   

10. Em Tipo de repositório de chaves, selecione o botão de opção correspondente ao tipo de repositório de chaves em que planeja armazenar a chave de criptografia de dados. Neste exemplo, escolha o cofre de chaves, mas a experiência será semelhante se você escolher HSM Gerenciado.

    

11. Expanda o Cofre de chaves (ou o HSM gerenciado, caso tenha escolhido esse tipo de repositório) e selecione a instância onde a chave de criptografia de dados está armazenada.

    

    Observação

    Quando você expandir a caixa de seleção, a mensagem Nenhum item disponível será exibida. Aguarde alguns segundos para que todas as instâncias do cofre de chaves implantadas na mesma região do servidor sejam listadas.

12. Expanda Chave e selecione o nome da chave que quer usar para a criptografia de dados.

    

13. Se você não selecionou Usar a atualização automática de versão da chave, também deverá selecionar uma versão específica da chave. Para fazer isso, expanda Versão e selecione o identificador da versão da chave que você deseja usar para criptografia de dados.

    

14. Selecione Selecionar.

    

15. Configure todas as outras opções do novo servidor e clique em Revisar + criar.

    

Use o comando az postgres flexible-server create para habilitar a criptografia de dados com a chave de criptografia atribuída pelo usuário, ao provisionar um novo servidor.

Se o seu servidor não tiver backups com redundância geográfica habilitados:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Se o seu servidor tiver backups com redundância geográfica habilitados:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Use o portal do Azure:

1. Selecione seu servidor flexível do Banco de Dados do Azure para PostgreSQL.

2. No menu de recursos, na seção Segurança , selecione Criptografia de dados.

   

3. Para alterar a identidade gerenciada atribuída pelo usuário que o servidor usa para acessar o repositório de chaves, expanda a lista suspensa Identidade gerenciada atribuída pelo usuário e selecione uma das identidades disponíveis.

   

   Observação

   A caixa de combinação mostra apenas as identidades que foram atribuídas ao seu Servidor Flexível do Banco de Dados do Azure para PostgreSQL. Embora não seja necessário, para manter a resiliência regional, selecione identidades gerenciadas pelo usuário na mesma região que o servidor. Se o servidor tiver a redundância de backup geográfico habilitada, a segunda identidade gerenciada pelo usuário, usada para acessar a chave de criptografia de dados para backups com redundância geográfica, deverá existir na região emparelhada do servidor.

4. Se a identidade gerenciada atribuída pelo usuário que você deseja usar para acessar a chave de criptografia de dados não for atribuída ao servidor Banco de Dados do Azure para PostgreSQL flexível e ela não existir como um recurso de Azure com seu objeto correspondente em Microsoft Entra ID, crie-a selecionando Criar.

   

5. No painel Criar Identidade Gerenciada Atribuída ao Usuário, insira os detalhes da identidade gerenciada atribuída pelo usuário que você deseja criar e atribua-a automaticamente ao servidor Banco de Dados do Azure para PostgreSQL flexível para acessar a chave de criptografia de dados.

   

6. Se a identidade gerenciada atribuída pelo usuário que você deseja usar para acessar a chave de criptografia de dados não estiver atribuída ao seu servidor flexível do Banco de Dados do Azure para PostgreSQL, mas existir como um recurso do Azure com seu objeto correspondente no Microsoft Entra ID, atribua-a selecionando Selecionar.

   

7. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu servidor use para acessar a chave de criptografia de dados armazenada em um Azure Key Vault.

   

8. Selecione Adicionar.

   

9. Selecione Usar atualização automática de versão da chave se desejar que o serviço atualize automaticamente a referência à versão mais atual da chave escolhida sempre que a versão atual for girada manual ou automaticamente. Para entender os benefícios do uso de atualizações automáticas de versão de chave, consulte [atualização automática de versão de chave](../security/security-data-encryption.md##atualizações de versão de chave CMK).

   

10. Se você girar a chave e não habilitar Usar atualização automática de versão da chave. Ou se você quiser usar uma chave diferente, atualize o servidor flexível Banco de Dados do Azure para PostgreSQL para que ele aponte para a nova versão da chave ou nova chave. Para fazer isso, copie o identificador de recurso da chave e cole-o na caixa Identificador de chave.

    

11. Se o usuário que acessa o portal do Azure tiver permissões para acessar a chave armazenada no repositório de chaves, você pode usar um método alternativo para escolher a nova chave ou nova versão da chave. Para isso, em Método de seleção da chave, selecione o botão de opção Selecionar uma chave.

    

12. Escolha Selecionar chave.

    

13. A Assinatura é preenchida automaticamente com o nome da assinatura na qual seu servidor será criado. O repositório de chaves que armazena a chave de criptografia de dados deve existir na mesma assinatura do servidor.

    

14. Em Tipo de repositório de chaves, selecione o botão de opção correspondente ao tipo de repositório de chaves em que planeja armazenar a chave de criptografia de dados. Neste exemplo, escolha o cofre de chaves, mas a experiência será semelhante se você escolher HSM Gerenciado.

    

15. Expanda o Cofre de chaves (ou o HSM gerenciado, caso tenha escolhido esse tipo de repositório) e selecione a instância onde a chave de criptografia de dados está armazenada.

    

    Observação

    Quando você expandir a caixa de seleção, a mensagem Nenhum item disponível será exibida. Aguarde alguns segundos para que todas as instâncias do cofre de chaves implantadas na mesma região do servidor sejam listadas.

16. Expanda Chave e selecione o nome da chave que quer usar para a criptografia de dados.

    

17. Se você não selecionou Usar a atualização automática de versão da chave, também deverá selecionar uma versão específica da chave. Para fazer isso, expanda Versão e selecione o identificador da versão da chave que você deseja usar para criptografia de dados.

    

18. Selecione Selecionar.

    

19. Quando estiver satisfeito com as alterações, selecione Salvar.

    

Use o comando az postgres flexible-server update para configurar a criptografia de dados com a chave de criptografia atribuída pelo usuário, para um servidor existente.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Se você deseja alterar apenas a identidade gerenciada atribuída pelo usuário usada para acessar a chave ou deseja alterar apenas a chave usada para criptografia de dados ou deseja alterar ambos ao mesmo tempo, você deve fornecer parâmetros --identity e --key (ou --backup-identity para --backup-key backups com redundância geográfica). Se você fornecer apenas um parâmetro, receberá qualquer um dos seguintes erros:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Se a chave especificada com o --key parâmetro (ou --backup-key para backups com redundância geográfica) não existir ou se a identidade gerenciada atribuída pelo usuário cujo identificador de recurso você passar para o --identity parâmetro (ou --backup-identity para backups com redundância geográfica) não tiver as permissões necessárias para acessar a chave, você receberá o seguinte erro:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Se o servidor tiver backups com redundância geográfica habilitados, você poderá configurar a chave usada para a criptografia dos backups com redundância geográfica e a identidade usada para acessar essa chave. Para fazer isso, use os parâmetros --backup-identity e --backup-key.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Se você passar os parâmetros --backup-identity e --backup-key para o az postgres flexible server update comando e se referir a um servidor existente que não tem backup com redundância geográfica habilitado, você receberá o seguinte erro:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Se você adicionar identidades aos parâmetros --identity e --backup-identity e elas forem válidas, o sistema as adicionará automaticamente à lista de identidades gerenciadas atribuídas pelo usuário associadas ao seu servidor flexível do Banco de Dados do Azure para PostgreSQL. Essa ação ocorre mesmo se o comando falhar posteriormente com algum outro erro. Nesses casos, talvez você queira usar os comandos az postgres flexible-server identity para listar, atribuir ou remover identidades gerenciadas atribuídas pelo usuário do seu servidor flexível do Banco de Dados do Azure para PostgreSQL. Para saber mais sobre como configurar identidades gerenciadas atribuídas pelo usuário em seu servidor flexível Banco de Dados do Azure para PostgreSQL, consulte associar identidades gerenciadas atribuídas pelo usuário a servidores existentes, desassociar identidades gerenciadas atribuídas pelo usuário a servidores existentes e mostrar as identidades gerenciadas atribuídas ao usuário associado.