Configurar a encriptação de dados no Base de Dados do Azure para PostgreSQL flexible server

Utilize o portal do Azure:

1. Durante a provisão de um novo servidor flexível Base de Dados do Azure para PostgreSQL, configure a encriptação dos dados no separador Segurança. Para a chave de encriptação de dados, selecione a opção de chave gerida por serviço.

   

2. Se você habilitar o armazenamento de backup com redundância geográfica para ser provisionado junto com o servidor, o aspeto da guia Segurança mudará ligeiramente porque o servidor usa duas chaves de criptografia separadas. Uma chave é para a região principal onde estás a implementar o teu servidor, e outra chave é para a região emparelhada onde os backups do servidor são replicados assíncronamente.

   

Pode ativar a encriptação de dados utilizando uma chave de encriptação atribuída pelo sistema ao aprovisionar um novo servidor com o comando az postgres flexible-server create.

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> ...

Utilize o portal do Azure:

1. Crie uma identidade gerida atribuída pelo utilizador, caso ainda não tenha uma. Se o seu servidor tiver backups geo-redundantes ativados, precisa de criar duas identidades diferentes. Cada uma dessas identidades acede a cada uma das duas chaves de encriptação de dados.

1. Crie um Azure Key Vault ou crie um HSM Gerido, se ainda não tiver um key store criado. Certifique-se de que cumpre os requisitos. Além disso, siga as recomendações antes de configurar o armazenamento de chaves e antes de criar a chave e atribuir as permissões necessárias à identidade gerenciada atribuída ao usuário. Se o servidor tiver backups com redundância geográfica habilitados, você precisará criar um segundo armazenamento de chaves. Esse segundo armazenamento de chaves mantém a chave de encriptação de dados que encripta os seus backups copiada para a região emparelhada do servidor.

1. Cria uma chave na tua loja de chaves. Se o seu servidor tiver cópias de segurança com redundância geográfica ativadas, precisa de uma chave em cada um dos repositórios de chaves. Ao utilizar uma destas chaves, encripta todos os dados do seu servidor (incluindo todas as bases de dados do sistema e dos utilizadores, ficheiros temporários, registos do servidor, segmentos de registo write-ahead e cópias de segurança). Ao usar a segunda chave, encripta as cópias de segurança que são copiadas de forma assíncrona para a região emparelhada do seu servidor.

2. Ao aprovisionar um novo servidor flexível do Base de Dados do Azure para PostgreSQL, configure a encriptação de dados no separador Segurança. Para Chave de encriptação de dados, selecione o botão de opção Chave gerida pelo cliente.

   

3. Se você habilitar o armazenamento de backup com redundância geográfica para ser provisionado junto com o servidor, o aspeto da guia Segurança mudará ligeiramente porque o servidor usa duas chaves de criptografia separadas. Uma chave é para a região principal onde estás a implementar o teu servidor, e outra chave é para a região emparelhada onde os backups do servidor são replicados assíncronamente.

   

4. Em Identidade gerenciada atribuída ao usuário, selecione Alterar identidade.

   

5. Da lista de identidades geridas atribuídas pelos utilizadores, selecione aquela que quer que o seu servidor use para aceder à chave de encriptação de dados armazenada num Azure Key Vault.

   

6. Selecione Adicionar.

   

7. Selecione Usar atualização automática da versão da chave, se preferir permitir que o serviço atualize automaticamente a referência para a versão mais atual da chave escolhida, sempre que a versão atual for girada manualmente ou automaticamente. Para entender os benefícios do uso de atualizações automáticas de versão de chave, consulte Atualização automática de versão de chave.

   

8. Selecione Selecionar uma chave.

   

9. A assinatura é preenchida automaticamente com o nome da assinatura na qual o servidor está prestes a ser criado. O armazenamento de chaves que mantém a chave de criptografia de dados deve existir na mesma assinatura que o servidor.

   

10. Em Tipo de armazenamento de chaves, selecione o botão de opção correspondente ao tipo de armazenamento de chaves no qual você planeja armazenar a chave de criptografia de dados. Neste exemplo, escolhe Key Vault, mas a experiência é semelhante se escolheres Managed HSM.

    

11. Expanda Cofre de chaves (ou HSM gerenciado, se você selecionou esse tipo de armazenamento) e selecione a instância em que a chave de criptografia de dados existe.

    

    Observação

    Quando você expande a caixa suspensa, ela mostra Nenhum item disponível. Demora alguns segundos até serem listadas todas as instâncias do Key Vault que estão implementadas na mesma região do servidor.

12. Expanda Chave e selecione o nome da chave que você deseja usar para criptografia de dados.

    

13. Se você não selecionou Usar atualização automática da versão da chave, também deverá selecionar uma versão específica da chave. Para fazer isso, expanda Versão e selecione o identificador da versão da chave que você deseja usar para criptografia de dados.

    

14. Selecione Selecione.

    

15. Configure todas as outras configurações do novo servidor e selecione Revisar + criar.

    

Utilize o comando azi postgres flexible-server create para ativar a encriptação de dados com a chave de encriptação atribuída pelo utilizador, enquanto se fornece um novo servidor.

Se o servidor não tiver backups com redundância geográfica habilitados:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Disabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Se o seu servidor tiver backups com redundância geográfica habilitados:

az postgres flexible-server create \
  --resource-group <resource_group> \
  --name <server> \
  --geo-redundant-backup Enabled \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> \
  --backup-identity <managed_identity_to_access_geo_backups_encryption_key> \
  --backup-key <resource_identifier_of_geo_backups_encryption_key> ...

Utilize o portal do Azure:

1. Selecione o seu servidor flexível do Base de Dados do Azure para PostgreSQL.

2. No menu de recursos, na secção Segurança , selecione Encriptação de Dados.

   

3. Para alterar a identidade gerida atribuída ao utilizador que o servidor utiliza para aceder ao cofre de chaves, expanda a lista pendente User assigned managed identity e selecione uma das identidades disponíveis.

   

   Observação

   A caixa combinada mostra apenas as identidades que o seu servidor flexível do Base de Dados do Azure para PostgreSQL atribuiu. Embora não seja obrigatório, para manter a resiliência regional, selecione identidades geridas pelos utilizadores na mesma região do seu servidor. Se o seu servidor tiver a redundância geo-backup ativada, a segunda identidade gerida pelo utilizador, usada para aceder à chave de encriptação de dados para backups geo-redundantes, deve existir na região emparelhada do servidor.

4. Se a identidade gerida atribuída pelo utilizador que pretende usar para aceder à chave de encriptação de dados não estiver atribuída ao seu servidor flexível Base de Dados do Azure para PostgreSQL, e não existir como um recurso Azure com o seu objeto correspondente no Microsoft Entra ID, crie-o selecionando Criar.

   

5. No painel Criar Identidade Gerida Atribuída pelo Utilizador, introduza os detalhes da identidade gerida atribuída pelo utilizador que pretende criar e atribua-a automaticamente ao seu servidor flexível Base de Dados do Azure para PostgreSQL para aceder à chave de encriptação de dados.

   

6. Se a identidade gerida atribuída pelo utilizador que pretende utilizar para aceder à chave de encriptação de dados não estiver atribuída ao seu servidor flexível do Base de Dados do Azure para PostgreSQL, mas existir como um recurso do Azure com o objeto correspondente no Microsoft Entra ID, atribua-a selecionando Select.

   

7. Da lista de identidades geridas atribuídas pelos utilizadores, selecione aquela que quer que o seu servidor use para aceder à chave de encriptação de dados armazenada num Azure Key Vault.

   

8. Selecione Adicionar.

   

9. Selecione Usar atualização automática da versão da chave se pretender que o serviço atualize automaticamente a referência para a versão mais recente da chave selecionada sempre que ocorrer a rotação manual ou automática da versão atual. Para compreender os benefícios de usar atualizações automáticas de versão de chave, consulte [atualização automática de versão de chave](.. /security/security-data-encryption.md##CMK atualizações de versão da chave).

   

10. Se rodares a chave e não ativares a atualização automática da versão da chave. Ou, se quiseres usar uma chave diferente, atualiza o teu servidor flexível Base de Dados do Azure para PostgreSQL para que aponte para a nova versão da chave ou para a nova chave. Para isso, copie o identificador de recurso da chave e cole-o na caixa do identificador de chave .

    

11. Se o usuário que acessa o portal do Azure tiver permissões para acessar a chave armazenada no armazenamento de chaves, você poderá usar uma abordagem alternativa para escolher a nova chave ou a nova versão da chave. Para fazer isso, em Método de seleção de chave, selecione o botão de opção Selecionar uma chave.

    

12. Selecione Selecionar chave.

    

13. A assinatura é preenchida automaticamente com o nome da assinatura na qual o servidor está prestes a ser criado. O armazenamento de chaves que mantém a chave de criptografia de dados deve existir na mesma assinatura que o servidor.

    

14. Em Tipo de armazenamento de chaves, selecione o botão de opção correspondente ao tipo de armazenamento de chaves no qual você planeja armazenar a chave de criptografia de dados. Neste exemplo, escolhe Key Vault, mas a experiência é semelhante se escolheres Managed HSM.

    

15. Expanda Cofre de chaves (ou HSM gerenciado, se você selecionou esse tipo de armazenamento) e selecione a instância em que a chave de criptografia de dados existe.

    

    Observação

    Quando você expande a caixa suspensa, ela mostra Nenhum item disponível. Demora alguns segundos até serem listadas todas as instâncias do Key Vault que estão implementadas na mesma região do servidor.

16. Expanda Chave e selecione o nome da chave que você deseja usar para criptografia de dados.

    

17. Se você não selecionou Usar atualização automática da versão da chave, também deverá selecionar uma versão específica da chave. Para fazer isso, expanda Versão e selecione o identificador da versão da chave que você deseja usar para criptografia de dados.

    

18. Selecione Selecione.

    

19. Quando estiver satisfeito com as alterações, selecione Guardar.

    

Use o comando az postgres flexible-server update para configurar a encriptação de dados com a chave de encriptação atribuída pelo utilizador, para um servidor existente.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --identity <managed_identity_to_access_primary_encryption_key> \
  --key <resource_identifier_of_primary_encryption_key> ...

Quer queira alterar apenas a identidade gerida atribuída pelo utilizador usada para aceder à chave, quer queira alterar apenas a chave usada para encriptação de dados, ou queira alterar ambos ao mesmo tempo, deve fornecer ambos os parâmetros --identity e --key (ou --backup-identity e --backup-key para backups geo-redundantes). Se fornecer apenas um parâmetro, recebe qualquer um dos seguintes erros:

User assigned identity and keyvault key need to be provided together. Please provide --identity and --key together.

User assigned identity and keyvault key need to be provided together. Please provide --backup-identity and --backup-key together.

Se a chave que especificas com o --key parâmetro (ou --backup-key para backups geo-redundantes) não existir, ou se a identidade gerida atribuída pelo utilizador cujo identificador de recurso passas para o --identity parâmetro (ou --backup-identity para backups geo-redundantes) não tiver as permissões necessárias para aceder à chave, recebes o seguinte erro:

Code: AzureKeyVaultKeyNameNotFound
Message: The operation could not be completed because the Azure Key Vault Key name '<key_vault_resource>' does not exist or User Assigned Identity does not have Get access to the Key (/azure/postgresql/flexible-server/concepts-data-encryption#requirements-for-configuring-data-encryption-for-azure-database-for-postgresql-flexible-server).

Se o servidor tiver backups com redundância geográfica habilitados, você poderá configurar a chave usada para criptografia de backups com redundância geográfica e a identidade usada para acessar essa chave. Para isso, use os parâmetros --backup-identity e --backup-key.

az postgres flexible-server update \
  --resource-group <resource_group> \
  --name <server> \
  --backup-identity <managed_identity_to_access_georedundant_encryption_key> \
  --backup-key <resource_identifier_of_georedundant_encryption_key> ...

Se passar os parâmetros --backup-identity e --backup-key ao comando az postgres flexible server update e especificar um servidor existente que não tenha a cópia de segurança com georredundância ativada, é apresentado o seguinte erro:

Geo-redundant backup is not enabled. You cannot provide Geo-location user assigned identity and keyvault key.

Se adicionares identidades aos parâmetros --identity e --backup-identity e estas forem válidas, o sistema adiciona-as automaticamente à lista de identidades geridas atribuídas pelo utilizador associadas ao teu servidor flexível do Base de Dados do Azure para PostgreSQL. Esta ação acontece mesmo que o comando falhe mais tarde com algum outro erro. Nesses casos, convém usar os comandos az postgres flexible-server identity para listar, atribuir ou remover identidades gerenciadas atribuídas ao usuário atribuídas ao seu banco de dados do Azure para servidor flexível PostgreSQL. Para saber mais sobre como configurar identidades geridas atribuídas ao utilizador no seu servidor flexível do Base de Dados do Azure para PostgreSQL, consulte associar identidades geridas atribuídas ao utilizador a servidores existentes, desassociar identidades geridas atribuídas ao utilizador de servidores existentes e mostrar as identidades geridas atribuídas ao utilizador associadas.