Konfigurasikan kunci yang dikelola pelanggan

Langkah-langkah berikut menjelaskan cara mengaktifkan enkripsi kunci yang dikelola pelanggan menggunakan portal Azure. Secara default, enkripsi Azure Data Explorer menggunakan kunci yang dikelola Microsoft. Konfigurasikan kluster Azure Data Explorer Anda untuk menggunakan kunci yang dikelola pelanggan dan tentukan kunci yang akan dikaitkan dengan kluster.

1. Di portal Azure, buka sumber daya kluster Azure Data Explorer Anda.

2. Pilih Pengaturan>Enkripsi di panel kiri portal.

3. Di panel Enkripsi , pilih Aktif untuk pengaturan Kunci yang dikelola pelanggan .

4. Pilih Pilih Kunci.

   

5. Di jendela Pilih kunci dari Azure Key Vault, pilih Brankas kunci yang ada dari daftar dropdown. Jika Anda memilih Buat baru untuk membuat Key Vault baru, Anda akan dirutekan ke layar Buat Key Vault.

6. Pilih Kunci.

7. Versi:

   • Untuk memastikan bahwa kunci ini selalu menggunakan versi kunci terbaru, pilih kotak centang Selalu gunakan versi kunci saat ini .
   • Jika tidak, pilih Versi.

8. Pilih Pilih.

   

9. Di bawah Jenis identitas, pilih Sistem yang Ditetapkan atau Ditetapkan Pengguna.

10. Jika Anda memilih Ditetapkan Pengguna, pilih identitas yang ditetapkan pengguna dari menu dropdown.

    

11. Di panel Enkripsi yang sekarang berisi kunci Anda, pilih Simpan. Saat pembuatan CMK berhasil, Anda akan melihat pesan sukses di Pemberitahuan.

    

Jika Anda memilih identitas yang ditetapkan sistem saat mengaktifkan kunci yang dikelola pelanggan untuk kluster Azure Data Explorer, Anda akan membuat identitas yang ditetapkan sistem untuk kluster jika tidak ada. Selain itu, Anda akan memberikan izin get, wrapKey, dan unwrapKey yang diperlukan ke kluster Azure Data Explorer Anda pada Key Vault yang dipilih dan mendapatkan properti Key Vault.

Bagian berikut menjelaskan cara mengonfigurasi enkripsi kunci yang dikelola pelanggan menggunakan klien Azure Data Explorer C#.

Memasang paket

• Instal paket NuGet Azure Data Explorer (Kusto).
• Instal paket Azure.Identity NuGet untuk autentikasi dengan ID Microsoft Entra.

Autentikasi

Untuk menjalankan contoh dalam artikel ini, buat aplikasi Microsoft Entra dan perwakilan layanan yang dapat mengakses sumber daya. Anda dapat menambahkan penetapan peran di cakupan langganan dan mendapatkan yang diperlukan Microsoft Entra Directory (tenant) ID, Application ID, dan Application Secret.

Cuplikan kode berikut menunjukkan cara menggunakan Microsoft Authentication Library (MSAL) untuk memperoleh token aplikasi Microsoft Entra untuk mengakses kluster Anda. Agar alur berhasil, aplikasi harus didaftarkan dengan ID Microsoft Entra dan Anda harus memiliki kredensial untuk autentikasi aplikasi, seperti kunci aplikasi Microsoft Entra yang dikeluarkan ID atau sertifikat X.509v2 terdaftar Microsoft Entra.

Mengonfigurasi kunci yang dikelola pelanggan

Secara default, enkripsi Azure Data Explorer menggunakan kunci yang dikelola Microsoft. Konfigurasikan kluster Azure Data Explorer Anda untuk menggunakan kunci yang dikelola pelanggan dan tentukan kunci yang akan dikaitkan dengan kluster.

1. Perbarui kluster Anda dengan menggunakan kode berikut:

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Azure AD Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Application ID
   var clientSecret = "PlaceholderClientSecret"; // Application secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   var credentials = new ClientSecretCredential(tenantId, clientId, clientSecret);
   var resourceManagementClient = new ArmClient(credentials, subscriptionId);
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var subscription = await resourceManagementClient.GetDefaultSubscriptionAsync();
   var resourceGroup = (await subscription.GetResourceGroupAsync(resourceGroupName)).Value;
   var clusters = resourceGroup.GetKustoClusters();
   var cluster = (await clusters.GetAsync(clusterName)).Value;
   var clusterPatch = new KustoClusterPatch(cluster.Data.Location)
   {
       KeyVaultProperties = new KustoKeyVaultProperties
       {
           KeyName = "<keyName>",
           KeyVersion = "<keyVersion>", // Optional, leave as NULL for the latest version of the key.
           KeyVaultUri = new Uri("https://<keyVaultName>.vault.azure.net/"),
           UserIdentity = "/subscriptions/<identitySubscriptionId>/resourcegroups/<identityResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>" // Use NULL if you want to use system assigned identity.
       }
   };
   await cluster.UpdateAsync(WaitUntil.Completed, clusterPatch);
   

2. Jalankan perintah berikut untuk memeriksa apakah kluster Anda berhasil diperbarui:

   var clusterData = (await resourceGroup.GetKustoClusterAsync(clusterName)).Value.Data;
   

   Jika hasilnya berisi ProvisioningState dengan Succeeded nilai , maka kluster Anda berhasil diperbarui.

Langkah-langkah berikut menjelaskan cara mengaktifkan enkripsi kunci yang dikelola pelanggan menggunakan klien Azure CLI. Secara default, enkripsi Azure Data Explorer menggunakan kunci yang dikelola Microsoft. Konfigurasikan kluster Azure Data Explorer Anda untuk menggunakan kunci yang dikelola pelanggan dan tentukan kunci yang akan dikaitkan dengan kluster.

1. Jalankan perintah berikut untuk masuk ke Azure:

   az login
   

2. Atur langganan tempat kluster Anda terdaftar. Ganti MyAzureSub dengan nama langganan Azure yang ingin Anda gunakan.

   az account set --subscription MyAzureSub
   

3. Jalankan perintah berikut untuk mengatur kunci baru dengan identitas yang ditetapkan sistem kluster

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>"
   

   Atau, atur kunci baru dengan identitas yang ditetapkan pengguna.

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>" key-user-identity="<user-identity-resource-id>"
   

4. Jalankan perintah berikut dan periksa properti 'keyVaultProperties' untuk memverifikasi kluster berhasil diperbarui.

   az kusto cluster show --cluster-name "mytestcluster" --resource-group "mytestrg"
   

Langkah-langkah berikut menjelaskan cara mengaktifkan enkripsi kunci yang dikelola pelanggan menggunakan PowerShell. Secara default, enkripsi Azure Data Explorer menggunakan kunci yang dikelola Microsoft. Konfigurasikan kluster Azure Data Explorer Anda untuk menggunakan kunci yang dikelola pelanggan dan tentukan kunci yang akan dikaitkan dengan kluster.

1. Jalankan perintah berikut untuk masuk ke Azure:

   Connect-AzAccount
   

2. Atur langganan tempat kluster Anda terdaftar.

   Set-AzContext -SubscriptionId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   

3. Jalankan perintah berikut untuk mengatur kunci baru menggunakan identitas yang ditetapkan sistem.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>"
   

   Atau, atur kunci baru menggunakan identitas yang ditetapkan pengguna.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>" -KeyVaultPropertyUserIdentity "user-assigned-identity-resource-id"
   

4. Jalankan perintah berikut dan periksa 'KeyVaultProperty...' properti untuk memverifikasi kluster berhasil diperbarui.

   Get-AzKustoCluster -Name "mytestcluster" -ResourceGroupName "mytestrg" | Format-List
   

Langkah-langkah berikut menjelaskan cara mengonfigurasi kunci yang dikelola pelanggan menggunakan templat Azure Resource Manager. Secara default, enkripsi Azure Data Explorer menggunakan kunci yang dikelola Microsoft. Dalam langkah ini, konfigurasikan kluster Azure Data Explorer Anda untuk menggunakan kunci yang dikelola pelanggan dan tentukan kunci yang akan dikaitkan dengan kluster.

Jika Anda ingin menggunakan identitas yang ditetapkan sistem untuk mengakses brankas kunci, biarkan userIdentity kosong. Jika tidak, atur ID sumber daya identitas.

Anda dapat menyebarkan templat Azure Resource Manager dengan menggunakan portal Azure atau menggunakan PowerShell.

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "type": "string",
      "defaultValue": "[concat('kusto', uniqueString(resourceGroup().id))]",
      "metadata": {
        "description": "Name of the cluster to create"
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Location for all resources."
      }
    }
  },
  "variables": {},
  "resources": [
    {
      "name": "[parameters('clusterName')]",
      "type": "Microsoft.Kusto/clusters",
      "sku": {
        "name": "Standard_E8ads_v5",
        "tier": "Standard",
        "capacity": 2
      },
      "apiVersion": "2019-09-07",
      "location": "[parameters('location')]",
      "properties": {
        "keyVaultProperties": {
          "keyVaultUri": "<keyVaultUri>",
          "keyName": "<keyName>",
          "keyVersion": "<keyVersion>",
          "userIdentity": "<userIdentity>"
        }
      }
    }
  ]
}