Criar uma conta que ofereça suporte a chaves gerenciadas pelo cliente para tabelas e filas

Para criar uma conta de armazenamento que dependa da chave de criptografia de conta com o portal do Azure, siga estas etapas:

1. No menu esquerdo do portal, selecione Contas de armazenamento para exibir uma lista de suas contas de armazenamento.

2. Na página Contas de armazenamento, selecione Novo.

3. Preencha os campos na guia Noções básicas .

4. Na guia Avançado, localize a seção Tabelas e Filas e selecione Habilitar suporte para chaves gerenciadas pelo cliente.

   

Para usar o PowerShell para criar uma conta de armazenamento que dependa da chave de criptografia de conta, verifique se você instalou o módulo do Azure PowerShell, versão 3.4.0 ou posterior. Para obter mais informações, consulte Instalar o módulo do Azure PowerShell.

Em seguida, crie uma conta de armazenamento v2 de uso geral chamando o comando New-AzStorageAccount , com os parâmetros apropriados:

• Inclua a -EncryptionKeyTypeForQueue opção e defina o seu valor para Account para utilizar a chave de criptografia da conta para criptografar dados no armazenamento em fila.
• Inclua a opção -EncryptionKeyTypeForTable e defina o seu valor como Account para usar a chave de criptografia de conta para criptografar dados no armazenamento de Tabela.

O exemplo a seguir mostra como criar uma conta de armazenamento v2 de uso geral, configurada para armazenamento com redundância geográfica de acesso de leitura (RA-GRS) e que utiliza a chave de encriptação da conta para encriptar dados para armazenamento de filas e tabelas. Lembre-se de substituir os valores preenchidos entre colchetes pelos seus próprios valores:

New-AzStorageAccount -ResourceGroupName <resource_group> `
    -AccountName <storage-account> `
    -Location <___location> `
    -SkuName "Standard_RAGRS" `
    -Kind StorageV2 `
    -EncryptionKeyTypeForTable Account `
    -EncryptionKeyTypeForQueue Account

Para usar a CLI do Azure para criar uma conta de armazenamento que dependa da chave de criptografia da conta, verifique se você instalou a CLI do Azure versão 2.0.80 ou posterior. Para obter mais informações, consulte Instalar a CLI do Azure.

Em seguida, crie uma conta de armazenamento v2 de uso geral chamando o comando az storage account create , com os parâmetros apropriados:

• Inclua a opção --encryption-key-type-for-queue e defina o seu valor para Account para usar a chave de encriptação de conta para encriptar dados no armazenamento de filas.
• Inclua a opção --encryption-key-type-for-table e defina o seu valor para Account usar a chave de criptografia da conta para criptografar dados no armazenamento de tabelas.

O exemplo a seguir mostra como criar uma conta de armazenamento v2 de uso geral configurada para armazenamento com redundância geográfica de acesso de leitura (RA-GRS) e que usa a chave de criptografia de conta para criptografar dados para armazenamento de fila e tabela. Lembre-se de substituir os valores preenchidos entre colchetes pelos seus próprios valores:

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --___location <___location> \
    --sku Standard_RAGRS \
    --kind StorageV2 \
    --encryption-key-type-for-table Account \
    --encryption-key-type-for-queue Account

O exemplo JSON a seguir cria uma conta de armazenamento v2 de uso geral que está configurada para armazenamento com redundância geográfica de leitura (RA-GRS) e que utiliza a chave de criptografia da conta para criptografar dados tanto para o armazenamento de fila quanto para o armazenamento de tabela. Lembre-se de substituir os valores de espaço reservado entre colchetes angulares pelos seus próprios valores:

"resources": [
    {
        "type": "Microsoft.Storage/storageAccounts",
        "apiVersion": "2019-06-01",
        "name": "[parameters('<storage-account>')]",
        "___location": "[parameters('<___location>')]",
        "dependsOn": [],
        "tags": {},
        "sku": {
            "name": "[parameters('Standard_RAGRS')]"
        },
        "kind": "[parameters('StorageV2')]",
        "properties": {
            "accessTier": "[parameters('<accessTier>')]",
            "supportsHttpsTrafficOnly": "[parameters('supportsHttpsTrafficOnly')]",
            "largeFileSharesState": "[parameters('<largeFileSharesState>')]",
            "encryption": {
                "services": {
                    "queue": {
                        "keyType": "Account"
                    },
                    "table": {
                        "keyType": "Account"
                    }
                },
                "keySource": "Microsoft.Storage"
            }
        }
    }
],

Para verificar se um serviço em uma conta de armazenamento está usando uma chave de criptografia com escopo para a conta com o portal do Azure, siga estas etapas:

1. No portal do Azure, navegue para a sua nova conta de armazenamento.

2. Na seção Segurança + Rede , selecione Criptografia.

3. Se a conta de armazenamento tiver sido criada para confiar na chave de criptografia da conta, você verá na guia Criptografia que as chaves gerenciadas pelo cliente podem ser habilitadas para todos os quatro serviços de Armazenamento do Azure: blobs, arquivos, tabelas e filas.

   

Para verificar se um serviço em uma conta de armazenamento está usando a chave de criptografia de conta com o PowerShell, chame o comando Get-AzStorageAccount . Este comando retorna um conjunto de propriedades da conta de armazenamento e seus valores. Procure o KeyType campo para cada serviço dentro da Encryption propriedade e verifique se ele está definido como Account.

$account = Get-AzStorageAccount -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account>
$account.Encryption.Services.Queue
$account.Encryption.Services.Table

Para verificar se um serviço em uma conta de armazenamento está usando a chave de criptografia de conta com a CLI do Azure, chame o comando az storage account show . Este comando retorna um conjunto de propriedades da conta de armazenamento e seus valores. Procure o keyType campo para cada serviço dentro da propriedade de criptografia e verifique se ele está definido como Account.

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group>

N/A