Configuración de la clave administrada por el cliente (CMK) para el cifrado de datos en reposo para un clúster de Azure DocumentDB

1. Durante el aprovisionamiento de un nuevo clúster de Azure DocumentDB, las claves administradas por el servicio o administradas por el cliente para el cifrado de datos del clúster se configuran en la pestaña Cifrado . Seleccione la clave administrada por el cliente para Cifrado de datos.

   

2. En la sección Identidad administrada asignada por el usuario, seleccione Cambiar identidad.

   

3. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que el clúster use para acceder a la clave de cifrado de datos almacenada en Azure Key Vault.

   

4. Selecciona Agregar.

   

5. En el Método de selección de clave, elija Seleccionar una clave.

6. En la sección Clave, seleccione Cambiar clave.

   

7. En el panel Seleccionar una clave, seleccione la instancia de Azure Key Vault en Almacén de claves y la clave de cifrado en Clave, y confirme las opciones con Seleccionar.

   

   Importante

   La instancia de Azure Key Vault seleccionada debe estar en la misma región de Azure donde se va a hospedar el clúster de Azure DocumentDB.

8. Confirme la identidad administrada asignada por el usuario seleccionada y la clave de cifrado en la pestaña Cifrado y seleccione Revisar y crear para crear el clúster.

   

Puede habilitar el cifrado de datos con la clave de cifrado asignada por el usuario al aprovisionar un nuevo clúster con un comando az rest.

1. Cree un archivo JSON con el siguiente contenido. Reemplace los marcadores de posición que comienzan por el signo $ por los valores reales y guarde el archivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "administrator": {
             "userName": "$adminName",
             "password": "$complexPassword"
           },
           "serverVersion": "8.0",
           "storage": {
             "sizeGb": 32
           },
           "compute": {
             "tier": "M40"
           },
           "sharding": {
             "shardCount": 1
           },
           "highAvailability": {
             "targetMode": "ZoneRedundantPreferred"
           },
         "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Nota:

   La keyEncryptionKeyUrl debe contener el nombre de la clave, pero no debe contener una versión de clave específica.

2. Ejecute el siguiente comando de la CLI de Azure para realizar una llamada a la API REST para crear un clúster de Azure DocumentDB. Reemplace los marcadores de posición de la sección variables y el nombre de archivo del parámetro --body en la línea de comandos az rest por los valores reales.

   # Define your variables
   $randomIdentifier = (New-Guid).ToString().Substring(0,8)
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="DocumentDB"
   $mongoClustersName="msdocscr$randomIdentifier"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. En la barra lateral del clúster, en Configuración, seleccione Cifrado de datos.

2. En la sección Identidad administrada asignada por el usuario, seleccione Cambiar identidad.

   

3. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que el clúster use para acceder a la clave de cifrado de datos almacenada en Azure Key Vault.

   

4. Selecciona Agregar.

5. En el Método de selección de clave, elija Seleccionar una clave.

6. En Clave, elija Cambiar clave.

   

7. En el panel Seleccionar una clave, seleccione la instancia de Azure Key Vault en Almacén de claves y la clave de cifrado en Clave, y confirme las opciones con Seleccionar.

   

   Importante

   La instancia de Azure Key Vault seleccionada debe estar en la misma región de Azure donde se hospeda el clúster de Azure DocumentDB.

8. Confirme la identidad administrada asignada por el usuario seleccionada y la clave de cifrado en la página Cifrado de datos y seleccione Guardar para confirmar las selecciones y crear un clúster de réplica.

   

Puede cambiar la identidad administrada asignada por el usuario y la clave de cifrado para el cifrado de datos en un clúster existente a través de una llamada a la API de REST.

1. Cree un archivo JSON con el siguiente contenido. Reemplace los marcadores de posición que comienzan por el signo $ por los valores reales y guarde el archivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Nota:

   La keyEncryptionKeyUrl debe contener el nombre de la clave, pero no debe contener una versión de clave específica.

2. Ejecute el siguiente comando de la CLI de Azure para realizar una llamada a la API REST para crear un clúster de Azure DocumentDB. Reemplace los marcadores de posición de la sección variables y el nombre de archivo del parámetro --body en la línea de comandos az rest por los valores reales.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. En la barra lateral del clúster, en Configuración, seleccione Distribución global.

2. Seleccione Agregar nueva réplica de lectura.

   

3. Proporcione un nombre de clúster de réplica en el campo de nombre de Réplica de lectura.

4. Seleccione una región en la Región de réplica de lectura. El clúster de réplica se hospeda en la región de Azure seleccionada.

   Nota:

   El clúster de réplica siempre se crea en la misma suscripción y grupo de recursos de Azure que su clúster principal (de lectura y escritura).

   

5. En la sección Cifrado de datos, seleccione Clave administrada por el cliente para habilitar CMK o Clave administrada por el servicio para deshabilitar CMK en el clúster de réplica.

   

6. En la sección Identidad administrada asignada por el usuario, seleccione Cambiar identidad.

   

7. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que el clúster use para acceder a la clave de cifrado de datos almacenada en Azure Key Vault.

   

8. Selecciona Agregar.

9. En el Método de selección de clave, elija Seleccionar una clave.

10. En Clave, elija Cambiar clave.

    

11. En el panel Seleccionar una clave, seleccione la instancia de Azure Key Vault en Almacén de claves y la clave de cifrado en Clave, y confirme las opciones con Seleccionar.

    

12. Confirme la identidad administrada asignada por el usuario seleccionada y la clave de cifrado en la página Distribución global y seleccione Guardar para confirmar las selecciones y crear un clúster de réplica.

    

Para crear un clúster de réplica con la CMK habilitada en la misma región, siga estos pasos.

1. Cree un archivo JSON con el siguiente contenido. Reemplace los marcadores de posición que comienzan por el signo $ por los valores reales y guarde el archivo.

   {
           "identity": {
               "type": "UserAssigned",
               "userAssignedIdentities": {
                 "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
               }
             },
         "location": "$targetRegionName",
             "properties": {
             	"createMode": "GeoReplica",
                   "replicaParameters": {
                     "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$sourceClusterName",
                     "sourceLocation": "sourceRegionName"
                   },
                   "encryption": {
                     "customerManagedKeyEncryption": {
                       "keyEncryptionKeyIdentity": {
                         "identityType": "UserAssignedIdentity",
                         "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                       },
                       "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                     }
                   }
             }
       }
   

   Nota:

   La keyEncryptionKeyUrl debe contener el nombre de la clave, pero no debe contener una versión de clave específica.

2. Ejecute el siguiente comando de la CLI de Azure para realizar una llamada a la API REST para crear un clúster de Azure DocumentDB. Reemplace los marcadores de posición de la sección variables y el nombre de archivo del parámetro --body en la línea de comandos az rest por los valores reales.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Seleccione un clúster de Azure DocumentDB existente.

2. En la barra lateral del clúster, en Configuración, seleccione Restauración a un momento dado.

3. Seleccione una fecha y proporcione una hora (en zona horaria UTC) en los campos de fecha y hora.

   

4. Escriba un nombre de clúster en el campo Restaurar nombre de clúster de destino.

   

5. Escriba un nombre de administrador de clúster para el clúster restaurado en el campo Nombre de usuario administrador.

6. Escriba una contraseña para el rol de administrador en los campos Contraseña y Confirmar contraseña.

   

7. En la sección Cifrado de datos, seleccione Clave administrada por el cliente para habilitar CMK. Si necesita deshabilitar CMK en el clúster restaurado, seleccione Clave administrada por el servicio.

   

8. En la sección Identidad administrada asignada por el usuario, seleccione Cambiar identidad.

   

9. En la lista de identidades administradas asignadas por el usuario, seleccione la que desea que el clúster use para acceder a la clave de cifrado de datos almacenada en Azure Key Vault.

   

10. Selecciona Agregar.

11. En el Método de selección de clave, elija Seleccionar una clave.

12. En Clave, elija Cambiar clave.

    

13. En el panel Seleccionar una clave, seleccione la instancia de Azure Key Vault en Almacén de claves y la clave de cifrado en Clave, y confirme las opciones con Seleccionar.

    

14. Seleccione Enviar para iniciar la restauración del clúster.

Para restaurar un clúster con CMK habilitada, siga estos pasos.

1. Cree un archivo JSON con el siguiente contenido. Reemplace los marcadores de posición que comienzan por el signo $ por los valores reales y guarde el archivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
               "administrator": {
                 "userName": "$adminName"
               },
         	"createMode": "PointInTimeRestore",
               "restoreParameters": {
                 "pointInTimeUTC": "yyyy-mm-ddThh:mm:ssZ",
                 "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$restoredClusterName"
               },
               "encryption": {
                 "customerManagedKeyEncryption": {
                   "keyEncryptionKeyIdentity": {
                     "identityType": "UserAssignedIdentity",
                     "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                   },
                   "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                 }
               }
         }
   }
   

   Nota:

   La keyEncryptionKeyUrl debe contener el nombre de la clave, pero no debe contener una versión de clave específica.

2. Ejecute el siguiente comando de la CLI de Azure para realizar una llamada a la API REST para crear un clúster de Azure DocumentDB. Reemplace los marcadores de posición de la sección variables y el nombre de archivo del parámetro --body en la línea de comandos az rest por los valores reales.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json