Configurer les clés gérées par le client

Les étapes suivantes expliquent comment activer le chiffrement des clés gérées par le client à l’aide du portail Azure. Par défaut, le chiffrement Azure Data Explorer utilise des clés gérées par Microsoft. Configurez votre cluster Azure Data Explorer pour utiliser des clés gérées par le client et spécifiez la clé à associer au cluster.

1. Dans le portail Azure, accédez à votre ressource de cluster Azure Data Explorer .

2. Sélectionnez Paramètres>Chiffrement dans le volet gauche du portail.

3. Dans le volet Chiffrement , sélectionnez Activé pour le paramètre de clé gérée par le client .

4. Cliquez sur Sélectionner une clé.

   

5. Dans la fenêtre Sélectionner une clé dans Azure Key Vault , sélectionnez un coffre de clés existant dans la liste déroulante. Si vous sélectionnez Créer pour créer un coffre de clés, vous serez routé vers l’écran Créer un coffre de clés .

6. Sélectionnez Clé.

7. Version:

   • Pour vous assurer que cette clé utilise toujours la dernière version de la clé, cochez la case Toujours utiliser la version actuelle de la clé .
   • Sinon, sélectionnez Version.

8. Cliquez sur Sélectionner.

   

9. Sous Type d’identité, sélectionnez Affecté par le système ou l’utilisateur affecté.

10. Si vous sélectionnez Utilisateur affecté, choisissez une identité utilisateur affectée dans la liste déroulante.

    

11. Dans le volet Chiffrement qui contient maintenant votre clé, sélectionnez Enregistrer. Une fois la création de CMK réussie, un message de réussite s’affiche dans Notifications.

    

Si vous sélectionnez l’identité affectée par le système lors de l’activation des clés gérées par le client pour votre cluster Azure Data Explorer, vous allez créer une identité affectée par le système pour le cluster si elle n’existe pas. En outre, vous fournirez les autorisations get, wrapKey et unwrapKey requises pour votre cluster Azure Data Explorer sur le Key Vault sélectionné, et obtiendrez les propriétés du Key Vault.

Les sections suivantes expliquent comment configurer le chiffrement des clés gérées par le client à l'aide du client C# d'Azure Data Explorer.

Installer des packages

• Installez le package NuGet Azure Data Explorer (Kusto).
• Installez le package NuGet MSAL pour l’authentification avec Azure Active Directory (Azure AD).
• Installez le package NuGet Microsoft.Rest.ClientRuntime pour s'authentifier avec Azure Active Directory (Azure AD).

Authentification

Pour exécuter les exemples de cet article, créez une application Azure AD et un principal de service qui peuvent accéder aux ressources. Vous pouvez ajouter une attribution de rôle à l’étendue de l’abonnement et obtenir les éléments requis Azure AD Directory (tenant) ID, Application IDet Application Secret.

L’extrait de code suivant montre comment utiliser la bibliothèque d’authentification Microsoft (MSAL) pour acquérir un jeton d’application Azure AD pour accéder à votre cluster. Pour que le flux réussisse, l’application doit être inscrite auprès d’Azure AD et vous devez disposer des informations d’identification pour l’authentification de l’application, telles qu’une clé d’application émise par Azure AD ou un certificat X.509v2 inscrit auprès d’Azure AD.

Configurer des clés gérées par le client

Par défaut, le chiffrement Azure Data Explorer utilise des clés gérées par Microsoft. Configurez votre cluster Azure Data Explorer pour utiliser des clés gérées par le client et spécifiez la clé à associer au cluster.

1. Mettez à jour votre cluster à l’aide du code suivant :

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Azure AD Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Application ID
   var clientSecret = "PlaceholderClientSecret"; // Application secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   // Create a confidential authentication client for Azure AD:
   var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
       .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
       .WithClientSecret(clientSecret) // can be replaced by .WithCertificate to authenticate with an X.509 certificate
       .Build();
   // Acquire application token
   var result = authClient.AcquireTokenForClient(
       new[] { "https://management.core.windows.net/.default" } // Define scopes for accessing Azure management plane
   ).ExecuteAsync().Result;
   var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
   var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var clusterPatch = new ClusterUpdate(
       keyVaultProperties: new KeyVaultProperties(
           keyName: "<keyName>",
           keyVersion: "<keyVersion>", // Optional, leave as NULL for the latest version of the key.
           keyVaultUri: "https://<keyVaultName>.vault.azure.net/",
           userIdentity: "/subscriptions/<identitySubscriptionId>/resourcegroups/<identityResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>" // Use NULL if you want to use system assigned identity.
       )
   );
   await kustoManagementClient.Clusters.UpdateAsync(resourceGroupName, clusterName, clusterPatch);
   

2. Exécutez la commande suivante pour vérifier si votre cluster a été correctement mis à jour :

   var clusterData = await kustoManagementClient.Clusters.GetAsync(resourceGroupName, clusterName);
   

   Si le résultat contient ProvisioningState avec la Succeeded valeur, votre cluster a été mis à jour avec succès.

Les étapes suivantes expliquent comment activer le chiffrement des clés gérées par le client à l'aide du client Azure CLI. Par défaut, le chiffrement Azure Data Explorer utilise des clés gérées par Microsoft. Configurez votre cluster Azure Data Explorer pour utiliser des clés gérées par le client et spécifiez la clé à associer au cluster.

1. Exécutez la commande ci-après pour vous connecter à Azure :

   az login
   

2. Définissez l’abonnement dans lequel votre cluster est inscrit. Remplacez MyAzureSub par le nom de l’abonnement Azure que vous souhaitez utiliser.

   az account set --subscription MyAzureSub
   

3. Exécutez la commande suivante pour définir la nouvelle clé avec l’identité affectée par le système du cluster

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>"
   

   Vous pouvez définir la nouvelle clé avec une identité assignée par l'utilisateur.

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>" key-user-identity="<user-identity-resource-id>"
   

4. Exécutez la commande suivante et vérifiez la propriété « keyVaultProperties » pour vérifier que le cluster a été mis à jour avec succès.

   az kusto cluster show --cluster-name "mytestcluster" --resource-group "mytestrg"
   

Les étapes suivantes expliquent comment activer le chiffrement des clés gérées par le client à l’aide de PowerShell. Par défaut, le chiffrement Azure Data Explorer utilise des clés gérées par Microsoft. Configurez votre cluster Azure Data Explorer pour utiliser des clés gérées par le client et spécifiez la clé à associer au cluster.

1. Exécutez la commande ci-après pour vous connecter à Azure :

   Connect-AzAccount
   

2. Définissez l’abonnement dans lequel votre cluster est inscrit.

   Set-AzContext -SubscriptionId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   

3. Exécutez la commande suivante pour définir la nouvelle clé à l’aide d’une identité affectée par le système.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>"
   

   Vous pouvez également définir la nouvelle clé à l’aide d’une identité affectée par l’utilisateur.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>" -KeyVaultPropertyUserIdentity "user-assigned-identity-resource-id"
   

4. Exécutez la commande suivante et vérifiez « KeyVaultProperty... » propriétés pour vérifier que le cluster a été mis à jour avec succès.

   Get-AzKustoCluster -Name "mytestcluster" -ResourceGroupName "mytestrg" | Format-List
   

Les étapes suivantes expliquent comment configurer des clés gérées par le client à l’aide de modèles Azure Resource Manager. Par défaut, le chiffrement Azure Data Explorer utilise des clés gérées par Microsoft. Dans cette étape, configurez votre cluster Azure Data Explorer pour utiliser des clés gérées par le client et spécifiez la clé à associer au cluster.

Si vous souhaitez utiliser une identité affectée par le système pour accéder au coffre de clés, laissez userIdentity vide. Sinon, définissez l’ID de ressource de l’identité.

Vous pouvez déployer le modèle Azure Resource Manager à l’aide du portail Azure ou de PowerShell.

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "type": "string",
      "defaultValue": "[concat('kusto', uniqueString(resourceGroup().id))]",
      "metadata": {
        "description": "Name of the cluster to create"
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Location for all resources."
      }
    }
  },
  "variables": {},
  "resources": [
    {
      "name": "[parameters('clusterName')]",
      "type": "Microsoft.Kusto/clusters",
      "sku": {
        "name": "Standard_E8ads_v5",
        "tier": "Standard",
        "capacity": 2
      },
      "apiVersion": "2019-09-07",
      "location": "[parameters('location')]",
      "properties": {
        "keyVaultProperties": {
          "keyVaultUri": "<keyVaultUri>",
          "keyName": "<keyName>",
          "keyVersion": "<keyVersion>",
          "userIdentity": "<userIdentity>"
        }
      }
    }
  ]
}