고객 관리형 키 구성

다음 단계에서는 Azure Portal을 사용하여 고객 관리형 키 암호화를 사용하도록 설정하는 방법을 설명합니다. 기본적으로 Azure Data Explorer 암호화는 Microsoft 관리형 키를 사용합니다. 고객 관리형 키를 사용하도록 Azure Data Explorer 클러스터를 구성하고 클러스터와 연결할 키를 지정합니다.

1. Azure Portal에서 Azure Data Explorer 클러스터 리소스로 이동합니다.

2. 포털의 왼쪽 창에서 설정>암호화 를 선택합니다.

3. 암호화 창에서 고객 관리형 키 설정에 대해 켜기를 선택합니다.

4. 키 선택을 클릭합니다.

   

5. Azure Key Vault에서 키 선택 창에서 드롭다운 목록에서 기존 키 자격증명 보관소를 선택합니다. 새로 만들기를 선택하여 새 Key Vault를 만드는 경우 Key Vault만들기 화면으로 라우팅됩니다.

6. 키를 선택합니다.

7. 버전:

   • 이 키가 항상 최신 키 버전을 사용하도록 하려면 항상 현재 키 버전 사용 확인란을 선택합니다.
   • 그렇지 않으면 버전을 선택합니다.

8. 선택을 클릭합니다.

   

9. ID 유형에서 시스템 할당 또는 사용자 할당을 선택합니다.

10. 사용자 할당을 선택하는 경우 드롭다운에서 사용자 할당 ID를 선택합니다.

    

11. 이제 키가 포함된 암호화 창에서 저장을 선택합니다. CMK 만들기에 성공하면 알림에 성공 메시지가 표시됩니다.

    

Azure Data Explorer 클러스터에 대해 고객 관리형 키를 사용하도록 설정할 때, 시스템 할당 ID를 선택하면 클러스터에 시스템 할당 ID가 없는 경우 새로 생성됩니다. 또한 선택한 Key Vault의 Azure Data Explorer 클러스터에 필요한 get, wrapKey 및 unwrapKey 권한을 제공하고 Key Vault 속성을 가져옵니다.

다음 섹션에서는 Azure Data Explorer C# 클라이언트를 사용하여 고객 관리형 키 암호화를 구성하는 방법을 설명합니다.

패키지 설치

• Azure Data Explorer(Kusto) NuGet 패키지설치합니다.
• Azure AD(Azure Active Directory)로 인증하기 위해 MSAL NuGet 패키지 설치합니다.
• Azure AD(Azure Active Directory)로 인증하기 위해 Microsoft.Rest.ClientRuntime NuGet 패키지 설치합니다.

인증

이 문서의 예제를 실행하려면 리소스에 액세스할 수 있는 Azure AD 애플리케이션 및 서비스 주체를 만듭니다. 구독 범위에서 역할 할당을 추가하고 필요한 Azure AD Directory (tenant) ID, Application ID, Application Secret를 가져올 수 있습니다.

다음 코드 조각에서는 MSAL(Microsoft 인증 라이브러리) 을 사용하여 Azure AD 애플리케이션 토큰을 획득하여 클러스터에 액세스하는 방법을 보여 줍니다. 흐름이 성공하려면 애플리케이션을 Azure AD에 등록해야 하며 Azure AD에서 발급한 애플리케이션 키 또는 Azure AD 등록 X.509v2 인증서와 같은 애플리케이션 인증에 대한 자격 증명이 있어야 합니다.

고객 관리형 키 구성

기본적으로 Azure Data Explorer 암호화는 Microsoft 관리형 키를 사용합니다. 고객 관리형 키를 사용하도록 Azure Data Explorer 클러스터를 구성하고 클러스터와 연결할 키를 지정합니다.

1. 다음 코드를 사용하여 클러스터를 업데이트합니다.

   var tenantId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Azure AD Directory (tenant) ID
   var clientId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx"; // Application ID
   var clientSecret = "PlaceholderClientSecret"; // Application secret
   var subscriptionId = "xxxxxxxx-xxxxx-xxxx-xxxx-xxxxxxxxx";
   // Create a confidential authentication client for Azure AD:
   var authClient = ConfidentialClientApplicationBuilder.Create(clientId)
       .WithAuthority($"https://login.microsoftonline.com/{tenantId}")
       .WithClientSecret(clientSecret) // can be replaced by .WithCertificate to authenticate with an X.509 certificate
       .Build();
   // Acquire application token
   var result = authClient.AcquireTokenForClient(
       new[] { "https://management.core.windows.net/.default" } // Define scopes for accessing Azure management plane
   ).ExecuteAsync().Result;
   var credentials = new TokenCredentials(result.AccessToken, result.TokenType);
   var kustoManagementClient = new KustoManagementClient(credentials) { SubscriptionId = subscriptionId };
   var resourceGroupName = "testrg";
   var clusterName = "mykustocluster";
   var clusterPatch = new ClusterUpdate(
       keyVaultProperties: new KeyVaultProperties(
           keyName: "<keyName>",
           keyVersion: "<keyVersion>", // Optional, leave as NULL for the latest version of the key.
           keyVaultUri: "https://<keyVaultName>.vault.azure.net/",
           userIdentity: "/subscriptions/<identitySubscriptionId>/resourcegroups/<identityResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identityName>" // Use NULL if you want to use system assigned identity.
       )
   );
   await kustoManagementClient.Clusters.UpdateAsync(resourceGroupName, clusterName, clusterPatch);
   

2. 다음 명령을 실행하여 클러스터가 성공적으로 업데이트되었는지 확인합니다.

   var clusterData = await kustoManagementClient.Clusters.GetAsync(resourceGroupName, clusterName);
   

   결과에 값이 ProvisioningStateSucceeded 포함된 경우 클러스터가 성공적으로 업데이트되었습니다.

다음 단계에서는 Azure CLI 클라이언트를 사용하여 고객 관리형 키 암호화를 사용하도록 설정하는 방법을 설명합니다. 기본적으로 Azure Data Explorer 암호화는 Microsoft 관리형 키를 사용합니다. 고객 관리형 키를 사용하도록 Azure Data Explorer 클러스터를 구성하고 클러스터와 연결할 키를 지정합니다.

1. 다음 명령을 실행하여 Azure에 로그인합니다.

   az login
   

2. 클러스터가 등록된 구독을 설정합니다. MyAzureSub를 사용하려는 Azure 구독의 이름으로 바꿉니다.

   az account set --subscription MyAzureSub
   

3. 다음 명령을 실행하여 클러스터의 시스템 할당 ID로 새 키를 설정합니다.

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>"
   

   또는 사용자 할당 ID를 사용하여 새 키를 설정합니다.

   az kusto cluster update --cluster-name "mytestcluster" --resource-group "mytestrg" --key-vault-properties key-name="<key-name>" key-version="<key-version>" key-vault-uri="<key-vault-uri>" key-user-identity="<user-identity-resource-id>"
   

4. 다음 명령을 실행하고 'keyVaultProperties' 속성을 확인하여 클러스터가 성공적으로 업데이트되었는지 확인합니다.

   az kusto cluster show --cluster-name "mytestcluster" --resource-group "mytestrg"
   

다음 단계에서는 PowerShell을 사용하여 고객 관리형 키 암호화를 사용하도록 설정하는 방법을 설명합니다. 기본적으로 Azure Data Explorer 암호화는 Microsoft 관리형 키를 사용합니다. 고객 관리형 키를 사용하도록 Azure Data Explorer 클러스터를 구성하고 클러스터와 연결할 키를 지정합니다.

1. 다음 명령을 실행하여 Azure에 로그인합니다.

   Connect-AzAccount
   

2. 클러스터가 등록된 구독을 설정하십시오.

   Set-AzContext -SubscriptionId "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   

3. 다음 명령을 실행하여 시스템 할당 ID를 사용하여 새 키를 설정합니다.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>"
   

   또는 사용자 할당 ID를 사용하여 새 키를 설정합니다.

   Update-AzKustoCluster -ResourceGroupName "mytestrg" -Name "mytestcluster" -KeyVaultPropertyKeyName "<key-name>" -KeyVaultPropertyKeyVaultUri "<key-vault-uri>" -KeyVaultPropertyKeyVersion "<key-version>" -KeyVaultPropertyUserIdentity "user-assigned-identity-resource-id"
   

4. 다음 명령을 실행하고 'KeyVaultProperty...' 속성을 확인하여 클러스터가 성공적으로 업데이트되었는지 검증합니다.

   Get-AzKustoCluster -Name "mytestcluster" -ResourceGroupName "mytestrg" | Format-List
   

다음 단계에서는 Azure Resource Manager 템플릿을 사용하여 고객 관리형 키를 구성하는 방법을 설명합니다. 기본적으로 Azure Data Explorer 암호화는 Microsoft 관리형 키를 사용합니다. 이 단계에서는 고객 관리형 키를 사용하도록 Azure Data Explorer 클러스터를 구성하고 클러스터와 연결할 키를 지정합니다.

시스템에서 할당된 ID를 사용하여 키 자격 증명 모음에 액세스하려면 userIdentity을(를) 비워 두세요. 그렇지 않으면 ID의 리소스 ID를 설정합니다.

Azure Portal을 사용하거나 PowerShell을 사용하여 Azure Resource Manager 템플릿을 배포할 수 있습니다.

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "type": "string",
      "defaultValue": "[concat('kusto', uniqueString(resourceGroup().id))]",
      "metadata": {
        "description": "Name of the cluster to create"
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Location for all resources."
      }
    }
  },
  "variables": {},
  "resources": [
    {
      "name": "[parameters('clusterName')]",
      "type": "Microsoft.Kusto/clusters",
      "sku": {
        "name": "Standard_E8ads_v5",
        "tier": "Standard",
        "capacity": 2
      },
      "apiVersion": "2019-09-07",
      "location": "[parameters('location')]",
      "properties": {
        "keyVaultProperties": {
          "keyVaultUri": "<keyVaultUri>",
          "keyName": "<keyName>",
          "keyVersion": "<keyVersion>",
          "userIdentity": "<userIdentity>"
        }
      }
    }
  ]
}