Konfigurowanie klucza zarządzanego przez klienta (CMK) na potrzeby szyfrowania danych magazynowanych dla klastra usługi Azure DocumentDB

1. Podczas aprowizacji nowego klastra usługi Azure DocumentDB klucze zarządzane przez usługę lub klucze zarządzane przez klienta na potrzeby szyfrowania danych klastra są konfigurowane na karcie Szyfrowanie . Wybierz klucz zarządzany przez klienta na potrzeby szyfrowania danych.

   

2. W sekcji Tożsamość zarządzana przypisana przez użytkownika wybierz pozycję Zmień tożsamość.

   

3. Na liście tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której klaster ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w usłudze Azure Key Vault.

   

4. Wybierz Dodaj.

   

5. W metodzie Wyboru klucza wybierz pozycję Wybierz klucz .

6. W sekcji Klucz wybierz pozycję Zmień klucz .

   

7. W okienku Wybierz klucz wybierz usługę Azure Key Vault w magazynie kluczy i kluczu szyfrowania w kluczu, a następnie potwierdź wybrane opcje, wybierając pozycję Wybierz.

   

   Ważne

   Wybrane wystąpienie usługi Azure Key Vault powinno znajdować się w tym samym regionie Azure, gdzie będzie hostowany klaster Azure DocumentDB.

8. Potwierdź wybraną tożsamość zarządzaną przypisaną przez użytkownika i klucz szyfrowania na karcie Szyfrowanie , a następnie wybierz pozycję Przejrzyj i utwórz , aby utworzyć klaster.

   

Szyfrowanie danych przy użyciu klucza szyfrowania przypisanego przez użytkownika można włączyć podczas aprowizacji nowego klastra az rest za pomocą polecenia .

1. Utwórz plik JSON z następującą zawartością. Zastąp symbole zastępcze rozpoczynające się znakiem $ rzeczywistymi wartościami i zapisz plik.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "administrator": {
             "userName": "$adminName",
             "password": "$complexPassword"
           },
           "serverVersion": "8.0",
           "storage": {
             "sizeGb": 32
           },
           "compute": {
             "tier": "M40"
           },
           "sharding": {
             "shardCount": 1
           },
           "highAvailability": {
             "targetMode": "ZoneRedundantPreferred"
           },
         "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Uwaga / Notatka

   Element keyEncryptionKeyUrl powinien zawierać nazwę klucza, ale nie powinien zawierać określonej wersji klucza.

2. Uruchom następujące polecenie Azure CLI, aby wykonać wywołanie interfejsu API REST w celu utworzenia klastra Azure DocumentDB. Zastąp symbole zastępcze w sekcji zmiennych i nazwą pliku parametru --bodyaz rest w wierszu polecenia wartościami rzeczywistymi.

   # Define your variables
   $randomIdentifier = (New-Guid).ToString().Substring(0,8)
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="DocumentDB"
   $mongoClustersName="msdocscr$randomIdentifier"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na pasku bocznym klastra w obszarze Ustawienia wybierz pozycję Szyfrowanie danych.

2. W sekcji Tożsamość zarządzana przypisana przez użytkownika wybierz pozycję Zmień tożsamość.

   

3. Na liście tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której klaster ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w usłudze Azure Key Vault.

   

4. Wybierz Dodaj.

5. W metodzie Wyboru klucza wybierz pozycję Wybierz klucz .

6. W polu Klucz wybierz pozycję Zmień klucz.

   

7. W okienku Wybierz klucz wybierz usługę Azure Key Vault w magazynie kluczy i kluczu szyfrowania w kluczu, a następnie potwierdź wybrane opcje, wybierając pozycję Wybierz.

   

   Ważne

   Wybrane wystąpienie usługi Azure Key Vault powinno znajdować się w tym samym regionie świadczenia usługi Azure, w którym jest hostowany klaster usługi Azure DocumentDB.

8. Potwierdź wybraną tożsamość zarządzaną przypisaną przez użytkownika i klucz szyfrowania na stronie Szyfrowanie danych , a następnie wybierz pozycję Zapisz , aby potwierdzić wybrane opcje i utworzyć klaster repliki.

   

Tożsamość zarządzana przypisana przez użytkownika i klucz szyfrowania można zmienić na potrzeby szyfrowania danych w istniejącym klastrze za pośrednictwem wywołania interfejsu API REST.

1. Utwórz plik JSON z następującą zawartością. Zastąp symbole zastępcze rozpoczynające się znakiem $ rzeczywistymi wartościami i zapisz plik.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Uwaga / Notatka

   Element keyEncryptionKeyUrl powinien zawierać nazwę klucza, ale nie powinien zawierać określonej wersji klucza.

2. Uruchom następujące polecenie Azure CLI, aby wywołać REST API w celu utworzenia klastra Azure DocumentDB. Zastąp symbole zastępcze w sekcji zmiennych i nazwą pliku parametru --bodyaz rest w wierszu polecenia wartościami rzeczywistymi.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na pasku bocznym klastra w obszarze Ustawienia wybierz pozycję Dystrybucja globalna.

2. Wybierz Dodaj nową replikę do odczytu.

   

3. Podaj nazwę klastra repliki w polu Nazwa repliki do odczytu .

4. Wybierz region w regionie repliki odczytu. Klaster repliki jest hostowany w wybranym regionie świadczenia usługi Azure.

   Uwaga / Notatka

   Klaster repliki jest zawsze tworzony w tej samej subskrypcji platformy Azure i grupie zasobów co podstawowy klaster (odczyt-zapis).

   

5. W sekcji Szyfrowanie danych wybierz klucz zarządzany przez klienta , aby włączyć klucz zarządzany przez klienta lub klucz zarządzany przez usługę , aby wyłączyć klucz zarządzania kluczem usługi w klastrze repliki.

   

6. W sekcji Tożsamość zarządzana przypisana przez użytkownika wybierz pozycję Zmień tożsamość.

   

7. Na liście tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której klaster ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w usłudze Azure Key Vault.

   

8. Wybierz Dodaj.

9. W metodzie Wyboru klucza wybierz pozycję Wybierz klucz .

10. W polu Klucz wybierz pozycję Zmień klucz.

    

11. W okienku Wybierz klucz wybierz usługę Azure Key Vault w magazynie kluczy i kluczu szyfrowania w kluczu, a następnie potwierdź wybrane opcje, wybierając pozycję Wybierz.

    

12. Potwierdź wybraną tożsamość zarządzaną przypisaną przez użytkownika i klucz szyfrowania na stronie Globalnej dystrybucji , a następnie wybierz pozycję Zapisz , aby potwierdzić wybrane opcje i utworzyć klaster repliki.

    

Aby utworzyć klaster repliki z włączonym kluczem cmK w tym samym regionie, wykonaj następujące kroki.

1. Utwórz plik JSON z następującą zawartością. Zastąp symbole zastępcze rozpoczynające się znakiem $ rzeczywistymi wartościami i zapisz plik.

   {
           "identity": {
               "type": "UserAssigned",
               "userAssignedIdentities": {
                 "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
               }
             },
         "location": "$targetRegionName",
             "properties": {
             	"createMode": "GeoReplica",
                   "replicaParameters": {
                     "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$sourceClusterName",
                     "sourceLocation": "sourceRegionName"
                   },
                   "encryption": {
                     "customerManagedKeyEncryption": {
                       "keyEncryptionKeyIdentity": {
                         "identityType": "UserAssignedIdentity",
                         "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                       },
                       "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                     }
                   }
             }
       }
   

   Uwaga / Notatka

   Element keyEncryptionKeyUrl powinien zawierać nazwę klucza, ale nie powinien zawierać określonej wersji klucza.

2. Uruchom następujące polecenie Azure CLI, aby wykonać wywołanie API REST i utworzyć klaster Azure DocumentDB. Zastąp symbole zastępcze w sekcji zmiennych i nazwą pliku parametru --bodyaz rest w wierszu polecenia wartościami rzeczywistymi.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Wybierz istniejący klaster usługi Azure DocumentDB.

2. Na pasku bocznym klastra w obszarze Ustawienia wybierz pozycję Przywracanie do punktu w czasie.

3. Wybierz datę i podaj godzinę (w strefie czasowej UTC) w polach daty i godziny.

   

4. Wprowadź nazwę klastra w polu Przywróć nazwę docelowego klastra .

   

5. Wprowadź nazwę administratora klastra dla przywróconego klastra w polu Nazwa użytkownika administratora .

6. Wprowadź hasło roli administratora w polach Hasło i Potwierdź hasło .

   

7. W sekcji Szyfrowanie danych wybierz klucz zarządzany przez klienta , aby włączyć klucz cmK. Jeśli chcesz wyłączyć klucz zarządzania kluczem usługi w przywróconym klastrze, wybierz pozycję Klucz zarządzany przez usługę.

   

8. W sekcji Tożsamość zarządzana przypisana przez użytkownika wybierz pozycję Zmień tożsamość.

   

9. Na liście tożsamości zarządzanych przypisanych przez użytkownika wybierz tę, której klaster ma używać do uzyskiwania dostępu do klucza szyfrowania danych przechowywanego w usłudze Azure Key Vault.

   

10. Wybierz Dodaj.

11. W metodzie Wyboru klucza wybierz pozycję Wybierz klucz .

12. W polu Klucz wybierz pozycję Zmień klucz.

    

13. W okienku Wybierz klucz wybierz usługę Azure Key Vault w magazynie kluczy i kluczu szyfrowania w kluczu, a następnie potwierdź wybrane opcje, wybierając pozycję Wybierz.

    

14. Wybierz pozycję Prześlij , aby zainicjować przywracanie klastra.

Aby przywrócić klaster z włączonym kluczem cmK, wykonaj następujące kroki.

1. Utwórz plik JSON z następującą zawartością. Zastąp symbole zastępcze rozpoczynające się znakiem $ rzeczywistymi wartościami i zapisz plik.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
               "administrator": {
                 "userName": "$adminName"
               },
         	"createMode": "PointInTimeRestore",
               "restoreParameters": {
                 "pointInTimeUTC": "yyyy-mm-ddThh:mm:ssZ",
                 "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$restoredClusterName"
               },
               "encryption": {
                 "customerManagedKeyEncryption": {
                   "keyEncryptionKeyIdentity": {
                     "identityType": "UserAssignedIdentity",
                     "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                   },
                   "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                 }
               }
         }
   }
   

   Uwaga / Notatka

   Element keyEncryptionKeyUrl powinien zawierać nazwę klucza, ale nie powinien zawierać określonej wersji klucza.

2. Uruchom następujące polecenie interfejsu wiersza polecenia platformy Azure, aby wywołać interfejs API REST w celu utworzenia klastra usługi Azure DocumentDB. Zastąp symbole zastępcze w sekcji zmiennych i nazwą pliku parametru --bodyaz rest w wierszu polecenia wartościami rzeczywistymi.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json