Configurar a CMK (chave gerenciada pelo cliente) para criptografia de dados em repouso para um cluster do Azure DocumentDB

1. Durante o provisionamento de um novo cluster do Azure DocumentDB, as chaves gerenciadas pelo serviço ou gerenciadas pelo cliente para criptografia de dados de cluster são configuradas na guia Criptografia . Selecione a chave gerenciada pelo cliente para criptografia de dados.

   

2. Na seção Identidade gerenciada atribuída pelo usuário, selecione Alterar identidade.

   

3. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que o cluster use para acessar a chave de criptografia de dados armazenada em um cofre de chaves do Azure.

   

4. Selecione Adicionar.

   

5. Em Método de seleção de chave, escolha Selecionar uma chave.

6. Na seção Chave, selecione Alterar chave.

   

7. No painel Selecionar uma chave, escolha o Azure Key Vault em Cofre de chaves e a chave de criptografia em Chave e confirme as opções escolhendo Selecionar.

   

   Importante

   A instância do Azure Key Vault selecionada deve estar na mesma região do Azure em que o cluster do Azure DocumentDB será hospedado.

8. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na guia Criptografia e escolha Revisar + criar para criar o cluster.

   

Você pode habilitar a criptografia de dados com a chave de criptografia atribuída pelo usuário, ao provisionar um novo cluster, por meio de um az rest comando.

1. Crie um arquivo JSON com o conteúdo a seguir. Substitua os espaços reservados que começam com o símbolo $ pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "administrator": {
             "userName": "$adminName",
             "password": "$complexPassword"
           },
           "serverVersion": "8.0",
           "storage": {
             "sizeGb": 32
           },
           "compute": {
             "tier": "M40"
           },
           "sharding": {
             "shardCount": 1
           },
           "highAvailability": {
             "targetMode": "ZoneRedundantPreferred"
           },
         "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Observação

   A keyEncryptionKeyUrl deve conter o nome da chave, mas não uma versão de chave específica.

2. Execute o seguinte comando da CLI do Azure para fazer uma chamada à API REST para criar um cluster do Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome de arquivo do parâmetro --body na linha de comando az rest pelos valores reais.

   # Define your variables
   $randomIdentifier = (New-Guid).ToString().Substring(0,8)
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="DocumentDB"
   $mongoClustersName="msdocscr$randomIdentifier"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na barra lateral do cluster, em Configurações, selecione Criptografia de dados.

2. Na seção Identidade gerenciada atribuída pelo usuário, selecione Alterar identidade.

   

3. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que o cluster use para acessar a chave de criptografia de dados armazenada em um cofre de chaves do Azure.

   

4. Selecione Adicionar.

5. Em Método de seleção de chave, escolha Selecionar uma chave.

6. Na Chave, escolha Alterar chave.

   

7. No painel Selecionar uma chave, escolha o Azure Key Vault em Cofre de chaves e a chave de criptografia em Chave e confirme as opções escolhendo Selecionar.

   

   Importante

   A instância selecionada do Azure Key Vault deve estar na mesma região do Azure em que o cluster do Azure DocumentDB está hospedado.

8. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na página criptografia de dados e selecione Salvar para confirmar suas seleções e criar cluster de réplica.

   

Você pode alterar a identidade gerenciada atribuída pelo usuário e a chave de criptografia para a criptografia de dados em um cluster existente por meio de uma chamada à API REST.

1. Crie um arquivo JSON com o conteúdo a seguir. Substitua os espaços reservados que começam com o símbolo $ pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Observação

   A keyEncryptionKeyUrl deve conter o nome da chave, mas não uma versão de chave específica.

2. Execute o seguinte comando da CLI do Azure para fazer uma chamada à API REST para criar um cluster do Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome de arquivo do parâmetro --body na linha de comando az rest pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na barra lateral do cluster, em Configurações, selecione Distribuição global.

2. Selecione Adicionar nova réplica de leitura.

   

3. Dê um nome ao cluster de réplica no campo Nome da réplica de leitura.

4. Selecione uma região na região de réplica de leitura. O cluster de réplica é hospedado na região do Azure selecionada.

   Observação

   O cluster de réplica sempre é criado no mesmo grupo de recursos e na mesma assinatura do Azure do cluster primário (leitura/gravação).

   

5. Na seção Criptografia de dados , selecione a chave gerenciada pelo cliente para habilitar o CMK ou a chave gerenciada pelo serviço para desabilitar o CMK no cluster de réplica.

   

6. Na seção Identidade gerenciada atribuída pelo usuário, selecione Alterar identidade.

   

7. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que o cluster use para acessar a chave de criptografia de dados armazenada em um cofre de chaves do Azure.

   

8. Selecione Adicionar.

9. Em Método de seleção de chave, escolha Selecionar uma chave.

10. Na Chave, escolha Alterar chave.

    

11. No painel Selecionar uma chave, escolha o Azure Key Vault em Cofre de chaves e a chave de criptografia em Chave e confirme as opções escolhendo Selecionar.

    

12. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na página de distribuição global e selecione Salvar para confirmar suas seleções e criar cluster de réplica.

    

Para criar um cluster de réplica com o CMK habilitado na mesma região, siga estas etapas.

1. Crie um arquivo JSON com o conteúdo a seguir. Substitua os espaços reservados que começam com o símbolo $ pelos valores reais e salve o arquivo.

   {
           "identity": {
               "type": "UserAssigned",
               "userAssignedIdentities": {
                 "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
               }
             },
         "location": "$targetRegionName",
             "properties": {
             	"createMode": "GeoReplica",
                   "replicaParameters": {
                     "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$sourceClusterName",
                     "sourceLocation": "sourceRegionName"
                   },
                   "encryption": {
                     "customerManagedKeyEncryption": {
                       "keyEncryptionKeyIdentity": {
                         "identityType": "UserAssignedIdentity",
                         "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                       },
                       "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                     }
                   }
             }
       }
   

   Observação

   A keyEncryptionKeyUrl deve conter o nome da chave, mas não uma versão de chave específica.

2. Execute o seguinte comando da CLI do Azure para fazer uma chamada à API REST para criar um cluster do Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome de arquivo do parâmetro --body na linha de comando az rest pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Selecione um cluster existente do Azure DocumentDB.

2. Na barra lateral do cluster, em Configurações, selecione Restauração Pontual.

3. Selecione uma data e forneça uma hora (no fuso horário UTC) nos campos de data e hora.

   

4. Insira um nome de cluster no campo Restaurar nome do cluster de destino .

   

5. Insira um nome de administrador de cluster para o cluster restaurado no campo nome de usuário administrador.

6. Insira uma senha para a função de administrador nos campos Senha e Confirmação de senha .

   

7. Na seção Criptografia de dados , selecione a chave gerenciada pelo cliente para habilitar o CMK. Se você precisar ter o CMK desabilitado no cluster restaurado, selecione a chave gerenciada pelo serviço.

   

8. Na seção Identidade gerenciada atribuída pelo usuário, selecione Alterar identidade.

   

9. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que o cluster use para acessar a chave de criptografia de dados armazenada em um cofre de chaves do Azure.

   

10. Selecione Adicionar.

11. Em Método de seleção de chave, escolha Selecionar uma chave.

12. Na Chave, escolha Alterar chave.

    

13. No painel Selecionar uma chave, escolha o Azure Key Vault em Cofre de chaves e a chave de criptografia em Chave e confirme as opções escolhendo Selecionar.

    

14. Selecione Enviar para iniciar a restauração do cluster.

Para restaurar um cluster com o CMK habilitado, siga estas etapas.

1. Crie um arquivo JSON com o conteúdo a seguir. Substitua os espaços reservados que começam com o símbolo $ pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
               "administrator": {
                 "userName": "$adminName"
               },
         	"createMode": "PointInTimeRestore",
               "restoreParameters": {
                 "pointInTimeUTC": "yyyy-mm-ddThh:mm:ssZ",
                 "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$restoredClusterName"
               },
               "encryption": {
                 "customerManagedKeyEncryption": {
                   "keyEncryptionKeyIdentity": {
                     "identityType": "UserAssignedIdentity",
                     "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                   },
                   "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                 }
               }
         }
   }
   

   Observação

   A keyEncryptionKeyUrl deve conter o nome da chave, mas não uma versão de chave específica.

2. Execute o seguinte comando da CLI do Azure para fazer uma chamada à API REST para criar um cluster do Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome de arquivo do parâmetro --body na linha de comando az rest pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json