Configure a chave gerida pelo cliente (CMK) para encriptação de dados em repouso para um cluster Azure DocumentDB

1. Durante o provisionamento de um novo cluster Azure DocumentDB, chaves geridas por serviços ou pelo cliente para encriptação de dados do cluster são configuradas no separador Encryption . Selecione a chave gerida pelo cliente para encriptação de dados.

   

2. Na seção Identidade gerenciada atribuída pelo usuário , selecione Alterar identidade.

   

3. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu cluster use para acessar a chave de criptografia de dados armazenada em um Cofre de Chaves do Azure.

   

4. Selecione Adicionar.

   

5. No método de seleção de chaves, escolha Selecionar uma chave .

6. Na seção Chave , selecione Alterar chave .

   

7. No painel Selecionar uma chave , selecione o Cofre da Chave do Azure no Cofre da Chave e a chave de criptografia na Chave e confirme suas escolhas selecionando Selecionar.

   

   Importante

   A instância selecionada do Azure Key Vault deve estar na mesma região Azure onde o cluster Azure DocumentDB vai ser alojado.

8. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na guia Criptografia e selecione Revisar + criar para criar cluster.

   

Você pode habilitar a criptografia de dados com a chave de criptografia atribuída pelo usuário, enquanto provisiona um novo cluster, por meio de um az rest comando.

1. Crie um arquivo JSON com o seguinte conteúdo. Substitua os espaços reservados que começam com $ sinal pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "administrator": {
             "userName": "$adminName",
             "password": "$complexPassword"
           },
           "serverVersion": "8.0",
           "storage": {
             "sizeGb": 32
           },
           "compute": {
             "tier": "M40"
           },
           "sharding": {
             "shardCount": 1
           },
           "highAvailability": {
             "targetMode": "ZoneRedundantPreferred"
           },
         "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Observação

   O keyEncryptionKeyUrl deve conter o nome da chave, mas não deve conter uma versão de chave específica.

2. Execute o seguinte comando Azure CLI para fazer uma chamada REST API para criar um cluster Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome do arquivo para o --body parâmetro na linha de az rest comando pelos valores reais.

   # Define your variables
   $randomIdentifier = (New-Guid).ToString().Substring(0,8)
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="DocumentDB"
   $mongoClustersName="msdocscr$randomIdentifier"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na barra lateral do cluster, em Configurações, selecione Criptografia de dados.

2. Na seção Identidade gerenciada atribuída pelo usuário , selecione Alterar identidade.

   

3. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu cluster use para acessar a chave de criptografia de dados armazenada em um Cofre de Chaves do Azure.

   

4. Selecione Adicionar.

5. No método de seleção de chaves, escolha Selecionar uma chave .

6. Na Chave, escolha Alterar chave.

   

7. No painel Selecionar uma chave , selecione o Cofre da Chave do Azure no Cofre da Chave e a chave de criptografia na Chave e confirme suas escolhas selecionando Selecionar.

   

   Importante

   Uma instância selecionada do Azure Key Vault deve estar na mesma região Azure onde o cluster Azure DocumentDB está alojado.

8. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na página Criptografia de dados e selecione Salvar para confirmar suas seleções e criar um cluster de réplica.

   

Você pode alterar a identidade gerenciada atribuída pelo usuário e a chave de criptografia para criptografia de dados em um cluster existente por meio de uma chamada de API REST.

1. Crie um arquivo JSON com o seguinte conteúdo. Substitua os espaços reservados que começam com $ sinal pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
           "encryption": {
             "customerManagedKeyEncryption": {
               "keyEncryptionKeyIdentity": {
                 "identityType": "UserAssignedIdentity",
                 "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
               },
               "keyEncryptionKeyUrl": "$encryptionKeyUrl"
             }
           }
         }
   }
   

   Observação

   O keyEncryptionKeyUrl deve conter o nome da chave, mas não deve conter uma versão de chave específica.

2. Execute o seguinte comando Azure CLI para fazer uma chamada REST API para criar um cluster Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome do arquivo para o --body parâmetro na linha de az rest comando pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Na barra lateral do cluster, em Configurações, selecione Distribuição global.

2. Selecione Adicionar nova réplica de leitura.

   

3. Forneça um nome de cluster de réplica no campo Ler nome da réplica.

4. Selecione uma região na Região da réplica de leitura. O cluster de réplica é hospedado na região selecionada do Azure.

   Observação

   O cluster de réplica é sempre criado no mesmo grupo de recursos e assinatura do Azure que seu cluster primário (leitura-gravação).

   

5. Na seção Criptografia de dados , selecione a chave gerenciada pelo cliente para habilitar a CMK ou a chave gerenciada pelo serviço para desabilitar a CMK no cluster de réplica.

   

6. Na seção Identidade gerenciada atribuída pelo usuário , selecione Alterar identidade.

   

7. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu cluster use para acessar a chave de criptografia de dados armazenada em um Cofre de Chaves do Azure.

   

8. Selecione Adicionar.

9. No método de seleção de chaves, escolha Selecionar uma chave .

10. Na Chave, escolha Alterar chave.

    

11. No painel Selecionar uma chave , selecione o Cofre da Chave do Azure no Cofre da Chave e a chave de criptografia na Chave e confirme suas escolhas selecionando Selecionar.

    

12. Confirme a identidade gerenciada atribuída pelo usuário selecionada e a chave de criptografia na página Distribuição global e selecione Salvar para confirmar suas seleções e criar cluster de réplica.

    

Para criar um cluster de réplica com CMK habilitada na mesma região, siga estas etapas.

1. Crie um arquivo JSON com o seguinte conteúdo. Substitua os espaços reservados que começam com $ sinal pelos valores reais e salve o arquivo.

   {
           "identity": {
               "type": "UserAssigned",
               "userAssignedIdentities": {
                 "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
               }
             },
         "location": "$targetRegionName",
             "properties": {
             	"createMode": "GeoReplica",
                   "replicaParameters": {
                     "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$sourceClusterName",
                     "sourceLocation": "sourceRegionName"
                   },
                   "encryption": {
                     "customerManagedKeyEncryption": {
                       "keyEncryptionKeyIdentity": {
                         "identityType": "UserAssignedIdentity",
                         "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                       },
                       "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                     }
                   }
             }
       }
   

   Observação

   O keyEncryptionKeyUrl deve conter o nome da chave, mas não deve conter uma versão de chave específica.

2. Execute o seguinte comando Azure CLI para fazer uma chamada REST API para criar um cluster Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome do arquivo para o --body parâmetro na linha de az rest comando pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json
   

1. Selecione um cluster Azure DocumentDB existente.

2. Na barra lateral do cluster, em Configurações, selecione Restauração no Tempo.

3. Selecione uma data e forneça uma hora (no fuso horário UTC) nos campos de data e hora.

   

4. Insira um nome de cluster no campo Restaurar nome do cluster de destino .

   

5. Insira um nome de administrador de cluster para o cluster restaurado no campo Nome de usuário de administrador .

6. Introduza uma palavra-passe para a função de administrador nos campos Palavra-passe e Confirmar palavra-passe .

   

7. Na seção Criptografia de dados , selecione a chave gerenciada pelo cliente para habilitar a CMK. Se você precisar ter a CMK desabilitada no cluster restaurado, selecione Chave gerenciada pelo serviço.

   

8. Na seção Identidade gerenciada atribuída pelo usuário , selecione Alterar identidade.

   

9. Na lista de identidades gerenciadas atribuídas pelo usuário, selecione aquela que você deseja que seu cluster use para acessar a chave de criptografia de dados armazenada em um Cofre de Chaves do Azure.

   

10. Selecione Adicionar.

11. No método de seleção de chaves, escolha Selecionar uma chave .

12. Na Chave, escolha Alterar chave.

    

13. No painel Selecionar uma chave , selecione o Cofre da Chave do Azure no Cofre da Chave e a chave de criptografia na Chave e confirme suas escolhas selecionando Selecionar.

    

14. Selecione Enviar para iniciar a restauração do cluster.

Para restaurar um cluster com CMK habilitada, siga estas etapas.

1. Crie um arquivo JSON com o seguinte conteúdo. Substitua os espaços reservados que começam com $ sinal pelos valores reais e salve o arquivo.

   {
       "identity": {
           "type": "UserAssigned",
           "userAssignedIdentities": {
             "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName": {}
           }
         },
     "location": "$regionName",
         "properties": {
               "administrator": {
                 "userName": "$adminName"
               },
         	"createMode": "PointInTimeRestore",
               "restoreParameters": {
                 "pointInTimeUTC": "yyyy-mm-ddThh:mm:ssZ",
                 "sourceResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/$restoredClusterName"
               },
               "encryption": {
                 "customerManagedKeyEncryption": {
                   "keyEncryptionKeyIdentity": {
                     "identityType": "UserAssignedIdentity",
                     "userAssignedIdentityResourceId": "/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.ManagedIdentity/userAssignedIdentities/$userAssignedIdentityName"
                   },
                   "keyEncryptionKeyUrl": "$encryptionKeyUrl"
                 }
               }
         }
   }
   

   Observação

   O keyEncryptionKeyUrl deve conter o nome da chave, mas não deve conter uma versão de chave específica.

2. Execute o seguinte comando Azure CLI para fazer uma chamada REST API para criar um cluster Azure DocumentDB. Substitua os espaços reservados na seção de variáveis e o nome do arquivo para o --body parâmetro na linha de az rest comando pelos valores reais.

   # Define your variables
   $subscriptionId="00000000-0000-0000-0000-000000000000"
   $resourceGroup="resourceGroupName"
   $mongoClustersName="clusterName"
   
   # Execute the az rest command to make REST API call
   az rest --method "PUT" --url https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.DocumentDB/mongoClusters/${mongoClustersName}?api-version=2025-09-01 --body  @jsonFileFromThePreviousStep.json