Podręcznik interfejsu wiersza poleceń 2easy Cdv4791

• Artykuł
11/29/2022
• Czas czytania: 5 min

DOTYCZY: Azure Database for MySQL — pojedynczy serwer

Ważne

Azure Database for MySQL — pojedynczy serwer znajduje się na ścieżce wycofania. Zdecydowanie zalecamy uaktualnienie do Azure Database for MySQL — serwer elastyczny. Aby uzyskać więcej informacji na temat migracji do Azure Database for MySQL — serwer elastyczny, zobacz Co się dzieje z Azure Database for MySQL pojedynczym serwerem?

Dowiedz się, jak używać interfejsu wiersza polecenia platformy Azure do konfigurowania szyfrowania danych dla Azure Database for MySQL i zarządzania nim.

Wymagania wstępne dotyczące interfejsu wiersza polecenia platformy Azure

• Musisz mieć subskrypcję platformy Azure i być administratorem tej subskrypcji.

• Utwórz magazyn kluczy i klucz do użycia dla klucza zarządzanego przez klienta. Włącz również ochronę przed przeczyszczeniem i usuwanie nietrwałe w magazynie kluczy.

  az keyvault create -g <resource_group> -n <vault_name> --enable-soft-delete true --enable-purge-protection true

• W utworzonym Key Vault Azure utwórz klucz, który będzie używany do szyfrowania danych Azure Database for MySQL.

  az keyvault key create --name <key_name> -p software --vault-name <vault_name>
  Aby można było używać istniejącego magazynu kluczy, musi mieć następujące właściwości, które mają być używane jako klucz zarządzany przez klienta:
  Usuwanie nietrwałe
  az resource update --id $(az keyvault show --name \ <key_vault_name> -o tsv | awk '{print $1}') --set \ properties. enableSoftDelete=true
  Przeczyszczanie chronione
  az keyvault update --name <key_vault_name> --resource-group <resource_group_name> --enable-purge-protection true
  Dni przechowywania ustawione na 90 dni
   az keyvault update --name <key_vault_name> --resource-group <resource_group_name> --retention-days 90
  Klucz musi mieć następujące atrybuty do użycia jako klucz zarządzany przez klienta:
  Brak daty wygaśnięcia
  Niewyłączone
  Wykonywanie operacji pobierania, zawijania i odpakowywanie
  recoverylevel atrybut ustawiony na możliwe do odzyskania (wymaga to usunięcia nietrwałego włączone z okresem przechowywania ustawionym na 90 dni)
  Włączono ochronę przed przeczyszczeniem
  Powyższe atrybuty klucza można zweryfikować przy użyciu następującego polecenia:
  az keyvault key show --vault-name <key_vault_name> -n <key_name>
  Azure Database for MySQL — pojedynczy serwer powinien znajdować się w warstwie cenowej Ogólnego przeznaczenia lub Zoptymalizowane pod kątem pamięci oraz w magazynie ogólnego przeznaczenia w wersji 2. Przed kontynuowaniem zapoznaj się z ograniczeniami dotyczącymi szyfrowania danych za pomocą kluczy zarządzanych przez klienta. 
  Ustawianie odpowiednich uprawnień dla operacji kluczy
  Istnieją dwa sposoby uzyskiwania tożsamości zarządzanej dla Azure Database for MySQL. 
  Utwórz nowy serwer Azure Database for MySQL z tożsamością zarządzaną. 
  az mysql server create --name -g <resource_group> --location <locations> --storage-size size> -u <user>-p <pwd> --backup-retention <7> --sku-name <sku name> -geo-redundant-backup <Enabled/Disabled> --assign-identity
  Zaktualizuj istniejący serwer Azure Database for MySQL, aby uzyskać tożsamość zarządzaną. 
  az mysql server update --name <server name> -g <resource_group> --assign-identity
  Ustaw uprawnienia klucza (Get, Wrap, Unwrap) dla podmiotu zabezpieczeń, który jest nazwą serwera MySQL. 
  az keyvault set-policy --name -g <resource_group> --key-permissions get unwrapKey wrapKey --object-id <principal id of the server>
  Ustawianie szyfrowania danych dla Azure Database for MySQL
  Włącz szyfrowanie danych dla Azure Database for MySQL przy użyciu klucza utworzonego w usłudze Azure Key Vault. 
  az mysql server key create –name <server name> -g <resource_group> --kid <key url>
  Adres URL klucza: https://YourVaultName. vault. azure. net/keys/YourKeyName/01234567890123456789012345678901>
  Używanie szyfrowania danych do przywracania lub serwerów repliki
  Po zaszyfrowaniu Azure Database for MySQL za pomocą klucza zarządzanego klienta przechowywanego w Key Vault każda nowo utworzona kopia serwera jest również szyfrowana. Możesz utworzyć tę nową kopię za pomocą operacji przywracania lokalnego lub geograficznego albo za pomocą operacji repliki (lokalnej/między regionami). Dlatego w przypadku zaszyfrowanego serwera MySQL można wykonać następujące kroki, aby utworzyć zaszyfrowany przywrócony serwer. 
  Tworzenie przywróconego/repliki serwera
  Tworzenie serwera przywracania
  Tworzenie serwera repliki do odczytu
  Po przywróceniu serwera należy ponownie odświeżyć szyfrowanie danych przywróconego serwera
  Przypisywanie tożsamości dla serwera repliki
  az mysql server update --name <server name> -g <resoure_group> --assign-identity
  Pobieranie istniejącego klucza, który musi być używany dla przywróconego/repliki serwera
  az mysql server key list --name '<server_name>' -g '<resource_group_name>'
  Ustawianie zasad nowej tożsamości dla przywróconego/repliki serwera
  az keyvault set-policy --name <keyvault> -g <resoure_group> --key-permissions get unwrapKey wrapKey --object-id <principl id of the server returned by the step 1>
  Ponownie zweryfikuj przywrócony/replikowy serwer przy użyciu klucza szyfrowania
  Dodatkowa możliwość użycia klucza dla Azure Database for MySQL
  Pobieranie używanego klucza
  az mysql server key show --name <server name> -g <resource_group> --kid <key url>
  Wyświetlanie listy użytych kluczy
  az mysql server key list --name <server name> -g <resource_group>
  Usuwanie używanego klucza
  az mysql server key delete -g <resource_group> --kid <key url>
  Używanie szablonu usługi Azure Resource Manager do włączania szyfrowania danych
  Oprócz Azure Portal można również włączyć szyfrowanie danych na serwerze Azure Database for MySQL przy użyciu szablonów usługi Azure Resource Manager dla nowych i istniejących serwerów. 
  Dla nowego serwera
  Użyj jednego ze wstępnie utworzonych szablonów usługi Azure Resource Manager, aby aprowizować serwer z włączonym szyfrowaniem danych: przykład z szyfrowaniem danych
  Ten szablon usługi Azure Resource Manager tworzy serwer Azure Database for MySQL i używa funkcji KeyVault i Key przekazanych jako parametry w celu włączenia szyfrowania danych na serwerze. 
  Dla istniejącego serwera
  Ponadto możesz użyć szablonów usługi Azure Resource Manager, aby włączyć szyfrowanie danych na istniejących serwerach Azure Database for MySQL. 
  Przekaż identyfikator zasobu klucza usługi Azure Key Vault skopiowany wcześniej we Uri właściwości w obiekcie properties. 
  Użyj wersji interfejsu API 2020-01-01-preview. 
  {"$schema": "http://schema. management. com/schemas/2014-04-01-preview/deploymentTemplate. json#","contentVersion": "1. 0. 0","parameters": {"location": {"type": "string"},"serverName": {"keyVaultName": {"type": "string","metadata": {"description": "Key vault name where the key to use is stored"}},"keyVaultResourceGroupName": {"description": "Key vault resource group name where it is stored"}},"keyName": {"description": "Key name in the key vault to use as encryption protector"}},"keyVersion": {"description": "Version of the key in the key vault to use as encryption protector"}}},"variables": {"serverKeyName": "[concat(parameters('keyVaultName'), '_', parameters('keyName'), '_', parameters('keyVersion'))]"},"resources": [{"type": "Microsoft. DBforMySQL/servers","apiVersion": "2017-12-01","kind": "","location": "[parameters('location')]","identity": {"type": "SystemAssigned"},"name": "[parameters('serverName')]","properties": {}},"type": "Microsoft. Resources/deployments","apiVersion": "2019-05-01","name": "addAccessPolicy","resourceGroup": "[parameters('keyVaultResourceGroupName')]","dependsOn": ["[resourceId('Microsoft. DBforMySQL/servers', parameters('serverName'))]"],"properties": {"mode": "Incremental","template": {"$schema": "http://schema. com/schemas/2015-01-01/deploymentTemplate. json#","type": "Microsoft. KeyVault/vaults/accessPolicies","name": "[concat(parameters('keyVaultName'), '/add')]","apiVersion": "2018-02-14-preview","accessPolicies": ["tenantId": "[subscription(). tenantId]","objectId": "[reference(resourceId('Microsoft. DBforMySQL/servers/', parameters('serverName')), '2017-12-01', 'Full'). identity. principalId]","permissions": {"keys": ["get","wrapKey","unwrapKey"]}}]}}]}}},"name": "[concat(parameters('serverName'), '/', variables('serverKeyName'))]","type": "Microsoft. DBforMySQL/servers/keys","apiVersion": "2020-01-01-preview","addAccessPolicy","serverKeyType": "AzureKeyVault","uri": "[concat(reference(resourceId(parameters('keyVaultResourceGroupName'), 'Microsoft. KeyVault/vaults/', parameters('keyVaultName')), '2018-02-14-preview', 'Full'). properties. vaultUri, 'keys/', parameters('keyName'), '/', parameters('keyVersion'))]"}}]}
  Następne kroki
  Weryfikowanie szyfrowania danych dla Azure Database for MySQL
  Rozwiązywanie problemów z szyfrowaniem danych w usłudze Azure Database for MySQL
  Szyfrowanie danych za pomocą kluczowych pojęć związanych z zarządzaniem przez klienta.