使用客户托管密钥对Azure存储帐户进行加密

Question

我已在布防模板（link）中添加了以下属性，以创建存储帐户并使用客户管理的密钥对其进行加密。

"keySource": "Microsoft.Keyvault",
"keyvaultproperties": {
    "keyname": "xxxx",
     "keyversion": "xxxxxx",
     "keyvaulturi": "xxxxxxx"
}

但是当我尝试创建此资源时，我会得到

“缺少启用EncryptionAtRest /客户托管的先决条件 该存储帐户的密钥。”

Answer 1

原因是存储帐户服务主体（托管身份）无权访问 Azure 密钥保管库中的加密密钥。在创建存储帐户（服务主体 - 托管标识）之前，您无法提前授予访问权限。

但我发现存储帐户托管标识不是自动创建的。它是在我们启用加密时创建的。