Elastic Cloud中的静态数据加密：使用Azure Key Vault自带密钥
内容提要
本文介绍了如何在Azure上使用自有密钥（BYOK）为Elastic Cloud部署进行数据加密。用户需在Azure Key Vault中创建RSA密钥并设置访问控制策略，然后在Elastic Cloud控制台创建部署时启用客户管理的加密密钥。文章强调了密钥轮换和撤销的重要性，以确保数据安全。
延伸解读
BYOK 的适用条件与限制
使用 Azure Key Vault 自带密钥（BYOK）需要 Enterprise 订阅级别，且密钥必须位于部署所在的每个区域。如果使用自定义快照仓库而非 Elastic Cloud 默认仓库，快照不会自动用你的密钥加密，但文件系统仍会加密磁盘数据。此外，Key Vault 必须启用清除保护以支持快照加密。
密钥轮换与撤销的实际影响
Azure Key Vault 密钥可手动轮换，Elastic 也会自动管理轮换，确保部署始终使用最新密钥加密。若密钥泄露，可在 Key Vault 中手动撤销，该操作会在 30 分钟内锁定部署的数据目录并提示删除部署。若撤销是误操作，恢复密钥后部署可恢复正常运行。
部署前的权限与配置要点
实施前需在 Azure 中创建 RSA 密钥并设置访问策略，授予 Elastic 服务主体 Get、List、Update、Create 等权限，并分配 Key Vault Crypto User 角色。创建 Elastic Cloud 部署时，需在高级设置中启用客户管理的加密密钥，并填入 Key Vault 密钥标识符和名称。
Q&A
如何在Azure上为Elastic Cloud部署进行数据加密？
用户需要在Azure Key Vault中创建RSA密钥，并在Elastic Cloud控制台创建部署时启用客户管理的加密密钥。
什么是自有密钥（BYOK）？
自有密钥（BYOK）是指用户可以使用自己控制的加密密钥来加密Elastic Cloud中的数据。
密钥轮换和撤销的重要性是什么？
密钥轮换和撤销可以减少因密钥泄露而导致的数据泄露风险，确保只有授权用户可以访问加密数据。
如何创建Azure Key Vault密钥？
在Azure门户中访问Key Vault服务，选择生成/导入密钥，指定密钥类型和大小，然后创建密钥并设置访问策略。
Elastic Cloud如何与Azure Key Vault集成？
Elastic Cloud通过使用Azure Key Vault中的密钥来加密部署的数据，确保数据在静态时的安全性。
如果密钥被泄露，我该如何处理？
可以在Azure Key Vault中手动撤销密钥，这将锁定部署的数据目录，并提示删除该部署。
