Ügyfél által felügyelt kulcsok konfigurálása különböző bérlőkben

Ez a cikk egy bérlők közötti forgatókönyvet ismertet, amelyben egy szolgáltató a saját bérlőjében üzemelteti a Azure AI Keresés, és engedélyezi a customer által felügyelt kulcs (CMK) titkosítását több-bérlős Microsoft Entra alkalmazás használatával.

Ebben a konfigurációban az ügyfél a saját bérlőjében lévő Azure Key Vault szolgáltatást használja a titkosítási kulcsának kezelésére. A szolgáltatónak nincs hozzáférése ehhez a kulcshoz.

Előfeltételek

• Tenant A: Bérlő és a Azure AI Keresés szolgáltatás és a kapcsolódó objektumok (indexek, szinonimák listája, indexelők, adatforrások, vektorizálók, képességkészletek) létrehozásához szükséges engedélyek. Az ügyfél által felügyelt kulcsok (CMK) támogatásához alapszintű vagy magasabb tarifacsomag szükséges.

• Konfigurálja a keresőszolgáltatást szerepköralapú hozzáférésre (fokozott biztonság esetén ajánlott, nem kötelező).

• Tenant B: Egy külön ügyfélbérlő, amely Azure Key Vaulttal és az adott bérlőn szükséges engedélyekkel rendelkezik:

  • Key Vault Közreműködő: Új key vault létrehozásához ez a szerepkör szükséges.
  • Alkalmazások regisztrálása a Microsoft Entra ID: A szolgáltató által a bérlők közötti CMK-hoz konfigurált több-bérlős alkalmazás telepítéséhez engedéllyel kell rendelkeznie ahhoz, hogy alkalmazásregisztrációkat hozzon létre Microsoft Entra ID. Ehhez általában az alkalmazásfejlesztői vagy magasabb szintű rendszergazdai szerepkör szükséges, például az alkalmazásadminisztrátor vagy a globális rendszergazda.
  • Key Vault Crypto Officer: Ez a szerepkör új kulcsnak a Key Vaultba való felvételéhez szükséges.
  • Key Vault titkosítási szolgáltatás titkosítási felhasználó: Ezt a szerepkört a telepített több-bérlős alkalmazáshoz létrehozott szolgáltatásnév-azonosítóhoz kell hozzárendelni ahhoz, hogy a szolgáltatásnév-azonosító hozzáférhessen a kulcstartóban lévő, ügyfél által felügyelt kulcshoz. Ehhez felhasználói hozzáférés-rendszergazdai engedéllyel kell rendelkeznie. A szolgáltatásnév GUID-azonosítóját (más néven objektumazonosítót) a következő területen tekintheti meg: Enterprise applications\<installed multitenant application>\Manage\Properties\Object ID.

• A Azure Key Vault konfigurálva kell lennie a szerepköralapú hozzáféréshez.

• Azure CLI kérések küldéséhez.

Hitelesítési módszer kiválasztása

Úgy konfigurálhat egy több-bérlős Microsoft Entra-alkalmazást, hogy az ügyfél által felügyelt kulcsokat használjon bérlők közötti forgatókönyvben az alábbi módszerek egyikével:

1. Összevont identitás támogatása (előzetes verzió, ajánlott): Konfigurálja Microsoft Entra összevont identitás hitelesítő adatait (FIC) egy felhasználó által hozzárendelt felügyelt identitással (UAMI). Ez a megközelítés felügyelt identitásjogkivonatokat használ, és hozzáférési jogkivonatokra cseréli őket, így szükségtelenné teszi a hosszú élettartamú titkos kulcsok használatát, és igazodik a számítási feladatok identitás-összevonási alapelveihez. Ehhez a megközelítéshez az API federatedIdentityClientId verziójában bevezetett előzetes 2026-05-01-preview tulajdonság szükséges.

2. Ügyféltitkok: Ügyfélkulcs konfigurálása a accessCredentials tulajdonság használatával. Ez a megközelítés kevésbé biztonságos, és további felügyeletet igényel a titkos kulcs elforgatásához és védelméhez.

Microsoft Entra alkalmazás létrehozása, amely több bérlőt kiszolgál az A bérlőnél

Az Azure CLI használatával küldhet kéréseket. A szolgáltató azon bérlőjét, amely az Azure AI Keresés szolgáltatást tartalmazza, A bérlőnek fogjuk nevezni.

1. A bérlőazonosító lekérése: az account show --query tenantId --output tsv

2. Győződjön meg arról, hogy bejelentkezett az A bérlőbe: az login --tenant \<tenant-A-id\>

3. Az alkalmazásregisztráció létrehozása: az ad app create --display-name cross-tenant-auth --sign-in-audience AzureADMultipleOrgs

4. Mentse az alkalmazásazonosító kimenetét ebből a lépésből.

Összevont identitástámogatás használata (előzetes verzió)

A bérlők közötti CMK-forgatókönyv föderált identitással történő támogatásához:

1. A szolgáltató a saját bérlőjében (A bérlő) konfigurálja az AI Search szolgáltatást. Az ezzel kapcsolatos útmutatásért lásd a Keresési szolgáltatás létrehozása (az Azure Portalon) című témakört, vagy használja az Azure CLI az search service create parancsát.

2. A szolgáltató létrehoz egy több-bérlős Microsoft Entra alkalmazásregisztrációt. Az ezzel kapcsolatos útmutatásért lásd a Alkalmazás regisztrálása a Microsoft Entra ID-ban című cikket, vagy használja az Azure CLI következő parancsát: az ad app create. Az alkalmazásregisztráció befejezése után jegyezze fel az alkalmazás (ügyfél) azonosítóját.

3. A szolgáltató beállít egy felhasználó által hozzárendelt felügyelt identitást. Ennek módjáról a Felhasználó által hozzárendelt felügyelt identitások kezelése Azure portál használatával vagy Felhasználó által hozzárendelt felügyelt identitások kezelése a Azure CLI használatával.

4. A szolgáltató összevont identitás hitelesítő adatként konfigurálja a felhasználó által hozzárendelt felügyelt identitásokat az alkalmazásban. Ennek módjáról a külső identitásszolgáltató megbízható alkalmazásának konfigurálása című témakörben talál útmutatást.

5. Miután a szolgáltató megosztja a több-bérlős alkalmazás azonosítóját, az ügyfél hozzáférést biztosít a szolgáltató alkalmazásának a saját bérlőjében (B bérlő) található Key Vaulthoz. Az alkalmazás B bérlőbe való telepítéséhez létre kell hozni egy service principalt a több-bérlős alkalmazásazonosító használatával. A szolgáltatásnév-azonosító létrehozásához állítson össze egy admin-consent URL-t, és adja meg a bérlő egészére érvényes hozzájárulást, vagy használja az Azure CLI-ben az az ad sp parancsot.

6. Ha az ügyfél még nem rendelkezik kulcstartóval, olvassa el a gyorsútmutatót – Azure Key Vault létrehozása a Azure portállal vagy rövid útmutató – Azure Key Vault létrehozása a Azure CLI. A Key Vault esetében az engedélymodellnek „Azure szerepköralapú hozzáférés-vezérlésre (RBAC)” kell lennie beállítva, és a szolgáltató több-bérlős alkalmazásának engedélyt kell adni a Key Vault Crypto Service Encryption User szerepkör hozzárendelésével. Az ügyfél ezután létrehozhat egy titkosítási kulcsot. Az ezzel kapcsolatos útmutatásért lásd a következőt: Alkalmazások hozzáférésének engedélyezése egy Azure-kulcstartóhoz az Azure RBAC használatával.

A következő lépések elvégzése után a szolgáltató a következőket hajtja végre:

• Az ügyfél bérlőjében telepített több-bérlős alkalmazás alkalmazásazonosítója, amely hozzáférést kapott az ügyfél által felügyelt kulcshoz.

• A több-bérlős alkalmazásban föderált hitelesítő adatként konfigurált felügyelt identitás.

• A kulcs elhelyezkedése az ügyfél kulcstárában.

Ezzel a három paraméterrel a szolgáltató mostantól létrehozhat Azure AI Keresés objektumokat Tenant A, amelyek a Tenant B-ben tárolt ügyfél által kezelt kulccsal titkosíthatók. Az ügyfél által felügyelt kulcsok új keresési objektumokon való konfigurálásával kapcsolatos útmutatásért lásd: Ügyfél által felügyelt kulcsok konfigurálása Azure AI Keresés titkosított adatokhoz.

A föderált identitás bérlők közötti CMK-konfigurációjának ellenőrzése

Miután konfigurálta a több-bérlős Microsoft Entra-alkalmazást, és csatlakoztatta azt az ügyfél Key Vaultjához, ellenőrizze a beállítást egy tesztobjektum létrehozásával a keresési szolgáltatásában (A bérlő). Ez a példa létrehoz egy indexet annak ellenőrzéséhez, hogy a keresési szolgáltatás hozzáfér-e az ügyfél által felügyelt kulcshoz összevont identitáshitelesítéssel.

1. A keresési szolgáltatás és egy új indexobjektum ügyfél által felügyelt kulccsal való létrehozásával kapcsolatos útmutatásért lásd a Ügyfél által felügyelt kulcsok konfigurálása az Azure AI Keresés titkosított adataihoz című témakört.

2. Az indexobjektum létrehozása után a következőket kell kitöltenie:

   • keyVaultUri: Az ügyféltől származó URI-cím.
   • keyVaultKeyName: Az ügyfél kulcsneve.
   • keyVaultKeyVersion: Az ügyfél kulcsverziója.
   • userAssignedIdentity: A bérlőből származó <subscription-id> és <resource-group>, a <identity-name> pedig a felhasználóhoz rendelt felügyelt identitás neve.
   • federatedIdentityClientId: Ez a tulajdonságérték, <application-client-id>, a több-bérlős alkalmazás (alkalmazás-)azonosítója lesz.

   {
     "name": "cross-tenant-cmk-test",
     "fields": [
       {
         "name": "id",
         "type": "Edm.String",
         "key": true
       }
     ],
     "encryptionKey": {
       "keyVaultUri": "https://<key-vault-name>.vault.azure.net/",
       "keyVaultKeyName": "<key-name>",
       "keyVaultKeyVersion": "<key-version>",
       "identity": {
         "@odata.type": "#Microsoft.Azure.Search.DataUserAssignedIdentity",
         "userAssignedIdentity": "/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<identity-name>",
         "federatedIdentityClientId": "<application-client-id>"
       }
     }
   }
   

3. Ellenőrizze az indexet egy GET kérés elküldésével: GET https://<search-service>.search.windows.net/indexes/cross-tenant-cmk-test?api-version=2026-08-01-preview

Ha a kérés sikeres, a bérlők közötti CMK-konfiguráció megfelelően működik.

Ha az index létrehozása kulcshozzáférési hibával meghiúsul, ellenőrizze, hogy:

• A felhasználó által hozzárendelt felügyelt identitás megfelelően van konfigurálva
• Az összevont identitás hitelesítő adatai be van állítva az alkalmazásban
• A Key Vault hozzáférési szabályzat vagy RBAC-szerepkör-hozzárendelések helyesek

Ügyfélkód használata (ha összevont identitás használata nem lehetséges)

Ha a federált identitás nem használható, hozzáadhat egy ügyfél-titkos kulcsot a több-bérlős alkalmazáshoz a bérlők közötti CMK-forgatókönyv támogatásához:

1. Ha hozzá szeretné adni az ügyfélkulcsot az A bérlő több-bérlős alkalmazásához, futtassa a következő parancsot:

   az ad app credential reset --id <multitenant-app-id>

2. Mentse a jelszókimenetet ebből a lépésből. A jelszókimenet szükséges bemenet a CMK Azure AI Keresésben való beállításához .

3. Ha meg szeretné adni, hogy mikor járjon le az ügyfél kulcs, meghatározhat egy záródátum-paramétert a parancsnál.

   az ad app credential reset --id <multitenant-app-id> --end-date <end-date>

   A záró dátum paraméter ISO 8601 formátumban fogad el egy dátumot. Például: az ad app credential reset --id <multitenant-app-id> --end-date 2026-12-31.

Szolgáltatási főszereplő létrehozása a B tenantban a több bérlős alkalmazáshoz

Az Azure Key Vaultot B bérlőként tartalmazó bérlőre hivatkozunk. A B bérlőben hozzon létre egy szolgáltatásnevet a több-bérlős alkalmazáshoz az A bérlőben.

1. Jelentkezzen be a B bérlőbe:

   az login --tenant <tenant-B-id>

2. Hozza létre a szolgáltatási főszereplőt a több-bérlős alkalmazásazonosító kimenetével az első lépésben:

   az ad sp create --id <multitenant-app-id>

   Ez a szolgáltatásnév az A bérlő több-bérlős alkalmazásának egy példánya. A szolgáltatásnévhez a B bérlőben hozzárendelt szerepkörök az A bérlő több-bérlős alkalmazásához is hozzárendelve vannak.

3. Ellenőrizze az A és a B bérlő közötti kapcsolatot az "appOwnerOrganizationId" áttekintésével a következő parancsban:

   az ad sp show --id <multitenant-app-id>

   Ez a parancs megjeleníti a szolgáltatásnév részleteit a JSON-ban. Keresse meg az "appOwnerOrganizationId" mezőt a kimenetben, és ellenőrizze, hogy az megfelel-e az A bérlő azonosítójának.

4. Mentse a szolgáltatásnév objektumazonosítóját (a mezőből) ebből a "id" lépésből. Az objektumazonosító szükséges bemenet a CMK Azure AI Keresésben való beállításához.

5. Az Azure Key Vault erőforrás-azonosítójának lekérése:

   az keyvault show --name <key-vault-name> --query id --output tsv

6. Rendelje hozzá a Key Vault titkosítási szolgáltatás titkosítási felhasználó szerepkörét az új szolgáltatási főazonosítóhoz a B bérlőben található kulcstartón.

   az role assignment create --assignee <service-principal-object-id> --role "Key Vault Crypto Service Encryption User" --scope <key-vault-resource-id>

   Egy példa erre a feladatra a következőképpen nézhet ki:

   az role assignment create --assignee 00001111-aaaa-2222-bbbb-3333cccc4444 --role "Key Vault Crypto Service Encryption User" --scope /subscriptions/87654321-4321-4321-4321-210987654321/resourceGroups/myKeyVaultRG/providers/Microsoft.KeyVault/vaults/myCompanyKeyVault

Érvényesítse az ügyféltitok bérlők közötti CMK-konfigurációját

Miután konfigurálta a több-bérlős Microsoft Entra-alkalmazást, és csatlakoztatta azt az ügyfél Key Vaultjához, ellenőrizze a beállítást egy tesztobjektum létrehozásával a keresési szolgáltatásában (A bérlő). Ez a példa létrehoz egy indexet, amely megerősíti, hogy a keresési szolgáltatás az ügyfél által kezelt kulcsot az ügyfél titkos kódjának használatával érheti el.

1. A keresési szolgáltatás és egy új indexobjektum ügyfél által felügyelt kulccsal való létrehozásával kapcsolatos útmutatásért lásd a Ügyfél által felügyelt kulcsok konfigurálása az Azure AI Keresés titkosított adataihoz című témakört.

2. A Azure portál használatával hozzáadhat egy indexet, és megadhatja ezt a JSON-t, vagy használhat egy REST-ügyfelet egy Create Index kérés küldéséhez. Az indexobjektum létrehozása után a következőket kell kitöltenie:

   • keyVaultUri: Az ügyféltől származó URI-cím.
   • keyVaultKeyName: Az ügyfél kulcsneve.
   • keyVaultKeyVersion: Az ügyfél kulcsverziója.
   • accessCredentials: A applicationId olyan, mint a 00001111-aaaa-2222-bbbb-3333cccc4444, a applicationSecret pedig az imént létrehozott érték.

{
  "name": "cross-tenant-cmk-test",
  "fields": [
        {
            "name": "id",
            "type": "Edm.String",
            "key": true
        }
      ],
 "encryptionKey": {
        "keyVaultUri": "https://<key-vault-name>.vault.azure.net/",
        "keyVaultKeyName": "<key-name>",
        "keyVaultKeyVersion": "<key-version>",
    "accessCredentials": {
      "applicationId": "<application-client-id>",
      "applicationSecret": "<application-client-secret>"
    }
  }
}

Ellenőrizze, hogy az index sikeresen létrejött-e:

GET https://<search-service>.search.windows.net/indexes/cross-tenant-cmk-test?api-version=2026-04-01

A kulcsok elforgatásával és kezelésével kapcsolatos további információkért lásd: Ügyfél által felügyelt kulcsok konfigurálása adattitkosításhoz.