Installer et configurer des clés gérées par le client pour Azure à l’aide de l’API

Ce document contient les instructions spécifiques à Azure pour l’activation des clés gérées par le client (CMK) dans Adobe Experience Platform à l’aide de l’API . Pour plus d’informations sur la manière d’effectuer ce processus à l’aide de l’interface utilisateur pour les instances d’Experience Platform hébergées sur Azure, reportez-vous au document Configuration de la CMK de l’interface utilisateur.

Pour obtenir des instructions spécifiques à AWS, consultez le guide de configuration d’AWS.

Conditions préalables

Pour afficher et consulter la section Chiffrement dans Adobe Experience Platform, vous devez avoir créé un rôle et attribué l’autorisation Gérer les clés gérées par le client à ce rôle. Tout utilisateur disposant de l’autorisation Gérer les clés gérées par le client peut activer la fonction CMK pour son organisation.

Pour plus d’informations sur l’attribution de rôles et d’autorisations dans Experience Platform, reportez-vous à la documentation sur la configuration des autorisations.

Pour activer la fonction CMK pour les instances Experience Platform hébergées sur Azure, votre coffre Azure Key Vault doit être configuré avec les paramètres suivants :

Configurer l’application CMK register-app

Une fois votre coffre de clés configuré, l’étape suivante consiste à enregistrer l’application CMK qui se connectera à votre client Azure.

Commencer

L’enregistrement de l’application CMK nécessite que vous exécutiez des appels vers les API Experience Platform. Pour plus d’informations sur la collecte des en-têtes d’authentification requis pour effectuer ces appels, consultez le guide d’authentification des API Experience Platform.

Le guide d’authentification fournit des instructions sur la génération de votre propre valeur unique pour l’en-tête de requête x-api-key, toutes les opérations API de ce guide utilisent plutôt la valeur statique acp_provisioning. Cependant, vous devez toujours fournir vos propres valeurs pour {ACCESS_TOKEN} et {ORG_ID}.

Dans tous les appels d’API présentés dans ce guide, platform.adobe.io est utilisé comme chemin racine, qui correspond par défaut à la région VA7. Si votre organisation utilise une autre région, platform doit être suivie d’un tiret et du code de région affecté à votre organisation : nld2 pour NLD2 ou aus5 pour AUS5 (par exemple : platform-aus5.adobe.io). Si vous ne connaissez pas la région de votre organisation, contactez votre administrateur ou administratrice système.

Récupérer une URL d’authentification fetch-authentication-url

Pour démarrer le processus d’enregistrement, envoyez une requête GET au point d’entrée d’enregistrement de l’application afin de récupérer l’URL d’authentification requise pour votre organisation.

Requête

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/byok/app-registration \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Réponse

Une réponse réussie renvoie une propriété applicationRedirectUrl contenant l’URL d’authentification.

{
    "id": "byok",
    "name": "acpebae9422Caepcmkmultitenantapp",
    "applicationUri": "https://adobe.com/acpebae9422Caepcmkmultitenantapp",
    "applicationId": "e463a445-c6ac-4ca2-b36a-b5146fcf6a52",
    "applicationRedirectUrl": "https://login.microsoftonline.com/common/oauth2/authorize?response_type=code&client_id=e463a445-c6ac-4ca2-b36a-b5146fcf6a52&redirect_uri=https://adobe.com/acpebae9422Caepcmkmultitenantapp&scope=user.read"
}

Copiez et collez l’adresse applicationRedirectUrl dans un navigateur pour ouvrir une boîte de dialogue d’authentification. Sélectionnez Accept pour ajouter le principal de service de l’application CMK à votre client Azure.

Attribuer l’application CMK à un rôle assign-to-role

Une fois le processus d’authentification terminé, revenez au coffre de clés Azure et sélectionnez Access control dans le volet de navigation de gauche. À partir de là, sélectionnez Add, puis Add role assignment.

L’écran suivant vous invite à choisir un rôle pour cette affectation. Sélectionnez Key Vault Crypto Service Encryption User avant de sélectionner Next pour continuer.

Dans l’écran suivant, choisissez Select members pour ouvrir une boîte de dialogue dans le rail de droite. Utilisez la barre de recherche pour localiser le principal de service de l’application CMK et sélectionnez-le dans la liste. Lorsque vous avez terminé, sélectionnez Save.

Activer la configuration de la clé de chiffrement sur Experience Platform send-to-adobe

Après l’installation de l’application CMK sur Azure, vous pouvez envoyer votre identifiant de la clé de chiffrement à Adobe. Sélectionnez Keys dans le volet de navigation de gauche, suivi du nom de la clé à envoyer.

Sélectionnez la dernière version de la clé et sa page de détails s’affiche. À partir de là, vous pouvez éventuellement configurer les opérations autorisées pour la clé.

Le champ Identifiant de clé affiche l’identifiant d’URI de la clé. Copiez cette valeur d’URI à utiliser à l’étape suivante.

Une fois que vous avez obtenu l’URI du coffre de clés, vous pouvez l’envoyer à l’aide d’une requête POST au point d’entrée de configuration du CMK.

Requête

curl -X POST \
  https://platform.adobe.io/data/infrastructure/manager/customer/config \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}' \
  -d '{
        "name": "Config1",
        "type": "BYOK_CONFIG",
        "imsOrgId": "{ORG_ID}",
        "configData": {
          "providerType": "AZURE_KEYVAULT",
          "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4"
        }
      }'

Réponse

{
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "config": {
    "configData": {
      "keyVaultUri": "https://adobecmkexample.vault.azure.net",
      "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
      "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
      "keyName": "Config1",
      "providerType": "AZURE_KEYVAULT"
    },
    "name": "acpcf978863Aaepcmkmultitenantapp",
    "type": "BYOK_CONFIG",
    "imsOrgId": "{ORG_ID}",
    "status": "NEW"
  },
  "status": "CREATED"
}

Le traitement doit être terminé dans les minutes qui suivent.

Vérifiez le statut de la configuration check-status

Pour vérifier le statut de la demande de configuration, vous pouvez effectuer une requête GET.

Requête

Vous devez ajouter le name de la configuration que vous souhaitez vérifier au chemin d’accès (config1 dans l’exemple ci-dessous) et inclure un paramètre de requête configType défini sur BYOK_CONFIG.

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/customer/config/config1?configType=BYOK_CONFIG \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Réponse

{
  "name": "acpcf978863Aaepcmkmultitenantapp",
  "type": "BYOK_CONFIG",
  "status": "COMPLETED",
  "configData": {
    "keyVaultUri": "https://adobecmkexample.vault.azure.net",
    "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
    "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
    "keyName": "Config1",
    "providerType": "AZURE_KEYVAULT"
  },
  "imsOrgId": "{ORG_ID}",
  "subscriptionId": "cf978863-7325-47b1-8fd9-554b9fdb6c36",
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "rowType": "BYOK_KEY"
}

L’attribut status peut avoir l’une des quatre valeurs ayant la signification suivante :

Étapes suivantes

En suivant les étapes ci-dessus, vous avez activé le CMK pour votre entreprise. Pour les instances Experience Platform hébergées sur Azure, les données ingérées dans les entrepôts de données principaux seront désormais chiffrées et déchiffrées à l’aide des clés de votre coffre de clés Azure.

Pour en savoir plus sur le chiffrement des données dans Adobe Experience Platform, consultez la documentation sur le chiffrement.