Door de klant beheerde sleutels voor Azure instellen en configureren met behulp van de API

In dit document worden de Azure-specifieke instructies besproken voor het inschakelen van Customer Managed Keys (CMK) in Adobe Experience Platform met behulp van de API. Voor instructies op hoe te om dit proces te voltooien gebruikend UI voor de ver*schonken instanties van Experience Platform, verwijs naar het ​ UI CMK opstellingsdocument ​.

Voor AWS-specifieke instructies, verwijs naar de ​ opstellingsgids van AWS ​.

Vereisten

Als u de sectie Encryption in Adobe Experience Platform wilt weergeven en bezoeken, moet u een rol hebben gemaakt en Manage Customer Managed Key toestemming aan die rol hebben toegewezen. Elke gebruiker met de machtiging Manage Customer Managed Key kan CMK inschakelen voor zijn of haar organisatie.

Voor meer informatie bij het toewijzen van rollen en toestemmingen in Experience Platform, verwijs naar ​ vormen toestemmingendocumentatie ​.

Om CMK voor ver*halen-ontvangen instanties van Experience Platform toe te laten, moet uw Azure Zeer belangrijke vault ​ met de volgende montages worden gevormd:

De CMK-toepassing instellen register-app

Nadat u uw sleutelkluis hebt gevormd, is de volgende stap voor de toepassing te registreren CMK die aan uw Azure huurder zal verbinden.

Aan de slag

Als u de CMK-toepassing registreert, moet u oproepen naar Experience Platform API's doen. Voor details op hoe te om de vereiste authentificatiekopballen te verzamelen om deze vraag te maken, zie de ​ Experience Platform API authentificatiegids ​.

Hoewel de verificatiegids instructies bevat over het genereren van uw eigen unieke waarde voor de vereiste x-api-key aanvraagheader, gebruiken alle API-bewerkingen in deze handleiding in plaats daarvan de statische waarde acp_provisioning . U moet echter wel uw eigen waarden opgeven voor {ACCESS_TOKEN} en {ORG_ID} .

In alle API-aanroepen die in deze handleiding worden weergegeven, wordt platform.adobe.io gebruikt als het hoofdpad, dat standaard overeenkomt met het VA7-gebied. Als uw organisatie een ander gebied gebruikt, moet platform worden gevolgd door een streepje en de regiocode die aan uw organisatie is toegewezen: nld2 for NLD2 of aus5 for AUS5 (bijvoorbeeld: platform-aus5.adobe.io). Als u het gebied van uw organisatie niet kent, contacteer uw systeembeheerder.

URL voor verificatie ophalen fetch-authentication-url

Als u het registratieproces wilt starten, dient u een GET-aanvraag in bij het eindpunt van de toepassingsregistratie om de vereiste verificatie-URL voor uw organisatie op te halen.

Verzoek

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/byok/app-registration \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Reactie

Een geslaagde reactie retourneert een eigenschap applicationRedirectUrl die de verificatie-URL bevat.

{
    "id": "byok",
    "name": "acpebae9422Caepcmkmultitenantapp",
    "applicationUri": "https://adobe.com/acpebae9422Caepcmkmultitenantapp",
    "applicationId": "e463a445-c6ac-4ca2-b36a-b5146fcf6a52",
    "applicationRedirectUrl": "https://login.microsoftonline.com/common/oauth2/authorize?response_type=code&client_id=e463a445-c6ac-4ca2-b36a-b5146fcf6a52&redirect_uri=https://adobe.com/acpebae9422Caepcmkmultitenantapp&scope=user.read"
}

Kopieer en plak het applicationRedirectUrl -adres in een browser om een verificatiedialoogvenster te openen. Selecteer Accept om de principal van de CMK-toepassingsservice aan de Azure -gebruiker toe te voegen.

De CMK-toepassing toewijzen aan een rol assign-to-role

Navigeer na het voltooien van het verificatieproces terug naar de Azure Key Vault en selecteer Access control in de linkernavigatie. Selecteer hier Add gevolgd door Add role assignment .

In het volgende scherm wordt u gevraagd een rol voor deze toewijzing te kiezen. Selecteer Key Vault Crypto Service Encryption User voordat u Next selecteert om door te gaan.

Kies in het volgende scherm Select members om een dialoogvenster te openen in de rechtertrack. Gebruik de zoekbalk om de serviceprincipal voor de CMK-toepassing te zoeken en selecteer deze in de lijst. Selecteer Save als u klaar bent.

Configuratie van coderingssleutel inschakelen in Experience Platform send-to-adobe

Nadat u de CMK-toepassing op Azure hebt geïnstalleerd, kunt u de id van de coderingssleutel naar Adobe sturen. Selecteer Keys in de linkernavigatie, gevolgd door de naam van de sleutel u wilt verzenden.

Selecteer de meest recente versie van de sleutel en de detailpagina wordt weergegeven. Van hier, kunt u naar keuze de toegelaten verrichtingen voor de sleutel vormen.

In het veld Key Identifier wordt de URI-id voor de sleutel weergegeven. Kopieer deze URI-waarde voor gebruik in de volgende stap.

Nadat u de sleutelvault-URI hebt verkregen, kunt u deze met een POST-aanvraag naar het CMK-configuratiepunt verzenden.

Verzoek

curl -X POST \
  https://platform.adobe.io/data/infrastructure/manager/customer/config \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}' \
  -d '{
        "name": "Config1",
        "type": "BYOK_CONFIG",
        "imsOrgId": "{ORG_ID}",
        "configData": {
          "providerType": "AZURE_KEYVAULT",
          "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4"
        }
      }'

Reactie

{
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "config": {
    "configData": {
      "keyVaultUri": "https://adobecmkexample.vault.azure.net",
      "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
      "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
      "keyName": "Config1",
      "providerType": "AZURE_KEYVAULT"
    },
    "name": "acpcf978863Aaepcmkmultitenantapp",
    "type": "BYOK_CONFIG",
    "imsOrgId": "{ORG_ID}",
    "status": "NEW"
  },
  "status": "CREATED"
}

De taak moet de verwerking binnen een paar minuten voltooien.

De status van de configuratie controleren check-status

Om de status van het configuratieverzoek te controleren, kunt u een GET-verzoek indienen.

Verzoek

U moet name van de configuratie toevoegen u aan de weg (config1 in het voorbeeld hieronder) wilt controleren en een configType vraagparameter omvatten die aan BYOK_CONFIG wordt geplaatst.

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/customer/config/config1?configType=BYOK_CONFIG \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Reactie

{
  "name": "acpcf978863Aaepcmkmultitenantapp",
  "type": "BYOK_CONFIG",
  "status": "COMPLETED",
  "configData": {
    "keyVaultUri": "https://adobecmkexample.vault.azure.net",
    "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
    "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
    "keyName": "Config1",
    "providerType": "AZURE_KEYVAULT"
  },
  "imsOrgId": "{ORG_ID}",
  "subscriptionId": "cf978863-7325-47b1-8fd9-554b9fdb6c36",
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "rowType": "BYOK_KEY"
}

Het kenmerk status kan een van vier waarden hebben met de volgende betekenissen:

Volgende stappen

Door de bovenstaande stappen te voltooien, hebt u CMK voor uw organisatie ingeschakeld. Voor Experience Platform-instanties die in Azure worden gehost, worden gegevens die in de primaire gegevensopslag worden ingevoerd, nu gecodeerd en gedecodeerd met de sleutel(s) in de Azure Key Vault.

Meer over gegevensencryptie in Adobe Experience Platform leren, zie de ​ encryptiedocumentatie ​.