Konfigurera och konfigurera kundhanterade nycklar med API:t

I det här dokumentet beskrivs hur du aktiverar funktionen för kundhanterade nycklar (CMK) i Adobe Experience Platform med API:t. Instruktioner om hur du slutför den här processen med användargränssnittet finns i UI CMK-inställningsdokumentet.

Förhandskrav

Om du vill visa och gå till avsnittet Encryption i Adobe Experience Platform måste du ha skapat en roll och tilldelat behörigheten Manage Customer Managed Key till den rollen. Alla användare som har behörigheten Manage Customer Managed Key kan aktivera CMK för sin organisation.

Mer information om hur du tilldelar roller och behörigheter i Experience Platform finns i Konfigurera behörigheter.

Om du vill aktivera CMK måste Azure nyckelvalvet konfigureras med följande inställningar:

Konfigurera CMK-appen register-app

När du har konfigurerat nyckelvalvet är nästa steg att registrera CMK-programmet som ska länka till din Azure-klient.

Komma igång

Om du registrerar CMK-appen måste du anropa API:er för plattformen. Mer information om hur du samlar in de autentiseringshuvuden som krävs för att ringa dessa anrop finns i autentiseringsguiden för plattforms-API.

Autentiseringsguiden innehåller anvisningar om hur du skapar ett eget unikt värde för begärandehuvudet x-api-key, men alla API-åtgärder i den här handboken använder det statiska värdet acp_provisioning i stället. Du måste dock fortfarande ange dina egna värden för {ACCESS_TOKEN} och {ORG_ID}.

I alla API-anrop som visas i den här handboken används platform.adobe.io som rotsökväg, som är standard för VA7-regionen. Om din organisation använder en annan region måste platform följas av ett bindestreck och regionkoden som tilldelats din organisation: nld2 för NLD2 eller aus5 för AUS5 (till exempel: platform-aus5.adobe.io). Om du inte känner till organisationens region kontaktar du systemadministratören.

Hämta en autentiserings-URL fetch-authentication-url

Om du vill starta registreringsprocessen skickar du en GET-förfrågan till slutpunkten för programregistreringen för att hämta den autentiserings-URL som krävs för din organisation.

Begäran

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/byok/app-registration \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Svar

Ett lyckat svar returnerar en applicationRedirectUrl-egenskap som innehåller autentiserings-URL:en.

{
    "id": "byok",
    "name": "acpebae9422Caepcmkmultitenantapp",
    "applicationUri": "https://adobe.com/acpebae9422Caepcmkmultitenantapp",
    "applicationId": "e463a445-c6ac-4ca2-b36a-b5146fcf6a52",
    "applicationRedirectUrl": "https://login.microsoftonline.com/common/oauth2/authorize?response_type=code&client_id=e463a445-c6ac-4ca2-b36a-b5146fcf6a52&redirect_uri=https://adobe.com/acpebae9422Caepcmkmultitenantapp&scope=user.read"
}

Kopiera och klistra in adressen applicationRedirectUrl i en webbläsare för att öppna en autentiseringsdialogruta. Välj Accept om du vill lägga till CMK-programtjänstens huvudnamn i din Azure-innehavare.

Tilldela CMK-appen till en roll assign-to-role

När autentiseringsprocessen är slutförd går du tillbaka till Azure-nyckelvalvet och väljer Access control i den vänstra navigeringen. Här väljer du Add följt av Add role assignment.

På nästa skärm får du en uppmaning om att välja en roll för uppdraget. Välj Key Vault Crypto Service Encryption User innan du väljer Next för att fortsätta.

På nästa skärm väljer du Select members för att öppna en dialogruta i den högra listen. Använd sökfältet för att hitta tjänstens huvudnamn för CMK-programmet och markera det i listan. När du är klar väljer du Save.

Aktivera krypteringsnyckelkonfigurationen i Experience Platform send-to-adobe

När du har installerat CMK-appen på Azure kan du skicka krypteringsnyckelns identifierare till Adobe. Välj Keys i den vänstra navigeringen, följt av namnet på nyckeln som du vill skicka.

Välj den senaste versionen av nyckeln så visas informationssidan. Här kan du välja att konfigurera tillåtna åtgärder för nyckeln.

Fältet Key Identifier visar URI-identifieraren för nyckeln. Kopiera det här URI-värdet för användning i nästa steg.

När du har fått nyckelvalvs-URI:n kan du skicka den med en POST-begäran till CMK-konfigurationsslutpunkten.

Begäran

curl -X POST \
  https://platform.adobe.io/data/infrastructure/manager/customer/config \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}' \
  -d '{
        "name": "Config1",
        "type": "BYOK_CONFIG",
        "imsOrgId": "{ORG_ID}",
        "configData": {
          "providerType": "AZURE_KEYVAULT",
          "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4"
        }
      }'

Svar

{
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "config": {
    "configData": {
      "keyVaultUri": "https://adobecmkexample.vault.azure.net",
      "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
      "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
      "keyName": "Config1",
      "providerType": "AZURE_KEYVAULT"
    },
    "name": "acpcf978863Aaepcmkmultitenantapp",
    "type": "BYOK_CONFIG",
    "imsOrgId": "{ORG_ID}",
    "status": "NEW"
  },
  "status": "CREATED"
}

Jobbet bör slutföras inom några minuter.

Verifiera konfigurationens status check-status

Om du vill kontrollera statusen för konfigurationsbegäran kan du göra en GET-förfrågan.

Begäran

Du måste lägga till name för konfigurationen som du vill kontrollera till sökvägen (config1 i exemplet nedan) och inkludera en configType-frågeparameter som är inställd på BYOK_CONFIG.

curl -X GET \
  https://platform.adobe.io/data/infrastructure/manager/customer/config/config1?configType=BYOK_CONFIG \
  -H 'Authorization: Bearer {ACCESS_TOKEN}' \
  -H 'x-api-key: acp_provisioning' \
  -H 'x-gw-ims-org-id: {ORG_ID}'

Svar

{
  "name": "acpcf978863Aaepcmkmultitenantapp",
  "type": "BYOK_CONFIG",
  "status": "COMPLETED",
  "configData": {
    "keyVaultUri": "https://adobecmkexample.vault.azure.net",
    "keyVaultKeyIdentifier": "https://adobecmkexample.vault.azure.net/keys/adobeCMK-key/7c1d50lo28234cc895534c00d7eb4eb4",
    "keyVersion": "7c1d50lo28234cc895534c00d7eb4eb4",
    "keyName": "Config1",
    "providerType": "AZURE_KEYVAULT"
  },
  "imsOrgId": "{ORG_ID}",
  "subscriptionId": "cf978863-7325-47b1-8fd9-554b9fdb6c36",
  "id": "4df7886b-a122-4391-880b-47888d5c5b92",
  "rowType": "BYOK_KEY"
}

Attributet status kan ha ett av fyra värden med följande betydelse:

Nästa steg

Genom att utföra ovanstående steg har du aktiverat CMK för din organisation. Data som är inkapslade i primära datalager krypteras och dekrypteras nu med nycklarna i Azure-nyckelvalvet. Mer information om datakryptering i Adobe Experience Platform finns i krypteringsdokumentationen.