在 Azure 上使用客户管理的加密密钥进行静态数据加密

要通过 TiDB Cloud 控制台和 Azure 门户配置 CMEK，请按照以下步骤操作：

1. 在 TiDB Cloud 控制台 中，使用左上角的下拉框切换到目标项目。

2. 在左侧导航栏中，点击 Project Settings > Encryption Access。

3. 在 Encryption Access 页面，点击 Create Encryption Key。

4. 在 Key Management Service 下，选择 Azure Key Vault，并选择将要使用加密密钥的区域。

5. 如果你的租户中尚未存在 TiDB 提供的企业应用的 Service Principal，请创建一个。TiDB Cloud 控制台会显示 Microsoft Entra Application Name 和 ID，你在本步骤及后续步骤中需要用到。要创建 Service Principal，请在 Create Service Principal 部分运行以下命令：

   az ad sp create --id {Microsoft_Entra_Application_ID}
   

   更多信息请参见 Microsoft Entra ID 中的应用程序和服务主体对象。

6. 在你的 Azure 账户中创建一个 Key Vault，或选择已有的 Key Vault。确保：

   • 已启用 Purge protection。
   • region 与集群的区域一致。

7. 在 TiDB Cloud 控制台中，输入 Key Vault 名称和 Key 名称。TiDB Cloud 会为密钥名称添加唯一后缀以增强安全性。复制完整密钥名称，并在 Azure 门户中创建加密密钥。更多信息请参见 创建你的加密密钥。

8. 为当前用户分配 Key Vault Crypto Officer 角色：

   1. 在 Azure 门户 中，导航到你的 Key Vault。
   2. 点击 Access control (IAM)，然后点击 Add > Add role assignment。
   3. 搜索并选择 Key Vault Crypto Officer 角色，然后点击 Next。
   4. 在 Members 标签页，将 Assign access to 设置为 User, group, or service principal。
   5. 点击 + Select members，搜索并选择当前用户作为成员。然后点击 Select。
   6. 检查设置后，点击 Review + assign。

9. 为加密密钥分配 Key Vault Crypto Service Encryption User 角色给 TiDB 提供的企业应用：

   1. 在你的 Key Vault 中，进入你创建的加密密钥对象。
   2. 点击 Add > Add role assignment。
   3. 搜索并选择 Key Vault Crypto Service Encryption User 角色，然后点击 Next。
   4. 在 Members 标签页，将 Assign access to 设置为 User, group, or service principal。
   5. 点击 + Select members，输入 TiDB 提供的 Enterprise Application Name，并选择为成员。然后点击 Select。
   6. 检查配置后，点击 Review + assign。

10. 在 TiDB Cloud 控制台中，点击 Test Encryption Key and Create 以验证配置并创建加密密钥。