Está creando una aplicación Java que almacena datos confidenciales en Azure Cosmos DB y desea configurar Always Encrypted para que la aplicación cifre los datos. ¿Cuál es el primer paso que debe seguir?

Para implementar Always Encrypted en Azure Cosmos DB, el primer paso fundamental es establecer una clave de cifrado maestra segura. Una clave administrada por el cliente (CMK) almacenada en Azure Key Vault proporciona el control y la seguridad necesarios sobre el proceso de cifrado. Azure Key Vault es el servicio recomendado para almacenar de forma segura estas claves. Las otras opciones son pasos posteriores o incorrectos: Crear un contenedor con una política de cifrado es un paso posterior que depende de la existencia de una clave de cifrado. Crear una clave de cifrado de datos (DEK) es el siguiente paso lógico, pero la DEK se deriva de la CMK y se almacena en Cosmos DB, no se crea antes de la CMK. Crear una identidad administrada de Azure AD es útil para la autenticación y autorización del acceso a Key Vault, pero no es el primer paso para crear la clave de cifrado en sí.