您正在建置一個 Java 應用程式，該應用程式將敏感資料儲存在 Azure Cosmos DB 中，並且想要設定 Always Encrypted，以便應用程式加密資料。您應該採取的首要步驟是什麼？

要為 Azure Cosmos DB 設定 Always Encrypted，首要步驟是建立客戶自管金鑰 (CMK) 並將其儲存在 Azure Key Vault 中。這是因為 Always Encrypted 依賴於金鑰管理系統來保護加密金鑰。CMK 是資料加密金鑰 (DEK) 的主金鑰，而 DEK 則用於實際加密資料。 選項「建立一個新的容器，其中包含指定要加密的 JSON 屬性的加密策略」是後續步驟，需要在設定金鑰之後才能定義加密行為。 選項「使用 Azure Cosmos DB SDK 建立資料加密金鑰 (DEK) 並將其儲存在 Azure Cosmos DB 中」是第二個主要步驟，但 DEK 必須由 CMK 保護，因此 CMK 必須先存在。 選項「建立 Azure AD 受控識別並將其指派給新的 Azure Key Vault 實例」是授予應用程式存取 Key Vault 中 CMK 權限的步驟，這也是後續步驟。