Microsoft Azure Essentials Fundamentals of Azure Second Edition e-optimized 5x11 pdf

Client-side encryption 
We looked at client-side encryption when discussing encryption in transit. The data is encrypted by 
the application and sent across the wire to be stored in the storage account. When retrieved, the data 
is decrypted by the application. Because the data is stored encrypted, this is encryption at rest.  
For this encryption, you can encrypt the data in blobs, tables, and queues, rather than just blobs like 
SSE. Also, you can bring your own keys or use keys generated by Microsoft. If you store your 

---

112 
CHAPTER 4  |    Azure Storage 
 
encryption keys in Azure Key Vault, you can use Azure Active Directory to specifically grant access to 
the keys. This allows you to control who can read the vault and retrieve the keys being used for client-
side encryption. 
This is the most secure method of encrypting your data, but it does require that you add code to 
perform the encryption and decryption. If you only have blobs that need to be encrypted, you may 
choose to use a combination of HTTPS and SSE to meet the requirement that your data be encrypted 
at rest.