Cuando se usa el cifrado de cliente con Key Vault, los datos se cifran con una clave de cifrado de contenido (CEK) simtrica nica generada por el SDK de cliente de Azure Storage. La CEK se cifra mediante una clave de cifrado de claves (KEK), que puede ser una clave simtrica o un par de claves asimtricas. Puede administrarla de forma local o almacenarla en Key Vault. A continuacin, se cargan los datos cifrados en Azure Storage.