Rotate the Transparent Data Encryption protector in Azure Synapse Analytics

نصيحة

Microsoft Fabric Data Warehouse هو مستودع علائقي على نطاق مؤسسي قائم على أساس بحيرة البيانات، مع بنية جاهزة للمستقبل، وذكاء اصطناعي مدمج، وميزات جديدة. إذا كنت جديدا في مستودع البيانات، ابدأ ب Fabric Data Warehouse. يمكن لأحمال عمل تجمع SQL المخصصة الحالية الترقية إلى Fabric للوصول إلى قدرات جديدة في علوم البيانات، والتحليلات اللحظية، والتقارير.

• ابدأ تجربة مجانية Fabric.
• Migration Assistant ل Fabric Data Warehouse.

ينطبق على: Azure Synapse Analytics SQL pools المخصص (سابقا SQL DW)

تصف هذه المقالة تدوير المفاتيح لخادم SQL يستخدم حامي TDE من Azure Key Vault. تدوير الحامي المنطقي ل TDE للخادم يعني التحول إلى مفتاح جديد مدعوم يحمي قواعد البيانات على الخادم. اعتمادا على التكوين، يمكن دعم حامي TDE بمفتاح غير متماثل (RSA) أو متماثل (AES) مدعوم مخزن في Azure Key Vault أو Azure Key Vault Managed HSM. تدوير المفاتيح هو عملية عبر الإنترنت ويجب أن يستغرق بضع ثوان فقط لإكماله، لأن هذه العملية تقوم فقط بفك تشفير وإعادة تشفير مفتاح تشفير بيانات قاعدة البيانات، وليس قاعدة البيانات بأكملها.

تناقش هذه المقالة الطرق الآلية واليدوية لتدوير واقي TDE على الخادم.

ملحوظة

تغطي هذه المقالة مجموعات SQL المخصصة المستقلة (سابقا SQL DW). للحصول على تجمع SQL مخصص في بيئة Synapse، انظر Encryption for Azure Synapse Analytics workspaces.

اعتبارات مهمة

• احتفظ بإصدارات المفاتيح القديمة على الأقل لفترة الاحتفاظ بنسخ احتياطية لقاعدة البيانات. استعادة نسخة احتياطية قديمة تتطلب الحماية التي شفرت الجهاز.
• احتفظ بالمفاتيح القديمة حتى لو عدت إلى واقي مدار من قبل الخدمة.
• يجب استئناف تجمع SQL مخصص مؤقتا قبل التدوير.
• لا يمكن أن يتجاوز اسم خزنة المفاتيح واسم المفتاح المجمعين 94 حرفا.

المتطلبات المسبقه

• تفترض هذه المقالة أنك تستخدم بالفعل مفتاحا من Azure Key Vault كحامي TDE ل قاعدة بيانات Azure SQL أو Azure Synapse Analytics. لمزيد من المعلومات، انظر Customer-managed TDE for Azure Synapse Analytics.
• يجب أن يكون لديك Azure PowerShell مثبت ويعمل.

نصيحة

موصى به لكنه اختياري - أنشئ مواد المفتاح لحامي TDE في وحدة أمان الأجهزة (HSM) أو مخزن مفاتيح محلي أولا، ثم استيراد مواد المفتاح إلى Azure Key Vault. لمعرفة المزيد، راجع تعليمات استخدام وحدة أمان الأجهزة (HSM) و Azure Key Vault.

بوابة

انتقل إلى مدخل Azure.

بوويرشيل

لتعليمات تثبيت وحدات Az PowerShell، انظر Install Azure PowerShell. Use the new Azure PowerShell Az module.

للحصول على تعليمات التثبيت، راجع تثبيت Azure CLI.

تدوير المفاتيح التلقائي

فعل التدوير التلقائي لحامي TDE عند تكوين واقي TDE للخادم أو قاعدة البيانات. يمكنك تفعيل التدوير التلقائي من بوابة Azure أو باستخدام أوامر PowerShell أو Azure CLI التالية. عند تفعيل التدوير التلقائي، يقوم الخادم أو قاعدة البيانات بفحص خزنة المفاتيح باستمرار بحثا عن نسخ جديدة من المفتاح المستخدم كحامي TDE. إذا اكتشف الخادم أو قاعدة البيانات نسخة جديدة من المفتاح، فإنه يدير حماية TDE تلقائيا إلى أحدث إصدار مفتاح خلال 24 ساعة.

استخدم التدوير التلقائي في خادم أو قاعدة بيانات أو مثيل مدار مع تدوير المفاتيح التلقائي في Azure Key Vault لتمكين التدوير الصفري من طرف إلى طرف لمفاتيح TDE.

Azure portal

استخدام المدخل الخاص بـ Microsoft Azure:

1. تصفح إلى قسم تشفير البيانات الشفاف لخادم موجود أو مثيل مدار.
2. اختر خيار المفتاح المدار من قبل العميل واختر خزنة المفاتيح والمفتاح لاستخدامها كحامي TDE.
3. اختر خيار اختيار مفتاح التدوير التلقائي .
4. اختر حفظ.

PowerShell

لتعليمات تثبيت وحدات Az PowerShell، انظر Install Azure PowerShell.

لتمكين الدوران التلقائي لحامي TDE باستخدام PowerShell، راجع السكربت التالي. يمكنك استرجاع ال <keyVaultKeyId> من Azure Key Vault.

Use Set-AzSqlServerTransparentDataEncryptionProtector:

Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName> `
    -AutoRotationEnabled <boolean>

Azure CLI

للحصول على معلومات حول تثبيت الإصدار الحالي من Azure CLI، راجع تثبيت Azure CLI.

لتمكين التدوير التلقائي لحامي TDE باستخدام Azure CLI، راجع السكربت التالي.

Use az sql server tde-key set:

az sql server tde-key set --server-key-type AzureKeyVault
                          --auto-rotation-enabled true
                          [--kid] <keyVaultKeyId>
                          [--resource-group] <SQLDatabaseResourceGroupName> 
                          [--server] <logicalServerName>

تدوير المفاتيح يدويا

يستخدم تدوير المفاتيح يدويا الأوامر التالية لإضافة مفتاح جديد، والذي قد يكون تحت اسم مفتاح جديد أو حتى خزنة مفاتيح أخرى. يمكنك أيضا استخدام بوابة Azure لتدوير المفاتيح يدويا.

عندما تقوم بتدوير المفاتيح يدويا وإنشاء نسخة مفاتيح جديدة في Key Vault (يدويا أو من خلال سياسة تدوير المفاتيح التلقائي)، يجب عليك تعيين نسخة المفتاح يدويا كحامي TDE على الخادم.

ملحوظة

لا يمكن أن يتجاوز الطول المجمع لاسم خزنة المفاتيح واسم المفتاح 94 حرفا.

Azure portal

1. فتح تشفير البيانات الشفاف على خادم SQL.
2. اختر المفتاح المدار من قبل العميل.
3. اختر خيار المفتاح المدار من قبل العميل واختر خزنة المفاتيح والمفتاح لاستخدامها كحامي TDE جديد.
4. اختر حفظ.

PowerShell

استخدم أمر Add-AzKeyVaultKey لإضافة مفتاح جديد إلى خزنة المفاتيح.

# add a new key to Azure Key Vault
Add-AzKeyVaultKey -VaultName <keyVaultName> -Name <keyVaultKeyName> -Destination <hardwareOrSoftware>

استخدم الأوامر التالية:

• Add-AzSqlServerKeyVaultKey
• Set-AzSqlServerTransparentDataEncryptionProtector

# add the new key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
  
# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Azure CLI

استخدم أمر إنشاء مفتاح KEYVAULT الخاص ب az لإضافة مفتاح جديد إلى خزنة المفاتيح.

# add a new key to Azure Key Vault
az keyvault key create --name <keyVaultKeyName> --vault-name <keyVaultName> --protection <hsmOrSoftware>

استخدم الأوامر التالية:

• مفتاح خادم az SQL Create
• Az SQL Server TDE-Key Set

# add the new key from Azure Key Vault to the server
az sql server key create --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

وضع الحماية في TDE

Azure portal

استخدم بوابة Azure لتحويل واقي TDE من وضع إدارة Microsoft إلى وضع BYOK:

1. تصفح إلى قائمة تشفير البيانات الشفافة لخادم موجود أو مثيل مدار.
2. اختر خيار المفتاح المدار من قبل العميل .
3. اختر خزنة المفاتيح والمفتاح لاستخدامها كحامي TDE.
4. اختر حفظ.

PowerShell

• لتبديل حامي TDE من وضع إدارة Microsoft إلى وضع BYOK، استخدم أمر Set-AzSqlServerTransparentDataEncryptionProtector.

  Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault `
       -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
  

• لتبديل حامي TDE من وضع BYOK إلى وضع إدارة Microsoft، استخدم أمر Set-AzSqlServerTransparentDataEncryptionProtector.

  Set-AzSqlServerTransparentDataEncryptionProtector -Type ServiceManaged `
       -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
  

Azure CLI

الأمثلة التالية تستخدم مجموعة مفاتيح az SQL Server tde-key.

• لتحويل حامي TDE من وضع MICROSOFT الذي تديره Microsoft إلى وضع BYOK:

  az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
  

• لتحويل واقي TDE من وضع BYOK إلى وضع يديره Microsoft:

  az sql server tde-key set --server-key-type ServiceManaged --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
  

المحتوى ذو الصلة

• Customer-managed TDE for Azure Synapse Analytics
• إزالة حماية Transparent Data Encryption
• Azure Key Vault key rotation