Remove a Transparent Data Encryption protector in Azure Synapse Analytics

نصيحة

Microsoft Fabric Data Warehouse هو مستودع علائقي على نطاق مؤسسي قائم على أساس بحيرة البيانات، مع بنية جاهزة للمستقبل، وذكاء اصطناعي مدمج، وميزات جديدة. إذا كنت جديدا في مستودع البيانات، ابدأ ب Fabric Data Warehouse. يمكن لأحمال عمل تجمع SQL المخصصة الحالية الترقية إلى Fabric للوصول إلى قدرات جديدة في علوم البيانات، والتحليلات اللحظية، والتقارير.

• ابدأ تجربة مجانية Fabric.
• Migration Assistant ل Fabric Data Warehouse.

ينطبق على: Azure Synapse Analytics SQL pools المخصص (سابقا SQL DW)

استخدم هذا الإجراء عندما قد يتم اختراق واقي TDE يديره العميل. قم بالتدوير إلى حامي جديد قبل حذف أو تعطيل المفتاح القديم حتى تبقى مجموعات SQL المخصصة متاحة.

احتياط

حذف أو تعطيل حماية TDE نشط يجعل كل تجمع SQL مخصص يعتمد عليه غير قابل للوصول. راجع خطة الاستجابة للحوادث ومتطلبات الاحتفاظ بالنسخة الاحتياطية قبل إزالة المفتاح.

ملحوظة

تغطي هذه المقالة مجموعات SQL المخصصة المستقلة (سابقا SQL DW). للحصول على تجمع SQL مخصص في بيئة Synapse، انظر Encryption for Azure Synapse Analytics workspaces.

حذف مفتاح لا يبطل نسخ ذلك المفتاح التي تم نسخها احتياطيا أو استعادتها سابقا إلى خزنة مفاتيح أخرى. قم بحماية وجرد كل نسخة كجزء من الاستجابة للحادث.

المتطلبات المسبقه

• يجب أن يكون لديك اشتراك في Azure وأن تكون مسؤولا في هذا الاشتراك.
• يجب أن يكون لديك Azure PowerShell مثبت ويعمل.
• يجب أن تكون قادرا على إدارة الخادم المنطقي، وأمنيات خزنة المفاتيح، والمفاتيح.
• Install Azure PowerShell or the Azure CLI.
  • لتعليمات تثبيت وحدات Az، انظر Install Azure PowerShell. Use the new Azure PowerShell Az module.
  • للثبت، انظر Install Azure CLI.
• Review Customer-managed TDE for Azure Synapse Analytics and Rotate the TDE protector.
• تفترض هذه المقالة أنك تستخدم بالفعل مفتاحا من Azure Key Vault كحامي TDE ل Azure Synapse. انظر Customer-managed TDE for Azure Synapse Analytics لمعرفة المزيد.

تحقق من بصمات إبهام واقي TDE

توضح الخطوات التالية كيفية التحقق من بصمات إبهام حماية TDE التي لا تزال ملفات السجل الافتراضي (VLF) لقاعدة بيانات معينة تستخدمها.

شغل الاستعلام التالي للعثور على بصمة إبهام الحامي الحالي لقاعدة البيانات ومعرف قاعدة البيانات:

SELECT [database_id],
       [encryption_state],
       [encryptor_type], /*asymmetric key means Azure Key Vault, certificate means service-managed keys*/
       [encryptor_thumbprint]
 FROM [sys].[dm_database_encryption_keys]

شغل الاستعلام التالي لإرجاع بصمات VLF وظلام حماية TDE قيد الاستخدام. كل بصمة إبهام مختلفة تشير إلى مفتاح مختلف في Azure Key Vault:

SELECT * FROM sys.dm_db_log_info (database_id)

بدلا من ذلك، يمكنك استخدام PowerShell أو Azure CLI:

• أمر Get-AzSqlServerKeyVaultKey PowerShell يوفر بصمة إبهام حامي TDE المستخدم في الاستعلام، بحيث يمكنك رؤية أي المفاتيح تحتفظ بها وأي المفاتيح تحذفها في Azure Key Vault. فقط المفاتيح التي لم تعد قاعدة البيانات تستخدمها يمكن حذفها بأمان من Azure Key Vault.

• يوفر أمر az sql server key show Azure CLI بصمة حماية TDE المستخدم في الاستعلام، بحيث يمكنك رؤية أي المفاتيح تحتفظ بها وأي المفاتيح تحذف في Azure Key Vault. فقط المفاتيح التي لم تعد قاعدة البيانات تستخدمها يمكن حذفها بأمان من Azure Key Vault.

حافظ على الوصول إلى الموارد المشفرة

PowerShell

1. Create a new key in Azure Key Vault. تأكد من إنشاء هذا المفتاح الجديد في خزنة مفاتيح منفصلة عن حامي TDE المحترق، لأن التحكم في الوصول متوفر على مستوى الخزنة.

2. أضف المفتاح الجديد إلى الخادم باستخدام cmdlets Add-AzSqlServerKeyVaultKeyوSet-AzSqlServerTransparentDataEncryptionProtector ، وتحديثه كحامي TDE جديد للخادم.

   # add the key from Azure Key Vault to the server  
   Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>
   
   # set the key as the TDE protector for all resources under the server
   Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> `
       -ServerName <LogicalServerName> -Type AzureKeyVault -KeyId <KeyVaultKeyId>
   

3. تأكد من تحديث الخادم وأي نسخ إلى الحامي الجديد TDE باستخدام أداة Get-AzSqlServerTransparentDataEncryptionProtector cmdlet.

   ملحوظة

   قد يستغرق الأمر بضع دقائق حتى ينتشر الحامي الجديد TDE إلى جميع قواعد البيانات وقواعد البيانات الثانوية تحت الخادم.

   Get-AzSqlServerTransparentDataEncryptionProtector -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>
   

4. خذ نسخة احتياطية للمفتاح الجديد في Azure Key Vault.

   # -OutputFile parameter is optional; if removed, a file name is automatically generated.
   Backup-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName> -OutputFile <DesiredBackupFilePath>
   

5. حذف المفتاح المتوطر من Azure Key Vault باستخدام Remove-AzKeyVaultKey cmdlet.

   Remove-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName>
   

6. لاستعادة مفتاح إلى Azure Key Vault في المستقبل، استخدم Restore-AzKeyVaultKey cmdlet.

   Restore-AzKeyVaultKey -VaultName <KeyVaultName> -InputFile <BackupFilePath>
   

Azure CLI

للرجوع إلى الأوامر، انظر Azure CLI keyvault.

1. Create a new key in Azure Key Vault. تأكد من إنشاء هذا المفتاح الجديد في خزنة مفاتيح منفصلة عن حامي TDE المحترق، لأن التحكم في الوصول متوفر على مستوى الخزنة.

2. أضف المفتاح الجديد إلى الخادم وحدثه كحامي TDE جديد للخادم.

   # add the key from Azure Key Vault to the server  
   az sql server key create --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>
   
   # set the key as the TDE protector for all resources under the server
   az sql server tde-key set --server-key-type AzureKeyVault --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>
   

3. تأكد من تحديث الخادم وأي نسخ إلى حامي TDE الجديد.

   ملحوظة

   قد يستغرق الأمر بضع دقائق حتى ينتشر الحامي الجديد TDE إلى جميع قواعد البيانات وقواعد البيانات الثانوية تحت الخادم.

   az sql server tde-key show --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>
   

4. خذ نسخة احتياطية للمفتاح الجديد في Azure Key Vault.

   # --file parameter is optional; if removed, a file name is automatically generated.
   az keyvault key backup --file <DesiredBackupFilePath> --name <KeyVaultKeyName> --vault-name <KeyVaultName>
   

5. حذف المفتاح المخترق من Azure Key Vault.

   az keyvault key delete --name <KeyVaultKeyName> --vault-name <KeyVaultName>
   

6. استعادة مفتاح إلى Azure Key Vault في المستقبل.

   az keyvault key restore --file <BackupFilePath> --vault-name <KeyVaultName>
   

اجعل الموارد المشفرة غير متاحة

1. تخلص من قواعد البيانات التي تستخدم المفتاح المحتمل للاختراق للتشفير.

   يقوم النظام تلقائيا بعمل نسخة احتياطية لقاعدة البيانات وملفات السجل، بحيث يمكنك إجراء استعادة زمنية لقاعدة البيانات في أي وقت (طالما أنك توفر المفتاح). قم بحذف قواعد البيانات قبل حذف واقي TDE نشط لتجنب فقدان البيانات المحتمل لمدة تصل إلى 10 دقائق من أحدث المعاملات.

2. قم بعمل نسخة احتياطية من مواد المفاتيح الخاصة بحامي TDE في Azure Key Vault.

3. إزالة المفتاح المحتمل أنه تم اختراقه من Azure Key Vault.

ملحوظة

قد يستغرق الأمر حوالي 10 دقائق حتى تبدأ أي تغييرات في صلاحيات خزنة المفتاح. يشمل هذا الوقت إلغاء صلاحيات الوصول إلى حامي TDE في AKV، وقد لا يزال لدى المستخدمين صلاحيات الوصول.

المحتوى ذو الصلة

• Customer-managed TDE for Azure Synapse Analytics
• تدوير واقي TDE
• Azure Key Vault backup security considerations