إشعار
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تسجيل الدخول أو تغيير الدلائل.
يتطلب الوصول إلى هذه الصفحة تخويلاً. يمكنك محاولة تغيير الدلائل.
نصيحة
Microsoft Fabric Data Warehouse هو مستودع علائقي على نطاق مؤسسي قائم على أساس بحيرة البيانات، مع بنية جاهزة للمستقبل، وذكاء اصطناعي مدمج، وميزات جديدة. إذا كنت جديدا في مستودع البيانات، ابدأ ب Fabric Data Warehouse. يمكن لأحمال عمل تجمع SQL المخصصة الحالية الترقية إلى Fabric للوصول إلى قدرات جديدة في علوم البيانات، والتحليلات اللحظية، والتقارير.
ينطبق على: Azure Synapse Analytics SQL pools المخصص (سابقا SQL DW)
يحمي Transparent Data Encryption (TDE) مجموعة SQL مخصصة من الأنشطة الخبيثة غير المتصلة بالإنترنت من خلال تشفير ملفات قاعدة البيانات، وملفات سجل المعاملات، والنسخ الاحتياطية في حالة السكون. يتم التشفير وفك التشفير في الوقت الحقيقي ولا يتطلب تغييرات في التطبيق.
يجب عليك تفعيل TDE يدويا لمجموعة SQL مخصصة مستقلة من Azure Synapse Analytics.
يقوم TDE بتشفير الإدخال/الإخراج وفك تشفير البيانات في الوقت الحقيقي على مستوى الصفحة. يتم فك تشفير كل صفحة عند قراءتها في الذاكرة ثم تشفيرها قبل كتابتها على القرص. يقوم TDE بتشفير تخزين قاعدة بيانات كاملة باستخدام مفتاح متماثل يسمى مفتاح تشفير قاعدة البيانات (DEK). عند بدء قاعدة البيانات، يتم فك تشفير DEK المشفر ثم يستخدم لفك تشفير وإعادة تشفير ملفات قاعدة البيانات في عملية محرك قاعدة بيانات SQL Server. واقي TDE يحمي DEK. حامي TDE هو إما شهادة تدار من قبل الخدمة (تشفير بيانات شفاف مدار بالخدمة).
بالنسبة ل Azure Synapse، تقوم بتعيين حامي TDE على مستوى الخادم وجميع قواعد البيانات المرتبطة بذلك الخادم ترثه.
ملحوظة
تغطي هذه المقالة مجموعات SQL المخصصة المستقلة (سابقا SQL DW) المستضافة على خادم منطقي. للحصول على تجمع SQL مخصص في بيئة Synapse، انظر Encryption for Azure Synapse Analytics workspaces.
كيف يعمل TDE
يقوم TDE بتشفير صفحات قواعد البيانات باستخدام مفتاح تشفير قاعدة بيانات متماثل (DEK). يتم تخزين DEK في سجل إقلاع قاعدة البيانات ويحميه حامي TDE. الحامي هو شهادة تدار بواسطة الخدمة.
تقوم بتكوين حماية TDE على الخادم المنطقي وترث مجموعات SQL المخصصة على ذلك الخادم. يتم فك تشفير كل صفحة عند قراءتها إلى الذاكرة وتشفيرها قبل كتابتها للتخزين.
TDE مدار بالخدمة
في Azure، الإعداد الافتراضي ل TDE هو أن DEK محمي بشهادة خادم مدمجة. شهادة الخادم المدمجة فريدة لكل خادم، وخوارزمية التشفير المستخدمة هي AES 256 في وضع سلسلة الكتل الشيفرية (CBC). إذا كانت قاعدة البيانات في علاقة تكرار جغرافي، فإن كل من قاعدة البيانات الأساسية والثانوية الجغرافية محمية بواسطة مفتاح الخادم الأم لقاعدة البيانات الأساسية. إذا كانت قاعدتان متصلتان بنفس الخادم، فإنهما تشتركان أيضا في نفس الشهادة المدمجة. تقوم Microsoft بتدوير هذه الشهادات تلقائيا مرة واحدة في السنة، تماشيا مع سياسة الأمان الداخلية، ويكون المفتاح الجذري محميا بواسطة مخزن سري داخلي تابع ل Microsoft. يمكن للعملاء التحقق من التزام SQL Database و مثيل SQL المدار بسياسات الأمان الداخلية في تقارير تدقيق مستقلة من طرف ثالث متاحة على مركز الثقة Microsoft. كما تقوم Microsoft بنقل المفاتيح وإدارتها بسهولة حسب الحاجة للنسخ المتماثل الجغرافي والاستعادة.
TDE المدارة من قبل العملاء
مع TDE المدار من قبل العملاء، يكون الحامي مفتاحا غير متماثل تتحكم به في Azure Key Vault أو Azure Key Vault Managed HSM. أنت تتحكم في إنشاء المفاتيح، وأذونات الوصول، والتدوير، والنسخ الاحتياطي، والحذف. المفتاح لا يغادر مخزن المفاتيح.
إلغاء وصول الخادم المنطقي إلى المفتاح يجعل مجموعات SQL المخصصة المشفرة غير قابلة للوصول. احم مخزن المفاتيح من خلال الحذف البرمج، وحماية التطهير، والمراقبة، والوصول إلى أقل امتيازات.
يحتاج Azure Synapse إلى منح صلاحيات لخزنة المفاتيح المملوكة للعميل لفك تشفير وتشفير DEK. إذا تم إبطال أذونات الخادم إلى المخزن الرئيسي، فستكون قاعدة البيانات غير قابلة للوصول، ويتم تشفير جميع البيانات.
للمتطلبات والتوصيات، راجع Customer-managed TDE for Azure Synapse Analytics.
نقل قاعدة بيانات محمية ب Transparent Data Encryption
لا تحتاج إلى فك تشفير قواعد البيانات للعمليات داخل Azure. يتم توريث إعدادات TDE في قاعدة البيانات المصدر أو قاعدة البيانات الأساسية بشكل شفاف على الهدف. تشمل العمليات المدرجة ما يلي:
- الاستعادة الجغرافية
- الاستعادة في نقطة زمنية ذاتية الخدمة
- استعادة قاعدة بيانات محذوفة
- النسخ الجغرافي النشط
- إنشاء نسخة من قاعدة بيانات
عندما تصدر قاعدة بيانات محمية ب TDE إلى ملف BACPAC، فإن المحتوى المصدر في قاعدة البيانات غير مشفر. إذا قمت بالاستيراد إلى قاعدة بيانات فارغة موجودة، فإن التشفير يعتمد على ما إذا كان TDE مفعلا على تلك قاعدة البيانات أم لا.
إدارة Transparent Data Encryption
Azure portal
لتفعيل أو تعطيل TDE، افتح تجمع SQL المخصص في بوابة Azure، اختر تشفير البيانات الشفاف، واحفظ الحالة المطلوبة. لتكوين حامي يديره العميل، افتح تشفير البيانات الشفاف على الخادم المنطقي واختر المفتاح من Azure Key Vault. ابحث عن إعدادات TDE ضمن قاعدة بيانات المستخدم الخاصة بك. افتراضيا، يستخدم مفتاح تشفير على مستوى الخادم. يتم توليد شهادة TDE تلقائيا للخادم الذي يحتوي على قاعدة البيانات.
PowerShell
إدارة TDE باستخدام PowerShell.
Important
تحل Az الوحدة النمطية AzureRMمحل . كل التطوير المستقبلي مخصص للوحدة النمطية Az.Sql .
لتكوين TDE من خلال PowerShell، يجب أن تكون متصلاً من خلال الدور كمالك لحساب Azure أو مساهم أو مدير أمان SQL.
استخدم إعدادات Az.SQL cmdlets التالية:
| Cmdlet | الغرض |
|---|---|
| Set-AzSqlDatabaseTransparentDataEncryption | قم بتفعيل أو تعطيل TDE لمجموعة SQL مخصصة. |
| Get-AzSqlDatabaseTransparentDataEncryption | احصل على حالة TDE الحالية. |
| Add-AzSqlServerKeyVaultKey | أضف مفتاحا إلى الخادم المنطقي. |
| Get-AzSqlServerKeyVaultKey | قائمة المفاتيح المتاحة للخادم المنطقي. |
| Set-AzSqlServerTransparentDataEncryptionProtector | قم بضبط واقي TDE الخاص بالخادم. |
| Get-AzSqlServerTransparentDataEncryptionProtector | احصل على واقي TDE الحالي. |
| Remove-AzSqlServerKeyVaultKey | إزالة مفتاح من الخادم المنطقي. |
Transact-SQL
إدارة TDE باستخدام Transact-SQL.
اتصل بقاعدة البيانات باستخدام تسجيل دخول يكون مسؤولا أو عضوا في دور dbmanager في قاعدة master البيانات.
| الأمر | وصف |
|---|---|
| ALTER DATABASE (قاعدة بيانات Azure SQL) |
SET ENCRYPTION ON/OFF يقوم بتشفير أو فك تشفير قاعدة البيانات |
| sys.dm_database_encryption_keys | يعيد معلومات حول حالة التشفير لقاعدة البيانات ومفاتيح التشفير المرتبطة بها |
| sys.dm_pdw_nodes_database_encryption_keys | يعيد معلومات حول حالة التشفير لكل عقدة Azure Synapse ومفاتيح تشفير قاعدة البيانات المرتبطة بها |
لا يمكنك تحويل حامي TDE إلى مفتاح من Azure Key Vault باستخدام Transact-SQL. استخدم PowerShell أو بوابة Azure.
واجهة برمجة تطبيقات REST
تنطبق موارد إدارة SQL التالية على الخادم المنطقي ومجموعة SQL المخصصة.
لتكوين TDE عبر واجهة برمجة تطبيقات REST، يجب أن تكون متصلا كمالك Azure أو مساهم أو مدير أمان SQL.
استخدم مجموعة الأوامر التالية ل Azure Synapse Analytics standalone dedicated SQL pools:
| الأمر | وصف |
|---|---|
| إنشاء أو تحديث الخادم | يضيف هوية من Microsoft Entra ID (المعروف سابقا Azure Active Directory) إلى خادم. (يستخدم لمنح الوصول إلى Azure Key Vault) |
| إنشاء أو تحديث مفتاح الخادم | يضيف مفتاح Azure Key Vault إلى الخادم. |
| حذف مفتاح الخادم | إزالة مفتاح Azure Key Vault من خادم. |
| احصل على مفاتيح الخادم | يحصل على مفتاح Azure Key Vault محدد من خادم. |
| قائمة مفاتيح الخادم حسب الخادم | يحصل على مفاتيح Azure Key Vault لخادم ما. |
| إنشاء أو تحديث واقي التشفير | يضبط واقي TDE للخادم. |
| احصل على حماية التشفير | يحصل على واقي TDE للخادم. |
| قائمة حمايات التشفير حسب الخادم | يحصل على واقيات TDE للخادم. |
| إنشاء أو تحديث Transparent Data Encryption Configuration | يقوم بتمكين أو تعطيل TDE لقاعدة بيانات. |
| احصل على Transparent Data Encryption Configuration | يحصل على تكوين TDE لقاعدة بيانات. |
| نتائج تكوين Transparent Data Encryption List | تحصل على نتيجة التشفير لقاعدة بيانات. |