Šifrování dat s využitím klíčů spravovaných zákazníkem pro Azure Database for MySQL

Pomocí šifrování dat s klíči spravovanými zákazníkem pro Azure Database for MySQL můžete k ochraně uložených dat použít vlastní klíč (BYOK) a zavést oddělení odpovědností při správě klíčů a dat. Při použití klíčů spravovaných zákazníkem (CMK) řídíte:

  • Správa životního cyklu klíčů, včetně vytváření, nahrávání, obměny a odstraňování klíčů
  • Oprávnění k použití klíče
  • Auditování operací s klíči

Výhody klíčů spravovaných zákazníkem (CMK)

Šifrování dat s využitím klíčů spravovaných zákazníkem pro Azure Database for MySQL přináší následující výhody:

  • Přístup k datům můžete plně řídit odebráním klíče a nedostupným přístupem k databázi.
  • Máte plnou kontrolu nad životním cyklem klíče, včetně obměně klíče tak, aby odpovídal firemním zásadám.
  • Klíče můžete centrálně spravovat a organizovat v Azure Key Vault nebo spravovaném HSM.
  • Můžete implementovat oddělení povinností mezi bezpečnostními důstojníky, DBA a správci systému.

Jak funguje šifrování dat pomocí klíče spravovaného zákazníkem?

Spravované identity v Microsoft Entra ID poskytují bezpečnější způsob ověřování klientů ve službách. Šifrování CMK používá spravovanou identitu serveru Azure Database for MySQL k připojení ke službě Azure Key Vault, do které se ukládá klíč CMK. Azure Database for MySQL aktuálně podporuje pouze spravovanou identitu přiřazenou uživatelem (UAMI) pro přístup k Key Vault. Další informace najdete v tématu Typy spravovaných identit v Azure.

Pokud chcete nakonfigurovat cmk pro Azure Database for MySQL, propojte UAMI se serverem a zadejte Azure Key Vault a klíč, který se má použít.

UAMI potřebuje k trezoru klíčů následující přístup:

  • Get: Pro načtení veřejné části a vlastností klíče v úložišti klíčů.
  • Seznam: Seznam verzí klíče uložených v Key Vault
  • Klíč pro zabalení: K zašifrování DEK. Šifrovaný klíč DEK je uložený v instanci flexibilního serveru Azure Database for MySQL.
  • Rozbalení klíče: Dešifrování klíče DEK. Azure Database for MySQL potřebuje dešifrovaný klíč DEK k šifrování nebo dešifrování dat.

Pokud je Azure RBAC povolená, přiřaďte role K UAMI místo individuálního přístupu.

  • Uživatel šifrování šifrovací služby Key Vault nebo role s oprávněními:
    • Microsoft.KeyVault/vaults/keys/wrap/action
    • Microsoft.KeyVault/vaults/keys/unwrap/action
    • Microsoft.KeyVault/vaults/keys/read jako "Uživatel služby šifrování klíčového trezoru"
  • Pro spravované HSM přiřaďte roli uživatele šifrovací služby Managed HSM.

Nastavte šifrování dat pomocí cmk na úrovni serveru. Pro daný server použijte CMK, nazývaný klíč pro šifrování klíčů (KEK), k zašifrování datového šifrovacího klíče (DEK) služby. Klíč KEK je asymetrický klíč uložený v instanci Azure Key Vault, kterou zákazník vlastní a spravuje. Key Vault je vysoce dostupné a škálovatelné zabezpečené úložiště pro kryptografické klíče RSA, volitelně zálohované moduly hardwarového zabezpečení (HSM) standardem FIPS 140. Key Vault neumožňuje přímý přístup k uloženému klíči, ale místo toho poskytuje služby šifrování a dešifrování pomocí klíče autorizovaným entitě. Trezor klíčů může klíč vygenerovat nebo ho přenést do trezoru klíčů z místního zařízení HSM.

Když nakonfigurujete flexibilní server tak, aby používal klíč CMK uložený v trezoru klíčů, odešle server klíč DEK do trezoru klíčů k šifrování. Key Vault vrátí šifrovaný klíč DEK uložený v uživatelské databázi. Podobně flexibilní server odešle chráněný klíč DEK do trezoru klíčů pro dešifrování v případě potřeby.

Diagram fungování šifrování dat pomocí klíče spravovaného zákazníkem

Po povolení protokolování můžou auditoři použít Azure Monitor ke kontrole Key Vault protokolů událostí auditu. Pokud chcete zprovoznit logování auditních událostí Key Vault, přečtěte si téma Monitorování vaší služby Key Vault pomocí přehledů Key Vault.

Note

Změny oprávnění mohou trvat až 10 minut, než se projeví v trezoru klíčů.

Požadavky na konfiguraci šifrování dat pro Službu Azure Database for MySQL

Než se pokusíte nakonfigurovat službu Key Vault nebo spravovaný HSM, nezapomeňte splnit následující požadavky.

  • Instance flexibilního serveru Key Vault a Azure Database for MySQL musí patřit do stejného tenanta Microsoft Entra. Je potřeba podporovat interakce služby Key Vault napříč tenanty a interakce s flexibilním serverem. Pokud po provedení konfigurace přesunete Key Vault prostředky, budete muset překonfigurovat šifrování dat.
  • Instance flexibilního serveru Key Vault a Azure Database for MySQL se musí nacházet ve stejné oblasti.
  • Povolte funkci Soft Delete u trezoru klíčů.
  • Povolte ochranu před vyprázdněním.
  • Nastavte dobu uchovávání na 90 dnů.
    • Akce obnovení a vymazání mají svá vlastní oprávnění v zásadách přístupu ke službě Key Vault.
    • Funkce obnovitelného odstranění je ve výchozím nastavení vypnutá.

Než se pokusíte nakonfigurovat cmk, nezapomeňte vyřešit následující požadavky.

  • Klíč spravovaný zákazníkem pro šifrování DEK může být pouze asymetrický, RSA\RSA-HSM (trezory s tarifem Premium) 2048, 3072 nebo 4096.
  • Jako datum aktivace klíče (pokud ho nastavíte) je potřeba nastavit minulé datum a čas. Datum vypršení platnosti není nastavené.
  • Klíč musí být ve stavu Povoleno .
  • Klíč musí mít měkké odstranění s nastavenou dobou uchovávání 90 dní. Toto nastavení implicitně nastaví požadovaný atribut recoveryLevel klíče na Recoverable.
  • Klíč musí mít povolenou ochranu před vymazáním.
  • Pokud importujete existující klíč do trezoru klíčů, nezapomeňte ho zadat v podporovaných formátech souborů (.pfx, .byok, .backup).

Note

Podrobné pokyny ke konfiguraci šifrování dat najdete v tématu Šifrování dat pro Službu Azure Database for MySQL pomocí webu Azure Portal nebo šifrování dat pro flexibilní server Azure Database for MySQL pomocí Azure CLI.

Doporučení ke konfiguraci šifrování dat

Při konfiguraci Key Vault nebo spravovaného HSM pro použití šifrování dat s klíčem spravovaným zákazníkem mějte na paměti následující doporučení:

  • Nastavte zámek prostředku ve službě Key Vault, abyste mohli určit, kdo může tento kritický prostředek odstranit, a zabránit náhodnému nebo neoprávněnému odstranění.
  • Povolte audit a reportování pro všechny šifrovací klíče. Key Vault poskytuje protokoly, které se dají snadno vložit do jiných nástrojů pro správu informací o zabezpečení a událostí.
  • Uchovávejte kopii klíče spravovaného zákazníkem na bezpečném místě nebo ji uložte do služby escrow.
  • Pokud Key Vault klíč vygeneruje, vytvořte zálohu klíče před prvním použitím klíče. Zálohu můžete obnovit jenom do služby Key Vault. Další informace o příkazu zálohování naleznete v tématu Backup-AzKeyVaultKey.

Note

Trezor klíčů, který používáte, musí být ze stejné oblasti jako databázový server.

Stav nepřístupnosti klíče spravovaného zákazníkem

Při konfiguraci šifrování dat pomocí klíče CMK v Key Vault vyžaduje server nepřetržitý přístup k tomuto klíči, aby zůstal online. Pokud flexibilní server ztratí přístup ke klíči spravovanému zákazníkem ve službě Key Vault, začne server během 10 minut odepřít všechna připojení. Flexibilní server vydá odpovídající chybovou zprávu a změní stav serveru na Nepřístupný. Server se může k tomuto stavu dostat z různých důvodů.

Pokud odstraníte trezor klíčů, instance flexibilního serveru Azure Database for MySQL nemá přístup ke klíči a přesune se do Inaccessible stavu. Vytvoření instance Availableserveru:

Pokud klíč odstraníte z trezoru klíčů, instance flexibilního serveru Azure Database for MySQL nemůže získat přístup ke klíči a přesune se do Inaccessible stavu. Vytvoření instance Availableserveru:

  • Obnovte klíč.
  • Znovu obnovte šifrování dat.

Note

I když vyprší platnost klíče, zůstane server přístupný podle návrhu, aby se zabránilo výpadkům.

Náhodné odvolání přístupu ke klíči ze služby Key Vault

Někdo s dostatečnými přístupovými právy k Key Vault může omylem zakázat přístup flexibilního serveru ke klíči:

  • Odebrání oprávnění k získání, výpisu, zabalení klíče a rozbalení klíče ze serveru
  • Odstranění klíče
  • Odstranění trezoru klíčů
  • Změna pravidel brány firewall služby Key Vault
  • Odstranění identity spravované uživatelem používané k šifrování na flexibilním serveru s klíčem spravovaným zákazníkem v Microsoft Entra ID

Monitorování klíče spravovaného zákazníkem ve službě Key Vault

Pokud chcete monitorovat stav databáze a povolit upozorňování na ztrátu přístupu k ochraně transparentním šifrováním dat, nakonfigurujte následující funkce Azure:

  • Protokol aktivit: Pokud přístup k klíči zákazníka ve službě Key Vault spravované zákazníkem selže, položky se přidají do protokolu aktivit. Pokud pro tyto události vytvoříte výstrahy, můžete přístup co nejdříve obnovit.
  • Skupiny akcí: Definujte tyto skupiny pro odesílání oznámení a upozornění na základě vašich preferencí.

Replika s klíčem spravovaným zákazníkem ve službě Key Vault

Když zašifrujete instanci Azure Database for MySQL flexibilního serveru pomocí spravovaného klíče zákazníka uloženého v Key Vault, zašifruje se také všechna nově vytvořená kopie serveru. Když se pokusíte zašifrovat instanci Azure Database for MySQL flexibilního serveru pomocí klíče spravovaného zákazníkem, který už má repliku, nakonfigurujte jednu nebo více replik přidáním spravované identity a klíče. Pokud nakonfigurujete instanci flexibilního serveru Azure Database for MySQL s geografickou redundancí, musíte nakonfigurovat repliku se spravovanou identitou a klíčem, ke kterému má identita přístup a která se nachází v geograficky spárované oblasti serveru.

Obnovení pomocí klíče spravovaného zákazníkem ve službě Key Vault

Když obnovíte instanci Azure Database for MySQL flexibilního serveru, vyberte identitu spravovanou uživatelem a klíč a zašifrujte obnovovací server. Pokud je instance flexibilního serveru Azure Database for MySQL nakonfigurovaná s geografickou redundancí zálohování, musíte nakonfigurovat obnovovací server se spravovanou identitou a klíčem, ke kterému má identita přístup a která se nachází v geograficky spárované oblasti serveru.

Během obnovení nebo vytvoření repliky pro čtení postupujte podle těchto kroků na zdrojovém a obnoveném serveru nebo na serverech replik:

  • Spusťte proces obnovení nebo vytvoření repliky pro čtení ze zdrojové instance flexibilního serveru Azure Database for MySQL.
  • Na obnoveném serveru nebo serveru repliky znovu ověřte CMK v nastavení šifrování dat, abyste ověřili oprávnění spravované identity UAMI ke klíči.

Note

Při obnovení nemusíte používat stejnou identitu (UAMI) a klíč jako na zdrojovém serveru.

Související obsah

  • Poslední aktualizace v