Poznámka:
Přístup k této stránce vyžaduje autorizaci. Můžete se zkusit přihlásit nebo změnit adresáře.
Přístup k této stránce vyžaduje autorizaci. Můžete zkusit změnit adresáře.
Tip
Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.
Platí pro: Vyhrazené SQL fondy služby Azure Synapse Analytics (dříve SQL DW)
Tento článek popisuje rotaci klíčů pro SQL Server, který používá protektor TDE z Azure Key Vault. Obměna logického prostředku ochrany TDE pro server znamená přechod na nový podporovaný klíč, který chrání databáze na serveru. V závislosti na konfiguraci může být ochránce TDE zajištěn podporovaným asymetrickým klíčem (RSA) nebo symetrickým klíčem (AES) uloženým ve službě Azure Key Vault nebo Azure Key Vault Managed HSM. Rotace klíčů je online operace a měla by být dokončena během několika sekund, protože tato operace pouze dešifruje a znovu zašifruje datový šifrovací klíč databáze, nikoli celou databázi.
Tento článek popisuje automatizované i ruční metody otočení ochrany TDE na serveru.
Note
Tento článek se zabývá samostatnými dedikovanými SQL pooly (dříve SQL DW). Pro dedikované SQL pooly v Synapse workspace viz Encryption for Azure Synapse Analytics workspaces.
Důležité úvahy
- Uchovejte staré verze klíčů alespoň po dobu uchovávání záloh databáze. Obnova starší zálohy vyžaduje protektor, který ji zašifroval.
- Uchovejte staré klíče i při přechodu zpět na ochranu spravovanou službou.
- Před rotací musí být obnoven pozastavený vyhrazený SQL pool.
- Kombinovaný název klíčového trezoru a název klíče nesmí přesáhnout 94 znaků.
Prerequisites
- Tento článek předpokládá, že již používáte klíč z Azure Key Vault jako ochranu TDE pro Azure SQL Database nebo Azure Synapse Analytics. Pro více informací viz Customer-managed TDE for Azure Synapse Analytics.
- Musíte mít nainstalovaný a spuštěný Azure PowerShell.
Tip
Doporučeno, ale volitelné – nejprve v modulu hardwarového zabezpečení (HSM) nebo místním úložišti klíčů vytvořte materiál klíče pro ochranu pomocí TDE a poté jej importujte do služby Azure Key Vault. Pro více informací si přečtěte návod k použití hardwarového bezpečnostního modulu (HSM) a Azure Key Vault.
Přejděte na portál Azure.
Automatická obměna klíčů
Při konfiguraci chrániče TDE pro server nebo databázi povolte pro chránič TDE automatickou rotaci. Automatickou rotaci můžete povolit z portálu Azure nebo pomocí následujících příkazů PowerShell či Azure CLI. Když povolíte automatickou rotaci, server nebo databáze průběžně kontroluje klíčový trezor na nové verze klíče, který slouží jako ochrana TDE. Pokud server nebo databáze detekuje novou verzi klíče, automaticky do 24 hodin obmění ochranu TDE na nejnovější verzi klíče.
Použijte automatickou rotaci na serveru, v databázi nebo spravované instanci s automatickou rotací klíčů v Azure Key Vault, abyste umožnili kompletní bezobslužnou rotaci klíčů TDE.
Azure Portal
Použití portálu Azure:
- Přejděte do části Transparentní šifrování dat pro existující server nebo spravovanou instanci.
- Vyberte možnost Klíč spravovaný zákazníkem a vyberte trezor klíčů a klíč, které použijete jako ochránce TDE.
- Vyberte zaškrtávací políčko Klávesa automatického otáčení.
- Vyberte Uložit.
PowerShell
Pokyny k instalaci modulu Az PowerShell najdete v tématu Instalace Azure PowerShellu.
Pro povolení automatické rotace TDE protector pomocí PowerShellu viz následující skript. Můžete klíč <keyVaultKeyId> získat z Azure Key Vault.
Použijte Set-AzSqlServerTransparentDataEncryptionProtector:
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
-ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName> `
-AutoRotationEnabled <boolean>
Azure CLI
Informace o instalaci aktuální verze Azure CLI naleznete v článku Install the Azure CLI.
Pro povolení automatické rotace ochrany TDE pomocí Azure CLI viz následující skript.
Use AZ SQL Server TDE-key set:
az sql server tde-key set --server-key-type AzureKeyVault
--auto-rotation-enabled true
[--kid] <keyVaultKeyId>
[--resource-group] <SQLDatabaseResourceGroupName>
[--server] <logicalServerName>
Ruční rotace klíčů
Ruční obměna klíčů používá následující příkazy k přidání nového klíče, který může mít nový název klíče nebo být v jiném úložišti klíčů. Můžete také použít Azure portál k ruční rotaci klíčů.
Když ručně rotujete klíče a vytváříte novou verzi klíče v Key Vault (buď ručně, nebo prostřednictvím zásady automatické rotace klíčů), musíte tuto verzi klíče ručně nastavit jako protektor TDE na serveru.
Note
Celková délka názvu klíčového trezoru a názvu klíče nesmí přesáhnout 94 znaků.
Azure Portal
- Otevřete na serveru SQL položku Transparentní šifrování dat.
- Vyberte klíč spravovaný zákazníkem.
- Vyberte možnost Zákaznicky spravovaný klíč a vyberte trezor klíčů a klíč, které použijete jako nový ochránce TDE.
- Vyberte Uložit.
PowerShell
Pomocí příkazu Add-AzKeyVaultKey přidejte do trezoru klíčů nový klíč.
# add a new key to Azure Key Vault
Add-AzKeyVaultKey -VaultName <keyVaultName> -Name <keyVaultKeyName> -Destination <hardwareOrSoftware>
Použijte následující příkazy:
# add the new key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
-ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
Azure CLI
Pomocí příkazu az keyvault key create přidejte do trezoru klíčů nový klíč.
# add a new key to Azure Key Vault
az keyvault key create --name <keyVaultKeyName> --vault-name <keyVaultName> --protection <hsmOrSoftware>
Použijte následující příkazy:
- az sql server key create - Vytvoření klíče na SQL serveru pomocí příkazu 'az'.
- az sql server tde-key set - Nastavení klíče TDE pro server SQL.
# add the new key from Azure Key Vault to the server
az sql server key create --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
Přepnutí režimu ochrany TDE
Azure Portal
Použijte portál Azure k přepnutí ochrany TDE z režimu spravovaného společností Microsoft do režimu BYOK:
- Přejděte do nabídky transparentního šifrování dat pro existující server nebo spravovanou instanci.
- Vyberte možnost klíč spravovaný zákazníkem.
- Vyberte trezor klíčů a klíč, který se použije jako ochrana TDE.
- Vyberte Uložit.
PowerShell
Pokud chcete přepnout ochranu TDE ze správy Microsoftem do režimu BYOK, použijte příkaz Set-AzSqlServerTransparentDataEncryptionProtector.
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault ` -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>Pokud chcete přepnout ochranu transparentním šifrováním dat z režimu BYOK do spravovaného Microsoftem , použijte příkaz Set-AzSqlServerTransparentDataEncryptionProtector .
Set-AzSqlServerTransparentDataEncryptionProtector -Type ServiceManaged ` -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
Azure CLI
Následující příklady používají az sql server tde-key set.
Pro přepnutí ochrany TDE ze správy Microsoftem na režim BYOK:
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>Pro přepnutí ochrany TDE z režimu BYOK na režim spravovaný Microsoftem:
az sql server tde-key set --server-key-type ServiceManaged --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>