transparentní šifrování dat for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse je relační sklad v podnikovém měřítku na základu datového jezera s architekturou připravenou pro budoucnost, integrovanou AI a novými funkcemi. Pokud s datovými sklady začínáte, doporučujeme vám začít s „Fabric Data Warehouse“. Stávající úlohy dedikovaného SQL fondu mohou upgradovat na Fabric a získat tak přístup k novým funkcím napříč datovou vědou, analytikou v reálném čase a reportingem.

Platí pro: Vyhrazené SQL fondy služby Azure Synapse Analytics (dříve SQL DW)

transparentní šifrování dat (TDE) chrání vyhrazený SQL pool před škodlivou offline aktivitou šifrováním databázových souborů, transakčních logů a záloh v klidu. Šifrování a dešifrování probíhají v reálném čase a nevyžadují změny aplikace.

Musíte manuálně povolit TDE pro samostatný dedikovaný SQL pool v Azure Synapse Analytics.

TDE provádí šifrování a dešifrování dat v reálném čase na úrovni stránky. Každá stránka se při načtení do paměti dešifruje a pak se před zápisem na disk zašifruje. TDE šifruje úložiště celé databáze pomocí symetrického klíče nazývaného šifrovací klíč databáze (DEK). Při spuštění databáze se šifrovaný klíč DEK dešifruje a pak se použije k dešifrování a opětovnému šifrování databázových souborů v procesu databázového stroje SQL Serveru. Chránič TDE chrání DEK. Ochrana TDE je buď certifikát spravovaný službou (transparentní šifrování dat spravované službou).

U Azure Synapse nastavíte TDE ochránce na úrovni serveru a všechny databáze spojené s tímto serverem jej zdědí.

Note

Tento článek se zabývá samostatnými dedikovanými SQL pooly (dříve SQL DW) hostovanými na logickém serveru. Pro dedikované SQL pooly v Synapse workspace viz Encryption for Azure Synapse Analytics workspaces.

Jak funguje TDE

TDE šifruje databázové stránky pomocí symetrického šifrovacího klíče databáze (DEK). DEK je uložen v bootovacím záznamu databáze a ochrana TDE jej chrání. Protektor je certifikát spravovaný službou.

Nastavíte TDE protector na logickém serveru a dedikované SQL pooly na tomto serveru ho dědí. Každá stránka je při čtení do paměti dešifrována a před zápisem do úložiště zašifrována.

Službou spravované TDE

V Azure je ve výchozím nastavení TDE šifrovací klíč (DEK) chráněn integrovaným serverovým certifikátem. Integrovaný certifikát serveru je pro každý server jedinečný a použitý šifrovací algoritmus je AES 256 v režimu CBC (Cipher Block Chaining). Pokud je databáze geograficky replikovaná do jiné databáze, jsou obě databáze (primární i geograficky replikovaná) chráněny klíčem nadřazeného serveru primární databáze. Pokud jsou obě databáze připojeny ke stejnému serveru, mají také společný integrovaný certifikát. Microsoft tyto certifikáty automaticky obměňuje jednou za rok, v souladu s interními zásadami zabezpečení a kořenový klíč je chráněný interním úložištěm tajných kódů Microsoftu. Zákazníci můžou ověřit dodržování předpisů sql Database a služby SQL Managed Instance pomocí interních zásad zabezpečení v sestavách auditu nezávislých třetích stran dostupných v Centru zabezpečení Microsoftu. Microsoft také podle potřeby bezproblémově přesouvá a spravuje klíče pro účely geografické replikace a obnovení.

Transparentní šifrování dat spravované zákazníkem

U TDE spravovaného zákazníkem je protektor asymetrický klíč, který ovládáte v Azure Key Vault nebo Azure Key Vault Managed HSM. Spravujete tvorbu klíčů, přístupová oprávnění, rotaci, zálohování a mazání. Klíč neopouští úložiště klíčů.

Odebrání přístupu logického serveru ke klíči znemožní přístup k šifrovaným dedikovaným fondům SQL. Chraňte úložiště klíčů pomocí soft delete, purge protection, monitoringu a přístupu s nejmenšími oprávněními.

Azure Synapse musí mít udělena oprávnění k trezoru klíčů vlastněnému zákazníkem, aby mohl dešifrovat a šifrovat klíč DEK. Pokud dojde k odvolání oprávnění serveru k trezoru klíčů, databáze bude nepřístupná a všechna data se zašifrují.

Pro požadavky a doporučení viz Customer-managed TDE for Azure Synapse Analytics.

Přesunutí databáze chráněné transparentní šifrování dat

Databáze pro operace v Azure nemusíte dešifrovat. Nastavení transparentního šifrování dat ve zdrojové nebo primární databázi se automaticky přenáší do cílové databáze. Mezi zahrnuté operace patří:

  • Obnovení geografických dat
  • Samoobslužné obnovení k určitému bodu v čase
  • Obnovení odstraněné databáze
  • Aktivní geografická replikace
  • Vytvoření kopie databáze

Při exportu databáze chráněné transparentním šifrováním dat do souboru BACPAC není exportovaný obsah databáze šifrovaný. Pokud importujete do existující prázdné databáze, šifrování závisí na tom, jestli je transparentní šifrování dat pro danou databázi povolené, nebo ne.

Manage transparentní šifrování dat

Azure Portal

Pro povolení nebo vypnutí TDE otevřete dedikovaný SQL pool v portálu Azure, vyberte Transparentní šifrování dat a uložte požadovaný stav. Pro konfiguraci chrániče spravovaného zákazníkem otevřete na logickém serveru transparentní šifrování dat a vyberte klíč z Azure Key Vault. Ve vaší uživatelské databázi vyhledejte nastavení TDE. Ve výchozím nastavení se používá šifrovací klíč na úrovni serveru. Pro server, který obsahuje databázi, se automaticky vygeneruje certifikát transparentního šifrování dat.

PowerShell

Správa transparentního šifrování dat (TDE) pomocí PowerShellu

Important

Modul Az nahrazuje AzureRM. Veškerý budoucí vývoj je určený pro modul Az.Sql.

Aby bylo možné nakonfigurovat transparentní šifrování dat (TDE) prostřednictvím PowerShellu, musíte být připojeni jako vlastník Azure, přispěvatel nebo správce zabezpečení SQL.

Použijte následující Az.SQL cmdlety:

Cmdlet Purpose
Set-AzSqlDatabaseTransparentDataEncryption Povolte nebo zakažte TDE pro dedikovaný SQL pool.
Get-AzSqlDatabaseTransparentDataEncryption Zjistěte aktuální stav TDE.
Add-AzSqlServerKeyVaultKey Přidejte klíč k logickému serveru.
Get-AzSqlServerKeyVaultKey Vypište klíče dostupné pro logický server.
Set-AzSqlServerTransparentDataEncryptionProtector Nastavte TDE ochranu serveru.
Get-AzSqlServerTransparentDataEncryptionProtector Pořiďte si aktuální ochranný modul TDE.
Remove-AzSqlServerKeyVaultKey Odeberte klíč z logického serveru.

Transact-SQL

Spravujte TDE pomocí jazyka Transact-SQL.

Připojte se k databázi pomocí přihlášení, které je správcem nebo členem role dbmanager v databázi master.

Command Description
ALTER DATABASE (Azure SQL Database) SET ENCRYPTION ON/OFF šifruje nebo dešifruje databázi
sys.dm_database_encryption_keys Vrátí informace o stavu šifrování databáze a přidružených šifrovacích klíčů databáze.
sys.dm_pdw_nodes_database_encryption_keys Vrátí informace o stavu šifrování každého uzlu Azure Synapse a přidružených šifrovacích klíčů databáze.

Nemůžete přepnout TDE ochránce na klíč z Azure Key Vault pomocí Transact-SQL. Použijte PowerShell nebo Azure Portal.

REST API

Následující SQL zdroje pro správu se vztahují na logický server a dedikovaný SQL pool.

Pokud chcete nakonfigurovat TDE (transparentní šifrování dat) prostřednictvím rozhraní REST API, musíte být přihlášeni jako vlastník, přispěvatel nebo manažer bezpečnosti SQL.

Pro samostatné fondy dedicated SQL ve službě Azure Synapse Analytics použijte následující sadu příkazů:

Command Description
Vytvoření nebo aktualizace serveru Přidá identitu z Microsoft Entra ID (dříve Azure Active Directory) na server. (slouží k udělení přístupu ke službě Azure Key Vault)
Vytvoření nebo aktualizace klíče serveru Přidá klíč služby Azure Key Vault na server.
Odstranění klíče serveru Odebere klíč služby Azure Key Vault ze serveru.
Získání klíčů serveru Získá konkrétní klíč služby Azure Key Vault ze serveru.
Výpis klíčů serveru podle serveru Získá klíče služby Azure Key Vault pro server.
Vytvoření nebo aktualizace ochrany šifrování Nastaví ochránce TDE pro server.
Získání ochrany šifrování Získá TDE ochránce pro server.
Výpis ochrany šifrování podle serveru Získá ochránce TDE pro server.
Vytvoření nebo aktualizace konfigurace transparentní šifrování dat Povolí nebo zakáže TDE pro databázi.
Získání konfigurace transparentní šifrování dat Získá konfiguraci transparentního šifrování dat pro databázi.
Výpis výsledků konfigurace transparentní šifrování dat Získá výsledek šifrování pro databázi.

Související obsah

  • Poslední aktualizace v