Administrere krypteringsnøglen

Alle miljøer for Microsoft Dataverse bruger SQL Server TDE (Transparent Data Encryption) til at udføre kryptering af data i realtid ved skrivning til disk, også kaldet kryptering i hvile.

Som standard,gemmer og administrerer databasekrypteringsnøglen for dine miljøer, Microsoft så du ikke behøver at gøre det. Nøgleadministrationsfunktionen i Microsoft Power Platform Administration giver administratorer mulighed for selv at styre den databasekrypteringsnøgle, der er knyttet til Dataverse-lejeren.

Vigtigt

• Fra 2. juni 2023 opgraderes denne tjeneste til en krypteringsnøgle, der administreres af kunden. Nye kunder, der har brug for at administrere deres egen krypteringsnøgle, vil bruge den opgraderede tjeneste, da denne tjeneste ikke længere tilbydes.
• Selvadministrerede databasekrypteringsnøgler er kun tilgængelige for kunder, der har mere end 1000 Power Apps pr. brugerlicens eller mere end 1000 Dynamics 365 Enterprise-licenser eller mere end 1000 licenser via en kombination af disse i en enkelt lejer. Hvis du vil tilmelde dig programmet, skal du sende en supportanmodning.

Administration af krypteringsnøgler gælder kun for Azure SQL Environment-databaser. Følgende funktioner og tjenester bruger fortsat den Microsoft administrerede krypteringsnøgle til at kryptere deres data og kan ikke krypteres med den selvadministrerede krypteringsnøgle:

• Copiloter og generative AI-funktioner i Microsoft Power Platform og Microsoft Dynamics 365
• Dataverse-søgning
• Fleksible tabeller
• Mobile Offline
• Aktivitetslog (Microsoft 365-portal)
• Exchange (synkronisering på serversiden)

Bemærk

• Funktionen til selvadministrerende databasekrypteringsnøgle skal være aktiveret for Microsoft din lejer, før du kan bruge funktionen.
• Hvis du vil bruge funktionerne til administration af datakryptering for et miljø, skal miljøet oprettes , når funktionen til selvstyring af databasekrypteringsnøglen er aktiveret af Microsoft.
• Når funktionen er slået til i din lejer, oprettes alle nye miljøer kun med Azure SQL Storage. Disse miljøer, uanset om de er krypteret med BYOK (Bring-your-own-key) eller en administreret Microsoft nøgle, har begrænsninger med filoverførselsstørrelse, kan ikke bruge Cosmos- og Datalake-tjenester, og Dataverse søgeindekser krypteres med en administreret Microsoft nøgle. Hvis du vil bruge disse tjenester, skal du overføre den til en kundebaseret nøgle.
• Filer og billeder med en størrelse på mindre end 128 MB kan bruges, hvis dit miljø er version 9.2.21052.00103 eller højere.
• I størsteparten af eksisterende miljøer er fil og log gemt i ikke-Azure SQL-databaser. Det er ikke muligt at vælge disse miljøer til egen administration af krypteringsnøgle. Det er kun nye miljøer (efter at du har tilmeldt dig programmet), der kan aktiveres i forbindelse med egen administration af krypteringsnøgle.

Introduktion til nøgleadministration

Med nøgleadministration kan administratorer levere deres egen krypteringsnøgle eller få en krypteringsnøgle genereret, der bruges til at beskytte databasen for et miljø.

Nøgleadministrationsfunktionen understøtter både PFX- og BYOK-krypteringsnøglefiler, som f.eks. dem, der er gemt i et hardwaresikkerhedsmodul (HSM). Hvis du vil bruge krypteringsnøgleindstillingen, du har brug for både den offentlige og private krypteringsnøgle.

Nøglestyringsfunktionen fjerner kompleksiteten af krypteringsnøgleadministration ved at bruge Azure Key Vault til at gemme krypteringsnøgler sikkert. Azure Key Vault er med til at beskytte kryptografiske nøgler og hemmeligheder, der bruges af skyprogrammer og -tjenester. Nøglestyringsfunktionen kræver ikke, at du har et Azure Key Vault-abonnement, og i de fleste situationer er der ingen grund til at få adgang til de krypteringsnøgler, der bruges til Dataverse i boksen.

Med nøgleadministrationsfunktionen kan du udføre følgende opgaver.

• Aktivere muligheden for selv at administrere databasekrypteringsnøgler, der er tilknyttet miljøer.

• Oprette nye krypteringsnøgler eller overføre eksisterende. PFX- eller. BYOK-krypteringsnøglefiler.

• Låse lejermiljøer og låse dem op.

  Advarsel!

  Mens en lejer er låst, er det ikke alle, der kan få adgang til alle miljøer i lejeren. Flere oplysninger: Lås lejeren.

Forstå den potentielle risiko, når du administrerer dine nøgler

Som med alle vigtige forretningsprogrammer skal der være tillid til de medarbejderne i organisationen, der har adgang til administrative niveauer. Før du bruger nøgleadministrationsfunktionen, skal du forstå risikoen, når du administrerer dine databasekrypteringsnøgler. Det er tænkeligt, en administrator med onde hensigter (en person, der har fået administratoradgang og har til hensigt at skade en organisations sikkerhed eller forretningsprocesser), der arbejder i din organisation, kan bruge nøgleadministrationsfunktionen til at oprette en nøgle og bruge den til at låse alle miljøer i lejeren.

Overvej følgende sekvens af hændelser.

Den ondsindede administrator logger på Power Platform Administration, går til fanen Miljøer og vælger Administrer krypteringsnøgle. Den ondsindede administrator opretter derefter en ny nøgle med en adgangskode og henter krypteringsnøglen til det lokale drev og aktiverer den nye nøgle. Nu er alle miljødatabaserne krypteret med den nye nøgle. Dernæst låser den ondsindede administrator lejeren med den nøgle, der lige er hentet, og overtager eller sletter den hentede krypteringsnøgle.

Disse handlinger medfører, at ingen miljøer i lejeren kan få onlineadgang, og at ingen sikkerhedskopier af databaser kan gendannes.

Vigtigt

For at forhindre, at den ondsindede administrator afbryder virksomhedsdriften ved at låse databasen, tillader funktionen administrerede nøgler ikke, at lejermiljøet låses i 72 timer efter, at krypteringsnøglen er ændret eller aktiveret. Dette giver op til 72 timer, hvor andre administratorer kan rulle uautoriserede nøgleændringer tilbage.

Krav til krypteringsnøgler

Hvis du angiver din egen krypteringsnøgle, skal nøglen opfylde disse krav, der accepteres af Azure Key Vault.

• Krypteringsnøglens filformat skal være PFX eller BYOK.
• 2048-bit RSA.
• RSA-HSM-nøgletype (kræver en Microsoft supportanmodning).
• PFX-krypteringsnøglefiler skal være beskyttet med adgangskode.

Du kan finde flere oplysninger om oprettelse og overførsel af en nøgle, der er beskyttet med HSM, via internettet, under Sådan oprettes og overføres HSM-beskyttede nøgler til Azure Key Vault. Det er kun nCipher Vendor HSM-nøglen, der understøttes. Før du genererer HSM-nøglen, skal du gå til Power Platform Administration Administrer krypteringsnøgler/ vinduet Opret ny nøgle for at få abonnements-id'et for dit miljøområde. Du skal kopiere og indsætte dette abonnements-id i din HSM for at oprette nøglen. Dette sikrer, at det kun er vores Azure Key Vault, der kan åbne din fil.

Nøgleadministrationsopgaver

For at forenkle nøgleadministrationsopgaverne opdeles opgaverne i tre områder:

1. Generer eller upload krypteringsnøglen for en lejer
2. Aktivere en krypteringsnøgle for en lejer
3. Administrere kryptering for et miljø

Administratorer kan bruge Power Platform Administration eller Power Platform-administrationsmodulets cmdletter til at udføre de nøgleadministrationsopgaver for lejerbeskyttelse, der er beskrevet her.

Oprette eller overføre krypteringsnøglen for en lejer

Alle krypteringsnøgler lagres i Azure Key Vault, og der kan kun være én aktiv nøgle ad gangen. Da den aktive nøgle bruges til at kryptere alle miljøerne i lejeren, sker administration af kryptering på lejerniveau. Når nøglen er aktiveret, kan de enkelte miljøer derefter vælges til at bruge nøglen til kryptering.

Brug denne procedure til at indstille nøgleadministrationsfunktionen første gang for et miljø eller til at ændre (eller skifte til) en krypteringsnøgle for en allerede selvadministreret lejer.

Advarsel!

Når du udfører den fremgangsmåde, der er beskrevet her, første gang, vælger du selv at administrere dine krypteringsnøgler. Du kan finde flere oplysninger under Forstå den potentielle risiko, når du administrerer dine nøgler.

1. Log på Administration Power Platform som administrator (Dynamics 365-administrator eller Microsoft Power Platform -administrator).

2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på værktøjslinjen.

3. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.

4. Vælg Ny nøgle på værktøjslinjen.

5. Udfyld oplysningerne i ruden til venstre for at oprette eller overføre en nøgle:

   • Vælg et område. Denne indstilling vises kun, hvis din lejer har flere områder.
   • Angiv et nøglenavn.
   • Vælg mellem følgende indstillinger.
     • Vælg Opret ny (.pfx) for at oprette en ny nøgle. Flere oplysninger: Opret en ny nøgle (.pfx).
     • Hvis du vil bruge din egen oprettede nøgle , skal du vælge Overfør (.pfx eller.byok). Flere oplysninger: Overfør en nøgle (.pfx eller .byok).

6. Vælg Næste.

Opret en ny nøgle (.pfx)

1. Angiv en adgangskode, og angiv derefter adgangskoden igen for at bekræfte den.
2. Vælg Opret, og vælg derefter den oprettede filmeddelelse i browseren.
3. .PFX-filen for krypteringsnøglen hentes i webbrowserens standardmappe til overførsel. Gem filen på en sikker placering (det anbefales, at denne nøgle sikkerhedskopieres sammen med adgangskoden).

Overfør en nøgle (.pfx eller .byok)

1. Vælg Overfør nøglen, vælg .pfx- eller .byok¹-filen, og vælg derefter Åbn.
2. Angiv adgangskoden til nøglen, og vælg derefter Opret.

¹ Ved .byok-krypteringsnøglefiler skal du huske at bruge abonnements-id'et, som vises på skærmen, når du eksporterer krypteringsnøglen fra din lokale HSM. Flere oplysninger: Sådan oprettes og overføres HSM-beskyttede nøgler til Azure Key Vault.

Bemærk

For at reducere antallet af trin for administratoren til at administrere nøgleprocessen, aktiveres nøglen automatisk, når den overføres første gang. Alle efterfølgende nøgleoverførsler kræver et ekstra trin for at aktivere nøglen.

Aktivere en krypteringsnøgle for en lejer

Når en krypteringsnøgle er genereret eller overført til lejeren, kan den aktiveres.

1. Log på Administration Power Platform som administrator (Dynamics 365-administrator eller Microsoft Power Platform -administrator).
2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på værktøjslinjen.
3. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.
4. Vælg en nøgle, der har en tilgængelig tilstand, og vælg derefter Aktivér nøgle på værktøjslinjen.
5. Vælg Bekræft for at bekræfte nøgleændringen.

Når du aktiverer en nøgle for lejeren, tager det et stykke tid for tjenesten til nøgleadministration at aktivere nøglen. Status for Nøgletilstand viser nøglen som Installerer, når den nye eller overførte nøgle aktiveres. Når nøglen er aktiveret, sker der følgende:

• Alle krypterede miljøer bliver automatisk krypteret med den aktive nøgle (der er ingen nedetid med denne handling).
• Når krypteringsnøglen er aktiveret, anvendes den på alle miljøer, der ændres fra Microsoft den angivne til den selvadministrerede krypteringsnøgle.

Vigtigt!

For at strømline nøgleadministrationsprocessen, så alle miljøer administreres af den samme nøgle, kan den aktive nøgle ikke opdateres, når der er låste miljøer. Alle låste miljøer skal låses op, før en ny nøgle kan aktiveres. Hvis der er låste miljøer, der ikke behøver at blive låst op, skal de slettes.

Bemærk

Når en krypteringsnøgle er aktiveret, kan du ikke aktivere en anden nøgle i 24 timer.

Administrere kryptering for et miljø

Som standard er hvert miljø krypteret med den Microsoft angivne krypteringsnøgle. Når en krypteringsnøgle er aktiveret for lejeren, kan administratorer vælge at ændre standardkrypteringen for at bruge den aktiverede krypteringsnøgle. Benyt følgende fremgangsmåde for at bruge den aktiverede nøgle.

Anvend krypteringsnøgle på et miljø

1. Log på Power Platform Administration ved hjælp af legitimationsoplysningerne for rollen som miljøadministratorer eller systemadministrator.
2. Vælg fanen Miljøer.
3. Åbn et Microsoft krypteret miljø.
4. Vælg Se alle.
5. Vælg Administrer i sektionen Miljøkryptering.
6. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.
7. Vælg Anvend denne nøgle for at acceptere ændring af krypteringen for at bruge den aktiverede nøgle.
8. Vælg Bekræft for at bekræfte, at du administrerer nøglen direkte, og at der er nedetid for denne handling.

Returner en administreret krypteringsnøgle tilbage til Microsoft den angivne krypteringsnøgle

Hvis du vender tilbage til den Microsoft angivne krypteringsnøgle, konfigureres miljøet tilbage til standardfunktionsmåden, hvor Microsoft krypteringsnøglen administreres for dig.

1. Log på Power Platform Administration ved hjælp af legitimationsoplysningerne for rollen som miljøadministratorer eller systemadministrator.
2. Vælg fanen Miljøer, og vælg derefter et miljø, der er krypteret med en selvadministreret nøgle.
3. Vælg Se alle.
4. Vælg Administrer i sektionen Miljøkryptering, og vælg derefter Bekræft.
5. Under Vend tilbage til administration af standardkrypteringsnøgle skal du vælge Returner.
6. I forbindelse med produktionsmiljøer skal du bekræfte miljøet ved at angive miljøets navn.
7. Vælg Bekræft for at vende tilbage til administration af standardkrypteringsnøgle.

Lås lejeren

Da der kun er én aktiv nøgle pr. lejer, deaktiverer krypteringen for lejeren alle de miljøer, der findes i lejeren. Alle låste miljøer forbliver utilgængelige for alle, herunder Microsoft indtil en Power Platform administrator i din organisation låser den op ved hjælp af den nøgle, der blev brugt til at låse den.

Advarsel

Du skal aldrig låse lejermiljøer som en del af din normale forretningsproces. Når du låser en Dataverse lejer, tages alle miljøerne helt offline, og de kan ikke tilgås af nogen, herunder Microsoft dem. Desuden stoppes alle tjenester, f.eks. synkroniserings- og vedligeholdelsestjenester. Hvis du beslutter dig for at forlade tjenesten, kan du låse lejeren for at sikre, at ingen nogensinde får adgang til dine onlinedata igen.
Bemærk følgende om, hvordan du låser lejermiljøer:

• Låste miljøer kan ikke gendannes fra sikkerhedskopien.
• Låste miljøer slettes, hvis de ikke låses op efter 28 dage.
• Du kan ikke låse miljøer i 72 timer efter at have ændret en krypteringsnøgle.
• Hvis du låser en lejer, låses alle aktive miljøer i lejeren.

Vigtigt

• Du skal vente mindst en time, efter at du har låst aktive miljøer, før du kan låse dem op.
• Når låseprocessen starter, slettes alle krypteringsnøgler med enten tilstanden Aktiv eller Tilgængelig. Låseprocessen kan tage op til en time, og i dette tidsrum er det ikke tilladt at låse låste miljøer op.

1. Log på Administration Power Platform som administrator (Dynamics 365-administrator eller Microsoft Power Platform -administrator).
2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på kommandolinjen.
3. Vælg den aktive nøgle, og vælg derefter Lås aktive miljøer.
4. Vælg Overfør aktiv nøgle i ruden til højre, find og markér nøglen, angiv adgangskoden, og vælg derefter Lås.
5. Når du bliver bedt om det, skal du angive den tekst, der vises på skærmen, for at bekræfte, at du vil låse alle miljøer i området, og derefter vælge Bekræft.

Lås låste miljøer op

Hvis du vil låse miljøer op, skal du først overføre og derefter aktivere krypteringsnøglen for lejeren med den samme nøgle, der blev brugt til at låse lejeren. Bemærk, at låste miljøer ikke automatisk bliver låst op, når nøglen er blevet aktiveret. Hvert låst miljø skal låses op individuelt.

Vigtigt

• Du skal vente mindst en time, efter at du har låst aktive miljøer, før du kan låse dem op.
• Processen til oplåsning kan tage op til en time. Når nøglen er låst op, kan du bruge nøglen til at administrere kryptering for et miljø.
• Du kan ikke oprette en ny eller overføre en eksisterende nøgle, før alle låste miljøer er låst op.

Lås krypteringsnøgle op

1. Log på Administration Power Platform som administrator (Dynamics 365-administrator eller Microsoft Power Platform -administrator).
2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler.
3. Vælg den nøgle, der har tilstanden Låst, og vælg derefter Lås nøgle op på kommandolinjen.
4. Vælg Overfør låst nøgle, find og markér den nøgle, der er brugt til at låse lejeren, angiv adgangskoden, og vælg derefter Lås op. Nøglen skifter til tilstanden Installerer. Du skal vente, indtil nøglen er i tilstanden Aktiv, før du kan låse låste miljøer op.
5. Hvis du vil låse et miljø op, kan du gå til næste afsnit.

Lås miljøer op

1. Vælg fanen Miljøer, og vælg derefter navnet på det låste miljø.

   Tip

   Vælg ikke rækken. Vælg navnet på miljøet.

2. Vælg Se alle i detaljesektionen for at få vist ruden Detaljer ruden til højre .

3. Vælg Administrer i sektionen Miljøkryptering i ruden Detaljer.

   

4. Vælg Lås op på siden Miljøkryptering.

   

5. Vælg Bekræft for at bekræfte, at du vil låse miljøet op.

6. Gentag de forrige trin for at låse flere miljøer op.

Handlinger for miljødatabaser

En kundelejer kan have miljøer, der er krypteret ved hjælp af den administrerede nøgle, Microsoft og miljøer, der er krypteret med den kundeadministrerede nøgle. For at bevare dataintegritet og databeskyttelse er følgende kontrolelementer tilgængelige i forbindelse med administration af miljødatabasehandlinger.

1. Gendan Det miljø, der skal overskrives (gendannet til miljøet), er begrænset til det samme miljø, som sikkerhedskopien blev taget fra, eller til et andet miljø, der er krypteret med den samme kundeadministrerede nøgle.

   

2. Kopiér Det miljø, der skal overskrives (det kopierede til miljøet), er begrænset til et andet miljø, der er krypteret med den samme kundeadministrerede nøgle.

   

   Bemærk

   Hvis der blev oprettet et supportundersøgelsesmiljø for at løse supportproblemet i et kundestyret miljø, skal krypteringsnøglen til supportundersøgelsesmiljøet ændres til den kundestyrede nøgle, før miljøkopieringshandlingen kan udføres.

3. Nulstil Miljøets krypterede data slettes inklusive sikkerhedskopier. Når miljøet er nulstillet, genindlæser miljøkrypteringen tilbage til den Microsoft administrerede nøgle.

Se også

SQL Server: Gennemsigtig datakryptering (TDE)