Cifrado de datos transparente for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse es un almacenamiento relacional de escala empresarial en una base de lago de datos, con una arquitectura lista para el futuro, inteligencia artificial integrada y nuevas características. Si no está familiarizado con el almacenamiento de datos, comience con Fabric Data Warehouse. Las cargas de trabajo del grupo dedicado de SQL pueden actualizarse a Fabric para acceder a funcionalidades avanzadas en ciencia de datos, análisis en tiempo real e informes.

Se aplica a: grupos de SQL dedicados de Azure Synapse Analytics (anteriormente SQL DW)

Cifrado de datos transparente (TDE) protege un pool SQL dedicado contra actividades maliciosas fuera de línea cifrando archivos de base de datos, archivos de registro de transacciones y copias de seguridad en reposo. El cifrado y el descifrado ocurren en tiempo real y no requieren cambios en la aplicación.

Debes habilitar manualmente TDE para un pool SQL dedicado independiente de Azure Synapse Analytics.

El TDE efectúa el cifrado y descifrado de E/S en tiempo real de los datos en el nivel de página. Todas las páginas se descifran cuando se leen en la memoria y después se cifran antes de escribirse en el disco. El TDE cifra el almacenamiento de una base de datos completa mediante una clave simétrica denominada clave de cifrado de base de datos (DEK). Al iniciarse la base de datos, la DEK cifrada se descifra y luego se usa para descifrar y volver a cifrar los archivos de base de datos en el proceso del motor de base de datos de SQL Server. El protector TDE protege el DEK. El protector de TDE es un certificado administrado por el servicio (cifrado de datos transparente administrado por el servicio).

Para Azure Synapse, configuras el protector TDE a nivel de servidor y todas las bases de datos asociadas a ese servidor lo heredan.

Note

Este artículo trata sobre pools SQL dedicados independientes (anteriormente SQL DW) alojados en un servidor lógico. Para grupos de SQL dedicados en un espacio de trabajo de Synapse, véase Cifrado para espacios de trabajo de Azure Synapse Analytics.

Cómo funciona la TDE

TDE cifra páginas de bases de datos utilizando una Clave de Cifrado de Base de Datos simétrica (DEK). El DEK se almacena en el registro de arranque de la base de datos y el protector TDE lo protege. El protector es un certificado gestionado por el servicio.

Configuras el protector TDE en el servidor lógico y los pools SQL dedicados de ese servidor lo heredan. Cada página se descifra al leerse en memoria y se cifra antes de ser almacenada.

TDE administrado por un servicio

En Azure, la configuración predeterminada de TDE es que la clave de cifrado está protegida mediante un certificado de servidor integrado. El certificado de servidor incorporado es único para cada servidor y el algoritmo de cifrado utilizado es AES 256 en modo Cipher Block Chaining (CBC). Si una base de datos está en una relación de replicación geográfica, tanto la base de datos principal como la secundaria con replicación geográfica están protegidas por la clave de servidor principal de la base de datos principal. Si hay dos bases de datos conectadas al mismo servidor, también comparten el mismo certificado integrado. Microsoft rota automáticamente estos certificados una vez al año, en cumplimiento de la política de seguridad interna, y la clave raíz está protegida por un almacén secreto interno de Microsoft. Los clientes pueden verificar el cumplimiento de SQL Database e Instancia administrada de SQL con las directivas de seguridad internas en los informes de auditoría de terceros independientes disponibles en el Centro de confianza de Microsoft. Microsoft también mueve y administra con total fluidez las claves según sea necesario para la replicación geográfica y las restauraciones.

TDE administrado por el cliente

Con TDE gestionado por el cliente, el protector es una clave asimétrica que controlas en Azure Key Vault o Azure Key Vault Managed HSM. Controlas la creación de claves, los permisos de acceso, la rotación, la copia de seguridad y la eliminación. La clave no sale del almacén de claves.

Revocar el acceso del servidor lógico a la clave hace que los pools SQL dedicados cifrados sean inaccesibles. Protege el almacén de claves con protección contra eliminación suave, protección contra purga, monitorización y acceso de privilegio mínimo.

Azure Synapse necesita obtener permisos para la bóveda de claves propiedad del cliente para descifrar y cifrar el DEK. Si se revocan los permisos del servidor para el almacén de claves, no se podrá acceder a las bases de datos y se cifrarán todos los datos.

Para requisitos y recomendaciones, consulta Customer-managed TDE for Azure Synapse Analytics.

Mover una base de datos protegida por Cifrado de datos transparente

No es necesario descifrar las bases de datos para las operaciones dentro de Azure. La configuración de TDE en la base de datos de origen o la base de datos principal se hereda de forma transparente en el destino. Entre las operaciones incluidas están las siguientes:

  • Restauración geográfica
  • Restauración a un momento específico de autoservicio
  • Restauración de una base de datos eliminada
  • Replicación geográfica activa
  • Creación de una copia de base de datos

Al exportar una base de datos protegida por TDE a un archivo BACPAC, el contenido exportado de la base de datos no se cifra. Si importa en una base de datos vacía existente, el cifrado depende de si TDE está habilitado en esa base de datos o no.

Administrar el cifrado de datos transparente

Azure portal

Para habilitar o desactivar TDE, abre el pool SQL dedicado en el portal de Azure, selecciona Cifrado de datos transparente y guarda el estado requerido. Para configurar un protector gestionado por el cliente, abre el cifrado de datos transparente en el servidor lógico y selecciona la clave de Azure Key Vault. Busque la configuración del TDE en la base de datos de usuario. De manera predeterminada, se usa la clave de cifrado de nivel de servidor. Se genera automáticamente un certificado de cifrado de datos transparente para el servidor que contiene la base de datos.

PowerShell

Administre TDE mediante PowerShell.

Importante

El módulo Az reemplaza a AzureRM. Todo el desarrollo futuro será para el módulo Az.Sql.

Para configurar el TDE mediante PowerShell, debe estar conectado como propietario de Azure, colaborador o administrador de seguridad de SQL.

Utiliza los siguientes cmdlets de Az.SQL:

Cmdlet Purpose
Set-AzSqlDatabaseTransparentDataEncryption Activa o desactiva TDE para un pool SQL dedicado.
Get-AzSqlDatabaseTransparentDataEncryption Consigue el estado actual del TDE.
Add-AzSqlServerKeyVaultKey Agregue una clave al servidor lógico.
Get-AzSqlServerKeyVaultKey Enumere las claves disponibles para el servidor lógico.
Set-AzSqlServerTransparentDataEncryptionProtector Configura el protector TDE del servidor.
Get-AzSqlServerTransparentDataEncryptionProtector Obtenga el protector de TDE actual.
Remove-AzSqlServerKeyVaultKey Elimina una clave del servidor lógico.

Transact-SQL

Administre TDE mediante Transact-SQL.

Conéctese a la base de datos mediante un inicio de sesión que sea un administrador o un miembro del rol dbmanager en la base de datos master.

Comando Description
ALTER DATABASE (Azure SQL Database) SET ENCRYPTION ON/OFF cifra o descifra una base de datos
sys.dm_database_encryption_keys Devuelve información sobre el estado de cifrado de una base de datos y sus claves de cifrado de base de datos asociadas
sys.dm_pdw_nodes_database_encryption_keys Devuelve información sobre el estado de cifrado de cada nodo de Azure Synapse y sus claves de cifrado de base de datos asociadas

No puedes cambiar el protector TDE a una clave de Azure Key Vault usando Transact-SQL. Use PowerShell o Azure Portal.

API DE REST

Los siguientes recursos de gestión SQL se aplican al servidor lógico y al pool SQL dedicado.

Para configurar el cifrado de datos transparente mediante la API REST, debe estar conectado como propietario de Azure, colaborador o administrador de seguridad de SQL.

Utiliza el siguiente conjunto de comandos para los pools SQL dedicados independientes de Azure Synapse Analytics:

Comando Description
Crear o actualizar servidor Agrega una identidad de Microsoft Entra ID (anteriormente Azure Active Directory) a un servidor. (se usa para conceder acceso a Azure Key Vault)
Crear o actualizar la clave del servidor Agrega una clave de Azure Key Vault a un servidor.
Eliminar clave del servidor Quita una clave de Azure Key Vault de un servidor.
Obtener claves de servidor Obtiene una clave específica de Azure Key Vault de un servidor.
Enumerar claves de servidor por servidor Obtiene las claves de Azure Key Vault para un servidor.
Crear o actualizar protector de cifrado Establece el protector del TDE para un servidor.
Obtener protector de cifrado Obtiene el protector del TDE para un servidor.
Enumerar protectores de cifrado por servidor Obtiene los protectores del TDE para un servidor.
Crear o actualizar la configuración de cifrado de datos transparente Habilita o deshabilita el TDE para una base de datos.
Obtención de la configuración de cifrado de datos transparente Obtiene la configuración del TDE para una base de datos.
Enumerar los resultados de la configuración del cifrado de datos transparente Obtiene el resultado de cifrado para una base de datos.

Contenido relacionado

  • Se actualizó por última vez el