Remarque
L’accès à cette page requiert une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page requiert une autorisation. Vous pouvez essayer de modifier des répertoires.
Tip
Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.
S’applique à: Azure Synapse Analytics pools SQL dédiés (anciennement SQL DW)
Cet article décrit la rotation des clés pour un serveur SQL utilisant un protecteur TDE provenant d’Azure Key Vault. La rotation du protecteur logique TDE d’un serveur consiste à basculer vers une nouvelle clé prise en charge qui protège les bases de données du serveur. Selon la configuration, le protecteur TDE peut être protégé par une clé asymétrique (RSA) ou symétrique (AES) prise en charge, stockée dans Azure Key Vault ou Azure Key Vault Managed HSM. La rotation de la clé est une opération en ligne et ne devrait prendre que quelques secondes à réaliser, car cette opération ne fait que déchiffrer et rechiffrer la clé de chiffrement des données de la base de données, et non l’ensemble de la base de données.
Cet article décrit les méthodes automatisées et manuelles pour opérer la rotation du TDE sur le serveur.
Note
Cet article traite des pools SQL dédiés autonomes (anciennement SQL DW). Pour les pools SQL dédiés dans un espace de travail Synapse, voir Chiffrement pour les espaces de travail Azure Synapse Analytics.
Considérations importantes
- Conservez les anciennes versions des clés pendant au moins la période de rétention des sauvegardes de la base de données. Restaurer une sauvegarde plus ancienne nécessite la clé de chiffrement qui l’a chiffrée.
- Conservez les anciennes clés même si vous revenez à un protecteur géré par le service.
- Un pool SQL dédié en pause doit être redémarré avant la rotation.
- Le total du nom du coffre de clés et du nom de la clé ne peut pas dépasser 94 caractères.
Prerequisites
- Cet article part du principe que vous utilisez déjà une clé d'Azure Key Vault comme protecteur TDE pour Azure SQL Database ou Azure Synapse Analytics. Pour plus d’informations, voir Customer-managed TDE for Azure Synapse Analytics.
- Azure PowerShell doit être installé et en cours d’exécution.
Tip
Recommandé mais facultatif - Commencez par créer le matériel de clé pour le protecteur TDE dans un module de sécurité matériel (HSM) ou le magasin de clés local, puis importez le matériel de clé dans Azure Key Vault. Pour en savoir plus, consultez les instructions pour utiliser un module de sécurité matérielle (HSM) et Azure Key Vault.
Rotation des clés automatique
Activez la rotation automatique pour le protecteur TDE lorsque vous configurez le protecteur TDE pour le serveur ou la base de données. Vous pouvez activer la rotation automatique depuis le portail Azure ou en utilisant les commandes PowerShell ou Azure CLI suivantes. Lorsque vous activez la rotation automatique, le serveur ou la base de données vérifie en continu le coffre-fort des clés pour de nouvelles versions de la clé utilisée comme protecteur TDE. Si le serveur ou la base de données détecte une nouvelle version de la clé, il effectue automatiquement la rotation du protecteur TDE vers la version la plus récente de la clé dans les 24 heures.
Utilisez la rotation automatique dans un serveur, une base de données ou une instance gérée avec une rotation automatique des clés dans Azure Key Vault pour permettre une rotation sans intervention de bout en bout pour les clés TDE.
Azure portal
Utilisation du portail Azure :
- Accédez à la section Transparent Data Encryption pour un serveur existant ou une instance managée.
- Sélectionnez l’option clé gérée par le client et sélectionnez le coffre de clés et la clé à utiliser comme protecteur TDE.
- Cochez la case Rotation automatique de la clé.
- Cliquez sur Enregistrer.
PowerShell
Pour des instructions d’installation du module Az PowerShell, consultez Installer Azure PowerShell.
Pour permettre la rotation automatique du protecteur TDE en utilisant PowerShell, voir le script suivant. Vous pouvez récupérer le secret <keyVaultKeyId> depuis Azure Key Vault.
Utilisez Set-AzSqlServerTransparentDataEncryptionProtector :
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
-ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName> `
-AutoRotationEnabled <boolean>
Azure CLI
Pour plus d’informations sur l’installation de la version actuelle d’Azure CLI, voir Installer l’Azure CLI.
Pour permettre la rotation automatique du protecteur TDE à l’aide d’Azure CLI, voir le script suivant.
Utilisez az sql server tde-key set :
az sql server tde-key set --server-key-type AzureKeyVault
--auto-rotation-enabled true
[--kid] <keyVaultKeyId>
[--resource-group] <SQLDatabaseResourceGroupName>
[--server] <logicalServerName>
Rotation des clés manuelle
La rotation des clés manuelle utilise les commandes suivantes pour ajouter une nouvelle clé, sous un nouveau nom de clé voire dans un autre coffre de clés. Vous pouvez aussi utiliser le portail Azure pour permuter manuellement les clés.
Lorsque vous faites pivoter manuellement les clés et créez une nouvelle version de clé dans Key Vault (soit manuellement, soit via une politique de rotation automatique), vous devez définir manuellement cette version de clé comme protecteur TDE sur le serveur.
Note
La longueur combinée du nom du coffre de clés et du nom de la clé ne peut pas dépasser 94 caractères.
Azure portal
- Ouvre le chiffrement transparent des données sur le serveur SQL.
- Sélectionnez Clé gérée par le client.
- Sélectionnez l’option clé gérée par le client et sélectionnez le coffre de clés et la clé à utiliser comme nouveau protecteur TDE.
- Cliquez sur Enregistrer.
PowerShell
Utilisez la commande Add-AzKeyVaultKey pour ajouter une nouvelle clé au coffre de clés.
# add a new key to Azure Key Vault
Add-AzKeyVaultKey -VaultName <keyVaultName> -Name <keyVaultKeyName> -Destination <hardwareOrSoftware>
Utilisez les commandes suivantes :
# add the new key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
-ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
Azure CLI
Utilisez la commande az keyvault key create pour ajouter une nouvelle clé au coffre de clés.
# add a new key to Azure Key Vault
az keyvault key create --name <keyVaultKeyName> --vault-name <keyVaultName> --protection <hsmOrSoftware>
Utilisez les commandes suivantes :
# add the new key from Azure Key Vault to the server
az sql server key create --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>
Basculer le mode du protecteur TDE
Azure portal
Utilisez le portail Azure pour passer le protecteur TDE du mode géré par Microsoft au mode BYOK :
- Accédez au menu Transparent Data Encryption pour un serveur existant ou une instance managée.
- Sélectionnez l’option Clé gérée par le client.
- Sélectionnez le key vault et la clé à utiliser comme protecteur TDE.
- Cliquez sur Enregistrer.
PowerShell
Pour faire passer le protecteur TDE du mode managé par Microsoft au mode BYOK, utilisez la commande Set-AzSqlServerTransparentDataEncryptionProtector.
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault ` -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>Pour faire passer le protecteur TDE du mode BYOK au mode managé par Microsoft, utilisez la commande Set-AzSqlServerTransparentDataEncryptionProtector.
Set-AzSqlServerTransparentDataEncryptionProtector -Type ServiceManaged ` -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
Azure CLI
Les exemples suivants utilisent az sql server tde-key set.
Pour basculer le protecteur TDE du mode géré par Microsoft au mode BYOK :
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>Pour basculer le protecteur TDE du mode BYOK au mode géré par Microsoft :
az sql server tde-key set --server-key-type ServiceManaged --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>