Supprimer un protecteur TDE (Transparent Data Encryption) dans Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.

Application : pools SQL dédiés Azure Synapse Analytics (anciennement SQL DW)

Utilisez cette procédure lorsqu’un protecteur TDE géré par le client pourrait être compromis. Passez à un nouveau protecteur avant de supprimer ou désactiver l’ancienne clé afin que les pools SQL dédiés restent accessibles.

Caution

Supprimer ou désactiver un protecteur TDE actif rend inaccessibles tous les pools SQL dédiés qui en dépendent. Examinez le plan d’intervention incident et les exigences de rétention de sauvegarde avant de retirer une clé.

Note

Cet article traite des pools SQL dédiés autonomes (anciennement SQL DW). Pour les pools SQL dédiés dans un espace de travail Synapse, voir Chiffrement pour les espaces de travail Azure Synapse Analytics.

Supprimer une clé n’invalide pas les copies de cette clé qui avaient été sauvegardées ou restaurées dans un autre coffre-clé. Protégez et recensez chaque copie dans le cadre de la réponse à l’incident.

Prerequisites

Vous devez avoir un abonnement Azure et être un administrateur de cet abonnement.
Azure PowerShell doit être installé et en cours d’exécution.
Vous devez être capable de gérer le serveur logique, les autorisations de Key Vault et les clés.
Installez Azure PowerShell ou Azure CLI.
- Pour des instructions d’installation du module Az, consultez Installer Azure PowerShell. Utilisez le nouveau module Azure PowerShell Az.
- Pour l’installation, consultez Installer Azure CLI.
Consultez Customer-managed TDE pour Azure Synapse Analytics et Faire pivoter le protecteur TDE.
Cet article part du principe que vous utilisez déjà une clé d'Azure Key Vault comme protecteur TDE pour Azure Synapse. Voir Customer-managed TDE pour Azure Synapse Analytics pour en savoir plus.

Vérifiez les empreintes du protecteur TDE

Les étapes suivantes expliquent comment vérifier les empreintes du protecteur TDE que les fichiers de journal virtuels (VLF) d’une base de données donnée utilisent encore.

Effectuez la requête suivante pour trouver l’empreinte digitale du protecteur TDE actuel de la base de données ainsi que l’identifiant de la base de données :

SELECT [database_id],
       [encryption_state],
       [encryptor_type], /*asymmetric key means Azure Key Vault, certificate means service-managed keys*/
       [encryptor_thumbprint]
 FROM [sys].[dm_database_encryption_keys]

Exécutez la requête suivante pour retourner les VLF et les empreintes du protecteur TDE utilisé. Chaque empreinte différente fait référence à une clé différente dans Azure Key Vault :

SELECT * FROM sys.dm_db_log_info (database_id)

Vous pouvez également utiliser PowerShell ou Azure CLI :

La commande Get-AzSqlServerKeyVaultKey PowerShell fournit l’empreinte digitale du protecteur TDE utilisé dans la requête, vous permettant de voir quelles clés garder et lesquelles supprimer dans Azure Key Vault. Seules les clés que la base de données n’utilise plus peuvent être supprimées en toute sécurité d’Azure Key Vault.
La commande az sql server key show Azure CLI fournit l’empreinte digitale du protecteur TDE utilisé dans la requête, vous pouvez donc voir quelles clés garder et lesquelles supprimer dans Azure Key Vault. Seules les clés que la base de données n’utilise plus peuvent être supprimées en toute sécurité d’Azure Key Vault.

Garder les ressources chiffrées accessibles

PowerShell

Créez une nouvelle clé dans Azure Key Vault. Assurez-vous de créer cette nouvelle clé dans un coffre séparé du protecteur TDE potentiellement compromis, puisque le contrôle d’accès est provisionné au niveau du coffre.

Ajoutez la nouvelle clé au serveur en utilisant les cmdlets Add-AzSqlServerKeyVaultKey et Set-AzSqlServerTransparentDataEncryptionProtector , et mettez-la à jour en tant que nouveau protecteur TDE du serveur.

# add the key from Azure Key Vault to the server  
Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>

# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> `
    -ServerName <LogicalServerName> -Type AzureKeyVault -KeyId <KeyVaultKeyId>

Assurez-vous que le serveur et toutes les répliques se mettent à jour avec le nouveau protecteur TDE en utilisant le cmdlet Get-AzSqlServerTransparentDataEncryptionProtector .

Note

Il peut se faire que quelques minutes soient nécessaires pour que le nouveau protecteur TDE soit propagé sur l’ensemble des bases de données et bases de données secondaires du serveur.
```
Get-AzSqlServerTransparentDataEncryptionProtector -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>
```

Effectuez une sauvegarde de la nouvelle clé dans Azure Key Vault.

# -OutputFile parameter is optional; if removed, a file name is automatically generated.
Backup-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName> -OutputFile <DesiredBackupFilePath>

Supprimez la clé compromise d’Azure Key Vault en utilisant le cmdlet Remove-AzKeyVaultKey.
```
Remove-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName>
```
Pour restaurer une clé dans Azure Key Vault à l’avenir, utilisez l’applet de commande Restore-AzKeyVaultKey .
```
Restore-AzKeyVaultKey -VaultName <KeyVaultName> -InputFile <BackupFilePath>
```

Azure CLI

Pour obtenir des informations de référence sur les commandes, consultez Coffre de clés Azure CLI.

Créez une nouvelle clé dans Azure Key Vault. Assurez-vous de créer cette nouvelle clé dans un coffre séparé du protecteur TDE potentiellement compromis, puisque le contrôle d’accès est provisionné au niveau du coffre.

Ajoutez la nouvelle clé au serveur et mettez-la à jour en tant que nouveau protecteur TDE du serveur.

# add the key from Azure Key Vault to the server  
az sql server key create --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>

# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>

Assurez-vous que le serveur et toutes les répliques se mettent à jour vers le nouveau protecteur TDE.

Note

Il peut se faire que quelques minutes soient nécessaires pour que le nouveau protecteur TDE soit propagé sur l’ensemble des bases de données et bases de données secondaires du serveur.
```
az sql server tde-key show --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>
```

Effectuez une sauvegarde de la nouvelle clé dans Azure Key Vault.

# --file parameter is optional; if removed, a file name is automatically generated.
az keyvault key backup --file <DesiredBackupFilePath> --name <KeyVaultKeyName> --vault-name <KeyVaultName>

Supprimez la clé compromise d’Azure Key Vault.

az keyvault key delete --name <KeyVaultKeyName> --vault-name <KeyVaultName>

Restaurer une clé dans Azure Key Vault à l’avenir.

az keyvault key restore --file <BackupFilePath> --vault-name <KeyVaultName>

Rendre les ressources chiffrées inaccessibles

Supprimez les bases de données qui utilisent la clé potentiellement compromise pour le chiffrement.

Le système sauvegarde automatiquement la base de données et les fichiers journaux, vous permettant donc de restaurer la base de données à un instant précis (à condition de fournir la clé). Supprimez les bases de données avant de supprimer un protecteur TDE actif pour éviter une perte potentielle pouvant aller jusqu’à 10 minutes des transactions les plus récentes.
Sauvegardez l’élément de clé du protecteur TDE dans Azure Key Vault.
Supprimez la clé potentiellement compromise d’Azure Key Vault.

Note

Il peut falloir environ 10 minutes avant que les changements d’autorisation prennent effet pour le coffre de clés. Cette période inclut la révocation des autorisations d’accès au protecteur TDE dans AKV, et les utilisateurs peuvent toujours avoir des permissions d’accès.

Commentaires

Cette page a-t-elle été utile ?

Dernière mise à jour : 2026-10-08