Transparent Data Encryption for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse est un entrepôt relationnel à l’échelle de l’entreprise sur une base de lac de données, avec une architecture future, une IA intégrée et de nouvelles fonctionnalités. Si vous débutez avec l'entreposage de données, commencez par Fabric Data Warehouse. Les charges de travail de pool SQL existantes dédicées peuvent être mises à niveau vers Fabric pour accéder à de nouvelles fonctionnalités dans la science des données, l’analytique en temps réel et la création de rapports.

Application : pools SQL dédiés Azure Synapse Analytics (anciennement SQL DW)

Transparent Data Encryption (TDE) protège un pool SQL dédié contre toute activité hors ligne malveillante en chiffreant les fichiers de base de données, les journaux de transactions et les sauvegardes au repos. Le chiffrement et le déchiffrement se font en temps réel et ne nécessitent pas de modifications d’application.

Vous devez activer manuellement TDE pour un pool SQL dédié autonome Azure Synapse Analytics.

TDE effectue le chiffrement et le déchiffrement des données d’E/S en temps réel au niveau de la page. Chaque page est déchiffrée lorsqu’elle est lue en mémoire, puis chiffrée avant d’être écrite sur le disque. TDE chiffre le stockage d’une base de données entière à l’aide d’une clé symétrique appelée clé de chiffrement de la base de données (« clé DEK »). Au démarrage de la base de données, la clé DEK chiffrée est déchiffrée, puis elle est utilisée pour déchiffrer et rechiffrer les fichiers de la base de données dans le processus du moteur de base de données SQL Server. Le protecteur TDE protège le DEK. Le protecteur TDE correspond soit à un certificat géré par le service (chiffrement transparent des données géré par le service).

Pour Azure Synapse, vous définissez le protecteur TDE au niveau serveur et toutes les bases de données associées à ce serveur l’héritent.

Note

Cet article traite des pools SQL dédiés autonomes (anciennement SQL DW) hébergés sur un serveur logique. Pour les pools SQL dédiés dans un espace de travail Synapse, voir Chiffrement pour les espaces de travail Azure Synapse Analytics.

Fonctionnement du TDE

TDE chiffre les pages de la base de données en utilisant une clé de chiffrement symétrique de la base de données (DEK). Le DEK est stocké dans l’enregistrement de démarrage de la base de données et le protecteur du chiffrement transparent des données (TDE) le protège. Le protector est un certificat géré par le service.

Vous configurez le protecteur TDE sur le serveur logique et les pools SQL dédiés sur ce serveur l’héritent. Chaque page est déchiffrée lors de sa lecture en mémoire et chiffrée avant d’être écrite en stockage.

TDE managé par le service

Dans Azure, la configuration par défaut de TDE spécifie que la clé de chiffrement de la base de données (DEK) est protégée par un certificat de serveur intégré. Le certificat serveur intégré est unique pour chaque serveur et l’algorithme de chiffrement utilisé est AES 256 en mode Cipher Block Chaining (CBC). Si une base de données figure dans une relation de géoréplication, la base de données primaire et les base de données géo-secondaires sont protégées par la clé du serveur parent de la base de données primaire. Si deux bases de données sont connectées au même serveur, elles partagent également le même certificat intégré. Microsoft fait alterner automatiquement ces certificats une fois par an conformément à la stratégie de sécurité interne et la clé racine est protégée par un magasin des secrets interne Microsoft. Les clients peuvent vérifier la conformité de SQL Database et SQL Managed Instance avec des stratégies de sécurité internes, dans des rapports d’audit tiers indépendants disponibles dans le Centre de gestion de la confidentialité Microsoft. En outre, Microsoft déplace et gère en toute transparence les clés en fonction des besoins en matière de géoréplication et de restaurations.

TDE avec clé gérée par le client

Avec le TDE géré par le client, le protecteur est une clé asymétrique que vous contrôlez dans Azure Key Vault ou Azure Key Vault Managed HSM. Vous contrôlez la création des clés, les autorisations d’accès, la rotation, la sauvegarde et la suppression. La clé ne quitte pas le trousseau de clés.

Révoquer l’accès du serveur logique à la clé rend les pools SQL dédiés chiffrés inaccessibles. Protégez le coffre de clés avec la suppression réversible, la protection contre la purge, la surveillance et l’accès à privilèges minimum.

Azure Synapse doit obtenir des autorisations sur le coffre-fort de clés appartenant au client pour déchiffrer et chiffrer le DEK. Si des autorisations d’accès du serveur au coffre de clés sont supprimées, une base de données devient inaccessible alors que toutes les données sont chiffrées.

Pour les exigences et recommandations, voir Customer-managed TDE for Azure Synapse Analytics.

Déplacer une base de données protégée par Transparent Data Encryption

Vous n’avez pas besoin de déchiffrer les bases de données pour leur appliquer des opérations dans Azure. La base de données cible hérite de façon transparente des paramètres de TDE sur la base de données source ou sur la base de données principale. Les opérations incluses sont les suivantes :

  • Restauration géolocalisée
  • Restauration à un moment donné en libre-service
  • Restauration d’une base de données supprimée
  • Géoréplication active
  • Création d’une copie de base de données

Lorsque vous exportez une base de données protégée par TDE vers un fichier BACPAC, le contenu exporté de la base de données n’est pas chiffré. Si vous importez dans une base de données vide existante, le chiffrement dépend de l’activation de TDE sur cette base de données ou non.

Gérer le chiffrement transparent des données

Azure portal

Pour activer ou désactiver TDE, ouvrez le pool SQL dédié dans le portail Azure, sélectionnez Chiffrement des données transparentes, et enregistrez l’état requis. Pour configurer un protecteur géré par le client, ouvrez le Chiffrement transparent des données sur le serveur logique et sélectionnez la clé depuis Azure Key Vault. Accédez aux paramètres TDE pour votre base de données utilisateur. Par défaut, la clé de chiffrement au niveau du serveur est utilisée. Un certificat TDE est automatiquement généré pour le serveur qui contient la base de données.

PowerShell

Gérer TDE à l’aide de PowerShell.

Important

Le module Az remplace AzureRM. Tout le développement futur est destiné au module Az.Sql.

Pour configurer TDE par le biais de PowerShell, vous devez être connecté en tant que Propriétaire, Collaborateur ou Gestionnaire de sécurité SQL Azure.

Utilisez les cmdlets Az.Sql suivantes :

cmdlet Purpose
Set-AzSqlDatabaseTransparentDataEncryption Activez ou désactivez le TDE pour un pool SQL dédié.
Get-AzSqlDatabaseTransparentDataEncryption Obtenez l’état actuel du TDE.
Add-AzSqlServerKeyVaultKey Ajoutez une clé au serveur logique.
Get-AzSqlServerKeyVaultKey Répertorier les clés disponibles pour le serveur logique.
Set-AzSqlServerTransparentDataEncryptionProtector Configurez le protecteur TDE du serveur.
Get-AzSqlServerTransparentDataEncryptionProtector Obtiens le TDE Protector.
Remove-AzSqlServerKeyVaultKey Retirez une clé du serveur logique.

Transact-SQL

Gérer TDE à l’aide de Transact-SQL.

Connectez-vous à la base de données à l’aide d’un ID de connexion d’administrateur ou de membre du rôle dbmanager dans la base de données master.

Command Description
ALTER DATABASE (Azure SQL Database) SET ENCRYPTION ON/OFF chiffre ou déchiffre une base de données
sys.dm_database_encryption_keys Renvoie des informations sur l’état de chiffrement d’une base de données et sur ses clés de chiffrement de base de données associées
sys.dm_pdw_nodes_database_encryption_keys Renvoie des informations sur l’état de chiffrement de chaque nœud Azure Synapse et de ses clés de chiffrement de base de données associées

Vous ne pouvez pas basculer le protecteur TDE vers une clé depuis Azure Key Vault en utilisant Transact-SQL. Utilisez PowerShell ou le Portail Azure.

API REST

Les ressources de gestion SQL suivantes s’appliquent au serveur logique et au pool SQL dédié.

Pour configurer TDE par le biais de l’API REST, vous devez être connecté en tant que Propriétaire, Collaborateur ou Gestionnaire de sécurité SQL Azure.

Utilisez l’ensemble de commandes suivant pour les pools SQL dédiés autonomes Azure Synapse Analytics :

Command Description
Créer ou mettre à jour un serveur Ajoute une identité depuis Microsoft Entra ID (anciennement Azure Active Directory) à un serveur. (utilisé pour accorder l’accès à Azure Key Vault)
Créer ou mettre à jour une clé de serveur Ajoute une clé Azure Key Vault à un serveur.
Supprimer une clé de serveur Supprime une clé Azure Key Vault d’un serveur.
Obtenir des clés de serveur Obtient une clé Azure Key Vault spécifique à partir d’un serveur.
Répertorier les clés de serveur par serveur Obtient les clés Azure Key Vault pour un serveur.
Créer ou mettre à jour le protecteur du chiffrement Définit le protecteur TDE pour un serveur.
Obtenir le protecteur du chiffrement Obtient le protecteur TDE pour un serveur.
Répertorier les protecteurs du chiffrement par serveur Obtient les protecteurs TDE pour un serveur.
Créer ou mettre à jour la configuration du chiffrement transparent des données Active ou désactive TDE pour une base de données.
Obtenir la configuration du chiffrement transparent des données Obtient la configuration de TDE pour une base de données.
Répertorier les résultats de configuration du chiffrement transparent des données Obtient le résultat du chiffrement d’une base de données.

Contenu connexe

  • Dernière mise à jour :