Xestionar a clave de cifraxe

Todos os ambientes de Microsoft Dataverse utilizan Cifraxe de datos transparente (TDE) de SQL Server Transparent Data Encryption (TDE) para realizar cifraxe de datos cando se escriben no disco, tamén coñecido como cifraxe en descanso.

De forma predeterminada, Microsoft almacena e xestiona a clave de cifrado da base de datos para os teus ambientes para que non teñas que facelo. A funcionalidade de xestión de claves do centro de administración de Microsoft Power Platform permítelle aos administradores xestionar eles mesmos a clave de cifraxe da base de datos que está asociada ao arrendatario de Dataverse.

Importante

• A partir do 2 de xuño de 2023, este servizo actualízase a chave de cifrado xestionada polo cliente. Os novos clientes que necesiten xestionar a súa propia clave de cifrado utilizarán o servizo actualizado xa que este servizo xa non se ofrece.
• As claves de cifraxe de bases de datos autoxestionadas só están dispoñibles para clientes que teñan máis de 1000 licenzas de Power Apps por usuario ou máis de 1000 licenzas de Dynamics 365 Enterprise, ou máis de 1000 licenzas dunha combinación dos dous ou dun arrendatario. Para subscribirse a este programa, envíe unha solicitude de asistencia técnica.

A xestión de claves de cifraxe só se aplica ás bases de datos do ambiente de Azure SQL. As seguintes funcións e servizos seguen a usar a chave de cifrado xestionada por Microsoftpara cifrar os seus datos e non se poden cifrar coa chave de cifrado autoxestionada:

• Copilotos e funcións xerativas de IA en Microsoft Power Platform e Microsoft Dynamics 365
• Busca de Dataverse
• Mesas elásticas
• Mobile Offline
• Rexistro de actividade (portal de Microsoft 365)
• Exchange (sincronización no servidor)

Nota

• A función de clave de cifrado de base de datos de autoxestione debe estar activada por Microsoft o teu inquilino antes de poder utilizar a función.
• Para utilizar as funcións de xestión de cifrado de datos nun ambiente, débese crear o ambiente despois de a función de autoxestionar a clave de cifrado da base de datos estea activada por Microsoft.
• Despois de activar a función no teu arrendatario, todos os novos ambientes créanse só co almacenamento de Azure SQL. Estes ambientes, independentemente de se están cifrados con traer a túa propia clave (BYOK) ou cunha clave xestionada por Microsoft, teñen restricións co tamaño de carga de ficheiros, non poden usar os servizos de Cosmos e Datalake. e Dataverse Os índices de busca están cifrados cunha clave xestionada por Microsoft. Para utilizar estes servizos, debes migrar á chave xestionada polo cliente.
• Pódense usar ficheiros e Imaxes con tamaños inferiores a 128 MB se o seu entorno é a versión 9.2.21052.00103 ou superior.
• A maioría dos ambientes existentes teñen ficheiros e rexistros almacenados en bases de datos SQL non de Azure. Non se poden activar estes ambientes coa clave de cifrado autoxestionada. Só se poden habilitar novos contornos (unha vez que se rexistrou neste programa) coa clave de cifrado autoxestionada.

Introdución á xestión de chaves

Coa xestión de claves, os administradores poden proporcionar a súa propia clave de cifraxe ou ter unha clave de cifraxe xerada para eles, que se usa para protexer a base de datos dun ambiente.

A funcionalidade de xestión de chaves admite ficheiros de chave de cifraxe de PFX e BYOK, tales como os que se almacenan nun módulo de seguranza de hardware (HSM). Para utilizar a opción de carga de chave de cifraxe, precisará a chave de cifraxe pública e a privada.

A funcionalidade de xestión de chaves facilita a xestión de chave de cifraxe utilizando Azure Key Vault para almacenar de forma segura as chaves de cifraxe. Azure Key Vault axuda a protexer as chaves de cifraxe e secretas utilizados por servizos e aplicacións na nube. A funcionalidade de xestión de claves non require que teña unha subscrición de Azure Key Vault e para a maioría das situacións non é preciso acceder ás claves de cifraxe utilizadas para Dataverse dentro da caixa forte.

A funcionalidade de xestión de cahves permite realizar as seguintes tarefas.

• Activar a capacidade de autoxestionar as claves de cifraxe da base de datos asociadas cos ambientes.

• Xerar novas chaves de cifraxe ou cargar os ficheiros de chave de cifraxe .PFX ou .BYOK existentes.

• Bloquear e desbloquear ambientes do arrendatario.

  Aviso

  Mentres un arrendatario está bloqueado, ninguén pode acceder a ningún ambiente do arrendatario. Máis información: Bloquear o arrendatario.

Comprender os riscos potenciais da xestión de chaves

Como con calquera aplicación empresarial importante, o persoal da súa organización que teña acceso de nivel administrativo debe ser de confianza. Antes de utilizar a funcionalidade de xestión de chaves, debe comprender os riscos relacionados coa xestión de chaves de cifraxe da base de datos. É posible que un administrador malintencionado (unha persoa con acceso de nivel de administrador que ten a intención de danar os procesos empresariais ou de seguranza dunha organización) que traballa na súa organización utilice a funcionalidade de xestión de claves para crear unha clave e utilizala para bloquear todos os ambientes do arrendatario.

Teña en conta a seguinte secuencia de eventos.

O administrador malicioso inicia sesión no centro de administración de Power Platform, vai ao separador Ambientes e selecciona Xestionar a clave de cifraxe. O administrador malintencionado crea unha nova clave cun contrasinal, descarga a clave de cifraxe na súa unidade local e activa a nova clave. Agora todas as bases de datos do ambiente están cifradas coa nova clave. A continuación, o administrador malintencionado bloquea o arrendatario coa clave descargada recentemente e despois quita ou elimina a clave de cifraxe descargada.

Estas accións terán como resultado a desactivación do acceso en liña a todos os ambientes do arrendatario e fará que todas as copias de seguranza da base de datos non se poidan restaurar.

Importante

Para evitar que o administrador malintencionado interrompa as operacións empresariais bloqueando a base de datos, a funcionalidade de claves xestionadas non permite que os ambientes do arrendatario se bloqueen 72 horas despois de modificar ou activar a clave de cifraxe. Isto fornece ata 72 horas para que outros administradores poidan reverter as modificacións de clave non autorizadas.

Requirimentos para a chave de cifraxe

Se fornece as súas propias chaves de cifraxe, a chave debe cumprir estes requisitos aceptados por Azure Key Vault.

• O formato de ficheiro da chave de cifraxe debe ser PFX ou BYOK.
• RSA de 2048 bits.
• Tipo de chave RSA-HSM (require unha Microsoft solicitude de asistencia).
• Os ficheiros de chave de cifraxe PFX deben estar protexidos con contrasinal.

Para obter máis información sobre como xerar e transferir unha clave protexida por HSM en internet, consulte Como xerar e transferir claves protexidas por HSM para o almacén de claves de Azure. Só a clave do HSM do provedor de nCipher é compatible. Antes de xerar a súa clave de HSM, vaia ao centro de administración de Power Platform, xanela Xestionar claves de cifraxe/Crear nova clave para obter o ID da subscrición para a rexión do seu contorno. Debe copiar e pegar este ID de subscrición no seu HSM para crear a clave. Isto garantirá que só o Azure Key Vault poida abrir o seu ficheiro.

Tarefas de xestión de chaves

Para simplificar as tarefas de xestión de claves, ditas tarefas divídense en tres áreas:

1. Xera ou carga a clave de cifrado para un inquilino
2. Activa unha clave de cifrado para un inquilino
3. Xestiona o cifrado dun ambiente

Os administradores poden usar o centro de administración de Power Platform ou os cmdlets de módulo de administración de Power Platform para realizar as tarefas de xestión de claves de protección de arrendatarios descritas aquí.

Xerar ou cargar a clave de cifraxe para un arrendatario

Todas as claves de cifraxe almacénanse en Azure Key Vault e só pode haber unha clave activa en calquera momento. Dado que a clave activa se usa para cifrar todos os ambientes do arrendatario, a xestión da cifraxe realízase a nivel de arrendatario. Unha vez que a clave está activada, cada ambiente individual pode seleccionarse para usar a clave para a cifraxe.

Use este procedemento para definir a funcionalidade de xestión de claves a primeira vez para un ambiente ou para modificar (ou substituír) unha clave de cifraxe para un arrendatario que xa está autoxestionado.

Aviso

Ao realizar os pasos descritos aquí por primeira vez, opta por participar na autoxestión das claves de cifraxe. Máis información: Comprender os riscos potenciais da xestión de claves.

1. Inicia sesión no Power Platform centro de administración, como administrador (administrador de Dynamics 365 ou Microsoft Power Platform administrador).

2. Seleccione o separador Ambientes e, a seguir, na barra de ferramentas, seleccione Xestionar claves de cifraxe.

3. Seleccione Confirmar para recoñecer o risco de xestión da clave.

4. Na barra de ferramentas, seleccione Nova clave.

5. No panel esquerdo, completa os detalles para xerar ou cargar unha clave:

   • Seleccione unha Rexión. Esta opción só se mostra se o arrendatario ten varias rexións.
   • Escriba un Nome de clave.
   • Escolla unha das seguintes opcións:
     • Para crear unha nova clave, seleccione Xerar nova clave (.pfx). Máis información: Xerar unha nova clave (.pfx).
     • Para usar a súa propia clave xerada, seleccione Cargar (.pfx ou .byok). Máis información: Cargar unha clave (.pfx ou .byok).

6. Seleccione Seguinte.

Xerar unha nova clave (.pfx)

1. Insira un contrasinal e volva introducilo para confirmar.
2. Seleccione Creare, a seguir, seleccione a notificación do ficheiro que se creou no explorador.
3. O ficheiro .PFX da clave de cifraxe descárgase no cartafol de descarga predefinido do explorador web. Garde o ficheiro nunha localización segura (recoméndase facer unha copia de seguranza desta clave xunto co seu contrasinal).

Cargar unha clave (.pfx ou .byok)

1. Seleccione Cargar a clave, despois, o ficheiro .pfx ou .byok¹ e, a seguir, Abrir.
2. Escriba o contrasinal para a clave e, a seguir, seleccione Crear.

¹ Para os ficheiros .byok de clave de cifraxe, asegúrese de usar o ID da subscrición como se mostra na pantalla ao exportar a clave de cifraxe do HSM local. Máis información: Como xerar e transferir claves protexidas por HSM para Azure Key Vault.

Nota

Para reducir o número de pasos para que o administrador xestione o proceso clave, a clave actívase automaticamente cando se carga por primeira vez. Todas as cargas de claves posteriores necesitan un paso adicional para activar a clave.

Activar unha clave de cifraxe para un arrendatario

Unha vez xerada ou cargada unha clave de cifraxe para o arrendatario, pode activarse.

1. Inicia sesión no Power Platform centro de administración, como administrador (administrador de Dynamics 365 ou Microsoft Power Platform administrador).
2. Seleccione o separador Ambientes e, a seguir, na barra de ferramentas, seleccione Xestionar claves de cifraxe.
3. Seleccione Confirmar para recoñecer o risco de xestión da clave.
4. Seleccione unha clave que teña un estado Dispoñible e, a seguir, na barra de ferramentas, seleccione Activar clave.
5. Seleccione Confirmar para recoñecer o cambio de chave.

Ao activar unha clave para o arrendatario, o servizo de xestión de claves tarda un tempo en activala. O estado que se indica en Estado da clave mostra a clave como Instalando cando a clave nova ou que se cargou está activada. Unha vez activada a clave, ocorre o seguinte:

• Todos os ambientes cifrados automaticamente cífranse coa clave activa (non hai tempo de inactividade con esta acción).
• Cando se activa, a chave de cifrado aplicarase a todos os ambientes que se cambien de Microsoft-proporcionados a chave de cifrado autoxestionada.

Importante

Para simplificar o proceso de xestión de claves e que a mesma clave xestione todos os ambientes, a clave activa non se pode actualizar cando hai ambientes bloqueados. Todos os ambientes bloqueados deben desbloquearse antes de que se poida activar unha nova clave. Se hai ambientes bloqueados que non é necesario desbloquear, deben eliminarse.

Nota

Despois de activar unha clave de cifraxe, non poderá activar outra clave durante 24 horas.

Xestionar a cifraxe dun ambiente

De forma predeterminada, cada ambiente está cifrado coa chave de cifrado proporcionada por Microsoft. Unha vez que se activa unha clave de cifraxe para o arrendatario, os administradores poden optar por modificar a cifraxe predefinida para usar a clave de cifraxe activada. Para usar a clave activada, siga estes pasos.

Aplique a clave de cifraxe a un ambiente

1. Inicie sesión no centro de administraciónde Power Platform, empregando as credenciais da función de Administrador do ambiente ou Administrador do sistema.
2. Seleccione o separador Ambientes.
3. Abre un ambiente cifrado Microsoftproporcionado .
4. Seleccione Ver todo.
5. Na sección Cifraxe de ambientes, seleccione Xestionar.
6. Seleccione Confirmar para recoñecer o risco de xestión da clave.
7. Seleccione Aplicar esta clave para aceptar modificar a cifraxe para usar a clave activada.
8. Seleccione Confirmar para recoñecer que está a xestionar a clave directamente e que hai tempo de inactividade para esta acción.

Devolve unha clave de cifrado xestionada á chave de cifrado proporcionada por Microsoft

Volver á chave de cifrado proporcionada por Microsoftconfigura o ambiente de novo ao comportamento predeterminado onde Microsoft xestiona a clave de cifrado por ti.

1. Inicie sesión no centro de administraciónde Power Platform, empregando as credenciais da función de Administrador do ambiente ou Administrador do sistema.
2. Seleccione o separador Ambientes e, a seguir, seleccione un ambiente que estea cifrado cunha clave autoxestionada.
3. Seleccione Ver todo.
4. Na sección Cifraxe de ambientes, seleccione Xestionar e, a seguir, seleccione Confirmar.
5. En Volver á xestión de cifraxe estándar, seleccione Volver .
6. En ambientes de produción, introduza o nome do ambiente para confirmalo.
7. Seleccione Confirmar para volver á xestión de claves de cifraxe estándar.

Bloquear o arrendatario

Xa que só hai unha clave activa por arrendatario, ao bloquear a cifraxe do arrendatario, desactívanse todos os ambientes que están no arrendatario. Todos os ambientes bloqueados seguen sendo inaccesibles para todos, incluído Microsoft, ata que un Power Platform administrador da túa organización o desbloquee utilizando a chave que se utilizou para bloquealo.

Atención

Nunca debería bloquear os ambientes do arrendatario como parte do proceso de negocio normal. Cando bloqueas un Dataverse inquilino, todos os ambientes quedarán completamente fóra de liña e ninguén poderá acceder a eles, incluído Microsoft. Alén diso, todos os servizos como sincronización e mantemento detéñense. Se decide saír do servizo, o bloqueo do arrendatario pode asegurar que ninguén volva acceder aos seus datos en liña.
Teña en conta o seguinte acerca do bloqueo de ambientes do arrendatario:

• Os ambientes bloqueados non se poden restaurar a partir dunha copia de seguranza.
• Os ambientes bloqueados elimínanse se non se desbloquean despois de 28 días.
• Non pode bloquear ambientes durante 72 horas tras modificar unha clave de cifraxe.
• Ao bloquear un arrendatario, bloquéanse todos os ambientes activos nel.

Importante

• Despois de bloquear os ambientes activos, debe esperar polo menos unha hora para poder desbloquealos.
• Unha vez iniciado o proceso de bloqueo, elimínanse todas as claves de cifraxe con estado Activo ou Dispoñible. O proceso de bloqueo pode tardar até unha hora e, durante este tempo, non se permite desbloquear ambientes bloqueados.

1. Inicia sesión no Power Platform centro de administración, como administrador (administrador de Dynamics 365 ou Microsoft Power Platform administrador).
2. Seleccione o separador Ambientes e, a seguir, na barra de comandos, seleccione Xestionar claves de cifraxe.
3. Seleccione a clave Activa e, a seguir, seleccione Bloquear ambientes activos.
4. No panel dereito, seleccione Cargar clave activa, explore e seleccione a clave, introduza o contrasinal e, a seguir, seleccione Bloquear.
5. Cando se lle solicite, introduza o texto que se mostra na pantalla para confirmar que quere bloquear todos os ambientes da rexión e, a seguir, seleccione Confirmar.

Desbloquear ambientes bloqueados

Para desbloquear ambientes, primeiro debe cargar e, a seguir, activar a clave de cifraxe do arrendatario coa mesma clave que se usou para bloquear o arrendatario. Teña en conta que os ambientes bloqueados non se desbloquean automaticamente unha vez activada a clave. Os ambientes bloqueados teñen que desbloquearse individualmente.

Importante

• Despois de bloquear os ambientes activos, debe esperar polo menos unha hora para poder desbloquealos.
• O proceso de desbloqueo pode tardar até unha hora. Unha vez desbloqueada a clave, pode usala para Xestionar a cifraxe dun ambiente.
• Non pode xerar unha clave nova nin cargar unha existente até que non se desbloqueen todos os ambientes bloqueados.

Desbloquear clave de cifraxe

1. Inicia sesión no Power Platform centro de administración, como administrador (administrador de Dynamics 365 ou Microsoft Power Platform administrador).
2. Seleccione o separador Ambientes e, a seguir, seleccione Xestionar claves de cifraxe.
3. Seleccione a clave que teña un estado Bloqueado e, a seguir, na barra de comandos, seleccione Desbloquear clave.
4. Seleccione Cargar clave bloqueada, explore e seleccione a clave que se usou para bloquear o arrendatario, introduza o contrasinal e, a seguir, seleccione Desbloquear. A clave entra no estado Instalando. Para poder desbloquear os ambientes bloqueados, debe esperar até que a clave estea nun estado Activo.
5. Para desbloquear un ambiente, consulte a seguinte sección.

Desbloquear ambientes

1. Seleccione o separador Ambientes e, a seguir, seleccione o nome do ambiente bloqueado.

   Suxestión

   Non seleccione a fila. Seleccione o nome do ambiente.

2. Na sección Detalles, seleccione Ver todo para mostrar o panel Detalles á dereita.

3. Na sección de cifraxe do Ambiente do panel Detalles, seleccione Xestionar.

   

4. Na páxina Cifraxe de ambientes, seleccione Desbloquear.

   

5. Seleccione Confirmar para confirmar que quere desbloquear o ambiente.

6. Repita os pasos anteriores para desbloquear máis ambientes.

Operacións da base de datos de ambiente

Un cliente inquilino pode ter ambientes cifrados mediante a Microsoft chave xestionada e ambientes que se cifran coa clave xestionada polo cliente. Para manter a integridade e a protección dos datos, os seguintes controis están dispoñibles para a xestión de operacións de bases de datos de ambiente.

1. Restaurar O ambiente para sobrescribir (o ambiente restaurado) está restrinxido ao mesmo ambiente do que se levou a copia de seguranza ou a outro ambiente cifrado coa mesma clave xestionada polo cliente.

   

2. Copiar O ambiente que se vai sobrescribir (o ambiente copiado) está restrinxido a outro ambiente que está cifrado coa mesma clave xestionada polo cliente.

   

   Nota

   Se se creou un ambiente de investigación de asistencia para resolver o problema de asistencia nun ambiente xestionado polo cliente, a clave de cifraxe do ambiente de investigación de soporte debe cambiarse a unha clave xestionada polo cliente antes de que se poida realizar a operación de copia do ambiente.

3. Restablecer Eliminaranse os datos cifrados do contorno, incluídas as copias de seguranza. Despois de restablecer o ambiente, o cifrado do ambiente volverá á Microsoft chave xestionada.

Consulte tamén

SQL Server: Cifrado de datos transparente (TDE)