Compartir por

Xestionar a clave de cifraxe

  • Artigo

Todos os ambientes de Microsoft Dataverse utilizan Cifraxe de datos transparente (TDE) de SQL Server Transparent Data Encryption (TDE) para realizar cifraxe de datos cando se escriben no disco, tamén coñecido como cifraxe en descanso.

Por defecto, Microsoft almacena e xestiona as claves de cifraxe da base de datos para os ambientes, de xeito que non ten que facelo vostede. A funcionalidade de xestión de claves do centro de administración de Microsoft Power Platform permítelle aos administradores xestionar eles mesmos a clave de cifraxe da base de datos que está asociada ao arrendatario de Dataverse.

Importante

  • A partir do 2 de xuño de 2023, este servizo actualízase a chave de cifrado xestionada polo cliente. Os novos clientes que necesiten xestionar a súa propia clave de cifrado utilizarán o servizo actualizado xa que este servizo xa non se ofrece.
  • As claves de cifraxe de bases de datos autoxestionadas só están dispoñibles para clientes que teñan máis de 1000 licenzas de Power Apps por usuario ou máis de 1000 licenzas de Dynamics 365 Enterprise, ou máis de 1000 licenzas dunha combinación dos dous ou dun arrendatario. Para subscribirse a este programa, envíe unha solicitude de asistencia técnica.

A xestión de claves de cifraxe só se aplica ás bases de datos do ambiente de Azure SQL. As seguintes funcións e servizos seguen a usar a clave de cifrado xestionada por Microsoft para cifrar os seus datos e non se poden cifrar coa clave de cifrado autoxestionada:

Nota

  • Microsoft debe activar a función de clave de cifraxe da base de datos de autoxestión para o seu inquilino antes de poder utilizar a función.
  • Para empregar as funcións de xestión de cifrado de datos para un ambiente, débese crear o ambiente despois de que Microsoft active a característica de clave de cifrado da base de datos.
  • Despois de activar a función no teu arrendatario, todos os novos ambientes créanse só co almacenamento de Azure SQL. Estes ambientes, independentemente de se están cifrados con traer a túa propia clave (BYOK) ou cunha clave xestionada por Microsoft, teñen restricións co tamaño de carga de ficheiros, non poden usar os servizos Cosmos e Datalake e Dataverse Os índices de busca están cifrados cunha clave xestionada por Microsoft. Para utilizar estes servizos, debes migrar á chave xestionada polo cliente.
  • Pódense usar ficheiros e Imaxes con tamaños inferiores a 128 MB se o seu entorno é a versión 9.2.21052.00103 ou superior.
  • A maioría dos ambientes existentes teñen ficheiros e rexistros almacenados en bases de datos SQL non de Azure. Non se poden activar estes ambientes coa clave de cifrado autoxestionada. Só se poden habilitar novos contornos (unha vez que se rexistrou neste programa) coa clave de cifrado autoxestionada.

Introdución á xestión de chaves

Coa xestión de claves, os administradores poden proporcionar a súa propia clave de cifraxe ou ter unha clave de cifraxe xerada para eles, que se usa para protexer a base de datos dun ambiente.

A funcionalidade de xestión de chaves admite ficheiros de chave de cifraxe de PFX e BYOK, tales como os que se almacenan nun módulo de seguranza de hardware (HSM). Para utilizar a opción de carga de chave de cifraxe, precisará a chave de cifraxe pública e a privada.

A funcionalidade de xestión de chaves facilita a xestión de chave de cifraxe utilizando Azure Key Vault para almacenar de forma segura as chaves de cifraxe. Azure Key Vault axuda a protexer as chaves de cifraxe e secretas utilizados por servizos e aplicacións na nube. A funcionalidade de xestión de claves non require que teña unha subscrición de Azure Key Vault e para a maioría das situacións non é preciso acceder ás claves de cifraxe utilizadas para Dataverse dentro da caixa forte.

A funcionalidade de xestión de cahves permite realizar as seguintes tarefas.

  • Activar a capacidade de autoxestionar as claves de cifraxe da base de datos asociadas cos ambientes.

  • Xerar novas chaves de cifraxe ou cargar os ficheiros de chave de cifraxe .PFX ou .BYOK existentes.

  • Bloquear e desbloquear ambientes do arrendatario.

    Aviso

    Mentres un arrendatario está bloqueado, ninguén pode acceder a ningún ambiente do arrendatario. Máis información: Bloquear o arrendatario.

Comprender os riscos potenciais da xestión de chaves

Como con calquera aplicación empresarial importante, o persoal da súa organización que teña acceso de nivel administrativo debe ser de confianza. Antes de utilizar a funcionalidade de xestión de chaves, debe comprender os riscos relacionados coa xestión de chaves de cifraxe da base de datos. É posible que un administrador malintencionado (unha persoa con acceso de nivel de administrador que ten a intención de danar os procesos empresariais ou de seguranza dunha organización) que traballa na súa organización utilice a funcionalidade de xestión de claves para crear unha clave e utilizala para bloquear todos os ambientes do arrendatario.

Teña en conta a seguinte secuencia de eventos.

O administrador malicioso inicia sesión no centro de administración de Power Platform, vai ao separador Ambientes e selecciona Xestionar a clave de cifraxe. O administrador malintencionado crea unha nova clave cun contrasinal, descarga a clave de cifraxe na súa unidade local e activa a nova clave. Agora todas as bases de datos do ambiente están cifradas coa nova clave. A continuación, o administrador malintencionado bloquea o arrendatario coa clave descargada recentemente e despois quita ou elimina a clave de cifraxe descargada.

Estas accións terán como resultado a desactivación do acceso en liña a todos os ambientes do arrendatario e fará que todas as copias de seguranza da base de datos non se poidan restaurar.

Importante

Para evitar que o administrador malintencionado interrompa as operacións empresariais bloqueando a base de datos, a funcionalidade de claves xestionadas non permite que os ambientes do arrendatario se bloqueen 72 horas despois de modificar ou activar a clave de cifraxe. Isto fornece ata 72 horas para que outros administradores poidan reverter as modificacións de clave non autorizadas.

Requirimentos para a chave de cifraxe

Se fornece as súas propias chaves de cifraxe, a chave debe cumprir estes requisitos aceptados por Azure Key Vault.

  • O formato de ficheiro da chave de cifraxe debe ser PFX ou BYOK.
  • RSA de 2048 bits.
  • Tipo de clave RSA-HSM (require unha solicitude de soporte de Microsoft).
  • Os ficheiros de chave de cifraxe PFX deben estar protexidos con contrasinal.

Para obter máis información sobre como xerar e transferir unha clave protexida por HSM en internet, consulte Como xerar e transferir claves protexidas por HSM para o almacén de claves de Azure. Só a clave do HSM do provedor de nCipher é compatible. Antes de xerar a súa clave de HSM, vaia ao centro de administración de Power Platform, xanela Xestionar claves de cifraxe/Crear nova clave para obter o ID da subscrición para a rexión do seu contorno. Debe copiar e pegar este ID de subscrición no seu HSM para crear a clave. Isto garantirá que só o Azure Key Vault poida abrir o seu ficheiro.

Tarefas de xestión de chaves

Para simplificar as tarefas de xestión de claves, ditas tarefas divídense en tres áreas:

  1. Xerar ou cargar a clave de cifraxe para un arrendatario
  2. Activar unha clave de cifraxe para un arrendatario
  3. Xestionar a cifraxe dun ambiente

Os administradores poden usar o centro de administración de Power Platform ou os cmdlets de módulo de administración de Power Platform para realizar as tarefas de xestión de claves de protección de arrendatarios descritas aquí.

Xerar ou cargar a clave de cifraxe para un arrendatario

Todas as claves de cifraxe almacénanse en Azure Key Vault e só pode haber unha clave activa en calquera momento. Dado que a clave activa se usa para cifrar todos os ambientes do arrendatario, a xestión da cifraxe realízase a nivel de arrendatario. Unha vez que a clave está activada, cada ambiente individual pode seleccionarse para usar a clave para a cifraxe.

Use este procedemento para definir a funcionalidade de xestión de claves a primeira vez para un ambiente ou para modificar (ou substituír) unha clave de cifraxe para un arrendatario que xa está autoxestionado.

Aviso

Ao realizar os pasos descritos aquí por primeira vez, opta por participar na autoxestión das claves de cifraxe. Máis información: Comprender os riscos potenciais da xestión de claves.

  1. Inicie sesión no centro de administración de Power Platform, como administrador (administrador de Dynamics 365, administrador global ou administrador de Microsoft Power Platform).

  2. Seleccione o separador Ambientes e, a seguir, na barra de ferramentas, seleccione Xestionar claves de cifraxe.

  3. Seleccione Confirmar para recoñecer o risco de xestión da clave.

  4. Na barra de ferramentas, seleccione Nova clave.

  5. No panel esquerdo, completa os detalles para xerar ou cargar unha clave:

    • Seleccione unha Rexión. Esta opción só se mostra se o arrendatario ten varias rexións.
    • Escriba un Nome de clave.
    • Escolla unha das seguintes opcións:

  6. Seleccione Seguinte.

Xerar unha nova clave (.pfx)

  1. Insira un contrasinal e volva introducilo para confirmar.
  2. Seleccione Creare, a seguir, seleccione a notificación do ficheiro que se creou no explorador.
  3. O ficheiro .PFX da clave de cifraxe descárgase no cartafol de descarga predefinido do explorador web. Garde o ficheiro nunha localización segura (recoméndase facer unha copia de seguranza desta clave xunto co seu contrasinal).

Cargar unha clave (.pfx ou .byok)

  1. Seleccione Cargar a clave, despois, o ficheiro .pfx ou .byok1 e, a seguir, Abrir.
  2. Escriba o contrasinal para a clave e, a seguir, seleccione Crear.

1 Para os ficheiros .byok de clave de cifraxe, asegúrese de usar o ID da subscrición como se mostra na pantalla ao exportar a clave de cifraxe do HSM local. Máis información: Como xerar e transferir claves protexidas por HSM para Azure Key Vault.

Nota

Para reducir o número de pasos para que o administrador xestione o proceso clave, a clave actívase automaticamente cando se carga por primeira vez. Todas as cargas de claves posteriores necesitan un paso adicional para activar a clave.

Activar unha clave de cifraxe para un arrendatario

Unha vez xerada ou cargada unha clave de cifraxe para o arrendatario, pode activarse.

  1. Inicie sesión no centro de administración de Power Platform, como administrador (administrador de Dynamics 365, administrador global ou administrador de Microsoft Power Platform).
  2. Seleccione o separador Ambientes e, a seguir, na barra de ferramentas, seleccione Xestionar claves de cifraxe.
  3. Seleccione Confirmar para recoñecer o risco de xestión da clave.
  4. Seleccione unha clave que teña un estado Dispoñible e, a seguir, na barra de ferramentas, seleccione Activar clave.
  5. Seleccione Confirmar para recoñecer o cambio de chave.

Ao activar unha clave para o arrendatario, o servizo de xestión de claves tarda un tempo en activala. O estado que se indica en Estado da clave mostra a clave como Instalando cando a clave nova ou que se cargou está activada. Unha vez activada a clave, ocorre o seguinte:

  • Todos os ambientes cifrados automaticamente cífranse coa clave activa (non hai tempo de inactividade con esta acción).
  • Cando está activada, a clave de cifraxe aplícase a todos os ambientes que se modifican de clave de cifraxe proporcionada por Microsoft a clave de cifraxe autoxestionada.

Importante

Para simplificar o proceso de xestión de claves e que a mesma clave xestione todos os ambientes, a clave activa non se pode actualizar cando hai ambientes bloqueados. Todos os ambientes bloqueados deben desbloquearse antes de que se poida activar unha nova clave. Se hai ambientes bloqueados que non é necesario desbloquear, deben eliminarse.

Nota

Despois de activar unha clave de cifraxe, non poderá activar outra clave durante 24 horas.

Xestionar a cifraxe dun ambiente

Por defecto, cada ambiente está cifrado coa clave de cifraxe proporcionada por Microsoft. Unha vez que se activa unha clave de cifraxe para o arrendatario, os administradores poden optar por modificar a cifraxe predefinida para usar a clave de cifraxe activada. Para usar a clave activada, siga estes pasos.

Aplique a clave de cifraxe a un ambiente

  1. Inicie sesión no centro de administraciónde Power Platform, empregando as credenciais da función de Administrador do ambiente ou Administrador do sistema.
  2. Seleccione o separador Ambientes.
  3. Abra un ambiente cifrado proporcionado por Microsoft.
  4. Seleccione Ver todo.
  5. Na sección Cifraxe de ambientes, seleccione Xestionar.
  6. Seleccione Confirmar para recoñecer o risco de xestión da clave.
  7. Seleccione Aplicar esta clave para aceptar modificar a cifraxe para usar a clave activada.
  8. Seleccione Confirmar para recoñecer que está a xestionar a clave directamente e que hai tempo de inactividade para esta acción.

Converter unha clave de cifraxe xestionada á clave de cifraxe proporcionada por Microsoft

Ao volver á clave de cifraxe proporcionada por Microsoft, o ambiente volve configurarse no comportamento predefinido segundo o que Microsoft xestiona a clave de cifraxe polo usuario.

  1. Inicie sesión no centro de administraciónde Power Platform, empregando as credenciais da función de Administrador do ambiente ou Administrador do sistema.
  2. Seleccione o separador Ambientes e, a seguir, seleccione un ambiente que estea cifrado cunha clave autoxestionada.
  3. Seleccione Ver todo.
  4. Na sección Cifraxe de ambientes, seleccione Xestionar e, a seguir, seleccione Confirmar.
  5. En Volver á xestión de cifraxe estándar, seleccione Volver .
  6. En ambientes de produción, introduza o nome do ambiente para confirmalo.
  7. Seleccione Confirmar para volver á xestión de claves de cifraxe estándar.

Bloquear o arrendatario

Xa que só hai unha clave activa por arrendatario, ao bloquear a cifraxe do arrendatario, desactívanse todos os ambientes que están no arrendatario. Todos os ambientes bloqueados quedan inaccesibles para todos, incluído Microsoft, até que un administrador de Power Platform da súa organización a desbloquea, utilizando a clave que se usou para bloqueala.

Atención

Nunca debería bloquear os ambientes do arrendatario como parte do proceso de negocio normal. Ao bloquear un arrendatario de Dataverse, todos os ambientes pasarán a estar sen conexión e ninguén poderá acceder a eles, incluído Microsoft. Alén diso, todos os servizos como sincronización e mantemento detéñense. Se decide saír do servizo, o bloqueo do arrendatario pode asegurar que ninguén volva acceder aos seus datos en liña.
Teña en conta o seguinte acerca do bloqueo de ambientes do arrendatario:

  • Os ambientes bloqueados non se poden restaurar a partir dunha copia de seguranza.
  • Os ambientes bloqueados elimínanse se non se desbloquean despois de 28 días.
  • Non pode bloquear ambientes durante 72 horas tras modificar unha clave de cifraxe.
  • Ao bloquear un arrendatario, bloquéanse todos os ambientes activos nel.

Importante

  • Despois de bloquear os ambientes activos, debe esperar polo menos unha hora para poder desbloquealos.
  • Unha vez iniciado o proceso de bloqueo, elimínanse todas as claves de cifraxe con estado Activo ou Dispoñible. O proceso de bloqueo pode tardar até unha hora e, durante este tempo, non se permite desbloquear ambientes bloqueados.
  1. Inicie sesión no centro de administración de Power Platform, como administrador (administrador de Dynamics 365, administrador global ou administrador de Microsoft Power Platform).
  2. Seleccione o separador Ambientes e, a seguir, na barra de comandos, seleccione Xestionar claves de cifraxe.
  3. Seleccione a clave Activa e, a seguir, seleccione Bloquear ambientes activos.
  4. No panel dereito, seleccione Cargar clave activa, explore e seleccione a clave, introduza o contrasinal e, a seguir, seleccione Bloquear.
  5. Cando se lle solicite, introduza o texto que se mostra na pantalla para confirmar que quere bloquear todos os ambientes da rexión e, a seguir, seleccione Confirmar.

Desbloquear ambientes bloqueados

Para desbloquear ambientes, primeiro debe cargar e, a seguir, activar a clave de cifraxe do arrendatario coa mesma clave que se usou para bloquear o arrendatario. Teña en conta que os ambientes bloqueados non se desbloquean automaticamente unha vez activada a clave. Os ambientes bloqueados teñen que desbloquearse individualmente.

Importante

  • Despois de bloquear os ambientes activos, debe esperar polo menos unha hora para poder desbloquealos.
  • O proceso de desbloqueo pode tardar até unha hora. Unha vez desbloqueada a clave, pode usala para Xestionar a cifraxe dun ambiente.
  • Non pode xerar unha clave nova nin cargar unha existente até que non se desbloqueen todos os ambientes bloqueados.
Desbloquear clave de cifraxe
  1. Inicie sesión no centro de administración de Power Platform, como administrador (administrador de Dynamics 365, administrador global ou administrador de Microsoft Power Platform).
  2. Seleccione o separador Ambientes e, a seguir, seleccione Xestionar claves de cifraxe.
  3. Seleccione a clave que teña un estado Bloqueado e, a seguir, na barra de comandos, seleccione Desbloquear clave.
  4. Seleccione Cargar clave bloqueada, explore e seleccione a clave que se usou para bloquear o arrendatario, introduza o contrasinal e, a seguir, seleccione Desbloquear. A clave entra no estado Instalando. Para poder desbloquear os ambientes bloqueados, debe esperar até que a clave estea nun estado Activo.
  5. Para desbloquear un ambiente, consulte a seguinte sección.
Desbloquear ambientes

  1. Seleccione o separador Ambientes e, a seguir, seleccione o nome do ambiente bloqueado.

    Suxestión

    Non seleccione a fila. Seleccione o nome do ambiente. Abre o ambiente para ver a configuración.

  2. Na sección Detalles, seleccione Ver todo para mostrar o panel Detalles á dereita.

  3. Na sección de cifraxe do Ambiente do panel Detalles, seleccione Xestionar.

    Panel de detalles da contorna.

  4. Na páxina Cifraxe de ambientes, seleccione Desbloquear.

    Desbloquear o ambiente.

  5. Seleccione Confirmar para confirmar que quere desbloquear o ambiente.

  6. Repita os pasos anteriores para desbloquear máis ambientes.

Operacións da base de datos de ambiente

Un arrendatario do cliente pode ter ambientes cifradas mediante a clave xestionada por Microsoft e ambientes cifrados coa clave xestionada polo cliente. Para manter a integridade e a protección dos datos, os seguintes controis están dispoñibles para a xestión de operacións de bases de datos de ambiente.

  1. Restaurar O ambiente a sobrescribir (restaurado no ambiente) está restrinxido ao mesmo ambiente do que foi tomada a copia de seguranza ou a outro ambiente que se cifrou coa mesma clave xestionada polo cliente.

    Restaurar copia de seguridade.

  2. Copiar O ambiente a sobrescribir (o copiado no ambiente) está restrinxido a outro ambiente que está cifrado coa mesma clave xestionada polo cliente.

    Copiar entorno.

    Nota

    Se se creou un ambiente de investigación de asistencia para resolver o problema de asistencia nun ambiente xestionado polo cliente, a clave de cifraxe do ambiente de investigación de soporte debe cambiarse a unha clave xestionada polo cliente antes de que se poida realizar a operación de copia do ambiente.

  3. Restablecer Os datos cifrados do ambiente eliminaranse, incluídas as copias de seguranza. Unha vez restablecido o ambiente, a cifraxe do ambiente volverá á clave xestionada por Microsoft.

Consulte tamén

SQL Server: Cifrado de datos transparente (TDE)