Upravljanje ključem za šifriranje

Sva okruženja servisa Microsoft Dataverse koriste transparentno šifriranje podataka (TDE) SQL poslužitelja za šifriranje podataka u stvarnom vremenu prilikom zapisivanja na disk, što se naziva i šifriranjem u mirovanju.

Prema zadanim postavkama,pohranjuje Microsoft i upravlja ključem za šifriranje baze podataka za vaša okruženja, tako da vi to ne morate. Značajka za upravljanje ključevima u centru za administratore platforme Microsoft Power Platform administratorima omogućuje samostalno upravljanje ključem za šifriranje baze podataka koji je povezan s klijentom usluge Dataverse.

Važno

• Od 2. lipnja 2023. ova se usluga nadograđuje na ključ za šifriranje kojim upravlja korisnik. Novi korisnici koji trebaju upravljati vlastitim ključem za šifriranje koristit će nadograđenu uslugu jer se ta usluga više ne nudi.
• Ključevi za šifriranje baze podataka kojima se samostalno upravlja dostupni su samo klijentima koji imaju više od 1000 licenci za Power Apps po korisniku ili više od 1000 licenci za Dynamics 365 Enterprise ili više od 1000 licenci koje su kombinacija tih dviju licenci u jednom klijentu. Da biste se prijavili za ovaj program, pošaljite zahtjev za podršku.

Upravljanje ključevima šifriranja primjenjivo je samo na baze podataka okruženja Azure SQL. Sljedeće značajke i usluge i dalje koriste Microsoft upravljani ključ za šifriranje za šifriranje svojih podataka i ne mogu se šifrirati ključem za šifriranje kojim se samostalno upravlja:

• Kopiloti i generativne značajke umjetne inteligencije u Microsoft Power Platform i Microsoft Dynamics 365
• Pretraživanje platforme Dataverse
• Elastični stolovi
• Mobile Offline
• Zapisnik aktivnosti (portal Microsoft 365)
• Exchange (sinkronizacija sa strane poslužitelja)

Napomena

• Značajka ključa za šifriranje baze podataka za samostalno upravljanje mora biti uključena Microsoft za vašeg klijenta da biste mogli koristiti značajku.
• Da biste koristili značajke upravljanja šifriranjem podataka za okruženje, okruženje se mora stvoriti nakon što Microsoft je uključena značajka ključa za šifriranje baze podataka za samostalno upravljanje.
• Nakon što je značajka uključena u vašem klijentu, sva nova okruženja stvaraju se samo s Azure SQL pohranom. Ta okruženja, bez obzira na to jesu li šifrirana ključem za donošenje vlastitog ključa (BYOK) ili Microsoft upravljanim ključem, imaju ograničenja u pogledu veličine prijenosa datoteke, ne mogu koristiti usluge Cosmos i Datalake, a indeksi Dataverse pretraživanja šifrirani su upravljanim Microsoft ključem. Da biste koristili te usluge, morate migrirati na ključ kojim upravlja korisnik.
• Datoteke i slike veličine manje od 128 MB mogu se koristiti ako je vaše okruženje verzije 9.2.21052.00103 ili novije.
• Većina postojećih okruženja ima datoteke i zapisnike pohranjene u bazama podataka koje nisu Azure SQL. U ovim okruženjima nije moguće uključiti ključ za šifriranje za samostalno upravljanje. Samo nova okruženja (nakon što ste se prijavili za ovaj program) mogu biti omogućena pomoću ključa za šifriranje za samostalno upravljanje.

Uvod u upravljanje ključem

Upravljanje ključem administratorima omogućuje postavljanje vlastitog ključa za šifriranje ili generiranje ključa za šifriranje koji se koristi za zaštitu baze podataka za određeno okruženje.

Značajka upravljanja ključem podržava PFX i BYOK datoteke ključeva za šifriranje, kao što su oni pohranjeni u modulu za sigurnost hardvera (HSM). Da biste mogli prenijeti ključ, potrebni su vam javni i privatni ključ.

Značajka upravljanja ključem pojednostavnjuje upravljanje ključem za šifriranje tako što koristi Azure Key Vault za sigurno pohranjivanje ključeva za šifriranje. Azure Key Vault olakšava čuvanje kriptografskih ključeva i tajni koje koriste aplikacije i usluge u oblaku. Značajka upravljanja ključеm ne zahtjeva pretplatu na Sef za ključeve platforme Azure i u većini slučajeva nije potreban pristup ključevima za šifriranje koji se koriste za Dataverse u sefu.

Značajka upravljanja ključem omogućuje izvođenje sljedećih zadataka.

• Omogućite mogućnost samostalnog upravljanja ključevima za šifriranje baze podataka koji su pridruženi okruženjima.

• Generirajte nove ključeve za šifriranje ili prenesite postojeće .PFX ili .BYOK datoteke ključeva za šifriranje.

• Zaključajte i otključajte okruženja klijenta.

  Upozorenje

  Dok je klijent zaključan, nitko ne može pristupiti nijednom okruženju unutar klijenta. Dodatne informacije: Zaključaj klijenta.

Mogući rizici prilikom upravljanja ključevima

Kao i u slučaju svake ključne aplikacije, osobe u vašoj tvrtki ili ustanovi koje imaju administrativan pristup moraju biti pouzdane. Da biste mogli početi koristiti značajku upravljanja ključem, morate razumjeti rizik samostalnog upravljanja ključevima za šifriranje baze podataka. Moguće je da zlonamjeran administrator (osoba kojoj je dodijeljen administratorski pristup ili ga je dobila s namjerom da našteti sigurnosti ili poslovnim procesima tvrtke ili ustanove) koji radi u vašoj tvrtki ili ustanovi koristi značajku upravljanja ključevima u svrhu stvaranja ključa kojim će zaključati sva okruženja u klijentu.

Razmislite o sljedećem slijedu događaja.

Zlonamjeran administrator prijavljuje se u centar za administratore platforme Power Platform, otvara karticu Okruženja i odabire Upravljanje ključem za šifriranje. Zlonamjerni administrator zatim stvara novi ključ s lozinkom i preuzima ključ za šifriranje na svoj lokalni pogon te aktivira novi ključ. Sada su sve baze podataka okruženja šifrirane novim ključem. Zatim zlonamjerni administrator zaključava klijenta s nedavno preuzetim ključem, a zatim preuzima ili briše preuzeti ključ za šifriranje.

Te će radnje rezultirati onemogućavanjem svih okruženja u klijentu u mrežnom pristupu i sve sigurnosne kopije baze podataka neće biti moguće obnoviti.

Važno

Radi sprječavanja zlonamjernog administratora u ometanju poslovanja zaključavanjem baze podataka značajka upravljanih ključeva sprječava zaključavanje okruženja klijenta unutar 72 sata od promjene ili aktivacije ključa za šifriranje. To znači da drugi administratori imaju do 72 sata za poništavanje neovlaštene promjene ključa.

Zahtjevi za ključ za šifriranje

Ako unesete vlastiti ključ za šifriranje, ključ mora zadovoljiti ove zahtjeve koje prihvaća Sef za ključeve platforme Azure.

• Oblik datoteke ključa za šifriranje mora biti PFX ili BYOK.
• 2048-bitni RSA.
• Vrsta RSA-HSM ključa (potreban je zahtjev za Microsoft podršku).
• PFX datoteke ključa za šifriranje moraju biti zaštićene lozinkom.

Dodatne informacije o generiranju i prijenosu ključa sa zaštitom HSM putem interneta potražite u članku Kako generirati i prenijeti ključ sa zaštitom HMS za Azure Key Vault. Podržan je samo HSM ključ dobavljača šifre je podržan. Prije generiranja HSM ključa idite u centar za administratore platforme Power Platform na prozor Upravljaj ključevima za šifriranje/Stvori novi ključ za dobivanje ID-ja pretplate za svoju regiju okruženja. Da biste stvorili ključ, morate kopirati i zalijepiti ovaj ID pretplate u svoj HSM. To će osigurati da samo naš sef za ključeve platforme Azure može otvoriti vašu datoteku.

Zadaci za upravljanje ključem

Da bi se pojednostavili ključni zadaci upravljanja, zadaci su podijeljeni na tri područja:

1. Generiranje ili prijenos ključa za šifriranje za klijenta
2. Aktiviranje ključa za šifriranje za klijenta
3. Upravljanje enkripcijom za okruženje

Administratori mogu koristiti centar za administratore servisa Power Platform ili cmdlete administracijskog modula servisa Power Platform za izvršavanje ovdje opisanih zadataka upravljanja sigurnosnim ključem klijenta.

Generirajte ili učitajte ključ za šifriranje za klijenta

Svi ključevi za šifriranje pohranjeni su u sefu za ključeve platforme Azure, a u bilo kojem trenutku može postojati samo jedan aktivni ključ. Budući da se aktivni ključ koristi za šifriranje svih okruženja u klijentu, upravljanjem šifriranjem odvija se na razini klijenta. Nakon što se ključ aktivira, tada se može odabrati svako pojedinačno okruženje koje će koristiti ključ za šifriranje.

Pomoću ovog postupka prvi put postavite značajku upravljanja ključem za okruženje ili promijenite (ili obnovite) ključ za šifriranje za klijenta koji se već samostalno upravlja.

Upozorenje

Kada prvi put izvršite ovdje opisane korake, odlučujete se samoupravljati ključevima za šifriranje. Dodatne informacije: Mogući rizici prilikom upravljanja ključevima.

1. Prijavite se u Power Platform centar za administratore kao administrator (administrator ili Microsoft Power Platform administrator sustava Dynamics 365).

2. Odaberite karticu Okruženja, a zatim na alatnoj traci odaberite Upravljaj ključevima za šifriranje.

3. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.

4. Na alatnoj traci odaberite Novi ključ.

5. U lijevom oknu završite pojedinosti za generiranje ili učitavanje ključa:

   • Odaberite Regija. Ova se mogućnost prikazuje samo ako vaš klijent ima više regija.
   • Unesite Naziv ključa.
   • Odaberite neku od sljedećih mogućnosti:
     • Da biste stvorili novi ključ, odaberite Generiraj novi (.pfx). Dodatne informacije: Generiraj novi ključ (.pfx).
     • Za korištenje vlastitog generiranog ključa odaberite Učitaj (.pfx ili .byok). Za dodatne informacije: Učitaj ključ (.pfx ili .byok).

6. Odaberite Dalje.

Generiranje novog ključa (.pfx)

1. Unesite lozinku, a zatim je ponovno unesite za potvrdu.
2. Odaberite Stvori, a zatim odaberite stvorenu obavijest o datoteci u svojem pregledniku.
3. .PFX datoteka ključa za šifriranje preuzima se u zadanu mapu za preuzimanje vašeg web-preglednika. Spremite datoteku na sigurno mjesto (preporučujemo da se za ovaj ključ izrađuje sigurnosna kopija zajedno s lozinkom).

Učitavanje ključa (.pfx ili .byok)

1. Odaberite Učitaj ključ, odaberite datoteku .pfx ili .byok¹, a zatim odaberite Otvori.
2. Unesite lozinku za ključ, a zatim kliknite Stvori.

¹ Za datoteke ključa za šifriranje .byok obavezno koristite ID pretplate prikazan na zaslonu kada izvezete ključ za šifriranje iz lokalnog HSM-a. Za dodatne informacije: Kako generirati i prenositi ključeve zaštićene HSM-om za sef za ključeve platforme Azure.

Napomena

Da bi administratori u postupku upravljanja ključem imali manji broj koraka, ključ se automatski aktivira kad se prvi put prenese. Svi naknadni prijenosi ključa zahtijevaju dodatni korak za aktiviranje ključa.

Aktivirajte ključ za šifriranje za klijenta

Kada se ključ za šifriranje generira ili učita za stanara, može se aktivirati.

1. Prijavite se u Power Platform centar za administratore kao administrator (administrator ili Microsoft Power Platform administrator sustava Dynamics 365).
2. Odaberite karticu Okruženja, a zatim na alatnoj traci odaberite Upravljaj ključevima za šifriranje.
3. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.
4. Odaberite ključ koji ima stanje Dostupno, a zatim odaberite Aktiviraj ključ na alatnoj traci.
5. Odaberite Potvrdi da biste potvrdili promjenu ključa.

Kada aktivirate ključ za stanara, potrebno je neko vrijeme da usluga upravljanja ključevima aktivira ključ. Status Stanje ključa prikazuje ključ kao Instaliranje kada se aktivira novi ili učitani ključ. Nakon što se ključ aktivira, događa se sljedeće:

• Sva šifrirana okruženja automatski se šifriraju aktivnim ključem (nema prekida s ovom radnjom).
• Kada se aktivira, ključ za šifriranje primijenit će se na sva okruženja koja su promijenjena iz Microsoft navedenog u samoupravljani ključ za šifriranje.

Važno

Da bi se pojednostavio postupak upravljanja ključevima tako da se svim okruženjima upravlja istim ključem, aktivni se ključ ne može ažurirati ako postoje zaključana okruženja. Sva zaključana okruženja moraju se otključati prije nego što se može aktivirati novi ključ. Ako postoje zaključana okruženja koja se ne trebaju otključati, moraju se izbrisati.

Napomena

Nakon što se aktivira ključ za šifriranje, ne možete aktivirati drugi ključ tijekom 24 sata.

Upravljajte šifriranjem za okruženje

Prema zadanim postavkama, svako okruženje je šifrirano priloženim Microsoft ključem za šifriranje. Nakon što se za klijenta aktivira ključ za šifriranje, administratori mogu odabrati promijeniti zadano šifriranje za korištenje aktiviranog ključa za šifriranje. Da biste koristili aktivirani ključ, slijedite ove korake.

Primijenite ključ za šifriranje na okruženje

1. Prijavite se u centar za administratore platforme Power Platform koristeći vjerodajnice za ulogu administratora okruženja ili administratora sustava.
2. Odaberite karticu Okruženja.
3. Otvorite šifrirano okruženje koje pruža Microsofta .
4. Odaberite Vidi sve.
5. U odjeljku Šifriranje okruženja, odaberite Upravljaj.
6. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.
7. Odaberite Primijeni ovaj ključ da biste prihvatili promjenu šifriranja za korištenje aktiviranog ključa.
8. Odaberite Potvrdi da potvrdite da izravno upravljate ključem i da ima prekida za ovu radnju.

Vraćanje upravljanog ključa za šifriranje na Microsoft navedeni ključ za šifriranje

Povratak na Microsoft navedeni ključ za šifriranje konfigurira okruženje natrag na zadano ponašanje gdje Microsoft upravlja ključem za šifriranje umjesto vas.

1. Prijavite se u centar za administratore platforme Power Platform koristeći vjerodajnice za ulogu administratora okruženja ili administratora sustava.
2. Odaberite karticu Okruženja, a zatim odaberite okruženje koje je šifrirano pomoću samoupravljanog ključa.
3. Odaberite Vidi sve.
4. U odjeljku Šifriranje okruženja, odaberite Upravljaj, a zatim odaberite Potvrdi.
5. Pod Povratak na standardno upravljanje šifriranjem odaberite Vrati .
6. Za proizvodna okruženja potvrdite okruženje unosom naziva okruženja.
7. Odaberite Potvrdi za povratak na standardno upravljanje ključem za šifriranje.

Zaključavanje klijenta

Budući da postoji samo jedan aktivni ključ po klijentu, zaključavanje šifriranja za klijenta onemogućuje sva okruženja koja su u klijentu. Sva zaključana okruženja ostaju nedostupna svima, uključujući Microsoft sve dok ih administrator u vašoj tvrtki ili ustanovi ne Power Platform otključa pomoću ključa koji je korišten za zaključavanje.

Oprez

Nikada ne biste smjeli zaključati okruženja klijenta kao dio uobičajenog poslovnog procesa. Kada zaključate klijenta Dataverse , sva će okruženja biti potpuno izvan mreže i nitko im neće moći pristupiti, uključujući Microsoft. Osim toga zaustavljane su i usluge kao što su sinkronizacije i održavanje. Ako odlučite napustiti uslugu, zaključavanjem klijenta može se osigurati da više nitko nikada neće pristupiti vašim mrežnim podacima.
Imajte na umu sljedeće o zaključavanju okruženja klijenta:

• Zaključana okruženja nije moguće vratiti iz sigurnosne kopije.
• Zaključana se okruženja brišu ako se nisu otključala nakon 28 dana.
• Okruženja ne možete zaključati 72 sata nakon promjene ključa za šifriranje.
• Zaključavanje klijenta zaključava sva aktivna okruženja unutar klijenta.

Važno

• Morate pričekati najmanje jedan sat nakon zaključavanja aktivnih okruženja da biste ih mogli otključati.
• Nakon što započne proces zaključavanja, svi se ključevi za šifriranje s aktivnim ili dostupnim stanjem brišu. Postupak zaključavanja može potrajati do sat vremena, a za to vrijeme nije dopušteno otključavanje zaključanih okruženja.

1. Prijavite se u Power Platform centar za administratore kao administrator (administrator ili Microsoft Power Platform administrator sustava Dynamics 365).
2. Odaberite karticu Okruženja, a zatim na naredbenoj traci odaberite Upravljaj ključevima za šifriranje.
3. Odaberite ključ Aktivan, a zatim odaberite Zaključaj aktivna okruženja.
4. U desnom oknu odaberite Učitaj aktivni ključ, potražite i odaberite ključ, unesite lozinku, a zatim odaberite Zaključaj.
5. Kada se to od vas zatraži, unesite tekst koji se prikazuje na zaslonu da biste potvrdili da želite zaključati sva okruženja u regiji, a zatim odaberite Potvrdi.

Otključavanje zaključanih okruženja

Za otključavanje okruženja najprije morate učitati i aktivirati ključ za šifriranje klijenta s istim ključem koji je bio korišten za zaključavanje klijenta. Imajte na umu da se zaključana okruženja ne otključavaju automatski nakon što se ključ aktivira. Svako zaključano okruženje mora se otključati pojedinačno.

Važno

• Morate pričekati najmanje jedan sat nakon zaključavanja aktivnih okruženja da biste ih mogli otključati.
• Proces otključavanja može potrajati do sat vremena. Nakon otključavanja ključa, možete ga koristiti za Upravljanje šifriranjem za okruženje.
• Ne možete generirati novi ili učitati postojeći ključ dok se ne otključaju sva zaključana okruženja.

Otključavanje ključa za šifriranje

1. Prijavite se u Power Platform centar za administratore kao administrator (administrator ili Microsoft Power Platform administrator sustava Dynamics 365).
2. Odaberite karticu Okruženja, a zatim odaberite Upravljaj ključevima za šifriranje.
3. Odaberite ključ koji ima stanje Zaključano, a zatim na naredbenoj traci odaberite Otključaj ključ.
4. Odaberite Učitaj zaključani ključ, potražite i odaberite ključ koji je korišten za zaključavanje klijenta, unesite lozinku, a zatim odaberite Otključaj. Ključ prelazi u stanje Instaliranje. Morate pričekati dok ključ ne bude u stanju Aktivan prije nego što možete otključati zaključana okruženja.
5. Da biste otključali okruženje, pogledajte sljedeći odjeljak.

Otključavanje okruženja

1. Odaberite karticu Okruženja, a zatim odaberite naziv zaključanog okruženja.

   Savjet

   Nemojte odabrati redak. Odaberite naziv okruženja.

2. U odjeljku Pojedinosti, odaberite Vidi sve za prikaz okna Pojedinosti s desne strane.

3. U odjeljku za šifriranje Okruženja u oknu Pojedinosti odaberite Upravljaj.

   

4. Na stranici Šifriranje okruženja odaberite Otključaj.

   

5. Odaberite Potvrdi za potvrdu da želite otključati okruženje.

6. Ponovite prethodne korake za otključavanje dodatnih okruženja.

Operacije baze podataka u okruženju

Klijent klijenta može imati okruženja koja su šifrirana pomoću upravljanog Microsoft ključa i okruženja koja su šifrirana ključem kojim upravlja klijent. Za održavanje integriteta podataka i zaštite podataka dostupne su sljedeće kontrole za upravljanje operacijama u bazi podataka okruženja.

1. Vraćanje Okruženje za prebrisivanje (vraćeno u okruženje) ograničeno je na isto okruženje iz kojeg je sigurnosna kopija preuzeta ili u drugo okruženje koje je šifrirano istim ključem kojim upravlja korisnik.

   

2. Kopiraj Okruženje za prebrisivanje (kopirano u okruženje) ograničeno je na drugo okruženje koje je šifrirano istim ključem kojim upravlja klijent.

   

   Napomena

   Ako je za rješavanje problema s podrškom u okruženju kojim upravlja klijent stvoreno okruženje za podršku istrazi, ključ za šifriranje za okruženje za podršku istrazi mora se promijeniti u ključ kojim upravlja klijent prije nego što se može izvršiti operacija kopiranja okruženja.

3. Reset: šifrirani podaci okruženja bit će izbrisani, uključujući sigurnosne kopije. Nakon resetiranja okruženja, šifriranje okruženja vratit će se na upravljani Microsoft ključ.

Pogledajte

SQL Server: transparentna enkripcija podataka (TDE)