Adattitkosítás az Azure DocumentDB-ben

Az Azure DocumentDB által kezelt összes adat mindig titkosítva van. Ezek az adatok tartalmazzák az összes rendszer- és felhasználói adatbázist, ideiglenes fájlt, naplót és biztonsági mentést.

Inaktív titkosítás szolgáltatás által felügyelt kulccsal (SMK) vagy ügyfél által felügyelt kulccsal (CMK)

Az Azure DocumentDB két adattitkosítási módot támogat inaktív állapotban: a szolgáltatás által felügyelt kulcsokat (SMK) és az ügyfél által felügyelt kulcsokat (CMK). Az Azure DocumentDB alapértelmezett módja a szolgáltatás által felügyelt kulcsokkal történő adattitkosítás. Ebben a módban a szolgáltatás automatikusan kezeli az adatok titkosításához használt titkosítási kulcsokat. Ebben a módban nem kell semmilyen műveletet elvégeznie a titkosítás engedélyezéséhez vagy kezeléséhez.

Az ügyfél által felügyelt kulcsok módban saját titkosítási kulcsot használhat az adatok titkosításához. Ha megad egy ügyfél által kezelt kulcsot, az a kulcs védi és szabályozza a hozzáférést ahhoz a kulcshoz, amely az adatait titkosítja. Az ügyfél által felügyelt kulcsok nagyobb rugalmasságot biztosítanak a hozzáférés-vezérlés kezeléséhez. Saját Azure Key Vaultot kell üzembe helyeznie, és konfigurálnia kell az Azure DocumentDB-fürt által használt titkosítási kulcsok tárolására.

A konfigurációs mód csak a fürt létrehozásakor választható ki. A fürt teljes élettartama alatt nem lehet egyik üzemmódról a másik üzemmódra váltani.

Az adatok titkosításának eléréséhez az Azure DocumentDB az Azure Storage kiszolgálóoldali titkosítását használja a inaktív adatokhoz. A CMK használatakor Ön felel az Adatok titkosításához és visszafejtéséhez szükséges kulcsok biztosításáért az Azure Storage-szolgáltatásokban. Ezeket a kulcsokat az Azure Key Vaultban kell tárolni.

Az egyes módok (SMK vagy CMK) által biztosított előnyök

Az Azure DocumentDB szolgáltatás által felügyelt kulcsaival rendelkező adattitkosítás a következő előnyöket nyújtja:

  • A szolgáltatás automatikusan és teljes mértékben szabályozza az adathozzáférést.
  • A szolgáltatás automatikusan és teljes mértékben szabályozza a kulcs életciklusát, beleértve a kulcs elforgatását is.
  • Nem kell aggódnia az adattitkosítási kulcsok kezelése miatt.
  • A szolgáltatás által felügyelt kulcsokon alapuló adattitkosítás nem befolyásolja negatívan a számítási feladatok teljesítményét.
  • Leegyszerűsíti a titkosítási kulcsok kezelését (beleértve azok rendszeres rotálását), valamint a kulcsokhoz való hozzáféréshez használt identitások kezelését.

Az Azure DocumentDB ügyfél által felügyelt kulcsaival történő adattitkosítás a következő előnyöket nyújtja:

  • Teljes mértékben szabályozhatja az adathozzáférést. Az adatbázis elérhetetlenné tétele érdekében visszavonhat egy kulcsot.
  • Teljes mértékben szabályozhatja egy kulcs életciklusát, hogy igazodjon a vállalati szabályzatokhoz.
  • Központilag kezelheti és rendszerezheti az összes titkosítási kulcsot az Azure Key Vault saját példányaiban.
  • Az ügyfél által felügyelt kulcsokon alapuló adattitkosítás nem befolyásolja hátrányosan a számítási feladatok teljesítményét.
  • A biztonsági tisztviselők, az adatbázis-rendszergazdák és a rendszergazdák közötti feladatok elkülönítését valósíthatja meg.

CMK-követelmények

Az ügyfél által kezelt titkosítási kulccsal ön vállal minden felelősséget a CMK működéséhez szükséges, megfelelően konfigurált összetevők fenntartásáért. Ezért saját Azure Key Vaultot kell üzembe helyeznie, és meg kell adnia egy felhasználó által hozzárendelt felügyelt identitást. Saját kulcsot kell létrehoznia vagy importálnia. Meg kell adnia a szükséges engedélyeket a Key Vaulton, hogy az Azure DocumentDB végre tudja hajtani a kulcson a szükséges műveleteket. Gondoskodnia kell arról, hogy konfigurálja annak az Azure Key Vaultnak az összes hálózati aspektusát, amelyben a kulcs található, hogy az Azure DocumentDB-példány hozzáférhessen a kulcshoz. A kulcshoz való hozzáférés naplózása szintén az Ön feladata.

Amikor ügyfél által felügyelt kulcsokat konfigurál egy Azure DocumentDB for MonogDB-fürthöz, az Azure Storage a fiók legfelső szintű adattitkosítási kulcsát (DEK) a társított kulcstartóban lévő ügyfél által felügyelt kulccsal burkolja. A gyökértitkosítási kulcs védelme megváltozik, de az Azure Storage-fiókban lévő adatok mindig titkosítva maradnak. Az adatok titkosításának biztosításához nincs szükség további műveletekre. Az ügyfél által felügyelt kulcsokkal történő védelem azonnal érvénybe lép.

Az Azure Key Vault egy felhőalapú, külső kulcskezelő rendszer. Magas rendelkezésre állású, és skálázható, biztonságos tárterületet biztosít az RSA titkosítási kulcsokhoz. Nem teszi lehetővé a tárolt kulcs közvetlen elérését, de titkosítási és visszafejtési szolgáltatásokat biztosít az engedélyezett entitások számára. A Key Vault képes létrehozni, importálni vagy fogadni a kulcsot egy helyszíni HSM-eszközről.

Az alábbiakban felsoroljuk az Azure DocumentDB adattitkosítási konfigurációjára vonatkozó követelményeket és javaslatokat:

Key Vault

A CMK beállításához használt kulcstárnak meg kell felelnie a következő követelményeknek:

  • A Key Vaultnak és az Azure DocumentDB-nek ugyanahhoz a Microsoft Entra-bérlőhöz kell tartoznia.
  • Javaslat: Állítsa a Napok beállítást a Key Vault törölt tárolóinak megőrzéséhez90 napra. Ez a konfigurációs beállítás csak Key Vault létrehozásakor határozható meg. A példány létrehozása után nem lehet módosítani ezt a beállítást.
  • Engedélyezze a soft-delete Key Vault szolgáltatását az adatvesztés elleni védelemhez, ha véletlenül törölnek egy kulcsot vagy egy kulcstartópéldányt. A Key Vault 90 napig megőrzi a helyreállíthatóan törölt erőforrásokat, kivéve, ha a felhasználó addig helyreállítja vagy törli őket. A helyreállítási és törlési műveletek saját engedélyekkel rendelkeznek egy kulcstárhoz, egy szerepköralapú hozzáférés-vezérlési (RBAC) szerepkörhöz vagy hozzáférési szabályzati engedélyhez. A helyreállíthatóan törölt funkció alapértelmezés szerint be van kapcsolva. Ha van egy kulcstárolója, amit már régen telepítettek, előfordulhat, hogy a visszaállítható törlés nincs engedélyezve. Ebben az esetben bekapcsolhatja.
  • Engedélyezze a törlés elleni védelmet, hogy kötelezően érvényesítse a törölt tárolók és tárolóobjektumok megőrzési idejét.
  • A hálózati elérést konfigurálja úgy, hogy a fürt hozzáférjen a titkosítási kulcshoz a kulcstartárban. Használja az alábbi konfigurációs beállítások egyikét:
    • A nyilvános hozzáférés engedélyezése az összes hálózatról lehetővé teszi, hogy az interneten lévő összes hoszt hozzáférjen a kulcsszéfhez.
    • Válassza a Nyilvános hozzáférés letiltása és Megbízható Microsoft-szolgáltatások engedélyezése a tűzfal megkerüléséhez lehetőségeket, hogy letilthassa az összes nyilvános hozzáférést, de engedélyezhesse a fürt számára a kulcstartó elérését.

Titkosítási kulcs

A CMK-konfigurációhoz kiválasztott titkosítási kulcsnak meg kell felelnie a következő követelményeknek:

  • Az adattitkosítási kulcs titkosításához használt kulcs csak aszimmetrikus, RSA vagy RSA-HSM lehet. A 2048, 3072 és 4096-os kulcsméretek támogatottak.
    • Javaslat: Használjon 4096 bites kulcsot a jobb biztonság érdekében.
  • A kulcsaktiválás dátumának és időpontjának (ha be van állítva) a múltban kell lennie. A lejárat dátumának és időpontjának (ha be van állítva) a jövőben kell lennie.
  • A kulcsnak engedélyezve kell lennie.
  • Ha egy meglévő kulcsot importál az Azure Key Vaultba, adja meg a támogatott fájlformátumokban (.pfx.byokvagy .backup).

Permissions

Adjon hozzáférést az Azure DocumentDB felhasználó által hozzárendelt felügyelt identitásának a titkosítási kulcshoz:

  • Előnyben részesített: Az Azure Key Vaultot RBAC-engedélymodellel kell konfigurálni, és a felügyelt identitáshoz hozzá kell rendelni a Key Vault titkosítási szolgáltatás titkosítási felhasználói szerepkörét.
  • Örökölt: Ha az Azure Key Vault Access-szabályzatengedély-modellel van konfigurálva, adja meg a következő engedélyeket a felügyelt identitáshoz:
    • get: A kulcs tulajdonságainak és nyilvános részének lekérése a Key Vaultban.
    • lista: A key vaultban tárolt kulcsok felsorolása és iterálása.
    • wrapKey: Az adattitkosítási kulcs titkosítása.
    • unwrapKey: Az adattitkosítási kulcs visszafejtése.

CMK-kulcs verziófrissítései

Az Azure DocumentDB-ben a CMK támogatja az automatikus kulcsverzió-frissítéseket, más néven verzió nélküli kulcsokat. Az Azure DocumentDB szolgáltatás automatikusan felveszi az új kulcsverziót, és újra titkosítja az adattitkosítási kulcsot. Ez a funkció kombinálható az Azure Key Vault autorotation funkciójával.

Considerations

Ha ügyfél által felügyelt kulcsot használ az adattitkosításhoz, kövesse az alábbi javaslatokat a Key Vault konfigurálásához:

Megjegyzés:

Miután a Nyilvános hozzáférés letiltása és a Megbízható Microsoft-szolgáltatások engedélyezése a tűzfal megkerülésére lehetőséget választotta, a következőhöz hasonló hibaüzenet jelenhet meg, amikor nyilvános hozzáféréssel próbálja felügyelni a Key Vaultot a portálon keresztül: "Engedélyezte a hálózati hozzáférés-vezérlést. Csak az engedélyezett hálózatok férhetnek hozzá ehhez a kulcstárhoz. Ez a hiba nem akadályozza meg a kulcsok megadását az ügyfél által kezelt kulcsbeállítás során, vagy a kulcsok lekérését a kulcstárból a fürtműveletek során.

  • Őrizze meg az ügyfélkulcs egy példányát biztonságos helyen, vagy helyezze el egy letéti szolgáltatásban.
  • Ha a Key Vault létrehozza a kulcsot, hozzon létre egy biztonsági másolatot a kulcs első használata előtt. A biztonsági mentést csak a Key Vaultba állíthatja vissza.

Kapcsolódó tartalom

  • Last updated on