transzparens adattitkosítás for Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse egy nagyvállalati szintű relációs raktár egy Data Lake-alaprendszeren, jövőre kész architektúrával, beépített AI-vel és új funkciókkal. Ha még nem ismerkedik az adattárházakkal, kezdje a Fabric Data Warehouse-szal. A meglévő dedikált SQL-készlet számítási feladatai frissíthetők Fabric az adatelemzés, a valós idejű elemzés és a jelentéskészítés új képességeinek eléréséhez.

A következőkre vonatkozik: Dedikált Azure Synapse Analytics SQL-készletek (korábban SQL DW)

transzparens adattitkosítás (TDE) egy dedikált SQL poolt véd a rosszindulatú offline tevékenységek ellen az adatbázis-fájlok, tranzakciónaplók és a nyugalmi állapotban lévő biztonsági mentések titkosításával. A titkosítás és a visszafejtés valós időben történik, és nem igényli az alkalmazás módosítását.

Manuálisan engedélyezni kell a TDE-t egy Azure Synapse Analytics standalone dedicated SQL-készleten.

A TDE valós idejű I/O-titkosítást és az adatok visszafejtést végez az oldal szintjén. A rendszer minden lapot visszafejt, amikor beolvassa a memóriába, majd titkosítja a lemezre írás előtt. A TDE egy teljes adatbázis tárolását titkosítja az Adatbázistitkosítási kulcs (DEK) nevű szimmetrikus kulccsal. Az adatbázis indításakor a titkosított DEK visszafejthető, majd az SQL Server adatbázismotor folyamatában lévő adatbázisfájlok visszafejtésére és újratitkosítására szolgál. A TDE védő védi a DEK-et. A TDE védőelem vagy egy szolgáltatás által kezelt tanúsítvány (szolgáltatás által kezelt átlátszó adattitkosítás).

Azure Synapse-nál a TDE védelmezőt szerver szinten állítod be, és az adott szerverhez tartozó összes adatbázis örökli azt.

Megjegyzés

Ez a cikk az önálló, dedikált SQL poolokat (korábban SQL DW) tárgyalja, amelyek logikai szerveren vannak hosztolva. Dedikált SQL poolok esetén egy Synapse workspace-ben lásd: Encryption for Azure Synapse Analytics workspaces.

Hogyan működik a TDE

A TDE szimmetrikus adatbázis-titkosítási kulcs (DEK) használatával titkosítja az adatbázis oldalakat. A DEK az adatbázis boot rekordjában van tárolva, és a TDE védő védi azt. A protector egy szolgáltatás által kezelt tanúsítvány.

A logikai szerveren konfigurálod a TDE védelmet, és az adott szerveren lévő dedikált SQL poolok öröklik azt. Minden oldal visszafejtésre kerül a memóriába való beolvasásakor, és titkosításra kerül, mielőtt a tárolóra írnák.

szolgáltatás által felügyelt TDE

Az Azure-ban a TDE alapértelmezett beállítása, hogy a DEK-t egy beépített kiszolgálótanúsítvány védi. A beépített szervertanúsítvány minden egyes szerverhez egyedi, a használt titkosítási algoritmus pedig AES 256 CBC (Cipher Block Chaining) módban. Ha az adatbázis georeplikációs kapcsolatban áll, az elsődleges és a földrajzilag másodlagos adatbázisokat egyaránt az elsődleges adatbázis szülőkiszolgálójának kulcsa védi. Ha két adatbázis csatlakozik ugyanahhoz a kiszolgálóhoz, ugyanazzal a beépített tanúsítvánnyal is rendelkeznek. A Microsoft évente egyszer automatikusan elforgatja ezeket a tanúsítványokat a belső biztonsági szabályzatnak megfelelően, a gyökérkulcsot pedig egy belső Microsoft titkos kulcstároló védi. Az ügyfelek a Microsoft Adatvédelmi központban elérhető független, külső naplózási jelentésekben ellenőrizhetik, hogy az SQL Database és a felügyelt SQL-példány megfelel-e a belső biztonsági szabályzatoknak. A Microsoft a georeplikáláshoz és a visszaállításhoz szükséges kulcsokat is zökkenőmentesen mozgatja és kezeli.

Ügyfél által kezelt TDE

Az ügyfél által kezelt TDE-nél a titkosítóvédő egy aszimmetrikus kulcs, amelyet az Azure Key Vaultban vagy az Azure Key Vault Managed HSM-ben irányítasz. Ön irányítja a kulcsok létrehozását, a hozzáférési jogokat, a kulcsok rotálását, a mentést és a törlést. A kulcs nem hagyja el a kulcstárolót.

A logikai szerver kulcshoz való hozzáférésének visszavonása elérhetetlenné teszi a titkosított dedikált SQL poolokat. Védd a kulcstárolót helyreállítható törléssel, törlésvédelemmel, monitorozással és legkisebb jogosultságú hozzáféréssel.

Az Azure Synapse-nak engedélyeket kell kapnia az ügyfél tulajdonában lévő kulcstartóhoz való hozzáféréshez a DEK visszafejtéséhez és titkosításához. Ha a kiszolgáló kulcstartóhoz való engedélyeit visszavonják, az adatbázis nem lesz elérhető, és minden adat titkosítva lesz.

Követelményekért és ajánlásokért lásd: Customer-managed TDE for Azure Synapse Analytics.

transzparens adattitkosításnel védett adatbázis áthelyezése

Az Azure-beli műveletekhez nem kell visszafejtenie az adatbázisokat. A forrásadatbázis vagy az elsődleges adatbázis TDE-beállításai transzparensen öröklődnek a célon. A belefoglalt műveletek a következők:

  • Földrajzi helyreállítás
  • Önkiszolgálásos időponthoz kötött visszaállítás
  • Törölt adatbázis visszaállítása
  • Aktív georeplikáció
  • Adatbázis-másolat létrehozása

TDE-védelem alatt álló adatbázis BACPAC-fájlba való exportálásakor az adatbázis exportált tartalma nem lesz titkosítva. Ha egy meglévő üres adatbázisba importál, a titkosítás attól függ, hogy a TDE engedélyezve van-e az adott adatbázison.

Az átlátszó adattitkosítás kezelése

Azure Portal

A TDE engedélyezéséhez vagy letiltásához nyisd meg a dedikált SQL poolt az Azure portálban, válaszd ki az Átlátszó adattitkosítást, és mentsd el a szükséges állapotot. Az ügyfél által kezelt védő konfigurálásához nyisd meg a logikai kiszolgálón a Transzparens adattitkosítás elemet, és válaszd ki a kulcsot az Azure Key Vaultból. Keresse meg a TDE-beállításokat a felhasználói adatbázis alatt. Alapértelmezés szerint kiszolgálószintű titkosítási kulcsot használ. A rendszer automatikusan létrehoz egy TDE-tanúsítványt az adatbázist tartalmazó kiszolgálóhoz.

PowerShell

A TDE kezelése a PowerShell használatával.

Important

A Az modul felváltja a AzureRM-et. Minden jövőbeli fejlesztés a Az.Sql modulhoz tartozik.

A TDE PowerShellen keresztüli konfigurálásához azure-tulajdonosként, közreműködőként vagy SQL Security Managerként kell csatlakoznia.

Használja a következő Az.Sql cmdlet-eket:

cmdlet Cél
Set-AzSqlDatabaseTransparentDataEncryption Engedélyezd vagy kapcsold ki a TDE-t egy dedikált SQL pool esetén.
Get-AzSqlDatabaseTransparentDataEncryption Szerezd meg a jelenlegi TDE-állapotot.
Add-AzSqlServerKeyVaultKey Adj hozzá kulcsot a logikai szerverhez.
Get-AzSqlServerKeyVaultKey A logikai szerver számára elérhető kulcsok listázása.
Set-AzSqlServerTransparentDataEncryptionProtector Állítsd be a szerver TDE-védőjét.
Get-AzSqlServerTransparentDataEncryptionProtector Szerezd be a jelenlegi TDE védelmezőt.
Remove-AzSqlServerKeyVaultKey Távolíts el egy kulcsot a logikai szerverről.

Transact-SQL

A TDE kezelése a Transact-SQL használatával.

Csatlakozzon az adatbázishoz egy olyan bejelentkezéssel, amely rendszergazda vagy a dbmanager szerepkör tagja az master adatbázisban.

Command Description
ALTER DATABASE (Azure SQL Database) SET ENCRYPTION ON/OFF titkosítja vagy visszafejti az adatbázist
sys.dm_database_encryption_keys Egy adatbázis titkosítási állapotával és a hozzá tartozó adatbázis-titkosítási kulcsokkal kapcsolatos információkat ad vissza
sys.dm_pdw_nodes_adatbázis_titkosítás_kulcsok Adatokat ad vissza az egyes Azure Synapse-csomópontok titkosítási állapotáról és a hozzá tartozó adatbázis-titkosítási kulcsokról

Nem lehet a TDE-védelmezőt az Azure Key Vault-ból származó kulcsra váltani a Transact-SQL használatával. Használja a PowerShellt vagy az Azure Portalt.

REST API

Az alábbi SQL menedzsment erőforrások vonatkoznak a logikai szerverre és a dedikált SQL poolra.

A TDE REST API-val való konfigurálásához azure-tulajdonosként, közreműködőként vagy SQL Security Managerként kell csatlakoznia.

Használd az alábbi parancskészletet az Azure Synapse Analytics standalone dedikált SQL poolokhoz:

Command Description
Kiszolgáló létrehozása vagy frissítése Hozzáad egy identitást a Microsoft Entra-azonosítóból (korábban Azure Active Directory) egy kiszolgálóhoz. (az Azure Key Vaulthoz való hozzáférés engedélyezésére szolgál)
Kiszolgálókulcs létrehozása vagy frissítése Hozzáad egy Azure Key Vault-kulcsot egy kiszolgálóhoz.
Kiszolgálókulcs törlése Eltávolít egy Azure Key Vault-kulcsot egy kiszolgálóról.
Kiszolgálókulcsok lekérése Lekéri egy adott Azure Key Vault-kulcsot egy kiszolgálóról.
Kiszolgálókulcsok listázása kiszolgáló szerint Lekéri egy kiszolgáló Azure Key Vault-kulcsait.
Titkosítási védő létrehozása vagy frissítése Beállítja a kiszolgáló TDE-védőjének beállítását.
Titkosítási védő lekérése Megszerzi a kiszolgálóhoz tartozó TDE-védőt.
Titkosítási védők listázása kiszolgáló szerint Lekéri a kiszolgáló TDE védelmi beállításait.
Transzparens adattitkosítás konfigurációjának létrehozása vagy frissítése Engedélyezi vagy letiltja a TDE-t egy adatbázishoz.
Transzparens adattitkosítás konfigurációjának lekérése Lekéri egy adatbázis TDE-konfigurációját.
Transzparens adattitkosítás konfigurációs eredményeinek listázása Lekéri egy adatbázis titkosítási eredményét.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: