Hapus Transparent Data Encryption protector di Azure Synapse Analytics

Tip

Microsoft Fabric Data Warehouse adalah gudang relasional skala perusahaan pada fondasi data lake, dengan arsitektur siap masa depan, AI bawaan, dan fitur baru. Jika Anda baru menggunakan pergudangan data, mulailah dengan Fabric Data Warehouse. Beban kerja kumpulan SQL terdedikasi yang ada dapat ditingkatkan ke Fabric untuk mengakses kemampuan baru di seluruh ilmu data, analitik waktu nyata, dan pelaporan.

Berlaku untuk: Kumpulan SQL khusus Azure Synapse Analytics (sebelumnya SQL DW)

Gunakan prosedur ini ketika pelindung TDE yang dikelola pelanggan mungkin terkompromi. Rotasikan ke pelindung kunci baru sebelum menghapus atau menonaktifkan kunci lama agar pool SQL khusus tetap dapat diakses.

Caution

Menghapus atau menonaktifkan pelindung TDE aktif membuat setiap pool SQL khusus yang bergantung padanya menjadi tidak dapat diakses. Tinjau rencana respons insiden dan persyaratan retensi cadangan sebelum menghapus kunci.

Note

Artikel ini membahas pool SQL khusus mandiri (sebelumnya SQL DW). Untuk pool SQL khusus di workspace Synapse, lihat Enkripsi untuk workspace Azure Synapse Analytics.

Menghapus kunci tidak membuat salinan kunci tersebut yang sebelumnya dicadangkan atau dipulihkan ke Key Vault lain menjadi tidak valid. Lindungi dan inventarisasi setiap salinan sebagai bagian dari respons insiden.

Prerequisites

Anda harus memiliki langganan Azure dan menjadi admin pada langganan tersebut.
Anda harus memiliki Azure PowerShell yang diinstal dan bekerja.
Anda harus mampu mengelola server logis, izin Key Vault, dan kunci.
Instal Azure PowerShell atau Azure CLI.
- Untuk instruksi instalasi modul Az, lihat Instal Azure PowerShell. Gunakan modul Azure PowerShell Az baru.
- Untuk penginstalan, lihat Menginstal Azure CLI.
Tinjau TDE yang dikelola pelanggan untuk Azure Synapse Analytics dan Rotasi pelindung TDE.
Artikel ini mengasumsikan bahwa Anda sudah menggunakan kunci dari Azure Key Vault sebagai pelindung TDE untuk Azure Synapse. Lihat Customer-managed TDE untuk Azure Synapse Analytics untuk mempelajari lebih lanjut.

Periksa thumbprint pelindung TDE

Langkah-langkah berikut menjelaskan cara memeriksa sidik jari pelindung TDE yang masih digunakan oleh Virtual Log Files (VLF) dari database tertentu.

Jalankan kueri berikut untuk menemukan sidik jari pelindung TDE saat ini untuk database dan ID database:

SELECT [database_id],
       [encryption_state],
       [encryptor_type], /*asymmetric key means Azure Key Vault, certificate means service-managed keys*/
       [encryptor_thumbprint]
 FROM [sys].[dm_database_encryption_keys]

Jalankan query berikut untuk mengembalikan VLF dan sidik jari pelindung TDE yang digunakan. Setiap thumbprint yang berbeda merujuk pada kunci yang berbeda di Azure Key Vault:

SELECT * FROM sys.dm_db_log_info (database_id)

Atau, Anda dapat menggunakan PowerShell atau Azure CLI:

Perintah PowerShell Get-AzSqlServerKeyVaultKey menyediakan thumbprint pelindung TDE yang digunakan dalam kueri, sehingga Anda dapat melihat kunci mana yang harus disimpan dan mana yang harus dihapus di Azure Key Vault. Hanya kunci yang tidak lagi digunakan database yang dapat dihapus dengan aman dari Azure Key Vault.
Perintah az sql server key show Azure CLI menyediakan sidik jari pelindung TDE yang digunakan dalam kueri, sehingga Anda dapat melihat kunci mana yang harus disimpan dan mana yang harus dihapus di Azure Key Vault. Hanya kunci yang tidak lagi digunakan database yang dapat dihapus dengan aman dari Azure Key Vault.

Jaga agar sumber daya terenkripsi tetap dapat diakses

PowerShell

Buat kunci baru di Azure Key Vault. Pastikan Anda membuat kunci baru ini di Key Vault yang terpisah dari pelindung TDE yang berpotensi terkompromi, karena kontrol akses disediakan di tingkat vault.

Tambahkan kunci baru ke server menggunakan cmdlet Add-AzSqlServerKeyVaultKey dan Set-AzSqlServerTransparentDataEncryptionProtector , lalu perbarui sebagai pelindung TDE baru server.

# add the key from Azure Key Vault to the server  
Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>

# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> `
    -ServerName <LogicalServerName> -Type AzureKeyVault -KeyId <KeyVaultKeyId>

Pastikan server dan replika apa pun diperbarui ke pelindung TDE baru dengan menggunakan cmdlet Get-AzSqlServerTransparentDataEncryptionProtector .

Note

Mungkin perlu waktu beberapa menit agar pelindung TDE baru menyebar ke semua database dan database sekunder di bawah server.
```
Get-AzSqlServerTransparentDataEncryptionProtector -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>
```

Ambil cadangan kunci baru di Azure Key Vault.

# -OutputFile parameter is optional; if removed, a file name is automatically generated.
Backup-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName> -OutputFile <DesiredBackupFilePath>

Hapus kunci yang dikompromikan dari Azure Key Vault dengan menggunakan cmdlet Remove-AzKeyVaultKey.
```
Remove-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName>
```
Untuk memulihkan kunci ke Azure Key Vault di masa mendatang, gunakan cmdlet Restore-AzKeyVaultKey .
```
Restore-AzKeyVaultKey -VaultName <KeyVaultName> -InputFile <BackupFilePath>
```

Azure CLI

Untuk referensi perintah, lihat Keyvault Azure CLI.

Buat kunci baru di Azure Key Vault. Pastikan Anda membuat kunci baru ini di brankas kunci terpisah dari pelindung TDE yang berpotensi terkompromi, karena kontrol akses disediakan di tingkat brankas.

Tambahkan kunci baru ke server dan perbarui sebagai pelindung TDE baru dari server.

# add the key from Azure Key Vault to the server  
az sql server key create --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>

# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <KeyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>

Pastikan server dan replika apa pun diperbarui ke pelindung TDE baru.

Note

Mungkin perlu waktu beberapa menit agar pelindung TDE baru menyebar ke semua database dan database sekunder di bawah server.
```
az sql server tde-key show --resource-group <SQLDatabaseResourceGroupName> --server <LogicalServerName>
```

Ambil cadangan kunci baru di Azure Key Vault.

# --file parameter is optional; if removed, a file name is automatically generated.
az keyvault key backup --file <DesiredBackupFilePath> --name <KeyVaultKeyName> --vault-name <KeyVaultName>

Hapus kunci yang disusupi dari Azure Key Vault.

az keyvault key delete --name <KeyVaultKeyName> --vault-name <KeyVaultName>

Pulihkan kunci ke Azure Key Vault nantinya.

az keyvault key restore --file <BackupFilePath> --vault-name <KeyVaultName>

Jadikan sumber daya terenkripsi tidak dapat diakses

Hapus database yang menggunakan kunci yang berpotensi terkompromi untuk enkripsi.

Sistem secara otomatis mencadangkan database dan file log, sehingga Anda dapat melakukan pemulihan database ke suatu titik waktu kapan saja (selama Anda menyediakan kunci). Hapus database sebelum Anda menghapus pelindung TDE yang aktif untuk menghindari potensi kehilangan data hingga 10 menit transaksi terbaru.
Cadangkan materi utama pelindung TDE di Azure Key Vault.
Hapus kunci yang berpotensi disusupi dari Azure Key Vault.

Note

Mungkin butuh sekitar 10 menit agar perubahan izin berlaku untuk Key Vault. Jangka waktu ini mencakup pencabutan izin akses ke protektor TDE di AKV, dan pengguna mungkin masih memiliki izin akses.

Saran dan Komentar

Apakah halaman ini membantu?

Terakhir diperbarui pada 2026-10-08