Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Microsoft Discovery crittografa i dati del sistema e del cliente inattivi usando le funzionalità di crittografia della piattaforma Azure. La crittografia dei dati inattivi consente di proteggere i dati archiviati da accessi non autorizzati e viene abilitata automaticamente per le risorse di individuazione Microsoft.
Questo articolo illustra i dati crittografati, i modelli di gestione delle chiavi disponibili e quando è possibile usare chiavi gestite dal cliente anziché le chiavi predefinite gestite da Microsoft.
Quali dati vengono crittografati a riposo
I dati persistenti di Microsoft Discovery vengono crittografati prima di essere scritti nell'archiviazione. Questa protezione si applica automaticamente e in modo trasparente ai dati forniti dal cliente e ai metadati del servizio archiviati dalla piattaforma.
La crittografia dei dati inattivi è abilitata per impostazione predefinita e non richiede la configurazione a meno che non si scelgano chiavi gestite dal cliente per una risorsa supportata.
Opzioni di gestione delle chiavi
Microsoft Discovery supporta i modelli di gestione delle chiavi di crittografia seguenti:
- Chiavi gestite da Microsoft (impostazione predefinita): Microsoft Discovery utilizza chiavi gestite da Microsoft. La piattaforma gestisce la generazione di chiavi, l'archiviazione, la protezione e la rotazione. Non è necessaria alcuna azione da parte del cliente.
- Chiavi gestite dacustomer (CMK): Le risorse di individuazione Microsoft supportate possono usare una chiave creata e gestita in Azure Key Vault. Questo modello offre un maggiore controllo sulle operazioni chiave del ciclo di vita, ad esempio rotazione e revoca.
Le chiavi gestite dal cliente sono supportate per le risorse Bookshelf, Supercomputer e Workspace.
Importante
Le chiavi gestite dal cliente vengono configurate al momento della creazione della risorsa. Dopo aver creato la risorsa, non è possibile passare tra chiavi gestite Microsoft e chiavi gestite dal cliente per tale risorsa.
Confrontare chiavi gestite da Microsoft e chiavi gestite dal cliente
Usare la tabella seguente per comprendere la differenza tra le due opzioni di gestione delle chiavi.
| Modello di gestione delle chiavi | Impostazione predefinita | Azione del cliente richiesta | Ambito supportato |
|---|---|---|---|
| chiavi gestite da Microsoft | Sì | No | Tutti i tenant di Microsoft Discovery |
| Chiavi gestite dal cliente | No | Sì. È possibile configurare Azure Key Vault, una chiave di crittografia e un'identità gestita. | Risorse Libreria, Supercomputer e Spazio di Lavoro |
Microsoft chiavi gestite sono la scelta giusta quando si vuole che la crittografia sia inattiva senza alcuna configurazione aggiuntiva. Le chiavi gestite dal cliente sono utili quando l'organizzazione richiede il controllo diretto sulla chiave di crittografia usata per proteggere le risorse di individuazione Microsoft supportate.
Controlli di accesso e isolamento delle chiavi
La crittografia dei dati a riposo funziona insieme ai controlli di identità e di accesso per proteggere i dati archiviati.
- Le chiavi di crittografia non sono accessibili agli operatori del servizio, ai tecnici o al personale di supporto.
- L'accesso ai dati crittografati è regolato dall'autenticazione Microsoft Entra ID, dal controllo degli accessi in base al ruolo di Azure (Azure RBAC) e dalle identità gestite per la comunicazione da servizio a servizio.
- La progettazione segue i principi dei privilegi minimi e della separazione dei compiti.
Considerazioni sulla responsabilità condivisa
La criptazione dei dati inattivi consente di proteggere i dati archiviati, ma non elimina tutti i rischi per la sicurezza. Ad esempio, la crittografia dei dati inattivi non protegge da:
- Credenziali compromesse
- Controlli di accesso non configurati correttamente
- Vulnerabilità a livello di applicazione
I clienti rimangono responsabili della governance delle identità, del controllo degli accessi e della protezione dei dati lato client prima di essere inseriti in Microsoft Discovery.