Gestire la chiave di crittografia
Tutti gli ambienti di Microsoft Dataverse usano SQL Server Transparent Data Encryption (TDE) per eseguire la crittografia dei dati in tempo reale se scritti su disco, detta anche crittografia in inattività.
Per impostazione predefinita, Microsoft archivia e gestisce la chiave di crittografia degli ambienti al posto tuo. La funzionalità di gestione delle chiavi nell'interfaccia di amministrazione di Microsoft Power Platform offre agli amministratori la possibilità di gestire autonomamente la chiave di crittografia dei database associata al tenant Dataverse.
Importante
- A partire dal 2 giugno 2023, questo servizio verrà aggiornato alla chiave di crittografia gestita dal cliente. I nuovi clienti che devono gestire la propria chiave di crittografia utilizzeranno il servizio aggiornato poiché questo servizio non è più offerto.
- Le chiavi di crittografia del database autogestito sono disponibili solo per i clienti che hanno più di 1000 licenze Power Apps per utente o più di 1000 licenze Dynamics 365 Enterprise o più di 1000 licenze da una combinazione di entrambe in un singolo tenant. Per aderire a questo programma, invia una richiesta di supporto.
La gestione della chiave di crittografia è applicabile solo ai database dell'ambiente SQL di Azure. Le seguenti funzionalità e servizi continuano a utilizzare la chiave di codifica gestita da Microsoft per crittografare i dati e non possono essere crittografati con la chiave di crittografia auto gestita:
- Copiloti e funzionalità di intelligenza artificiale generativa in Microsoft Power Platform e Microsoft Dynamics 365
- Ricerca di Dataverse
- Tabelle elastiche
- CRM Mobile Offline
- Log attivitò (portale di Microsoft 365)
- Exchange (sincronizzazione lato server)
Nota
- La funzionalità della chiave di crittografia del database auto gestito deve essere attivata da Microsoft per il tenant prima di poterla utilizzare.
- Per utilizzare le funzionalità di gestione della crittografia dei dati per un ambiente, è necessario creare l'ambiente dopo che Microsoft ha attivato la funzionalità di gestione automatica della chiave di crittografia del database da parte Microsoft.
- Il supporto di file e immagini con dimensioni < 128 MB può essere abilitato se la versione dell'ambiente è la numero 9.2.21052.00103 o successiva.
- La maggior parte degli ambienti esistenti ha file e log archiviati in database SQL non di Azure. Questi ambienti non possono essere utilizzati per la chiave di crittografia gestita automaticamente. Solo i nuovi ambienti (dopo aver eseguito la registrazione a questo programma) possono essere abilitati con la chiave di crittografia gestita automaticamente.
Introduzione alla gestione delle chiavi
Con la gestione delle chiavi, gli amministratori possono fornire una propria chiave di crittografia o generare automaticamente una chiave di crittografia utilizzata per proteggere il database per un ambiente
La funzionalità di gestione delle chiavi supporta i file di chiave di crittografia BYOK e PFX, ad esempio quelli archiviati in un modulo di sicurezza dell'hardware (HSM). Per utilizzare la chiave di crittografia di caricamento sono necessarie chiavi di crittografia pubbliche e private.
La funzionalità di gestione delle chiavi elimina la complessità della gestione delle chiavi di crittografia usando Azure Key Vault per archiviare in modo sicuro le chiavi di crittografia. Azure Key Vault aiuta a salvaguardare le chiavi di crittografia e i segreti usati dalle applicazioni e dai servizi cloud. La funzionalità di gestione delle chiavi non richiede una sottoscrizione di Azure Key Vault e per la maggior parte delle situazioni non è necessario accedere alle chiavi di crittografia utilizzate per Dataverse all'interno del vault.
La funzionalità di gestione delle chiavi ti consente di eseguire le attività seguenti.
Abilitare l'autogestione delle chiavi di crittografia dei database associate agli ambienti.
Generare nuove chiavi di crittografia o caricare file di chiave di crittografia esistenti con estensione BYOK o PFX.
Bloccare e sbloccare gli ambienti del tenant.
Avviso
Mentre un tenant è bloccato, tutti gli ambienti nel tenant non sono accessibili da alcuno. Ulteriori informazioni: Bloccare il tenant.
Informazioni sul rischio potenziale derivato dalla gestione delle chiavi
Come per qualsiasi applicazione aziendale critica, il personale dell'organizzazione con l'accesso a livello di amministratore deve essere considerato affidabile. Prima di utilizzare la funzionalità di gestione delle chiavi, è importante comprendere il rischio derivato dalla gestione delle chiavi di crittografia dei database. È immaginabile che un amministratore scorretto (una persona a cui è assegnato o dispone dell'accesso a livello di amministratore con l'intenzione di nuocere alla sicurezza o ai processi aziendali di un'organizzazione) che opera nell'organizzazione può utilizzare la funzionalità di gestione delle chiavi per creare una chiave e utilizzarla per bloccare tutti gli ambienti del tenant.
Considera la seguente serie di eventi.
L'amministratore malintenzionato accede all'interfaccia di amministrazione di Power Platform, passa alla scheda Ambienti e seleziona Gestisci chiave di crittografia. L'amministratore malintenzionato quindi crea una nuova chiave con una password e scarica la chiave di crittografia nella sua unità locale e attiva la nuova chiave. Ora tutti i database dell'ambiente sono crittografati con la nuova chiave. Successivamente, l'amministratore malintenzionato blocca il tenant con la chiave appena scaricata e quindi si appropria o elimina la chiave di crittografia scaricata.
Queste azioni comporteranno la disabilitazione di tutti gli ambienti nel tenant dall'accesso online e renderanno tutti i backup di database non repristinabili.
Importante
Per impedire all'amministratore malintenzionato di interrompere le operazioni aziendali bloccando il database, la funzionalità delle chiavi gestite non consente il blocco degli ambienti del tenant per le 72 successive alla modifica o all'attivazione della chiave di crittografia. Questo offre agli altri amministratori fino a 72 ore per eseguire il rollback dei cambi di chiave non autorizzati.
Requisiti delle chiavi di crittografia
Se fornisci una tua chiave di crittografia, la chiave deve soddisfare questi requisiti che sono accettati da Azure Key Vault.
- Il formato di file della chiave di crittografia deve essere PFX o BYOK.
- RSA a 2.048-bit.
- Tipo di chiave RSA-HSM (richiede una richiesta di supporto Microsoft).
- I file di chiave di crittografia PFX devono essere protetti da password.
Per ulteriori informazioni sulla generazione e sul trasferimento di una chiave protetta da HSM in Internet, vedi Come generare e trasferire le chiavi protette da HSM per l'insieme di credenziali delle chiavi di Azure. Solo la chiave HSM del fornitore nCipher è supportata. Prima di generare la chiave HSM, vai alla finestra Gestisci chiavi di crittografia/Crea nuova chiave dell'interfaccia di amministrazione di Power Platform per ottenere l'ID sottoscrizione per l'area geografica dell'ambiente. Devi copiare e incollare questo ID sottoscrizione nel tuo HSM per creare la chiave. Ciò garantirà che solo Azure Key Vault possa aprire il file.
Attività di gestione delle chiavi
Per semplificare le attività di gestione delle chiavi, le attività vengono suddivise in tre aree:
- Generare o caricare la chiave di crittografia per un tenant
- Attivare una chiave di crittografia per un tenant
- Gestire la crittografia per un ambiente
Gli amministratori possono utilizzare i cmdlet interfaccia di amministrazione di Power Platform o modulo di amministrazione di Power Platform per eseguire le attività di gestione delle chiavi di protezione del tenant descritte qui.
Generare o caricare la chiave di crittografia per un tenant
Tutte le chiavi di crittografia vengono archiviate in Azure Key Vault e può esserci una sola chiave attiva alla volta. Poiché la chiave attiva viene utilizzato per crittografare tutti gli ambienti nel tenant, gestire la crittografia avviene a livello di tenant. Dopo aver attivato la chiave, ogni singolo ambiente può quindi essere selezionato per utilizzare la chiave per la crittografia.
Utilizza questa procedura per impostare la funzionalità di gestione delle chiavi per la prima volta per un ambiente o per modificare (o alternare) una chiave di crittografia per un ambiente già autogestito.
Avviso
Quando si esegue i passaggi qui descritti per la prima volta, si acconsente esplicitamente all'autogestione delle chiavi di crittografia. Altre informazioni: Informazioni sul rischio potenziale derivato dalla gestione delle chiavi.
Accedi all'interfaccia di amministrazione di Power Platform come amministratore (amministratore di Dynamics 365, amministratore globale o amministratore di Microsoft Power Platform).
Selezionare la scheda Ambienti e quindi sulla barra degli strumenti selezionare Gestisci chiavi di crittografia.
Selezionare Conferma per accettare il rischio di gestione delle chiavi.
Nella barra degli strumenti selezionare Nuova chiave.
Nel riquadro sinistro, completare i dettagli per generare o caricare una chiave:
- Selezionare un'area: Questa opzione è disponibile solo se il tenant è multiarea.
- Immettere un Nome chiave.
- Scegli una delle seguenti opzioni:
- Per creare una nuova chiave selezionare Genera nuovo (.pfx). Ulteriori informazioni: Generare una nuova chiave (.pfx).
- Per utilizzare la chiave generata, selezionare Carica (.pfx o .byok). Ulteriori informazioni: Caricare una chiave (.pfx o .byok).
Seleziona Avanti.
Generare una nuova chiave (.pfx)
- Digitare una password e quindi immettere nuovamente la password per confermare.
- Selezionare Crea e quindi selezionare la notifica di creazione del file nel browser.
- Il file della chiave di crittografia .PFX viene scaricato nella cartella di download predefinita del Web browser. Salvare il file in una posizione sicura (è consigliabile che della chiave venga eseguito un backup con relativa password).
Caricare una chiave (.pfx o .byok)
- Selezionare Carica la chiave, selezionare il file .pfx o .byok1 e quindi selezionare Apri.
- Immetti la password per la chiave e quindi fai clic su Crea.
1 Per i file della chiave di crittografia BYOK, accertati di utilizzare l'ID sottoscrizione come illustrato sullo schermo quando esporti la chiave di crittografia dal modulo di protezione hardware locale. Ulteriori informazioni: Come generare e trasferire chiavi con protezione HSM per Azure Key Vault.
Nota
Per ridurre il numero di passaggi per amministratore per gestire il processo chiave, la chiave viene automaticamente attivata quando viene caricata per la prima volta. Tutti i successivi caricamenti di chiavi richiedono un passaggio aggiuntivo per attivare la chiave.
Attivare una chiave di crittografia per un tenant
Dopo che una chiave di crittografia viene generata o caricata per il tenant, può essere attivata.
- Accedi all'interfaccia di amministrazione di Power Platform come amministratore (amministratore di Dynamics 365, amministratore globale o amministratore di Microsoft Power Platform).
- Selezionare la scheda Ambienti e quindi sulla barra degli strumenti selezionare Gestisci chiavi di crittografia.
- Selezionare Conferma per accettare il rischio di gestione delle chiavi.
- Selezionare una chiave con stato Disponibile e quindi selezionare Attiva chiave nella barra degli strumenti.
- Seleziona Conferma per accettare la modifica della chiave.
Quando si attiva una chiave per il tenant, ci vuole del tempo prima che il servizio di gestione delle chiavi attivi la chiave. Lo stato Stato della chiave visualizza la chiave come Installazione quando la chiave nuova o caricata è attivata. Una volta che la chiave viene attivata, accade quanto segue:
- Tutti gli ambienti crittografati vengono automaticamente crittografati con la chiave attiva (non ci sono tempi di inattività con questa azione).
- Una volta attivata, la chiave di crittografia viene applicata a tutti gli ambienti che sono cambiati da chiave di crittografia fornita da Microsoft a chiave di crittografia autogestita.
Importante
Per semplificare il processo di gestione delle chiavi in modo che tutti gli ambienti vengono gestiti dalla stessa chiave, la chiave attiva non può essere aggiornata se ci sono ambienti bloccati. Tutti gli ambienti bloccati devono essere sbloccati prima di poter attivare una nuova chiave. Se ci sono ambienti bloccati che non devono essere sbloccati, devono essere eliminati.
Nota
Dopo che una chiave di crittografia è attivata, non è possibile attivare un altra chiave per 24 ore.
Gestire la crittografia per un ambiente
Per impostazione predefinita, ogni ambiente è crittografato con la chiave di crittografia fornita da Microsoft. Dopo che una chiave di crittografia è attivata per il tenant, gli amministratori possono può scegliere di cambiare la crittografia predefinita e utilizzare la chiave di crittografia attivata. Per utilizzare la chiave attivata, eseguire la procedura seguente.
Applicare la chiave di crittografia in un ambiente
- Accedi all'interfaccia di amministrazione di Power Platform utilizzando le credenziali del ruolo di amministratore di ambiente o amministratore di sistema.
- Fare clic sulla scheda Ambienti.
- Aprire un ambiente crittografato fornito da Microsoft.
- Seleziona Vedi tutto.
- Nella sezione Crittografia ambiente, selezionare Gestisci.
- Selezionare Conferma per accettare il rischio di gestione delle chiavi.
- Selezionare Applica questa chiave per accettare la modifica di crittografia per utilizzare la chiave attivata.
- Selezionare Conferma per accettare che si sta gestendo direttamente la chiave e che esiste un tempo di inattività per questa azione.
Riportare una chiave di crittografia gestita alla chiave di crittografia fornita da Microsoft
Ritornare alla chiave di crittografia fornita da Microsoft configura l'ambiente di nuovo sul comportamento predefinito dove Microsoft gestisce la chiave di crittografia per l'utente.
- Accedi all'interfaccia di amministrazione di Power Platform utilizzando le credenziali del ruolo di amministratore di ambiente o amministratore di sistema.
- Selezionare la scheda Ambienti e quindi selezionare un ambiente crittografato con una chiave autogestita.
- Seleziona Vedi tutto.
- Nella sezione Crittografia ambiente, selezionare Gestisci e quindi Conferma.
- In Tornare alla gestione della chiave di crittografia standard selezionare Torna.
- Per gli ambienti di produzione, confermare l'ambiente immettendo il nome dell'ambiente.
- per tornare alla gestione della chiave di crittografia standard selezionare Conferma.
Bloccare il tenant
Poiché esiste una sola chiave attiva per tenant, bloccare la crittografia per il tenant disabilita tutti gli ambienti nel tenant. Tutti gli ambienti bloccati rimangono inaccessibili a chiunque, tra cui Microsoft, finché un amministratore di Power Platform non li sblocca utilizzando la chiave usata per bloccarli.
Attenzione
Non bloccare mai gli ambienti del tenant nell'ambito del processo aziendale normale. Quando si blocca un tenant Dataverse, tutti gli ambienti verranno messi completamente offline e non possono essere accessibili da nessuno, inclusa Microsoft. Inoltre, i servizi ad esempio di sincronizzazione e manutenzione vengono tutti arrestati. Se si decide di lasciare il servizio, bloccare il tenant può garantire che i dati online non siano accessibili mai più da nessuno.
Notare quanto segue sul blocco degli ambienti del tenant:
- Gli ambienti bloccati non possono essere ripristinati da un backup.
- Gli ambienti bloccati vengono eliminati se non è sbloccati dopo 28 giorni.
- Non è possibile bloccare ambienti per 72 ore dopo la modifica della chiave di crittografia.
- Il blocco di un tenant blocca tutti gli ambienti attivi nel tenant.
Importante
- È necessario attendere almeno ora dopo il blocco degli ambienti attivi prima che sia possibile sbloccarli.
- Una volta iniziato il processo di blocco, tutte le chiavi di crittografia con stato Attivo o Disponibile vengono eliminate. Il processo di blocco potrebbe richiedere fino a un'ora e durante questo tempo sbloccare gli ambienti bloccati non è consentito.
- Accedi all'interfaccia di amministrazione di Power Platform come amministratore (amministratore di Dynamics 365, amministratore globale o amministratore di Microsoft Power Platform).
- Selezionare la scheda Ambienti e quindi sulla barra dei comandi selezionare Gestisci chiavi di crittografia.
- Selezionare la chiave Attiva e quindi selezionare Blocca ambienti attivi.
- Nel riquadro destro selezionare Carica chiave attiva, individuare e selezionare la chiave, digitare la password e quindi selezionare Blocca.
- Quando viene richiesto, digitare il testo visualizzate sullo schermo per confermare che si desidera bloccare tutti gli ambienti nell'area e quindi selezionare Conferma.
Sbloccare ambienti bloccati
Per sbloccare gli ambienti innanzitutto occorre caricare e quindi attivare la chiave di crittografia del tenant con la stessa chiave usata per bloccare il tenant. Si noti che gli ambienti bloccati non vengono sbloccati automaticamente una volta che la chiave è stata attivato. Ogni ambiente bloccato deve essere sbloccato singolarmente.
Importante
- È necessario attendere almeno ora dopo il blocco degli ambienti attivi prima che sia possibile sbloccarli.
- Il processo di sblocco può richiedere fino a un'ora. Una volta sbloccata la chiave, la si può usare per Gestire la crittografia per un ambiente.
- Non è possibile generare una nuova chiave o caricare una chiave esistente finché tutti gli ambienti bloccati non vengono sbloccati.
Sbloccare la chiave di crittografia
- Accedi all'interfaccia di amministrazione di Power Platform come amministratore (amministratore di Dynamics 365, amministratore globale o amministratore di Microsoft Power Platform).
- Selezionare la scheda Ambienti e quindi selezionare Gestisci chiavi di crittografia.
- Selezionare una chiave con stato Bloccato e quindi selezionare Sblocca chiave nella barra dei comandi.
- Selezionare Carica chiave bloccata, individuare e selezionare la chiave usata per bloccare il tenant, digitare la password e quindi selezionare Sblocca. La chiave entra in stato Installazione. È necessario attendere finché la chiave è in stato Attivo prima di poter sbloccare gli ambienti bloccati.
- Per sbloccare un ambiente, vedere la sezione successiva.
Sbloccare gli ambienti
Selezionare la scheda ambienti, quindi selezionare il nome dell'ambiente bloccato.
Suggerimento
Non selezionare la riga. Selezionare il nome dell'ambiente.
Nella sezione Dettagli, selezionare Vedi tutto per visualizzare il riquadro Dettagli a destra.
Nella sezione Crittografia ambiente nel riquadro Dettagli selezionare Gestisci.
Nella pagina Crittografia ambiente, selezionare Sblocca.
Selezionare Conferma per confermare che si vuole sbloccare l'ambiente .
Ripetere i passaggi precedenti per sbloccare gli altri ambienti.
Operazioni del database di ambienti
Un tenant cliente può avere ambienti crittografati utilizzando la chiave gestita da Microsoft e ambienti crittografati con la chiave gestita dal cliente. Per mantenere l'integrità e la protezione dei dati, sono disponibili i seguenti controlli durante la gestione delle operazioni del database di ambiente.
Ripristina L'ambiente da sovrascrivere (ripristinato nell'ambiente) è limitato allo stesso ambiente da cui è stato eseguito il backup o ad un altro ambiente crittografato con la stessa chiave gestita dal cliente.
Copia L'ambiente da sovrascrivere (l'ambiente in cui si è copiato) è limitato a un altro ambiente crittografato con la stessa chiave gestita dal cliente.
Nota
Se è stato creato un ambiente di investigazione del supporto per risolvere il problema di supporto in un ambiente gestito dal cliente, la chiave di crittografia per l'ambiente di investigazione del supporto deve essere cambiata in chiave gestita dal cliente prima di poter eseguire l'operazione di copia dell'ambiente.
Reimposta I dati crittografati dell'ambiente verranno eliminati inclusi i backup. Dopo il ripristino dell'ambiente, la crittografia dell'ambiente tornerà alla chiave gestita da Microsoft.