Partilhar via


Criar servidor configurado com identidade gerenciada atribuída pelo usuário e CMK entre locatários para TDE

Aplica-se a:Banco de Dados SQL do Azure

Neste guia, passaremos pelas etapas para criar um servidor lógico SQL do Azure com criptografia de dados transparente (TDE) e chaves gerenciadas pelo cliente (CMK), utilizando uma identidade gerenciada atribuída pelo usuário para acessar um Cofre de Chaves do Azure em um locatário do Microsoft Entra diferente do locatário do servidor lógico. Para obter mais informações, consulte Chaves gerenciadas pelo cliente entre locatários com criptografia de dados transparente.

Nota

Microsoft Entra ID é o novo nome para o Azure Ative Directory (Azure AD). Estamos atualizando a documentação neste momento.

Pré-requisitos

Recursos necessários no primeiro locatário

Para o propósito deste tutorial, assumiremos que o primeiro locatário pertence a um fornecedor independente de software (ISV) e o segundo locatário é de seu cliente. Para obter mais informações sobre esse cenário, consulte Chaves gerenciadas pelo cliente entre locatários com criptografia de dados transparente.

Antes de podermos configurar o TDE para o Banco de Dados SQL do Azure com uma CMK entre locatários, precisamos ter um aplicativo Microsoft Entra multilocatário configurado com uma identidade gerenciada atribuída pelo usuário atribuída como uma credencial de identidade federada para o aplicativo. Siga um dos guias nos Pré-requisitos.

  1. No primeiro locatário onde você deseja criar o Banco de Dados SQL do Azure, crie e configure um aplicativo Microsoft Entra multilocatário

  2. Criar uma identidade gerenciada atribuída pelo usuário

  3. Configurar a identidade gerenciada atribuída pelo usuário como uma credencial de identidade federada para o aplicativo multilocatário

  4. Registre o nome e a ID do aplicativo. Isso pode ser encontrado no portal>do Azure Microsoft Entra ID>Enterprise aplicativos e procurar o aplicativo criado

Recursos necessários no segundo locatário

  1. No segundo locatário onde o Cofre da Chave do Azure reside, crie uma entidade de serviço (aplicativo) usando a ID do aplicativo registrado do primeiro locatário. Aqui estão alguns exemplos de como registrar o aplicativo multilocatário. Substitua <TenantID> e pela ID do locatário do cliente da ID do Microsoft Entra e <ApplicationID> pela ID do aplicativo multilocatário, respectivamente:

    • PowerShell:

      Connect-AzureAD -TenantID <TenantID>
      New-AzADServicePrincipal  -ApplicationId <ApplicationID>
      
    • A CLI do Azure:

      az login --tenant <TenantID>
      az ad sp create --id <ApplicationID>
      
  2. Vá para os aplicativos Microsoft Entra ID>Enterprise do portal>do Azure e procure o aplicativo que acabou de ser criado.

  3. Crie um Cofre da Chave do Azure se não tiver um e crie uma chave

  4. Crie ou defina a política de acesso.

    1. Selecione as permissões Get, Wrap Key, Unwrap Key em Permissões de chave ao criar a política de acesso
    2. Selecione o aplicativo multilocatário criado na primeira etapa na opção Principal ao criar a política de acesso

    Screenshot of the access policy menu of a key vault in the Azure portal.

  5. Depois que a política de acesso e a chave tiverem sido criadas, recupere a chave do Cofre da Chave e registre o Identificador de Chave

Criar servidor configurado com TDE com chave gerenciada pelo cliente (CMK) entre locatários

Este guia orientará você pelo processo de criação de um servidor lógico e banco de dados no SQL do Azure com uma identidade gerenciada atribuída pelo usuário, bem como como definir uma chave gerenciada pelo cliente entre locatários. A identidade gerenciada atribuída pelo usuário é essencial para configurar uma chave gerenciada pelo cliente para criptografia de dados transparente durante a fase de criação do servidor.

Importante

O usuário ou aplicativo que usa APIs para criar servidores lógicos SQL precisa das funções RBAC de Colaborador do SQL Server e Operador de Identidade Gerenciada ou superior na assinatura.

  1. Navegue até a página Selecionar opção de implantação SQL no portal do Azure.

  2. Se você ainda não estiver conectado ao portal do Azure, entre quando solicitado.

  3. Em Bancos de dados SQL, deixe Tipo de recurso definido como Banco de dados único e selecione Criar.

  4. Na guia Noções básicas do formulário Criar Banco de Dados SQL, em Detalhes do projeto, selecione a Assinatura do Azure desejada.

  5. Em Grupo de recursos, selecione Criar novo, insira um nome para o grupo de recursos e selecione OK.

  6. Em Nome do banco de dados, insira um nome do banco de dados . Por exemplo, ContosoHR.

  7. Em Servidor, selecione Criar novo e preencha o formulário Novo servidor com os seguintes valores:

    • Nome do servidor: insira um nome de servidor exclusivo. Os nomes de servidor devem ser globalmente exclusivos para todos os servidores no Azure, não apenas exclusivos dentro de uma assinatura. Insira algo como mysqlserver135, e o portal do Azure informará se ele está disponível ou não.
    • Login de administrador do servidor: insira um nome de login de administrador, por exemplo: azureuser.
    • Palavra-passe: introduza uma palavra-passe que cumpra os requisitos de palavra-passe e introduza-a novamente no campo Confirmar palavra-passe.
    • Localização: selecione um local na lista suspensa
  8. Selecione Next: Networking na parte inferior da página.

  9. Na guia Rede, para Método de conectividade, selecione Ponto de extremidade público.

  10. Para regras de firewall, defina Adicionar endereço IP do cliente atual como Sim. Deixe Permitir que os serviços e recursos do Azure acessem este servidor definido como Não. O resto das seleções nesta página pode ser deixado como padrão.

    Screenshot of networking settings when creating a SQL server in the Azure portal.

  11. Selecione Seguinte: Segurança na parte inferior da página.

  12. Na guia Segurança, em Identidade, selecione Configurar Identidades.

    Screenshot of security settings and configuring identities in the Azure portal.

  13. No menu Identidade, selecione Desativado para Identidade gerenciada atribuída ao sistema e, em seguida, selecione Adicionar em Identidade gerenciada atribuída pelo usuário. Selecione a Assinatura desejada e, em Identidades gerenciadas atribuídas ao usuário, selecione a identidade gerenciada atribuída pelo usuário desejada na assinatura selecionada. Em seguida, selecione o botão Adicionar .

  14. Em Identidade principal, selecione a mesma identidade gerenciada atribuída pelo usuário selecionada na etapa anterior.

    Screenshot of selecting primary identity and federated client identity for server.

  15. Para Identidade de cliente federado, selecione a opção Alterar identidade e procure o aplicativo multilocatário que você criou nos Pré-requisitos.

    Screenshot of user assigned managed identity when configuring server identity.

    Nota

    Se o aplicativo multilocatário não tiver sido adicionado à política de acesso ao cofre de chaves com as permissões necessárias (Get, Wrap Key, Unwrap Key), usar esse aplicativo para federação de identidades no portal do Azure mostrará um erro. Certifique-se de que as permissões estão configuradas corretamente antes de configurar a identidade do cliente federado.

  16. Selecione Aplicar

  17. Na guia Segurança, em Criptografia de dados transparente, selecione Configurar criptografia de dados transparente. Selecione Chave gerenciada pelo cliente e uma opção para Inserir um identificador de chave será exibida. Adicione o Identificador de Chave obtido da chave no segundo locatário.

    Screenshot configuring TDE using a key identifier.

  18. Selecione Aplicar

  19. Selecione Rever + criar na parte inferior da página

  20. Na página Rever + criar, depois de rever, selecione Criar.

Próximos passos

Consulte também