Správa šifrovacieho kľúča
Všetky prostredia Microsoft Dataverse používajú transparentné šifrovanie údajov SQL Server (TDE) na vykonanie šifrovania a údajov zapísaných na disku. Známe je to aj pod výrazom šifrovanie v pokoji.
V predvolenom nastavení Microsoft ukladá a spravuje šifrovací kľúč databázy pre vaše prostredia, takže vy nemusíte. Funkcia správy kľúčov v centre spravovania Microsoft Power Platform dáva správcom schopnosť samostatnej správy šifrovacieho kľúča databázy, ktorý je prepojený s nájomníkom Dataverse.
Dôležité
- Od 2. júna 2023 je táto služba inovovaná na šifrovací kľúč spravovaný zákazníkom. Noví zákazníci, ktorí potrebujú spravovať svoj vlastný šifrovací kľúč, využijú inovovanú službu, pretože táto služba už nie je v ponuke.
- Šifrovacie kľúče databázy so samostatnou správou sú k dispozícii iba pre zákazníkov, ktorí majú viac ako 1000 licencií Power Apps na používateľa alebo viac než 1000 licencií Dynamics 365 Enterprise, alebo viac než 1000 licencií z kombinácie obidvoch v rámci jedného nájomníka. Ak sa chcete prihlásiť do tohto programu, pošlite žiadosť o podporu.
Správa šifrovacích kľúčov platí iba pre databázy prostredia Azure SQL. Nasledujúce funkcie a služby naďalej používajú na šifrovanie údajov Microsoft-spravovaný šifrovací kľúč a nie je možné ich zašifrovať pomocou samospravovaného šifrovacieho kľúča:
- Kopiloti a generatívne funkcie AI v Microsoft Power Platform a Microsoft Dynamics 365
- Vyhľadávanie Dataverse
- Elastické stolíky
- Mobile Offline
- Denník aktivity (portál Microsoft 365)
- Exchange (synchronizácia na strane servera)
Poznámka
- Funkciu samospravovacieho kľúča na šifrovanie databázy musí váš nájomník zapnúť Microsoft predtým, ako budete môcť túto funkciu používať.
- Ak chcete používať funkcie správy šifrovania údajov pre prostredie, prostredie musí byť vytvorené po aktivácii samosprávy funkcie šifrovacieho kľúča databázy Microsoft.
- Po zapnutí funkcie vo vašom nájomníkovi sa všetky nové prostredia vytvoria iba s úložiskom Azure SQL. Tieto prostredia, bez ohľadu na to, či sú šifrované kľúčom prines-svoj-vlastný kľúč (BYOK) alebo spravovaným kľúčom Microsoft, majú obmedzenia týkajúce sa veľkosti nahrávaných súborov, nemôžu používať služby Cosmos a Datalake, a Dataverse Vyhľadávacie indexy sú šifrované pomocou Microsoft-spravovaného kľúča. Ak chcete používať tieto služby, musíte migrovať na kľúč spravovaný zákazníkom.
- Súbory a Obrázky s veľkosťou menšou ako 128 MB možno použiť, ak je vaše prostredie verzie 9.2.21052.00103 alebo vyššej.
- Väčšina existujúcich prostredí má súbory a denníky uložené v databázach SQL iných ako Azure. V týchto prostrediach nie je možné aktivovať šifrovací kľúč s vlastnou správou. Samoobslužným šifrovacím kľúčom je možné povoliť iba pri nových prostrediach (po registrácii do tohto programu).
Úvod do správy kľúčov
Cez správu kľúčov môžu správcovia poskytovať ich vlastné šifrovacie kľúče alebo si môžu nechať vygenerovať šifrovacie kľúče, ktoré sa využívajú na ochranu databázy pre prostredie.
Funkciu riadenia pomocou kľúča podporuje súbory šifrovacích kľúčov PFX a BYOK , ako sú tie, ktoré sú uložené v hardvérovom bezpečnostnom module (HSM). Na použitie možnosti nahratia šifrovacieho kľúča sú potrebné verejné aj súkromné šifrovacie kľúče.
Funkcia správy kľúčov zjednodušuje komplexnosť správy šifrovacieho kľúča pomocou Azure Key Vault na bezpečné uloženie šifrovacích kľúčov. Azure Key Vault pomáha chrániť kryptografické kľúče a tajné kľúče využívaním cloudových aplikácií a služieb. Funkcia kľúčov nevyžaduje, aby ste mali predplatné Azure Key Vault a pre väčšinu situácií nie je potrebné pristupovať k šifrovacím kľúčom použitým pre aplikácie Dataverse v trezore.
Správa kľúčov funkcie vám umožňuje vykonávať nasledujúce úlohy.
Povoliť schopnosť samostatne spravovať databázy šifrovacie kľúče, ktoré sú spojené s prostrediami.
Generovať nové šifrovacie kľúče alebo nahrať existujúce súbory šifrovacích kľúčov .PFX alebo .BYOK.
Zamykať a odomykať prostredia nájomníka.
Upozornenie
Kým je nájomník uzamknutý, k všetkým prostrediam v rámci nájomníka nemôže nikto pristupovať. Viac informácií: Zamknutie nájomníka.
Pochopte potenciálne riziko pri správe svojich kľúčov
Rovnako ako u akejkoľvek kritické aplikácie personálu vo vašej organizácii, ktorí majú prístup na administratívnej úrovni musí byť dôveryhodný. Predtým, ako použijete funkciu riadenia pomocou kľúča, mali by ste pochopiť riziko spojené so spravovaním databázy šifrovacích kľúčov. Je možné že škodlivý správca (osoba, ktorej nebol udelený prístup na úrovni správcu ani ho sama nezískala a ktorá zamýšľa poškodiť zabezpečenie alebo obchodné procesy organizácie), ktorý pracuje vo vašej organizácii, môže použiť funkciu správy kľúčov na vytvorenie kľúča a jeho použitie na uzamknutie všetkých prostredí v rámci nájomníka.
Zvážte nasledujúci sled udalostí.
Škodlivý správca sa prihlasuje do centra spravovania Power Platform, ide na kartu Prostredia a vyberie Správa šifrovacieho kľúča. Škodlivý správca potom vytvorí nový kľúč s heslom, stiahne si šifrovací kľúč na svoju lokálnu jednotku a aktivuje nový kľúč. Teraz sú všetky databázy prostredia šifrované pomocou nového kľúča. Potom škodlivý správca uzamkne nájomníka pomocou novo stiahnutého kľúča a následne si vezme alebo odstráni stiahnutý šifrovací kľúč.
Výsledkom týchto akcií bude, že všetky prostredia v rámci nájomníka budú mať zakázaný online prístup a žiadne zálohy databázy nebude možné obnoviť.
Dôležité
Ak chcete zabrániť škodlivému správcovi v narušení obchodných činností v dôsledku uzamknutia databázy, funkcia spravovaných kľúčov neumožňuje uzamknúť prostredia nájomníka na 72 hodín po zmene alebo aktivácii šifrovacieho kľúča. To poskytuje ostatným správcom až 72 hodín na zvrátenie neoprávnených zmien kľúča.
Požiadavky na šifrovací kľúč
Ak poskytnete svoj vlastný šifrovací kľúč, kľúč musí spĺňať tieto požiadavky, ktoré sú akceptované zo strany Azure Key Vault.
- Formát šifrovacieho kľúču súboru musí byť PFX alebo BYOK.
- 2048-bitové RSA.
- Typ kľúča RSA-HSM (vyžaduje Microsoft žiadosť o podporu).
- Súbory šifrovacieho kľúča PFX musia byť chránené heslo.
Ďalšie informácie o generovaní a prenose kľúča chráneného zariadením HSM cez internet nájdete v sekcii Ako generovať a prenášať kľúče chránené zariadením HSM pre službu Azure Key Vault. Iba Kľúč nCipher Vendor HSM je podporovaný. Pred vygenerovaním kľúča HSM prejdite na okno centra spravovania Power Platform Spravujte šifrovacie kľúče/Vytvorte nový kľúč na získanie ID predplatného pre vašu oblasť prostredia. Ak chcete vytvoriť kľúč, musíte toto ID predplatného skopírovať a vložiť do HSM. Takto zaistíte, že váš súbor môže otvoriť iba náš Azure Key Vault.
Úlohy správy kľúčov
Aby sa zjednodušili kľúčové úlohy spravovania, úlohy sú rozdelené do troch oblastí:
- Vygenerujte alebo nahrajte šifrovací kľúč pre nájomníka
- Aktivujte šifrovací kľúč pre nájomníka
- Spravujte šifrovanie pre prostredie
Správcovia môžu používať centrum spravovania Power Platform alebo rutiny cmdlet modulu správcu Power Platform na vykonanie tu opísaných úloh správy ochrany kľúčov nájomníka.
Vytvorenie alebo nahranie šifrovacieho kľúča pre nájomníka
Všetky šifrovacie kľúče sa ukladajú do úschovne Azure Key Vault a vždy môže existovať iba jeden aktívny kľúč. Keďže aktívny kľúč sa používa na šifrovanie všetkých prostredí nájomníka, správa šifrovania sa vykonáva na úrovni nájomcu. Po aktivácii kľúča bude možné vybrať každé prostredie s cieľom použiť kľúč na šifrovanie.
Pri prvom nastavení funkcie správy kľúčov v prostredí alebo pri zmene (či zavádzaní) šifrovacieho kľúča v rámci už samospravovaného nájomníka použite tento postup.
Upozornenie
Keď prvýkrát vykonávate postup, ktorý je tu popísaný, prihlasujete sa na samosprávu šifrovacích kľúčov. Ďalšie informácie: Pochopte potenciálne riziko pri správe svojich kľúčov.
Prihláste sa do Power Platform centra spravovania ako správca (správca Dynamics 365 alebo Microsoft Power Platform správca).
Vyberte si kartu Prostredia a následne si na paneli nástrojov vyberte možnosť Spravovať šifrovacie kľúče.
Výberom položky Potvrdiť uznajte riziko pri správe kľúčov.
Na paneli s nástrojmi si vyberte Nový kľúč.
Na ľavej table vyplňte údaje a vygenerujte alebo nahrajte kľúč:
- Vyberte si Región. Táto možnosť sa zobrazuje iba v prípade, že nájomník má viac regiónov.
- Zadajte Názov kľúča.
- Vyberte si z nasledujúcich možností:
- Ak chcete vytvoriť nový kľúč, vyberte položku Generovať nový (.pfx). Viac informácií: Generovať nový (.pfx).
- Ak chcete použiť vlastný vygenerovaný kľúč, vyberte položku Nahrať (.pfx alebo .byok). Viac informácií: Nahrať kľúč (.pfx alebo .byok) .
Vyberte Ďalej.
Vygenerovanie nového kľúča (.pfx)
- Zadajte heslo a následne ho zadajte znova, aby ste ho potvrdili.
- Vyberte položku Vytvoriť a následne si v prehliadači vyberte oznámenie o vytvorenom súbore.
- Súbor šifrovacieho kľúča vo formáte .PFX sa stiahne do predvoleného priečinka so stiahnutými súbormi vo vašom webovom prehliadači. Uložte si súbor na bezpečnom mieste (odporúčame vám, aby ste si tento kľúč zálohovali spolu s heslom).
Nahranie kľúča (.pfx alebo .byok)
- Vyberte položku Nahrať kľúč, vyberte si súbor vo formáte .pfx alebo .byok1 a následne vyberte položku Otvoriť.
- Zadajte heslo kľúča a následne vyberte položku Vytvoriť.
1 Pri súboroch šifrovacieho kľúča vo formáte .byok sa uistite, že pri exporte šifrovacieho kľúča z lokálneho HSM využívate ID predplatného zobrazené na obrazovke. Viac informácií: Ako generovať a prenášať kľúče s ochranou HSM pre Azure Key Vault.
Poznámka
Aby sa znížil počet krokov, ktoré má správca vykonať pri spravovaní procesu kľúča, kľúč sa automaticky aktivuje pri prvom odovzdaní. Všetky nasledujúce odovzdania kľúča vyžadujú ďalší krok na aktiváciu kľúča.
Aktivácia šifrovacieho kľúča pre nájomníka
Po vygenerovaní alebo nahraní šifrovacieho kľúča pre nájomcu je možné ho aktivovať.
- Prihláste sa do Power Platform centra spravovania ako správca (správca Dynamics 365 alebo Microsoft Power Platform správca).
- Vyberte si kartu Prostredia a následne si na paneli nástrojov vyberte možnosť Spravovať šifrovacie kľúče.
- Výberom položky Potvrdiť uznajte riziko pri správe kľúčov.
- Vyberte si kľúč, ktorý má stav K dispozícii a následne si na paneli nástrojov vyberte položku Aktivovať kľúč.
- Zvolením Potvrdiť potvrďte zmenu kľúča.
Keď aktivujete kľúč pre nájomcu, chvíľu potrvá, kým služba správy kľúčov tento kľúč aktivuje. Stav kľúča ukazuje, že kľúč sa nachádza v stave Inštaluje sa, keď sa aktivuje nový alebo nahratý kľúč. Po aktivácii kľúča sa stane toto:
- Všetky šifrované prostredia sa automaticky šifrujú pomocou aktívneho kľúča (pri tejto akcii nie sú žiadne prestoje).
- Keď je aktivovaný, šifrovací kľúč sa použije vo všetkých prostrediach, ktoré sa zmenili z Microsoft-poskytnutý na samoobslužný šifrovací kľúč.
Dôležité
Na zefektívnenie procesu správy kľúčov tak, aby boli všetky prostredia spravované pomocou rovnakého kľúča, nemožno aktívny kľúč aktualizovať, keď existujú uzamknuté prostredia. Pred aktiváciou nového kľúča sa musia odomknúť všetky uzamknuté prostredia. Ak existujú uzamknuté prostredia, ktoré netreba odomknúť, musia byť odstránené.
Poznámka
Po aktivácii šifrovacieho kľúča nebudete môcť aktivovať ďalší kľúč po dobu 24 hodín.
Správa šifrovania pre prostredie
Štandardne je každé prostredie šifrované pomocou šifrovacieho kľúča Microsoft. Po aktivácii šifrovacieho kľúča pre nájomcu sa správcovia môžu rozhodnúť pre zmenu predvoleného šifrovania, aby mohli používať aktivovaný šifrovací kľúč. Ak chcete použiť aktivovaný kľúč, využite tento postup.
Použite šifrovací kľúč na prostredie
- Prihláste sa do centra spravovania Power Platform pomocou poverení roly správcu prostredia alebo správcu systému.
- Vyberte kartu Prostredia.
- Otvorte Microsoft-poskytnuté šifrované prostredie.
- Vyberte položku Zobraziť všetko.
- V sekcii Šifrovanie prostredia vyberte položku Spravovať.
- Výberom položky Potvrdiť uznajte riziko pri správe kľúčov.
- Výberom položky Použiť tento kľúč prijmite zmenu šifrovania, aby ste mohli použiť aktivovaný kľúč.
- Výberom položky Potvrdiť uznajte, že kľúč spravujete priamo vy a že pre túto akciu platí výpadok.
Vráťte spravovaný šifrovací kľúč späť na zadaný šifrovací kľúč Microsoft
Návrat k šifrovaciemu kľúču poskytnutému Microsoft nakonfiguruje prostredie späť na predvolené správanie, kde Microsoft spravuje šifrovací kľúč za vás.
- Prihláste sa do centra spravovania Power Platform pomocou poverení roly správcu prostredia alebo správcu systému.
- Vyberte kartu Prostredia a následne si vyberte prostredie, ktoré je šifrované pomocou samospravovaného kľúča.
- Vyberte položku Zobraziť všetko.
- V sekcii Šifrovanie prostredia vyberte položku Spravovať a následne vyberte položku Potvrdiť.
- V časti Chcete sa vrátiť k štandardnej správe šifrovacieho kľúča? vyberte položku Návrat.
- V prípade výrobných prostredí potvrďte prostredie tak, že zadáte názov prostredia.
- Výberom položky Potvrdiť sa vrátite k štandardnej správe šifrovacieho kľúča.
Zamknutie nájomníka
Keďže na jedného nájomníka existuje iba jeden aktívny kľúč, zamknutím šifrovania pre nájomníka sa zakážu všetky prostredia, ktoré sa nachádzajú v rámci nájomníka. Všetky uzamknuté prostredia zostanú neprístupné pre všetkých vrátane Microsoft, kým ich Power Platform správca vo vašej organizácii neodomkne pomocou kľúča, ktorý bol použitý na ich uzamknutie.
Upozornenie
Prostredia nájomníka by ste nemali nikdy uzamykať ako súčasť svojho bežného obchodného procesu. Keď zamknete Dataverse nájomníka, všetky prostredia budú úplne offline a nikto k nim nebude mať prístup, vrátane Microsoft. Okrem toho služby synchronizácie a údržba sú všetky zastavené. Ak sa rozhodnete službu opustiť, uzamknutím nájomníka môžete zaistiť, že k vašim online údajom už nebude mať nikdy nikto prístup.
Upozorňujeme na nasledujúce informácie o uzamykaní prostredí nájomníka:
- Uzamknuté prostredia sa nedajú obnoviť zo zálohy.
- Uzamknuté prostredia sa odstránia, ak nebudú do 28 dní odomknuté.
- Prostredie nemôžete zamknúť po dobu 72 hodín od zmeny šifrovacieho kľúča.
- Uzamknutím nájomníka sa uzamknú všetky aktívne prostredia v rámci nájomníka.
Dôležité
- Po zamknutí aktívnych prostredí musíte počkať najmenej jednu hodinu, kým ich budete môcť odomknúť.
- Keď sa začne proces uzamykania, všetky šifrovacie kľúče so stavom Aktívny alebo K dispozícii sa odstránia. Proces uzamykania môže trvať až hodinu a počas tohto obdobia nie je povolené odomykanie uzamknutých prostredí.
- Prihláste sa do Power Platform centra spravovania ako správca (správca Dynamics 365 alebo Microsoft Power Platform admin).
- Vyberte si kartu Prostredia a následne si na paneli príkazov vyberte možnosť Spravovať šifrovacie kľúče.
- Vyberte si aktívny kľúč a následne si vyberte položku Zamknúť aktívne prostredia.
- Na pravej table vyberte položku Nahrať aktívny kľúč, prejdite na daný kľúč a vyberte ho, zadajte heslo a následne vyberte položku Zamknúť.
- Po zobrazení výzvy zadajte text, ktorý sa zobrazí na obrazovke, aby ste potvrdili, že chcete zamknúť všetky prostredia v danom regióne, a následne vyberte položku Potvrdiť.
Odomknutie zamknutých prostredí
Ak chcete odomknúť prostredie, musíte najskôr nahrať a následne aktivovať šifrovací kľúč nájomníka s rovnakým kľúčom, ktorý bol použitý na zamknutie nájomníka. Upozorňujeme, že zamknuté prostredia sa po aktivácii kľúča automaticky neodomknú. Každé zamknuté prostredie treba odomknúť samostatne.
Dôležité
- Po zamknutí aktívnych prostredí musíte počkať najmenej jednu hodinu, kým ich budete môcť odomknúť.
- Proces odomykania môže trvať až hodinu. Keď je kľúč odomknutý, môžete ho použiť na správu šifrovania pre prostredie.
- Nemôžete vygenerovať nový alebo nahrať už existujúci kľúč, kým nebudú všetky zamknuté prostredia odomknuté.
Odomknutie šifrovacieho kľúča
- Prihláste sa do Power Platform centra spravovania ako správca (správca Dynamics 365 alebo Microsoft Power Platform admin).
- Vyberte si kartu Prostredia a následne si vyberte možnosť Spravovať šifrovacie kľúče.
- Vyberte si kľúč, ktorý má stav Zamknutý, a následne si na paneli príkazov vyberte položku Odomknúť kľúč.
- Vyberte položku Nahrať zamknutý kľúč, prejdite na daný kľúč, ktorý bol použitý na zamknutie nájomníka, vyberte ho, zadajte heslo a následne vyberte položku Odomknúť. Kľúč prejde do stavu Inštaluje sa. Skôr než budete môcť odomykať zamknuté prostredia, musíte počkať, kým nebude kľúč v stave Aktívny.
- Ak chcete odomknúť prostredie, prečítajte si nasledujúcu časť.
Odomykanie prostredí
Kliknite na kartu Prostredia a následne si vyberte názov zamknutého prostredia.
Prepitné
Nevyberajte si riadok. Vyberte si názov prostredia.
V sekcii Podrobnosti si vyberte položku Zobraziť všetko, čím zobrazíte na table vpravo položku Podrobnosti.
V sekcii šifrovania Prostredie si na table Podrobnosti vyberte položku Spravovať.
Na stránke Šifrovanie prostredia vyberte položku Odomknúť.
Výberom položky Potvrdiť potvrdíte, že dané prostredie chcete odomknúť.
Pri odomykaní ďalších prostredí zopakujte predchádzajúci postup.
Operácie s prostrediami databázy
Nájomník zákazníka môže mať prostredia, ktoré sú šifrované pomocou spravovaného kľúča Microsoft , a prostredia, ktoré sú šifrované kľúčom spravovaným zákazníkom. Na zachovanie integrity údajov a ochrany údajov sú pri riadení operácií databázy prostredia k dispozícii nasledujúce ovládacie prvky.
Obnoviť Prostredie, ktoré sa má prepísať (obnovené do prostredia), je obmedzené na rovnaké prostredie, z ktorého bola záloha prevzatá, alebo do iného prostredia, ktoré je zašifrované rovnakým kľúčom spravovaným zákazníkom.
Kopírovať Prostredie, ktoré sa má prepísať (skopírované do prostredia), je obmedzené na iné prostredie, ktoré je zašifrované rovnakým kľúčom spravovaným zákazníkom.
Poznámka
Ak bolo vytvorené prostredie na skúmanie podpory na vyriešenie problému podpory v prostredí riadenom zákazníkom, musí sa šifrovací kľúč pre prostredie na skúmanie podpory zmeniť na kľúč spravovaný zákazníkom predtým, ako bude možné vykonať operáciu kopírovania prostredia.
Obnoviť Zašifrované údaje prostredia budú vymazané vrátane záloh. Po resetovaní prostredia sa šifrovanie prostredia vráti späť na Microsoft spravovaný kľúč.