Upravljanje ključem za šifrovanje

Sva okruženja platforme Microsoft Dataverse koriste SQL Server transparentno šifrovanje podataka (TDE) za obavljanje šifrovanja upisa na disk u realnom vremenu, poznato i kao šifrovanje u mirovanju.

Podrazumevano, Microsoft skladišti i upravlja ključem za šifrovanje baze podataka za vaša okruženja, tako da vi ne morate da se brinete o tome. Funkcija upravljanja ključevima u Microsoft Power Platform centru administracije daje administratorima mogućnost da sami upravljaju ključevima za šifrovanje baze podataka koji su povezani sa Dataverse zakupcem.

Važno

• Od 2. juna 2023. godine, ova usluga se nadograđuje na ključ za šifrovanje kojim upravlja klijent. Novi klijenti koji treba da upravljaju sopstvenim ključem za šifrovanje koristiće nadograđenu uslugu jer ova usluga više nije ponuda.
• Ključevi za šifrovanje samoupravljanih baza podataka dostupni su samo klijentima koji imaju više od 1000 Power Apps licenci po korisniku ili više od 1000 licenci za Dynamics 365 Enterprise ili više od 1000 licenci u kombinaciji obe licence u jednom zakupcu. Da biste se prijavili za ovaj program, pošaljite zahtev za podršku.

Upravljanje ključevima za šifrovanje primenljivo je samo na baze podataka Azure SQL okruženja. Sledeće funkcije i usluge nastavljaju da koriste ključ za šifrovanje kojim upravlja Korporacija Microsoft da bi šifrovali svoje podatke i ne mogu se šifrovati pomoću samoupravljajućeg ključa za šifrovanje:

• Copilots and generative AI features in Microsoft Power Platform and Microsoft Dynamics 365
• Dataverse pretraga
• Elastični stolovi
• Mobile Offline
• Evidencija aktivnosti (Microsoft 365 portal)
• Exchange (sinhronizacija na strani servera)

Belešku

• Da biste mogli da koristite funkciju, Microsoft mora da uključi funkciju ključa za šifrovanje baze podataka za samostalno upravljanje.
• Da biste koristili funkcije upravljanja šifrovanjem podataka za okruženje, okruženje mora da se kreira nakon što Microsoft omogući funkciju samostalnog upravljanja ključevima za šifrovanje baze podataka.
• Nakon što je funkcija uključena u zakupca, kreiraju se sva nova okruženja samo pomoću Azure SQL skladišta. Ova okruženja, bez obzira na to da li su šifrovana pomoću ključa (BYOK) ili ključa kojim upravlja Microsoft, imaju ograničenja sa veličinom otpremanja datoteka, ne mogu da koriste usluge Cosmos i Datalake, Dataverse a indeksi pretrage su šifrovani ključem kojim upravlja Microsoft. Da biste koristili ove usluge, morate da pređete na ključ kojim upravlja klijent.
• Datotekei slike sa veličinama manjim od 128 MB mogu se koristiti ako je vaše okruženje verzija 9.2.21052.00103 ili veća.
• Većina postojećih okruženja imaju datoteke i evidenciju uskladištene u bazama podataka koje nisu Azure SQL. Ova okruženja se ne mogu omogućiti za ključ za šifrovanje za samostalno upravljanje. Samo nova okruženja (kada se registrujete za ovaj program) mogu biti omogućena pomoću ključa za šifrovanje za samostalno upravljanje.

Uvod u upravljanje ključevima

Sa upravljanjem ključevima, administratori mogu da obezbede sopstveni ključ za šifrovanje ili da imaju ključ za šifrovanje koji je za njih generisan i koji se koristi za zaštitu baze podataka za okruženje.

Funkcija upravljanja ključevima podržava PFX i BYOK datoteke ključa za šifrovanje, kao što su one uskladištene u hardverskom bezbednosnom modulu (HSM). Da biste koristili opciju otpremanja ključa za šifrovanje, trebaju vam i javni i privatni ključ za šifrovanje.

Funkcija upravljanja ključevima uklanja složenost upravljanja ključevima za šifrovanje pomoću usluge Azure Key Vault za bezbedno skladištenje ključeva za šifrovanje. Azure Key Vault omogućava sigurno čuvanje kriptografskih ključeva i tajni koje koriste aplikacije i usluge u oblaku. Funkcija upravljanja ključevima ne zahteva da imate pretplatu na Azure Key Vault i u većini slučajeva nema potrebe da pristupate ključevima za šifrovanje koji se koriste za Dataverse unutar bezbednog skladišta.

Funkcija upravljanja ključevima vam omogućava da izvršite sledeće zadatke.

• Omogućite samostalno upravljanje ključevima za šifrovanje baze podataka koji su povezani sa okruženjima.

• Generišite nove ključeve za šifrovanje ili otpremite postojeću .PFX ili .BYOK datoteku sa ključem za šifrovanje.

• Zaključajte i otključajte okruženja zakupca.

  Upozorenje

  Dok je zakupac zaključan, niko ne može da pristupi svim okruženjima unutar zakupca. Još informacija: Zaključavanje zakupca.

Razumevanje potencijalnog rizika pri upravljanju ključevima

Kao i u slučaju bilo koje kritične poslovne aplikacije, morate verovati osoblju u organizaciji koji imaju administratorski nivo pristupa. Pre nego što budete mogli da koristite funkciju za upravljanje ključevima, treba da razumete rizik kada upravljate ključevima za šifrovanje baze podataka. Zamislivo je da zlonameran administrator (osoba kojoj je omogućen ili je pridobila administratorski nivo pristupa sa namerom da naudi bezbednosti organizacije ili poslovnim procesima) koji radi u vašoj organizaciji može da koristi funkciju za upravljanje ključevima da kreira ključ i upotrebi ga da zaključa sva okruženja u zakupcu.

Razmotrite sledeću sekvencu događaja.

Zlonamerni administrator se prijavljuje u Power Platform centar administracije, odlazi na karticu Okruženja i bira Upravljanje ključem za šifrovanje. Zlonamerni administrator zatim kreira novi ključ sa lozinkom i preuzima ključ za šifrovanje na svoj lokalni disk, pa aktivira novi ključ. Sada su sve baze podataka okoline šifrovane novim ključem. Zatim zlonamerni administrator zaključava zakupca sa novopreuzetim ključem, a zatim preuzima ili briše preuzeti ključ za šifrovanje.

Ove radnje će rezultirati onemogućavanjem svih okruženja zakupca iz mrežnog pristupa i učiniće da se sve sigurnosne kopije baze podataka ne mogu obnoviti.

Važno

Da biste sprečili zlonamernog administratora da prekine poslovne operacije zaključavanjem baze podataka, funkcija upravljanih ključeva ne dozvoljava da okruženja zakupca budu zaključana 72 sata nakon promene ili aktiviranja ključa za šifrovanje. To drugim administratorima daje do 72 časa da vrati sve neovlašćene promene ključa.

Zahtevi za ključ za šifrovanje

Ako obezbedite sopstveni ključ za šifrovanje, taj ključ mora da ispunjava zahteve ove koji su prihvatljivi za Azure Key Vault.

• Format datoteke ključa za šifrovanje mora da bude PFX ili BYOK.
• 2048-bitNI RSA.
• RSA-HSM tip ključa (zahteva zahtev za Microsoft podršku).
• PFX datoteke ključa za šifrovanje moraju da budu zaštićene lozinkom.

Više informacija o generisanju i prebacivanju HSM-zaštićenog ključa putem Interneta potražite u članku Kako da generišete i prenesete HSM zaštićene ključeve za uslugu Azure Key Vault. Samo nCipher HSM ključ dobavljača je podržan. Pre nego što generišete svoj HSM ključ, idite u prozor Power Platform centra administracije Upravljanje ključevima za šifrovanje/Kreiranje novog ključa da biste preuzeli ID pretplate za region vašeg okruženja. Potrebno je da kopirate i nalepite ovaj ID pretplate u svoj HSM da biste kreirali ključ. Ovo će osigurati da samo naš Azure Key Vault može da otvori vašu datoteku.

Zadaci upravljanja ključevima

Da bi se pojednostavili ključni zadaci upravljanja, zadaci su podeljeni u tri oblasti:

1. Generisanje ili otpremanje ključa za šifrovanje za zakupca
2. Aktiviranje ključa za šifrovanje za zakupca
3. Upravljanje šifrovanjem za okruženje

Administratori mogu da koriste Power Platform centar administracije ili cmdlet komande modula za Power Platform administraciju za izvršavanje ovde opisanih zadataka upravljanja ključevima za zaštitu zakupca.

Generisanje ili otpremanje ključa za šifrovanje za zakupca

Svi ključevi za šifrovanje smeštaju se u Azure Key Vault i u bilo kojem trenutku može biti samo jedan aktivni ključ. Budući da se aktivni ključ koristi za šifrovanje svih okruženja zakupca, upravljanjem šifrovanjem se upravlja na nivou zakupca. Kada se ključ aktivira, može se odabrati svako pojedinačno okruženje koje će koristiti ključ za šifrovanje.

Koristite ovu proceduru da biste podesili funkciju upravljanja ključem prvi put za okruženje ili da promenite (ili prenesete) ključ za šifrovanje za već samostalno upravljanog zakupca.

Upozorenje

Kada prvi put izvršite ovde opisane korake, odlučujete se za samostalno upravljanje ključevima za šifrovanje. Još informacija: Razumevanje potencijalnog rizika pri upravljanju ključevima.

1. Prijavite se u Power Platform centar administracije kao administrator (Dynamics 365 administrator, globalni administrator ili Microsoft Power Platform administrator).

2. Izaberite karticu Okruženja, a zatim na traci sa alatkama izaberite Upravljanje ključevima za šifrovanje.

3. Izaberite Potvrdi da biste prihvatili rizik upravljanja ključevima.

4. Na traci sa alatkama izaberite Novi ključ.

5. U levom oknu, dovršite detalje da biste generisali ili otpremili ključ:

   • Izaberite Region. Ova opcija se prikazuje samo ako vaš zakupac ima više regiona.
   • Unesite Naziv ključa.
   • Odaberite neku od sledećih opcija:
     • Da biste kreirali novi ključ, izaberite Generiši novi (.pfx). Još informacija: Generiši novi ključ (.pfx).
     • Da biste koristili sopstveni generisani ključ, izaberite Otpremi (.pfx ili .byok). Još informacija: Otpremite ključ (.pfx ili .byok).

6. Izaberite Sledeće.

Generišite novi ključ (.pfx)

1. Unesite lozinku, a zatim je ponovo unesite radi potvrde.
2. Izaberite Kreiraj, a zatim izaberite obaveštenje o kreiranoj datoteci u pregledaču.
3. Datoteka ključa za šifrovanje (.pfx) preuzima se u podrazumevanu fasciklu za preuzimanje vašeg veb-pregledača. Sačuvajte datoteku na sigurnom mestu (preporučujemo da se za ovaj ključ napravi rezervna kopija zajedno sa lozinkom).

Otpremite ključ (.pfx ili .byok)

1. Izaberite Otpremite ključ, odaberite .pfx ili .byok¹ datoteku, a zatim izaberite Otvori.
2. Unesite lozinku za ključ, a zatim izaberite Kreiraj.

¹ Za .byok datoteke ključa za šifrovanje, uverite se da koristite ID pretplate kao što je prikazano na ekranu prilikom izvoza ključa za šifrovanje iz lokalnog HSM. Još informacija: Kako generisati i preneti HSM-zaštićene ključeve za Azure Key Vault.

Belešku

Da bi smanjio broj koraka za administratora da upravlja procesom ključa, ključ se automatski aktivira kada se prvi put učita. Sva naredna slanja ključeva zahtevaju dodatni korak za aktiviranje ključa.

Aktiviranje ključa za šifrovanje za zakupca

Kada se za zakupca generiše ili otpremi ključ za šifrovanje, on se može aktivirati.

1. Prijavite se u Power Platform centar administracije kao administrator (Dynamics 365 administrator, globalni administrator ili Microsoft Power Platform administrator).
2. Izaberite karticu Okruženja, a zatim na traci sa alatkama izaberite Upravljanje ključevima za šifrovanje.
3. Izaberite Potvrdi da biste prihvatili rizik upravljanja ključevima.
4. Izaberite ključ koji ima status Dostupan, a zatim izaberite Aktiviraj ključ na traci sa alatkama.
5. Kliknite na dugme "Potvrdi" da biste potvrdili promenu ključa.

Kada aktivirate ključ za zakupca, potrebno je neko vreme da usluga upravljanja ključevima aktivira ključ. Status Stanje ključa prikazuje ključ kao Instaliranje kada se aktivira novi ili otpremljeni ključ. Kada se aktivira ključ, događa se sledeće:

• Sva šifrovana okruženja automatski se šifruju aktivnim ključem (nema prekida rada ovom radnjom).
• Kada se aktivira, ključ za šifrovanje biće primenjen na sva okruženja koja se menjaju od onog koje obezbeđuje Microsoft do ključa za šifrovanje sa samostalnim upravljanjem.

Važno

Da bi se pojednostavio proces upravljanja ključevima tako da se svim okruženjima upravlja istim ključem, aktivni ključ se ne može ažurirati kada postoje okruženja koja su zaključana. Sva zaključana okruženja moraju se otključati pre nego što novi ključ bude moguće aktivirati. Ako postoje zaključana okruženja koja ne moraju da se otključavaju, moraju se izbrisati.

Belešku

Nakon aktiviranja ključa za šifrovanje, ne možete da aktivirate drugi ključ tokom 24 sata.

Upravljanje šifrovanjem za okruženje

Svako okruženje je podrazumevano šifrovano ključem za šifrovanje koji je obezbedio Microsoft. Kada se ključ za šifrovanje aktivira za zakupca, administratori mogu izabrati da promene podrazumevano šifrovanje kako bi koristili aktivirani ključ za šifrovanje. Da biste koristili aktivirani ključ, sledite ove korake.

Primenite ključ za šifrovanje na okruženje

1. Prijavite se u Power Platform centar administracije, koristeći akreditive za ulogu administratora okruženja ili administratora sistema.
2. Izaberite karticu Okruženja.
3. Otvorite šifrovano okruženje koje je obezbedio Microsoft.
4. Izaberite Vidi sve.
5. U odeljku Šifrovanje okruženja, izaberite Upravljaj.
6. Izaberite Potvrdi da biste prihvatili rizik upravljanja ključevima.
7. Izaberite Primenite ovaj ključ da prihvati promenu šifrovanja da se koristi aktivirani ključ.
8. Izaberite Potvrdi da potvrdite da direktno upravljate ključem i da će doći do prekida rada zbog ove radnje.

Vratite upravljani ključ za šifrovanje nazad u ključ za šifrovanje koji obezbeđuje Microsoft

Povratak na ključ za šifrovanje koji obezbeđuje Microsoft konfiguriše okruženje na podrazumevano ponašanje gde Microsoft upravlja ključem za šifrovanje za vas.

1. Prijavite se u Power Platform centar administracije, koristeći akreditive za ulogu administratora okruženja ili administratora sistema.
2. Izaberite karticu Okruženja, a zatim izaberite okruženje koje je šifrovano ključem sa samostalnim upravljanjem.
3. Izaberite Vidi sve.
4. U odeljku Šifrovanje okruženja, izaberite Upravljaj, a zatim izaberite Potvrdi.
5. U delu Vrati na standardno upravljanje šifrovanjem izaberite Vrati.
6. Za proizvodna okruženja, potvrdite okruženje unosom imena okruženja.
7. Izaberite Potvrdi da biste se vratili na standardno upravljanje ključem za šifrovanje.

Zaključavanje zakupca

Pošto postoji samo jedan aktivni ključ po zakupcu, zaključavanje šifrovanja za zakupca onemogućava sva okruženja koja su u zakupcu. Sva zaključana okruženja ostaju nedostupna svima, uključujući Microsoft, dok ih administrator usluge Power Platform u vašoj organizaciji ne otključa koristeći ključ koji je korišćen za njihovo zaključavanje.

Pažnja

Nikad ne bi trebalo da zaključate okruženja zakupca kao deo uobičajenog poslovnog procesa. Kada zaključate Dataverse zakupca, sva okruženja biće stavljena potpuno van mreže i njima ne može pristupiti niko, uključujući Microsoft. Pored toga, usluge kao što su sinhronizacija i održavanje su zaustavljene. Ako odlučite da napustite uslugu, zaključavanjem zakupca možete osigurati da vašim mrežnim podacima više niko nikada ne može pristupiti.
Imajte u vidu sledeće o zaključavanju okruženja zakupca:

• Zaključana okruženja ne mogu da se vrate u prethodno stanje iz rezervne kopije.
• Zaključana okruženja se brišu ako se ne otključaju nakon 28 dana.
• Ne možete zaključati okruženja u roku od 72 sata nakon promene ključa za šifrovanje.
• Zaključavanje zakupca zaključava sva aktivna okruženja unutar zakupca.

Važno

• Morate sačekati najmanje jedan sat nakon što zaključate aktivna okruženja da biste ih mogli otključati.
• Kada započne proces zaključavanja, brišu se svi ključevi za šifrovanje sa statusom „Aktivan“ ili „Dostupan“. Proces zaključavanja može trajati do sat vremena, a za to vreme otključavanje zaključanih okruženja nije dozvoljeno.

1. Prijavite se u Power Platform centar administracije kao administrator (Dynamics 365 administrator, globalni administrator ili Microsoft Power Platform administrator).
2. Izaberite karticu Okruženja, a zatim na komandnoj traci izaberite Upravljanje ključevima za šifrovanje.
3. Izaberite ključ Aktivno, a zatim izaberite Zaključajte aktivna okruženja.
4. U desnom oknu odaberite Otpremi aktivni ključ, potražite i izaberite ključ, unesite lozinku, a zatim izaberite Zaključaj.
5. Kad se to od vas zatraži, unesite tekst koji se prikazuje na ekranu da biste potvrdili da želite da zaključate sva okruženja u regionu, a zatim izaberite Potvrdi.

Otključavanje zaključanih okruženja

Da biste otključali okruženja, prvo morate otpremiti i onda aktivirati ključ za šifrovanje zakupca sa istim ključem koji je korišćen za zaključavanje zakupca. Imajte na umu da se zaključana okruženja ne otključavaju automatski nakon što se aktivira ključ. Svako zaključano okruženje mora se otključati pojedinačno.

Važno

• Morate sačekati najmanje jedan sat nakon što zaključate aktivna okruženja da biste ih mogli otključati.
• Proces otključavanja može trajati i do sat vremena. Kada je ključ otključan, možete ga koristiti za Upravljajte šifrovanjem za okruženje.
• Ne možete da generišete novi ili otpremite postojeći ključ dok se sva zaključana okruženja ne otključaju.

Otključavanje ključa za šifrovanje

1. Prijavite se u Power Platform centar administracije kao administrator (Dynamics 365 administrator, globalni administrator ili Microsoft Power Platform administrator).
2. Izaberite karticu Okruženja, a zatim izaberite Upravljanje ključevima za šifrovanje.
3. Izaberite ključ koji ima status Zaključan, a zatim na komandnoj traci izaberite Otključaj ključ.
4. Izaberite Otpremi zaključani ključ, potražite i izaberite ključ koji ste koristili da zaključate zakupca, unesite lozinku, a zatim izaberite Otključaj. Ključ prelazi u status Instaliranje. Morate sačekati dok ključ ne pređe u status Aktivan da biste mogli da otključate zaključana okruženja.
5. Da biste otključali okruženje, pogledajte sledeći odeljak.

Otključavanje okruženja

1. Izaberite karticu Okruženja, a zatim izaberite ime zaključanog okruženja.

   Napojnica

   Nemojte izabrati red. Izaberite ime okruženja.

2. U odeljku Detalji, izaberite Vidi sve da biste prikazali okno Detalji s desne strane.

3. U odeljku za šifrovanje Okruženja, u oknu Detalji izaberite Upravljaj.

   

4. Na stranici Šifrovanje okruženja, izaberite Otključaj.

   

5. Izaberite Potvrdi da biste potvrdili da želite da otključate okruženje.

6. Ponovite prethodne korake da biste otključali dodatna okruženja.

Operacije baze podataka okruženja

Zakupac klijenta može imati okruženja koja su šifrovana pomoću ključa kojim upravlja Microsoft i okruženja koja su šifrovana ključem kojim upravlja klijent. Za održavanje integriteta podataka i zaštite podataka, dostupne su sledeće kontrole prilikom upravljanja operacijama baze podataka okruženja.

1. Vraćanje u prethodno stanje Okruženje za prepisivanje (okruženje u koje se vraća prethodni sadržaj) ograničeno je na isto okruženje iz kojeg je izrađena rezervna kopija ili iz drugog okruženja koje je šifrovano istim ključem kojim upravlja klijent.

   

2. Kopiranje Okruženje za prepisivanje (okruženje u koje se sadržaj kopira) ograničeno je na drugo okruženje koje je šifrovano istim ključem kojim upravlja klijent.

   

   Belešku

   Ako je kreirano okruženje za istragu podrške da bi se rešio problem podrške u okruženju kojim upravlja klijent, ključ za šifrovanje za okruženje za istragu podrške mora biti promenjen u ključ kojim upravlja klijent pre nego što bude moguće izvršiti operaciju okruženja za kopiranje.

3. Resetovanje Šifrovani podaci okruženja biće izbrisani, uključujući rezervne kopije. Kada se okruženje resetuje, šifrovanje okruženja će se vratiti na ključ kojim upravlja Microsoft.

Pogledajte i ovo

SQL Server: prozirno šifrovanje podataka (TDE)