คีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางาน Fabric

Microsoft Fabric เข้ารหัสลับข้อมูลที่ไม่ได้ใช้งานทั้งหมดโดยใช้คีย์ที่มีการจัดการของ Microsoft ด้วยคีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางาน Fabric คุณสามารถใช้คีย์ Azure Key Vault เพื่อเพิ่มการป้องกันอีกชั้นหนึ่งให้กับข้อมูลในพื้นที่ทํางาน Microsoft Fabric ของคุณ รวมถึงข้อมูลทั้งหมดใน OneLake คีย์ที่ลูกค้าจัดการมีความยืดหยุ่นมากขึ้น ช่วยให้คุณสามารถจัดการการหมุน ควบคุมการเข้าถึง และการตรวจสอบการใช้งานได้ นอกจากนี้ยังช่วยให้องค์กรตอบสนองความต้องการด้านการกํากับดูแลข้อมูลและสอดคล้องกับมาตรฐานการปกป้องข้อมูลและการเข้ารหัส

วิธีการทํางานของคีย์ที่จัดการโดยลูกค้า

ที่เก็บข้อมูล Fabric ทั้งหมดได้รับการเข้ารหัสลับที่ไม่ได้ใช้งานด้วยคีย์ที่จัดการโดย Microsoft คีย์ที่จัดการโดยลูกค้าใช้การเข้ารหัสลับซองจดหมายซึ่งคีย์การเข้ารหัสลับคีย์ (KEK) เข้ารหัสลับคีย์การเข้ารหัสลับข้อมูล (DEK) เมื่อใช้คีย์ที่จัดการโดยลูกค้า DEK ที่มีการจัดการของ Microsoft จะเข้ารหัสลับข้อมูลของคุณ จากนั้น DEK จะถูกเข้ารหัสโดยใช้ KEK ที่จัดการโดยลูกค้าของคุณ การใช้ KEK ที่ไม่เคยออกจาก Key Vault ช่วยให้สามารถเข้ารหัสและควบคุมคีย์การเข้ารหัสข้อมูลได้เอง สิ่งนี้ทําให้มั่นใจได้ว่าเนื้อหาของลูกค้าทั้งหมดในพื้นที่ทํางานที่เปิดใช้งาน CMK จะได้รับการเข้ารหัสโดยใช้คีย์ที่จัดการโดยลูกค้าของคุณ

เปิดใช้งานการเข้ารหัสด้วยคีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางานของคุณ

ผู้ดูแลระบบพื้นที่ทํางานสามารถตั้งค่าการเข้ารหัสโดยใช้ CMK ในระดับพื้นที่ทํางาน เมื่อผู้ดูแลระบบพื้นที่ทํางานเปิดใช้งานการตั้งค่าในพอร์ทัล เนื้อหาของลูกค้าทั้งหมดที่จัดเก็บไว้ในพื้นที่ทํางานนั้นจะถูกเข้ารหัสโดยใช้ CMK ที่ระบุ CMK ผสานรวมกับนโยบายการเข้าถึงของ AKV และการควบคุมการเข้าถึงตามบทบาท (RBAC) ช่วยให้คุณมีความยืดหยุ่นในการกําหนดสิทธิ์แบบละเอียดตามรูปแบบความปลอดภัยขององค์กรของคุณ หากคุณเลือกที่จะปิดใช้งานการเข้ารหัสลับ CMK ในภายหลัง พื้นที่ทํางานจะเปลี่ยนกลับไปใช้คีย์ที่จัดการโดย Microsoft คุณยังสามารถเพิกถอนคีย์ได้ตลอดเวลา และการเข้าถึงข้อมูลที่เข้ารหัสจะถูกบล็อกภายในหนึ่งชั่วโมงหลังจากเพิกถอน ด้วยความละเอียดและการควบคุมระดับพื้นที่ทํางาน คุณจะยกระดับความปลอดภัยของข้อมูลของคุณใน Fabric

รายการที่สนับสนุน

คีย์ที่จัดการโดยลูกค้าได้รับการสนับสนุนสําหรับรายการ Fabric ต่อไปนี้:

• Lakehouse
• คลังสินค้า
• โน้ตบุ๊ก
• Environment
• ข้อกําหนดงาน Spark
• API สำหรับ GraphQL
• รุ่น ML
• Experiment
• Pipeline
• Dataflow
• งานคัดลอก
• โซลูชั่นอุตสาหกรรม
• ฐานข้อมูล SQL
• ฐานข้อมูลมิเรอร์
• Eventhouse (พรีวิว)
• Graph

คุณลักษณะนี้ไม่สามารถเปิดใช้งานสําหรับพื้นที่ทํางานที่มีรายการที่ไม่ได้รับการรองรับ เมื่อเปิดใช้งานการเข้ารหัสลับคีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางาน Fabric สามารถสร้างได้เฉพาะรายการที่รองรับในพื้นที่ทํางานนั้นเท่านั้น เมื่อต้องการใช้รายการที่ไม่ได้รับการสนับสนุน ให้สร้างรายการเหล่านั้นในพื้นที่ทํางานอื่นที่ไม่ได้เปิดใช้งานคุณลักษณะนี้

กําหนดค่าการเข้ารหัสด้วยคีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางานของคุณ

คีย์ที่จัดการโดยลูกค้าสําหรับพื้นที่ทํางาน Fabric จําเป็นต้องมีการตั้งค่าเริ่มต้น การตั้งค่านี้รวมถึงการเปิดใช้งานการตั้งค่าผู้เช่าการเข้ารหัสลับ Fabric การกําหนดค่า Azure Key Vault และการให้สิทธิ์การเข้าถึงแอป Fabric Platform CMK ไปยัง Azure Key Vault เมื่อการตั้งค่าเสร็จสมบูรณ์ ผู้ใช้ที่มีบทบาทพื้นที่ทํางานผู้ดูแลระบบสามารถเปิดใช้งานคุณลักษณะบนพื้นที่ทํางานได้

ขั้นตอนที่ 1: เปิดใช้งานการตั้งค่าผู้เช่า Fabric

ผู้ดูแลระบบ Fabric ต้องตรวจสอบให้แน่ใจว่าได้เปิดใช้งานการตั้งค่า ใช้คีย์ที่จัดการโดยลูกค้า แล้ว สําหรับข้อมูลเพิ่มเติม ดูบทความการตั้งค่าผู้เช่าการเข้ารหัสลับ

ขั้นตอนที่ 2: สร้างบริการหลักสําหรับแอป Fabric Platform CMK

Fabric ใช้แอป CMK แพลตฟอร์ม Fabric เพื่อเข้าถึง Azure Key Vault ของคุณ เพื่อให้แอปทํางานได้ ต้องสร้าง บริการหลัก สําหรับผู้เช่า กระบวนการนี้ดําเนินการโดยผู้ใช้ที่มีสิทธิ์ Microsoft Entra ID เช่น ผู้ดูแลระบบแอปพลิเคชันระบบคลาวด์

ทําตามคําแนะนําใน สร้างแอปพลิเคชันระดับองค์กรจากแอปพลิเคชันแบบหลายผู้เช่าใน Microsoft Entra ID เพื่อสร้างบริการหลักสําหรับแอปพลิเคชันที่เรียกว่า Fabric Platform CMK ที่มีรหัสแอป 61d6811f-7544-4e75-a1e6-1c59c0383311 ในผู้เช่า Microsoft Entra ID ของคุณ

ขั้นตอนที่ 3: กําหนดค่า Azure Key Vault

คุณต้องกําหนดค่า Key Vault เพื่อให้ Fabric สามารถเข้าถึงได้ ขั้นตอนนี้ดําเนินการโดยผู้ใช้ที่มีสิทธิ์ Key Vault เช่น ผู้ดูแลระบบ Key Vault หากต้องการข้อมูลเพิ่มเติม โปรดดู บทบาท Azure Security

1. เปิดพอร์ทัล Azure และนําทางไปยัง Key Vault ของคุณ ถ้าคุณไม่มี Key Vault ให้ทําตามคําแนะนําใน สร้าง key vault โดยใช้พอร์ทัล Azure

2. ใน Key Vault ของคุณ ให้กําหนดการตั้งค่าต่อไปนี้:

   • การลบแบบชั่วคราว - เปิดใช้งาน
   • การป้องกันการล้าง - เปิดใช้งาน

3. ใน Key Vault ของคุณ ให้เปิด Access control (IAM)

4. จากดรอปดาวน์เพิ่ม ให้เลือกเพิ่มการกําหนดบทบาท

5. เลือกแท็บสมาชิก จากนั้นคลิกที่เลือกสมาชิก

6. ในบานหน้าต่าง เลือกสมาชิก ให้ค้นหา Fabric Platform CMK

7. เลือกแอป CMK แพลตฟอร์ม Fabric แล้วเลือก เลือก

8. เลือกแท็บ Role และค้นหา Key Vault Crypto Service Encryption User หรือบทบาทที่เปิดใช้งานสิทธิ์ get, wrapkey และ unwrap key

9. เลือก Key Vault ผู้ใช้การเข้ารหัสบริการคริปโต

10. เลือก ตรวจสอบ + มอบหมาย จากนั้นเลือก ตรวจสอบ + มอบหมาย เพื่อยืนยันตัวเลือกของคุณ

ขั้นตอนที่ 4: สร้างคีย์ Azure Key Vault

เมื่อต้องการสร้างคีย์ Azure Key Vault ให้ทําตามคําแนะนําใน สร้าง Key Vault โดยใช้พอร์ทัล Azure

ข้อกําหนดของ Key Vault

Fabric รองรับเฉพาะคีย์ที่จัดการโดยลูกค้าแบบไม่มีเวอร์ชัน เวอร์ชัน ซึ่งเป็นคีย์ในรูปแบบ https://{vault-name}.vault.azure.net/{key-type}/{key-name} สําหรับห้องนิรภัย และ https://{hsm-name}.managedhsm.azure.net/{key-type}/{key-name} สําหรับ HSM ที่มีการจัดการ Fabric จะตรวจสอบห้องนิรภัยกุญแจทุกวันเพื่อหาเวอร์ชันใหม่ และใช้เวอร์ชันล่าสุดที่มีให้ใช้งาน เพื่อหลีกเลี่ยงไม่ให้มีช่วงเวลาที่คุณไม่สามารถเข้าถึงข้อมูลในพื้นที่ทํางานหลังจากสร้างคีย์ใหม่แล้ว ให้รอ 24 ชั่วโมงก่อนปิดใช้งานเวอร์ชันเก่า

Key Vault และ HSM ที่มีการจัดการต้องเปิดใช้งานการป้องกันการลบแบบชั่วคราวและการล้างข้อมูล และคีย์ต้องเป็นประเภท RSA หรือ RSA-HSM ขนาดคีย์ที่ได้รับการสนับสนุนคือ:

• 2,048 บิต
• 3,072 บิต
• 4,096 บิต

สําหรับข้อมูลเพิ่มเติม โปรดดู เกี่ยวกับคีย์

Note

คีย์ 4,096 บิตไม่ได้รับการสนับสนุนสําหรับฐานข้อมูล SQL ใน Microsoft Fabric

คุณยังสามารถใช้ Key Vaults Azure ที่เปิดใช้งานการตั้งค่า firewall ได้อีกด้วย เมื่อคุณปิดใช้งานการเข้าถึง Key Vault แบบสาธารณะ คุณสามารถเลือกตัวเลือกเพื่อ 'อนุญาตให้บริการของ Microsoft ที่เชื่อถือได้เลี่ยงไฟร์วอลล์นี้'

ขั้นตอนที่ 5: เปิดใช้การเข้ารหัสโดยใช้คีย์ที่จัดการโดยลูกค้า

หลังจากทําข้อกําหนดเบื้องต้นเสร็จแล้ว ให้ทําตามขั้นตอนในส่วนนี้เพื่อเปิดใช้งานคีย์ที่จัดการโดยลูกค้าในพื้นที่ทํางาน Fabric ของคุณ

1. จากพื้นที่ทํางาน Fabric ของคุณ ให้เลือก การตั้งค่าพื้นที่ทํางาน

2. จากบานหน้าต่างการตั้งค่าพื้นที่ทํางาน ให้เลือกการเข้ารหัส

3. เปิดใช้งานใช้คีย์ที่ลูกค้าจัดการ

4. ในช่องตัว ระบุคีย์ ให้ป้อนตัวระบุคีย์ที่ลูกค้าจัดการ

5. เลือก ใช้

เมื่อคุณทําตามขั้นตอนเหล่านี้แล้ว พื้นที่ทํางานของคุณจะถูกเข้ารหัสลับด้วยคีย์ที่ลูกค้าจัดการ ซึ่งหมายความว่าข้อมูลทั้งหมดใน OneLake ได้รับการเข้ารหัสลับ และรายการที่มีอยู่และในอนาคตในพื้นที่ทํางานจะถูกเข้ารหัสโดยคีย์ที่จัดการโดยลูกค้าที่คุณใช้สําหรับการตั้งค่า คุณสามารถตรวจสอบสถานะการเข้ารหัส ที่ใช้งานอยู่ กําลังดําเนินการ หรือ ล้มเหลว ในแท็บ การเข้ารหัสลับ ในการตั้งค่าพื้นที่ทํางาน รายการที่อยู่ระหว่างดําเนินการหรือล้มเหลวจะแสดงรายการตามประเภทด้วย คีย์ต้องยังคงทํางานอยู่ใน Key Vault ในขณะที่กําลังดําเนินการเข้ารหัส (สถานะ: อยู่ระหว่างดําเนินการ) รีเฟรชหน้าเพื่อดูสถานะการเข้ารหัสลับล่าสุด ถ้าการเข้ารหัสลับล้มเหลวสําหรับบางรายการในพื้นที่ทํางาน คุณสามารถลองอีกครั้งโดยใช้คีย์อื่น

เพิกถอนสิทธิ์การเข้าถึง

เมื่อต้องการเพิกถอนการเข้าถึงข้อมูลในพื้นที่ทํางานที่เข้ารหัสลับโดยใช้คีย์ที่จัดการโดยลูกค้า ให้เพิกถอนคีย์ใน Azure Key Vault ภายใน 60 นาทีนับจากเวลาที่คีย์ถูกยกเลิก อ่าน และเขียนการโทรไปยังพื้นที่ทํางานล้มเหลว

คุณสามารถเพิกถอนคีย์การเข้ารหัสลับที่ลูกค้าจัดการได้โดยการเปลี่ยนนโยบายการเข้าถึง โดยการเปลี่ยนสิทธิ์บน Key Vault หรือโดยการลบคีย์

หากต้องการคืนสิทธิ์การเข้าถึง ให้คืนสิทธิ์การเข้าถึงคีย์ที่จัดการโดยลูกค้าใน Key Vault

Note

พื้นที่ทํางานจะไม่ตรวจสอบความถูกต้องของคีย์สําหรับฐานข้อมูล SQL ใน Microsoft Fabric โดยอัตโนมัติ คุณต้องตรวจสอบความถูกต้องของ CMK อีกครั้งด้วยตนเอง เพื่อกู้คืนการเข้าถึงแทน

ปิดใช้งานการเข้ารหัสลับ

เมื่อต้องการปิดใช้งานการเข้ารหัสลับพื้นที่ทํางานโดยใช้คีย์ที่จัดการโดยลูกค้า ให้ไปที่ การตั้งค่าพื้นที่ทํางาน และปิดใช้งาน ใช้คีย์ที่จัดการโดยลูกค้า พื้นที่ทํางานยังคงถูกเข้ารหัสลับโดยใช้คีย์ที่มีการจัดการของ Microsoft

Note

คุณไม่สามารถปิดใช้งานคีย์ที่จัดการโดยลูกค้าได้ในขณะที่กําลังดําเนินการเข้ารหัสสําหรับรายการ Fabric ใดๆ ในพื้นที่ทํางานของคุณ

Monitoring

คุณสามารถติดตามคําขอการกําหนดค่าการเข้ารหัสสําหรับพื้นที่ทํางาน Fabric ของคุณโดยรายการบันทึกการตรวจสอบ ชื่อการดําเนินการต่อไปนี้ใช้ในบันทึกการตรวจสอบ:

• ApplyWorkspace การเข้ารหัส
• ปิดใช้งานการเข้ารหัสพื้นที่ทํางาน
• รับการเข้ารหัส WorkspaceEncryption

ข้อควรพิจารณาและข้อจำกัด

ก่อนที่คุณจะกําหนดค่าพื้นที่ทํางาน Fabric ของคุณด้วยคีย์ที่จัดการโดยลูกค้า ให้พิจารณาข้อจํากัดต่อไปนี้:

• ข้อมูลต่อไปนี้ไม่ได้รับการป้องกันด้วยคีย์ที่จัดการโดยลูกค้า:

  • ชื่อคอลัมน์เลคเฮาส์ รูปแบบตาราง การบีบอัดตาราง
  • ข้อมูลทั้งหมดที่จัดเก็บไว้ในคลัสเตอร์ Spark (ข้อมูลที่จัดเก็บไว้ในดิสก์ชั่วคราวซึ่งเป็นส่วนหนึ่งของการสับเปลี่ยนหรือการรั่วไหลของข้อมูล หรือแคช RDD ในแอปพลิเคชัน Spark) จะไม่ได้รับการปกป้อง ข้อมูลนี้รวมถึงงาน Spark ทั้งหมดจาก Notebooks, Lakehouses, คํานิยามงาน Spark, งาน Lakehouse Table Load and Maintenance, Shortcut Transforms, Fabric Materialized View Refresh
  • บันทึกงานที่จัดเก็บไว้ในเซิร์ฟเวอร์ประวัติ
  • ไลบรารีที่แนบเป็นส่วนหนึ่งของสภาพแวดล้อมหรือเพิ่มเป็นส่วนหนึ่งของการปรับแต่งเซสชัน Spark โดยใช้คําสั่งวิเศษจะไม่ได้รับการป้องกัน
  • ข้อมูลเมตาที่สร้างขึ้นเมื่อสร้างงานไปป์ไลน์และคัดลอก เช่น ชื่อฐานข้อมูล ตาราง สคีมา
  • เมตาดาต้าของแบบจําลอง ML และการทดลอง เช่น ชื่อแบบจําลอง เวอร์ชัน เมตริก
  • การสืบค้นคลังสินค้าในแคช Object Explored และแบ็กเอนด์ ซึ่งจะถูกไล่ออกหลังจากการใช้งานแต่ละครั้ง

• แค็ตตาล็อก Dataverse ที่มิเรอร์และแค็ตตาล็อก Azure Databricks แบบมิเรอร์ไม่ได้รับการสนับสนุนในพื้นที่ทํางานที่เปิดการตั้งค่าคีย์ที่จัดการโดยลูกค้า

• CMK รองรับ F SKU ทั้งหมด ไม่สามารถใช้ความจุทดลองใช้สําหรับการเข้ารหัสโดยใช้ CMK

• คุณเปิด CMK สําหรับพื้นที่ทํางานที่โฮสต์ในความจุ BYOK ได้ สามารถใช้คีย์เดียวกันหรือแยกกันเพื่อป้องกันทั้งสองรายการในพื้นที่ทํางานที่เปิดใช้งาน CMK และโมเดลความหมายที่อยู่ในความจุ BYOK (พรีวิว)

• คุณสามารถเปิดใช้งาน CMK ได้โดยใช้พอร์ทัล Fabric หรือ API ผู้ดูแลระบบ Workspace สามารถใช้ API เช่น กําหนดการเข้ารหัส Workspace, Get Workspace Encryption และ Reset Workspace Encryption เพื่อเปิดหรือปิดการตั้งค่า CMK และดูสถานะ CMK ของ workspace ผู้ดูแลระบบ Tenant สามารถใช้ List Workspaces API เพื่อรับสถานะการเข้ารหัสของ workspace ทั้งหมดใน tenant ของตน

• CMK สามารถเปิดใช้งานและปิดใช้งานสําหรับพื้นที่ทํางานในขณะที่การตั้งค่าการเข้ารหัสลับระดับผู้เช่าเปิดอยู่ เมื่อปิดการตั้งค่าผู้เช่า คุณจะไม่สามารถเปิดใช้งาน CMK สําหรับพื้นที่ทํางานในผู้เช่านั้นหรือปิดใช้งาน CMK สําหรับพื้นที่ทํางานที่มี CMK เปิดอยู่แล้วในผู้เช่านั้นได้ ข้อมูลในพื้นที่ทํางานที่เปิดใช้งาน CMK ก่อนปิดการตั้งค่าผู้เช่าจะยังคงเข้ารหัสด้วยคีย์ที่จัดการโดยลูกค้า ใช้คีย์ที่เกี่ยวข้องเพื่อให้สามารถยกเลิกการครอบข้อมูลในพื้นที่ทํางานนั้นได้ การปิดใช้งานการตั้งค่า CMK บนพื้นที่ทํางานของคุณจะจํากัดความสามารถในการเพิ่มคีย์ BYOK ใหม่ให้กับผู้เช่าของคุณด้วย

เนื้อหาที่เกี่ยวข้อง

• พื้นฐานด้านความปลอดภัย

• ใบอนุญาต Microsoft Fabric