Správa šifrovacího klíče

Všechna prostředí Microsoft Dataverse využívají transparentní šifrování dat (TDE) serveru SQL za účelem šifrování dat při zápisu na disk v reálném čase, známé také jako neaktivní uložená data.

Ve výchozím nastavení Microsoft ukládá a spravuje databázi šifrovacích klíčů pro vaše prostředí, takže to nemusíte dělat vy. Funkce správy klíčů v centru pro správu Microsoft Power Platform nabízí správcům možnost samostatně spravovat šifrovací klíče databází, které jsou přidruženy ke klientu Dataverse.

Důležité

• Od 2. června 2023 je tato služba upgradována na Zákazníkem spravovaný šifrovací klíč. Noví zákazníci, kteří potřebují spravovat svůj vlastní šifrovací klíč, využijí upgradovanou službu, protože tato služba již není nabízena.
• Samoobslužné šifrovací klíče databáze jsou dostupné pouze pro zákazníky, kteří mají více než 1000 licencí Power Apps na uživatele nebo více než 1000 licencí Dynamics 365 Enterprise nebo více než 1000 licencí z kombinace obou v jednom klientovi. Chcete-li se přihlásit do tohoto programu, odešlete žádost o podporu.

Správa šifrovacích klíčů je použitelná pouze pro databáze prostředí Azure SQL. Následující funkce a služby nadále používají k šifrování dat šifrovací klíč spravovaný společností Microsoft a nelze je šifrovat pomocí šifrovacího klíče s vlastním řízením:

• Kopiloti a funkce generativní AI v Microsoft Power Platform a Microsoft Dynamics 365
• Hledání Dataverse
• Elastické tabulky
• Mobile Offline
• Protokol aktivit (portál Microsoft 365)
• Exchange (synchronizace na straně serveru)

Poznámka:

• Než budete moci funkci používat, musí společnost Microsoft pro vašeho klienta zapnout funkci šifrovacího klíče databáze s vlastní správou.
• Chcete-li používat funkce správy šifrování dat pro dané prostředí, musí být prostředí vytvořeno poté, co společnost Microsoft zapne funkci šifrovacího klíče v databázi.
• Po zapnutí funkce ve vašem klientovi se všechna nová prostředí vytvoří pouze s úložištěm Azure SQL. Tato prostředí, bez ohledu na to, zda jsou šifrována pomocí klíče BYOK (bring-your-own-key) nebo klíče spravovaného společností Microsoft, mají omezení týkající se velikosti nahrávaných souborů, nemohou používat služby Cosmos a Datalake a vyhledávací indexy Dataverse jsou šifrovány klíčem spravovaným společností Microsoft. Chcete-li tyto služby používat, musíte migrovat na klíč spravovaný zákazníkem.
• Soubory a Obrázky s velikostí menší než 128 MB lze použít, pokud je vaše prostředí verze 9.2.21052.00103 nebo vyšší.
• Většina existujících prostředí má soubor a protokol uložený v jiných databázích než Azure SQL. V těchto prostředích nelze aktivovat šifrovací klíč s vlastním řízením. Se šifrovacím klíčem s vlastním řízením lze povolit pouze nová prostředí (jakmile se zaregistrujete pro tento program).

Úvod do správy klíčů

Díky správě klíčů mohou správci poskytnout svůj vlastní šifrovací klíč nebo jim vygenerovaný šifrovací klíč, který slouží k ochraně databáze pro prostředí.

Funkce správy klíčů podporuje soubory šifrovacích klíčů, a to jak PFX, tak BYOK, jako jsou uložené v modulu hardwarového zabezpečení (HSM). Pokud chcete využít možnosti nahrání šifrovacího klíče, potřebujete jak veřejný, tak soukromý šifrovací klíč.

Funkce správy klíčů odstraňuje složitost správy šifrovacích klíčů pomocí Azure Key Vault k bezpečnému ukládání šifrovacích klíčů. Azure Key Vault pomáhá chránit kryptografické klíče a tajné klíče používané cloudovými aplikacemi a službami. Funkce správy klíčů nevyžaduje, abyste měli předplatné Azure Key Vault a pro většinu situací není potřeba přistupovat k šifrovacím klíčům používaným pro Dataverse v trezoru.

Funkce správa klíčů umožňuje provádět následující úkoly.

• Povolit možnost samostatně spravovat databáze šifrovacích klíčů, které jsou přidruženy k prostředím.

• Generovat nové šifrovací klíče nebo nahrávat existující soubory šifrovacích klíčů .PFX nebo .BYOK.

• Zamkněte a odemkněte prostředí klienta.

  Upozorňující

  V době, kdy je klient uzamčen, nemá nikdo přístup do žádného prostředí v klientovi. Více informací: Zamknutí klienta.

Chápejte potenciální riziko při správě klíčů

Stejně jako u jakékoli kritické obchodní aplikace, musejí být zaměstnanci ve vaší organizaci, kteří mají přístup na úrovni správce, důvěryhodní. Před použitím funkce správy klíčů byste měli chápat rizika při správě šifrovacích klíčů databáze. Je představitelné, že škodlivý správce (osoba, které je poskytnut nebo která získala přístup na úrovni správce s úmyslem poškodit zabezpečení nebo obchodní procesy v organizaci) pracující v rámci organizace může použít funkci správy klíčů k vytvoření klíče a ten pak použít k uzamknutí všech prostředí v klientovi.

Zvažte následující posloupnost událostí.

Škodlivý správce se přihlásí do centra pro správu Power Platform, přejde na kartu Prostředí a vybere Spravovat šifrovací klíč. Tento správce pak vytvoří nový klíč s heslem a stáhne šifrovací klíč na svou místní jednotku a aktivuje nový klíč. Nyní jsou všechny databáze prostředí šifrovány pomocí nového klíče. Poté správce se zlými úmysly uzamkne klienta nově staženým klíčem a poté stáhne nebo odstraní stažený šifrovací klíč.

Výsledkem těchto akcí bude zakázání online přístupu do všech prostředí v rámci klienta a akce způsobí, že všechny zálohy databáze nebudou obnovitelné.

Důležité

Chcete-li zabránit přerušení obchodních operací pomocí uzamčení databáze, funkce spravované klíče databáze neumožní zamčení prostředí klienta do 72 hodin po změně nebo aktivaci šifrovacího klíče. To poskytuje až 72 hodin na vrácení jakýchkoli neoprávněných změn klíče ostatním správcům.

Požadavky na šifrovací klíč

Pokud zadáte vlastní šifrovací klíč, musí splňovat tyto požadavky, které jsou přijímány Azure Key Vault.

• Formát souboru šifrovacího klíče musí být PFX nebo BYOK.
• 2048bitové šifrování RSA.
• Typ klíče RSA-HSM (vyžaduje žádost podpory Microsoftu).
• Soubory PFX šifrovacího klíče musejí být chráněny heslem.

Další informace o generování a přenosu klíče chráněného HSM přes internet naleznete v dokumentaci Jak generovat a přenášet klíče chráněné HSM pro Azure Key Vault. Podporován je pouze klíč HSM dodavatele nCipher. Před vygenerováním klíče HSM přejděte do centra pro správu Power Platform do okna Spravovat šifrovací klíče/Vytvořit nový klíč, kde získáte ID předplatného pro prostředí ve vaší oblasti. Chcete-li vytvořit klíč, musíte toto ID předplatného zkopírovat a vložit do HSM. Tím zajistíte, že váš soubor může otevřít pouze náš Azure Key Vault.

Úkoly související se správou klíčů

Pro zjednodušení klíčových úkolů správy jsou úkoly rozděleny do tří oblastí:

1. Vygenerujte nebo nahrajte šifrovací klíč pro tenanta
2. Aktivujte šifrovací klíč pro tenanta
3. Správa šifrování pro prostředí

Správci mohou použít rutiny centra pro správu Power Platform nebo modulu pro správu Power Platform k provádění úloh správy ochranných klíčů klienta popsaných zde.

Vygenerujte nebo nahrajte šifrovací klíč pro klienta

Všechny šifrovací klíče jsou uloženy v Azure Key Vault a vždy může existovat pouze jeden aktivní klíč. Protože se aktivní klíč používá k šifrování všech prostředí v klientovi, správa šifrování se provádí na úrovni klienta. Jakmile je klíč aktivován, může být každé jednotlivé prostředí vybráno pro použití klíče pro šifrování.

Tento postup použijte, chcete-li nastavit funkci správy klíčů pro prostředí poprvé nebo chcete-li změnit (nebo zahrnout) šifrovací klíč klienta, který již spravuje sám sebe.

Upozorňující

Při provádění kroků popsaných zde poprvé se rozhodnete pro vlastní správu šifrovacích klíčů. Další informace: Porozumění možnému riziku při správě klíčů.

1. Přihlaste se do Power Platform centra správců jako správce (Dynamics 365 admin nebo Microsoft Power Platform admin).

2. Vyberte kartu Prostředí kartu a potom na panelu nástrojů vyberte Spravovat šifrovací klíče.

3. Vyberte Potvrdit pro potvrzení rizika souvisejícího se správou klíče.

4. Na panelu nástrojů vyberte Nový klíč.

5. V levém podokně vyplňte podrobnosti a vygenerujte nebo nahrajte klíč:

   • Vyberte oblast. Tato možnost se zobrazí, pouze pokud má váš nájemce více oblastí.
   • Zadejte Název klíče.
   • Vybírejte z následujících možností:
     • Chcete-li vytvořit nový klíč, vyberte Generovat nový (.pfx). Více informací: Generovat nový klíč (.pfx).
     • Chcete-li použít vlastní vygenerovaný klíč, vyberte Nahrát (.pfx nebo .byok). Více informací: Nahrání klíče (.pfx nebo .byok).

6. Vyberte Další.

Generování nového klíče (.pfx)

1. Zadejte heslo a poté znovu zadejte heslo pro potvrzení.
2. Vyberte Vytvořit a poté vyberte v prohlížeči vytvořené oznámení o souboru.
3. Soubor šifrovacího klíče .PFX se stáhne do výchozí složky pro stahování vašeho prohlížeče. Uložte soubor na bezpečné místo (doporučujeme, aby byl tento klíč zálohován spolu s heslem).

Nahrát klíč (.pfx nebo .byok)

1. Vyberte Nahrát klíč, vyberte soubor .pfx nebo .byok¹ a pak vyberte Otevřít.
2. Zadejte heslo pro klíč a poté vyberte Vytvořit.

¹ U souborů šifrovacího klíče BYOK použijte při exportu šifrovacího klíče z vašeho místního HSM ID předplatného, jak je znázorněno na obrazovce. Více informací: Jak generovat a přenášet klíče chráněné HSM pro úložiště Azure Key Vault.

Poznámka:

Aby se snížil počet kroků řízení klíčových procesů správcem, bude klíč aktivován automaticky při prvním nahrávání. Všechna následná nahrání klíče vyžadují další krok k aktivaci klíče.

Aktivujte šifrovací klíč pro klienta

Jakmile je šifrovací klíč vygenerován nebo nahrán pro klienta, může být aktivován.

1. Přihlaste se do Power Platform centra správců jako správce (Dynamics 365 admin nebo Microsoft Power Platform admin).
2. Vyberte kartu Prostředí kartu a potom na panelu nástrojů vyberte Spravovat šifrovací klíče.
3. Vyberte Potvrdit pro potvrzení rizika souvisejícího se správou klíče.
4. Vyberte klíč, který má stav Dostupný a pak na panelu nástrojů vyberte Aktivovat klíč.
5. Vyberte Potvrdit pro potvrzení změny klíče.

Když aktivujete klíč pro klienta, bude chvíli trvat, než jej aktivuje služba správy klíčů. Status Stav klíče zobrazí klíč jako Instalace, když je nový nebo nahraný klíč aktivován. Po aktivaci tlačítka dojde k následujícímu:

• Všechna šifrovaná prostředí jsou automaticky šifrována aktivním klíčem (při této akci nejsou žádné prostoje).
• Po aktivaci bude šifrovací klíč použit ve všech prostředích, která se změní z šifrovacího klíče poskytovaného společností Microsoft na šifrovací klíč s vlastním řízením.

Důležité

Aby byl proces správy klíčů zefektivněn tak, aby všechna prostředí byla spravována stejným klíčem, nelze aktivní klíč aktualizovat, pokud existují uzamčená prostředí. Před aktivací nového klíče musí být všechna zamčená prostředí odemčena. Pokud existují uzamčená prostředí, která není nutné odemknout, musí být odstraněna.

Poznámka:

Po aktivaci šifrovacího klíče nemůžete aktivovat další klíč po dobu 24 hodin.

Správa šifrování pro prostředí

Ve výchozím nastavení je každé prostředí šifrováno šifrovacím klíčem od společnosti Microsoft. Jakmile je pro klienta aktivován šifrovací klíč, mohou se správci rozhodnout změnit výchozí šifrování a použít aktivovaný šifrovací klíč. Chcete-li použít aktivovaný klíč, postupujte takto.

Použít šifrovací klíč na prostředí

1. Přihlaste se k centru pro správu Power Platform pomocí přihlašovacích údajů role správce prostředí nebo správce systému.
2. Vyberte kartu Prostředí.
3. Otevřete šifrované prostředí poskytované společností Microsoft.
4. Vyberte Zobrazit vše.
5. V části Šifrování prostředí vyberte Spravovat.
6. Vyberte Potvrdit pro potvrzení rizika souvisejícího se správou klíče.
7. Vyberte Použít tento klíč k přijetí změny šifrování pro použití aktivovaného klíče.
8. Vyberte Potvrdit pro potvrzení, že klíč spravujete přímo a že pro tuto akci existují prostoje.

Vrácení spravovaného šifrovacího klíče zpět na šifrovací klíč poskytovaný společností Microsoft

Návrat k šifrovacímu klíči poskytovanému společností Microsoft nakonfiguruje prostředí zpět na výchozí chování, kde šifrovací klíč spravuje Microsoft.

1. Přihlaste se k centru pro správu Power Platform pomocí přihlašovacích údajů role správce prostředí nebo správce systému.
2. Vyberte kartu Prostředí a poté vyberte prostředí, které je šifrováno pomocí spravovaného klíče.
3. Vyberte Zobrazit vše.
4. V části Šifrování prostředí vyberte Správa a poté vyberte Potvrdit.
5. V části Vrátit se ke standardní správě šifrovacího klíče vyberte Vrátit se .
6. U provozních prostředí potvrďte prostředí zadáním názvu prostředí.
7. Výběrem volby Potvrdit se vraťte ke standardní správě šifrovacího klíče.

Uzamknutí klienta

Protože na jednoho klienta existuje pouze jeden aktivní klíč, zamykání šifrování klienta zakáže všechna prostředí, která jsou v klientovi. Všechna zamčená prostředí zůstanou nepřístupná všem uživatelům, včetně Microsoft, dokud je správce služby Power Platform ve vaší organizaci neodemkne pomocí klíče, který byl použit k jejímu uzamčení.

Upozornění

Prostředí klienta by se nikdy neměla uzamykat v rámci běžného obchodního procesu. Když zamknete klienta Dataverse, všechna prostředí budou převedena do úplného režimu offline a nebude k nim mít přístup nikdo, včetně společnosti Microsoft. Navíc se zastaví veškeré služby, jako je synchronizace a údržba. Pokud se rozhodnete službu opustit, může uzamčením klienta zajistit, že vaše online data nebudou nikdy znovu přístupná nikomu.
Vezměte na vědomí následující informace o zamykání prostředí klientů:

• Zamčená prostředí nelze obnovit ze zálohy.
• Zamčená prostředí jsou odstraněna, pokud nejsou odemčena po 28 dnech.
• Po změně šifrovacího klíče nelze prostředí zamknout 72 hodin.
• Zamykání klienta uzamkne všechna aktivní prostředí uvnitř klienta.

Důležité

• Než odemknete aktivní prostředí, musíte počkat alespoň jednu hodinu po uzamčení aktivního prostředí.
• Po zahájení procesu uzamčení jsou všechny šifrovací klíče ve stavu Aktivní nebo Dostupné odstraněny. Proces uzamčení může trvat až hodinu a během této doby není odemknutí uzamčeného prostředí povoleno.

1. Přihlaste se do Power Platform centra správců jako správce (Dynamics 365 admin nebo Microsoft Power Platform admin).
2. Vyberte kartu Prostředí a potom na panelu příkazů vyberte Spravovat šifrovací klíče.
3. Vyberte Aktivní a poté vyberte Zamknout aktivní prostředí.
4. V pravém podokně vyberte Nahrát aktivní klíč, vyhledejte a vyberte klíč, zadejte heslo a poté vyberte Zamknout.
5. Po zobrazení výzvy zadejte text zobrazený na obrazovce a potvrďte, že chcete uzamknout všechna prostředí v oblasti, a poté vyberte Potvrdit.

Odemknutí uzamknutých prostředí

Chcete-li odemknout prostředí, musíte nejprve nahrát a pak aktivovat šifrovací klíč klienta se stejným klíčem, který byl použit k uzamknutí klienta. Upozorňujeme, že uzamčená prostředí se po aktivaci klíče automaticky neodemknou. Každé uzamčené prostředí musí být odemknuto samostatně.

Důležité

• Než odemknete aktivní prostředí, musíte počkat alespoň jednu hodinu po uzamčení aktivního prostředí.
• Proces odemknutí může trvat až hodinu. Jakmile je klíč odemknutý, můžete jej použít ke správě šifrování pro prostředí.
• Nemůžete vygenerovat nový nebo nahrát existující klíč, dokud nejsou všechna zamčená prostředí odemknuta.

Odemknutí šifrovacího klíče

1. Přihlaste se do Power Platform centra správců jako správce (Dynamics 365 admin nebo Microsoft Power Platform admin).
2. Vyberte kartu Prostředí a potom vyberte Spravovat šifrovací klíče.
3. Vyberte klíč, který má stav Uzamčeno, a pak na panelu příkazů vyberte Aktivovat klíč.
4. Vyberte Nahrát zamknutý klíč, vyhledejte a vyberte klíč, který byl použit k uzamknutí klienta, zadejte heslo a poté vyberte Zamknout. Klíč přejde do stavu Instaluje se. Musíte počkat, až bude klíč ve stavu Aktivní před odemknutím uzamčeného prostředí.
5. Chcete-li odemknout prostředí, viz další část.

Odemknutí prostředí

1. Vyberte kartu Prostředí a potom vyberte název uzamknutého prostředí.

   Tip

   Nevybírejte řádek. Vyberte název prostředí.

2. V sekci Podrobnosti vyberte Vybrat vše k zobrazení podokna Podrobnosti napravo.

3. V části šifrování Prostředí v podokně podrobností vyberte Správa a poté vyberte Správa.

   

4. Na stránce Šifrování prostředí vyberte Odemknout.

   

5. Vyberte Potvrdit k potvrzení, že chcete odemknout prostředí.

6. Opakováním předchozích kroků odemknete další prostředí.

Operace databáze prostředí

Klient zákazníka může mít prostředí, která jsou šifrována pomocí spravovaného klíče společnosti Microsoft, a prostředí, která jsou šifrována pomocí klíče spravovaného zákazníkem. Pro zachování integrity dat a ochrany dat jsou při správě operací databází prostředí k dispozici následující ovládací prvky.

1. Obnovit Prostředí, které se má přepsat (prostředí „obnoveno do“), je omezeno na stejné prostředí, ze kterého byla záloha převzata, nebo na jiné prostředí, které je šifrováno stejným klíčem spravovaným zákazníkem.

   

2. Kopírovat Prostředí, které se má přepsat (prostředí „zkopírováno do“), je omezeno na jiné prostředí, které je šifrováno stejným klíčem spravovaným zákazníkem.

   

   Poznámka:

   Pokud bylo vytvořeno prostředí prováděné podporou společnosti za účelem vyřešení problému podpory v prostředí řízeném zákazníkem, musí být před provedením operace kopírování prostředí změněn šifrovací klíč pro prostředí prováděné podporou společnosti na klíč spravovaný zákazníkem.

3. Resetovat Zašifrovaná data prostředí budou smazána včetně záloh. Po přenastavení prostředí se šifrování prostředí vrátí zpět na klíč spravovaný společností Microsoft.

Viz také

SQL Server: Transparent Data Encryption (TDE)