Criar servidor configurado com identidade gerenciada atribuída pelo usuário e CMK entre locatários para TDE

Aplica-se a: do Banco de Dados SQL do Azure

Neste guia, passaremos pelas etapas para criar um servidor lógico do Azure SQL com criptografia de dados transparente (TDE) e chaves gerenciadas pelo cliente (CMK), utilizando um de identidade gerenciado atribuído pelo usuário para acessar um do Cofre de Chaves do Azure em um locatário do Microsoft Entra diferente do locatário do servidor lógico. Para obter mais informações, consulte chaves gerenciadas pelo cliente entre locatários com criptografia de dados transparente.

Observação

Microsoft Entra ID era anteriormente conhecido como Azure Ative Directory (Azure AD).

Pré-requisitos

• Este guia pressupõe que você possua dois locatários do Microsoft Entra.
  • O primeiro contém o recurso do Banco de Dados SQL do Azure, um aplicativo Microsoft Entra multilocatário e uma identidade gerenciada atribuída pelo usuário.
  • O segundo locatário abriga o Cofre da Chave do Azure.
• Para obter instruções abrangentes sobre como configurar a CMK entre locatários e as permissões RBAC necessárias para configurar aplicativos Microsoft Entra e o Azure Key Vault, consulte um dos seguintes guias:
  • Configurar chaves gerenciadas pelo cliente entre locatários para uma nova conta de armazenamento
  • Configurar chaves geridas pelo cliente entre diferentes inquilinos para uma conta de armazenamento existente

Recursos necessários para o primeiro inquilino

Para o propósito deste tutorial, assumiremos que o primeiro locatário pertence a um fornecedor independente de software (ISV) e o segundo locatário é de seu cliente. Para obter mais informações sobre esse cenário, consulte chaves gerenciadas pelo cliente entre locatários com criptografia de dados transparente.

Antes de podermos configurar o TDE para o Banco de Dados SQL do Azure com uma CMK entre locatários, precisamos ter um aplicativo Microsoft Entra multilocatário configurado com uma identidade gerenciada atribuída pelo usuário atribuída como uma credencial de identidade federada para o aplicativo. Siga um dos guias na secção de Pré-requisitos.

1. No primeiro locatário onde você deseja criar o Banco de Dados SQL do Azure, criar e configurar um aplicativo Microsoft Entra multilocatário

2. Criar uma identidade gerenciada atribuída pelo usuário

3. Configurar a identidade gerida atribuída pelo utilizador como uma credencial de identidade federada para a aplicação multi-inquilinos

4. Registre o nome e a ID do aplicativo. Isto está disponível no portal do Azure>Microsoft Entra ID>aplicações empresariais e procurar pela aplicação criada

Recursos necessários no segundo locatário

Observação

Os módulos Azure AD e MSOnline PowerShell foram preteridos a partir de 30 de março de 2024. Para saber mais, leia a atualização sobre a descontinuação de . Após essa data, o suporte para esses módulos é limitado à assistência de migração para o SDK do Microsoft Graph PowerShell e correções de segurança. Os módulos preteridos continuarão a funcionar até 30 de março de 2025.

Recomendamos migrar para do Microsoft Graph PowerShell para interagir com o Microsoft Entra ID (anteriormente Azure AD). Para perguntas comuns sobre migração, consulte as Perguntas frequentes sobre migração de . Nota: Versões 1.0.x do MSOnline podem sofrer interrupções após 30 de junho de 2024.

1. No segundo locatário onde o Azure Key Vault reside, criar um principal de serviço (aplicação) usando a ID da aplicação registrada do primeiro locatário. Aqui estão alguns exemplos sobre como registar a aplicação multilocatária. Substitua <TenantID> e <ApplicationID> pelo ID do locatário do cliente do Microsoft Entra e pelo ID da aplicação multilocatário , respectivamente.

   • PowerShell:

     Connect-AzureAD -TenantID <TenantID>
     New-AzADServicePrincipal  -ApplicationId <ApplicationID>
     

   • A CLI do Azure:

     az login --tenant <TenantID>
     az ad sp create --id <ApplicationID>
     

2. Vá para o portal do Azure>Microsoft Entra ID>aplicativos Enterprise e procure o aplicativo que acabou de ser criado.

3. Crie um do Cofre da Chave do Azure se não tiver um e crie uma chave

4. Crie ou defina a política de acesso.

   1. Selecione as permissões Get, Wrap Key, Unwrap Key em Key permissions ao criar a política de acesso
   2. Selecione a aplicação multilocatária criada na primeira etapa na opção Principal ao criar a política de acesso

   

5. Depois que a política de acesso e a chave tiverem sido criadas, Recuperar a chave do Cofre da Chave e registrar o Identificador de Chave

Criar servidor configurado com TDE com chave gerenciada pelo cliente (CMK) entre locatários

Este guia orientará você pelo processo de criação de um servidor lógico e banco de dados no SQL do Azure com uma identidade gerenciada atribuída pelo usuário, bem como como definir uma chave gerenciada pelo cliente entre locatários. A identidade gerenciada atribuída pelo usuário é essencial para configurar uma chave gerenciada pelo cliente para criptografia de dados transparente durante a fase de criação do servidor.

Importante

O utilizador ou a aplicação que usa APIs para criar servidores lógicos SQL precisa dos cargos de Colaborador do SQL Server e de Operador de Identidade Gerida , ou superiores na assinatura.

Portal

1. Navegue até a página de opção Select SQL deployment no portal do Azure.

2. Se você ainda não estiver conectado ao portal do Azure, entre quando solicitado.

3. Nos bancos de dados SQL, deixe Tipo de recurso definido como banco de dados únicoe selecione Criar.

4. Na guia Noções básicas do formulário Criar Banco de Dados SQL, em Detalhes do projeto , selecione a Assinatura do Azure desejada.

5. Para o grupo de recursos , selecione Criar novo, introduza um nome para o seu grupo de recursos e selecione OK.

6. Para Nome do banco de dados insira um nome de banco de dados. Por exemplo, ContosoHR.

7. Para o servidor , selecione Criar novoe preencha o formulário Novo servidor com os seguintes valores:

   • Nome do servidor: Insira um nome de servidor exclusivo. Os nomes de servidor devem ser globalmente exclusivos para todos os servidores no Azure, não apenas exclusivos dentro de uma assinatura. Insira algo como mysqlserver135e o portal do Azure informará se ele está disponível ou não.
   • Login do administrador do servidor: Insira um nome de login de administrador, por exemplo: azureuser.
   • Palavra-passe: Introduza uma palavra-passe que cumpra os requisitos de segurança e introduza-a novamente no campo Confirmar palavra-passe.
   • Localização: Selecione um local na lista suspensa

8. Selecione Next: Networking na parte inferior da página.

9. Na guia Rede , para o método de conectividade, selecione endpoint público.

10. Para regras de Firewall, configure Adicionar endereço IP do cliente atual para Sim. Deixe Permitir que os serviços e recursos do Azure acessem este servidor definido como Sem. O resto das seleções nesta página pode ser deixado como padrão.

    

11. Selecione Next: Security na parte inferior da página.

12. Na aba Segurança, sob Identidade, selecione Configurar Identidades.

    

13. No menu Identidade, selecione Desativar para de identidade gerenciada atribuída ao sistema sistema e, em seguida, selecione Adicionar em de identidade gerenciada atribuída ao usuário. Selecione a Subscrição pretendida e, em seguida, na Identidades geridas atribuídas pelo utilizador, selecione a identidade gerida atribuída pelo utilizador a partir da subscrição selecionada. Em seguida, selecione o botão Adicionar.

14. Em identidade principal, selecione a mesma identidade gerida atribuída ao utilizador selecionada na etapa anterior.

    

15. Para identidade de cliente federado , selecione a opção Alterar identidade e procure o aplicativo multilocatário que você criou nos Pré-requisitos.

    

    Observação

    Se o aplicativo multilocatário não tiver sido adicionado à política de acesso ao cofre de chaves com as permissões necessárias (Get, Wrap Key, Unwrap Key), usar esse aplicativo para federação de identidades no portal do Azure mostrará um erro. Certifique-se de que as permissões estão configuradas corretamente antes de configurar a identidade do cliente federado.

16. Selecione Aplicar

17. Na guia Segurança, em Criptografia de dados transparente, selecione Configurar criptografia de dados transparente. Selecione chave gerida pelo cliente, e aparecerá uma opção para inserir um identificador de chave. Adicione o Identificador de Chave obtido a partir da chave no segundo locatário.

    

18. Selecione Aplicar

19. Selecione Revisão + criar na parte inferior da página

20. Na página Rever e criar, depois de rever, selecione Criar.

A CLI do Azure

Para obter informações sobre como instalar a versão atual da CLI do Azure, consulte o artigo Instalar a CLI do Azure.

Crie um servidor configurado com identidade gerenciada atribuída pelo usuário e TDE gerenciada pelo cliente entre locatários usando o comando az sql server create. O de Identificador de Chave de do segundo locatário pode ser usado no campo . A ID da aplicação ,, da aplicação multiarrendatária pode ser usada no campo federated-client-id.

az sql server create \
    --name $serverName \
    --resource-group $resourceGroupName \
    --location $location  \
    --admin-user $adminlogin \
    --admin-password $password \
    --assign-identity \
    --identity-type $identitytype \
    --user-assigned-identity-id $identityid \
    --primary-user-assigned-identity-id $primaryidentityid \
    --key-id $keyid \
    --federated-client-id $federatedid
 

Crie um banco de dados com o comando az sql db create.

az sql db create \
    --resource-group $resourceGroupName \
    --server $serverName \
    --name mySampleDatabase \
    --sample-name AdventureWorksLT \
    --edition GeneralPurpose \
    --compute-model Serverless \
    --family Gen5 \
    --capacity 2

PowerShell

Crie um servidor configurado com identidade gerida atribuída pelo utilizador e TDE gerida pelo cliente em multilocação usando o PowerShell.

Para obter instruções de instalação do módulo Az PowerShell, consulte Instalar o Azure PowerShell.

Utilize o cmdlet New-AzSqlServer.

Substitua os seguintes valores no exemplo:

• <ResourceGroupName>: Nome do grupo de recursos para seu servidor lógico SQL do Azure
• <Location>: Localização do servidor, como West US, ou Central US
• <ServerName>: Usar um nome de servidor lógico SQL exclusivo do Azure
• <ServerAdminName>: O logon do administrador SQL
• <ServerAdminPassword>: A senha do administrador SQL
• <IdentityType>: Tipo de identidade a ser atribuída ao servidor. Os valores possíveis são SystemAssigned, UserAssigned, SystemAssigned,UserAssigned e Nenhum
• <UserAssignedIdentityId>: A lista de identidades gerenciadas atribuídas pelo usuário a serem atribuídas ao servidor (pode ser uma ou várias)
• <PrimaryUserAssignedIdentityId>: A identidade gerenciada atribuída pelo usuário que deve ser usada como principal ou padrão neste servidor
• <CustomerManagedKeyId>: O Identificador de Chave do Cofre de Chaves do segundo locatário
• : O ID de Aplicação da aplicação multilocatário

Para obter a sua identidade atribuída gerida pelo usuário ID de Recurso, pesquise por as Identidades Gerenciadas no portal do Azure. Encontre sua identidade gerenciada e vá para Propriedades. Um exemplo do ID de Recurso UMI parece-se com /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>

# create a server with user-assigned managed identity and cross-tenant customer-managed TDE
$params = @{
    ResourceGroupName = "<ResourceGroupName>"
    Location = "<Location>"
    ServerName = "<ServerName>"
    ServerVersion = "12.0"
    SqlAdministratorCredentials = (Get-Credential)
    SqlAdministratorLogin = "<ServerAdminName>"
    SqlAdministratorPassword = "<ServerAdminPassword>"
    AssignIdentity = $true
    IdentityType = "<IdentityType>"
    UserAssignedIdentityId = "<UserAssignedIdentityId>"
    PrimaryUserAssignedIdentityId = "<PrimaryUserAssignedIdentityId>"
    KeyId = "<CustomerManagedKeyId>"
    FederatedClientId = "<FederatedClientId>"
}

New-AzSqlServer @params

Modelo ARM

Aqui está um exemplo de um modelo ARM que cria um servidor lógico SQL do Azure com uma identidade gerenciada atribuída pelo usuário e TDE gerenciada pelo cliente. Para uma CMK entre inquilinos, use o Identificador de Chave do Cofre da Chave do segundo inquilino e o ID da Aplicação do aplicativo multilocatário.

O modelo também adiciona um conjunto de administradores do Microsoft Entra para o servidor e habilita de autenticação somente do Microsoft Entra, mas isso pode ser removido do exemplo de modelo.

Para obter mais informações e modelos ARM, consulte modelos do Azure Resource Manager para o Banco de Dados SQL do Azure & Instância Gerenciada SQL.

Use uma implementação personalizada no portal do Azuree construa o seu próprio modelo no editor. Em seguida, Guardar a configuração depois de a colar no exemplo.

Para obter a sua identidade gerida atribuída pelo usuário ID de Recurso, pesquise por Identidades Geridas no portal do Azure . Encontre sua identidade gerenciada e vá para Propriedades. Um exemplo do seu ID de Recurso UMI parece-se com /subscriptions/<subscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<managedIdentity>.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.1",
    "parameters": {
        "server": {
            "type": "String"
        },
        "location": {
            "type": "String"
        },
        "aad_admin_name": {
            "type": "String",
            "metadata": {
                "description": "The name of the Azure AD admin for the SQL server."
            }
        },
        "aad_admin_objectid": {
            "type": "String",
            "metadata": {
                "description": "The Object ID of the Azure AD admin."
            }
        },
        "aad_admin_tenantid": {
            "type": "String",
            "defaultValue": "[subscription().tenantId]",
            "metadata": {
                "description": "The Tenant ID of the Azure Active Directory"
            }
        },
        "aad_admin_type": {
            "defaultValue": "User",
            "allowedValues": [
                "User",
                "Group",
                "Application"
            ],
            "type": "String"
        },
        "aad_only_auth": {
            "defaultValue": true,
            "type": "Bool"
        },
        "user_identity_resource_id": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Resource ID of the user-assigned managed identity."
            }
        },
        "federated_clientid": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The Application ID of the multi-tenant application."
            }
        },
        "keyvault_url": {
            "defaultValue": "",
            "type": "String",
            "metadata": {
                "description": "The key vault URI."
            }
        },
        "AdminLogin": {
            "minLength": 1,
            "type": "String"
        },
        "AdminLoginPassword": {
            "type": "SecureString"
        }
    },
    "resources": [
        {
            "type": "Microsoft.Sql/servers",
            "apiVersion": "2022-05-01-preview",
            "name": "[parameters('server')]",
            "location": "[parameters('location')]",
            "identity": {
                "type": "UserAssigned",
                "UserAssignedIdentities": {
                    "[parameters('user_identity_resource_id')]": {}
                }
            },
            "properties": {
                "administratorLogin": "[parameters('AdminLogin')]",
                "administratorLoginPassword": "[parameters('AdminLoginPassword')]",
                "PrimaryUserAssignedIdentityId": "[parameters('user_identity_resource_id')]",
                "federatedClientId": "[parameters('federated_clientid')]",
                "KeyId": "[parameters('keyvault_url')]",
                "administrators": {
                    "login": "[parameters('aad_admin_name')]",
                    "sid": "[parameters('aad_admin_objectid')]",
                    "tenantId": "[parameters('aad_admin_tenantid')]",
                    "principalType": "[parameters('aad_admin_type')]",
                    "azureADOnlyAuthentication": "[parameters('aad_only_auth')]"
                }
            }
        }
    ]
}

Próximos passos

• Introdução à integração do Azure Key Vault e suporte Bring Your Own Key para TDE: Ative o TDE usando sua própria chave do Key Vault
• chaves gerenciadas pelo cliente entre locatários com criptografia de dados transparente

Ver também

• Criptografia de dados transparente (TDE) com chaves gerenciadas pelo cliente no nível do banco de dados
• Configure a replicação geográfica e a restauração de backup para criptografia de dados transparente com chaves gerenciadas pelo cliente no nível do banco de dados
• Gerenciamento de identidades e chaves para TDE com chaves gerenciadas pelo cliente no nível de banco de dados