Dela via

Identitets- och nyckelhantering för TDE med kundhanterade nycklar på databasnivå

  • Artikel

gäller för:Azure SQL Database

Not

  • TDE CMK på databasnivå är tillgängligt för Azure SQL Database (alla SQL Database-utgåvor). Den är inte tillgänglig för Azure SQL Managed Instance, SQL Server lokalt, virtuella Azure-datorer och Azure Synapse Analytics (dedikerade SQL-pooler (tidigare SQL DW)).
  • Samma guide kan användas för att konfigurera kundhanterade nycklar på databasnivå i samma klientorganisation genom att undanta parametern federerat klient-ID. Mer information om kundhanterade nycklar på databasnivå finns i Transparent datakryptering (TDE) med kundhanterade nycklar på databasnivå.

I den här guiden går vi igenom stegen för att skapa, uppdatera och hämta en Azure SQL Database med transparent datakryptering (TDE) och kundhanterade nycklar (CMK) på databasnivå, med hjälp av en användartilldelad hanterad identitet för åtkomst Azure Key Vault-. Azure Key Vault finns i en annan Microsoft Entra-klientorganisation än Azure SQL Database. För mer information, se kundhanterade nycklar mellan klienter med transparent datakryptering.

Anteckning

Microsoft Entra ID tidigare kallades Azure Active Directory (Azure AD).

Förutsättningar

Nödvändiga resurser för den första klientorganisationen

I den här handledningen förutsätter vi att den första klientorganisationen tillhör en oberoende programvaruleverantör (ISV) och att den andra klientorganisationen kommer från deras kund. För mer information om det här scenariot, se kundhanterade nycklar mellan olika klienter med transparent datakryptering.

Innan vi kan konfigurera TDE för Azure SQL Database med en CMK för flera klientorganisationer måste vi ha ett Microsoft Entra-program med flera klientorganisationer som har konfigurerats med en användartilldelad hanterad identitet tilldelad som en federerad identitetsautentiseringsuppgift för programmet. Följ någon av guiderna i Förberedelser.

  1. På den första klientorganisationen där du vill skapa Azure SQL Database skapa och konfigurera ett Microsoft Entra-program med flera klientorganisationer.

  2. Skapa en användartilldelad hanterad identitet.

  3. Konfigurera den användartilldelade hanterade identiteten som en federerad identitetsuppgift för multitenant-applikationen.

  4. Registrera programnamnet och program-ID:t. Detta finns i Azure-portalen>Microsoft Entra ID>företagsapplikationer och sök efter det skapade programmet.

Nödvändiga resurser för den andra hyresgästen

Obs

Azure AD- och MSOnline PowerShell-moduler är inaktuella från och med den 30 mars 2024. Mer information finns i utfasningsuppdatering. Efter det här datumet är stödet för dessa moduler begränsat till migreringshjälp till Microsoft Graph PowerShell SDK och säkerhetskorrigeringar. De inaktuella modulerna fortsätter att fungera till och med mars 30 2025.

Vi rekommenderar att du migrerar till Microsoft Graph PowerShell- för att interagera med Microsoft Entra-ID (tidigare Azure AD). Vanliga frågor om migrering finns i Migrering FAQ. Obs! version 1.0.x av MSOnline kan uppleva störningar efter den 30 juni 2024.

  1. På den andra klientorganisationen där Azure Key Vault finns skapa ett tjänsthuvudnamn (program) med hjälp av program-ID:t från det registrerade programmet från den första klientorganisationen. Här är några exempel på hur du registrerar programmet för flera klientorganisationer. Ersätt <TenantID> och <ApplicationID> med klient-ID Tenant ID från Microsoft Entra ID och program-ID Application ID från den flerklientapplikationen:

    • PowerShell:

      Connect-AzureAD -TenantID <TenantID>
New-AzADServicePrincipal  -ApplicationId <ApplicationID>

    • Azure CLI-:

      az login --tenant <TenantID>
az ad sp create --id <ApplicationID>

  2. Gå till Azure-portalen>Microsoft Entra-ID>företagsprogram och sök efter programmet som har skapats.

  3. Skapa en Azure Key Vault om du inte har en och skapa en nyckel.

  4. Skapa eller ange åtkomstprincipen.

    1. Välj behörigheterna Get, Wrap Key, Unwrap Key under Nyckelbehörigheter när du skapar åtkomstprincipen.
    2. Välj det program för flera klientorganisationer som skapades i det första steget under alternativet Principal när du skapar åtkomstprincipen.

    Skärmbild av menyn åtkomstprinciper i nyckelvalvet i Azure-portalen.

  5. När åtkomstprincipen och nyckeln har skapats Hämta nyckeln från Key Vault och registrera key identifier.

Skapa en ny Azure SQL Database med kundhanterade nycklar på databasnivå

Följande är exempel på hur du skapar en databas i Azure SQL Database med en användartilldelad hanterad identitet och hur du anger en kundhanterad nyckel mellan klientorganisationer på databasnivå. Den användartilldelade hanterade identiteten krävs för att konfigurera en kundhanterad nyckel för transparent datakryptering under fasen för att skapa databasen.

  1. Navigera till alternativsidan Välj SQL-distribution i Azure-portalen.

  2. Om du inte redan är inloggad på Azure-portalen loggar du in när du uppmanas att göra det.

  3. Under SQL-databaserlåter du resurstyp vara inställd på Enkel databasoch väljer Skapa.

  4. På fliken Grundläggande i formuläret Skapa SQL Database, under Projektinformationväljer du önskad Azure -prenumeration, resursgruppoch Server för databasen. Använd sedan ett unikt namn för ditt -databasnamn. Om du inte har skapat en logisk server för Azure SQL Database, se Skapa server som konfigurerats med TDE och kundhanterad nyckel som är gemensam för flera klientorganisationer (CMK) för referens.

  5. När du kommer till fliken Security väljer du Konfigurera transparent datakryptering.

    Skärmbild av Azure-portalen och säkerhetsmenyn när du skapar en Azure SQL Database.

  6. På menyn Transparent datakryptering väljer du kundhanterad nyckel (CMK) på databasnivå.

    Skärmbild av menyn transparent datakryptering i Azure-portalen.

  7. För User-Assigned Hanterad identitetväljer du Konfigurera för att aktivera en databasidentitet och Lägg till en användartilldelad hanterad identitet till resursen om en önskad identitet inte finns med på menyn Identity. Välj sedan Använd.

    Skärmbild av identitetsmenyn i Azure-portalen.

    Anteckning

    Du kan konfigurera den federerade klientidentiteten här om du konfigurerar cross-tenant CMK för TDE.

  8. På menyn Transparent datakryptering väljer du Ändra nyckel. Välj önskad Prenumeration, Key Vault, Keyoch Version för den kundhanterade nyckel som ska användas för TDE. Välj knappen Välj. När du har valt en nyckel kan du också lägga till ytterligare databasnycklar efter behov med hjälp av Azure Key vault-URI (objektidentifierare) i menyn Transparent datakryptering.

    Automatisk nyckelrotation kan också aktiveras på databasnivå med hjälp av kryssrutan Rotera nyckel automatiskt på menyn Transparent datakryptering.

    Skärmbild av menyn för transparent datakryptering i Azure-portalen som refererar till att lägga till ytterligare nycklar.

  9. Välj Använd för att fortsätta skapa databasen.

  10. Välj Granska + skapa längst ned på sidan

  11. På sidan Granska + skapa, efter att ha granskat, väljer du Skapa.

Not

Det går inte att skapa databasen om den användartilldelade hanterade identiteten inte har rätt behörigheter aktiverade i nyckelvalvet. Den användartilldelade hanterade identiteten måste ha behörigheterna Get, wrapKey och unwrapKey i nyckelvalvet. Mer information finns i Hanterade identiteter för transparent datakryptering med kundhanterad nyckel.

Uppdatera en befintlig Azure SQL Database med kundhanterade nycklar på databasnivå

Följande är exempel på hur du uppdaterar en befintlig databas i Azure SQL Database med en användartilldelad hanterad identitet och hur du anger en kundhanterad nyckel mellan klientorganisationer på databasnivå. Den användartilldelade hanterade identiteten krävs för att konfigurera en kundhanterad nyckel för transparent datakryptering under fasen för att skapa databasen.

  1. I Azure-portalengår du till den SQL-databasresurs som du vill uppdatera med en kundhanterad nyckel på databashanterad nivå.

  2. Under Securityväljer du Identity. Lägg till en Användartilldelad hanterad identitet för den här databasen och välj sedan Spara

  3. Gå nu till menyn datakryptering under Security för databasen. Välj kundhanterad nyckel (CMK) på databasnivå . Database Identity för databasen bör redan vara Aktiverad eftersom du har konfigurerat identiteten i det senaste steget.

  4. Välj Ändra nyckel. Välj önskad Prenumeration, Key Vault, Keyoch Version för den kundhanterade nyckel som ska användas för TDE. Välj knappen Välj. När du har valt en nyckel kan du också lägga till ytterligare databasnycklar efter behov med hjälp av Azure Key Vault-URI (objektidentifierare) på menyn datakryptering.

    Markera kryssrutan Automatisk nyckelrotation om du vill aktivera automatisk nyckelrotation på databasnivå.

    Skärmbild av menyn transparent datakryptering i Azure-portalen när du uppdaterar en befintlig databas.

  5. Välj Spara.

Visa kundhanterade nyckelinställningar på databasnivå i en Azure SQL Database

Följande är exempel på hur du hämtar kundhanterade nycklar på databasnivå för en databas. ARM-resursen Microsoft.Sql/servers/databases som standard visar bara TDE-skyddet och den hanterade identitet som konfigurerats i databasen. Om du vill expandera den fullständiga listan med nycklar använder du parametern -ExpandKeyList. Dessutom kan filter som -KeysFilter "current" och ett tidsvärde (till exempel 2023-01-01) användas för att hämta de aktuella nycklar som använts och nycklar som använts tidigare vid en viss tidpunkt. Dessa filter stöds endast för enskilda databasfrågor och inte för frågor på servernivå.

Om du vill visa kundhanterade nycklar på databasnivå i Azure-portalengår du till menyn datakryptering i SQL-databasresursen.

Visa en lista över alla nycklar på en logisk server

Om du vill hämta listan över alla nycklar (och inte bara det primära skyddet) som används av varje databas under servern, måste den frågas individuellt med nyckelfiltren. Följande är ett exempel på en PowerShell-fråga för att lista varje nyckel under den logiska servern.

Använd cmdleten Get-AzSqlDatabase.

$dbs = Get-AzSqlDatabase -resourceGroupName <ResourceGroupName> -ServerName <ServerName>
foreach ($db in $dbs)
{
Get-AzSqlDatabase -DatabaseName $db.DatabaseName -ServerName $db.ServerName -ResourceGroupName $db.ResourceGroupName -ExpandKeyList
}

Återskapa kundhanterad nyckel på databasnivå i en Azure SQL Database

Om det finns ett otillgängligt TDE-skydd enligt beskrivningen i Transparent datakryptering (TDE) med CMK, när åtkomsten till nyckeln har rättats till kan en återvalideringsåtgärd för nyckeln användas för att göra databasen tillgänglig. Se följande instruktioner eller kommandon för exempel.

Använd Azure-portalenoch leta reda på din SQL-databasresurs. När du har valt din SQL-databasresurs går du till fliken Transparent datakryptering i menyn Datakryptering under inställningarna för Säkerhet. Om databasen har förlorat åtkomsten till Azure Key Vault visas knappen Revalidate-nyckel och du har möjlighet att återanvända den befintliga nyckeln genom att välja Försök igen, eller en annan nyckel genom att välja Välj säkerhetskopieringsnyckel.

Återställ kundhanterad nyckel på databasnivå i en Azure SQL Database

En databas som konfigurerats med cmk på databasnivå kan återställas till kryptering på servernivå om servern har konfigurerats med en tjänsthanterad nyckel med hjälp av följande kommandon.

Om du vill återställa inställningen kundhanterad nyckel på databasnivå till krypteringsnyckeln på servernivå i Azure-portalengår du till fliken Transparent datakryptering i menyn datakryptering i SQL-databasresursen. Välj krypteringsnyckel på servernivå och välj Spara för att spara inställningarna.

Obs

För att kunna använda krypteringsnyckeln på servernivå för enskilda databaser måste den logiska servern för Azure SQL Database konfigureras för att använda tjänsthanterad nyckel för TDE.

Nästa steg

Kontrollera följande dokumentation om olika CMK-åtgärder på databasnivå: