Управление на шифроващия ключ

Всички среди на Microsoft Dataverse използват шифроване на прозрачни данни (TDE) на SQL сървър, за да изпълняват шифроване на данни в реално време при записване на диск, също познато като неактивно шифроване.

По подразбиране Microsoft съхранява и управлява шифроващите ключове за базата данни за вашите среди, за да не ви се налага на вас. Функцията за управлявани ключове в центъра за Microsoft Power Platform администриране дава възможност на администраторите да управляват самостоятелно ключа за шифроване на базата данни, който е свързан с клиента. Dataverse

Управлението на шифроващи ключове е приложимо само за бази данни в среда на Azure SQL. Следните функции и услуги продължават да използват управлявания от Microsoft шифроващ ключ за шифроване на данните си и не могат да бъдат шифровани със самостоятелно управлявания шифроващ ключ:

• Втори пилоти и генеративни функции на AI в Microsoft Power Platform и Microsoft Dynamics 365
• Търсене в Dataverse
• Еластични маси
• Mobile Offline
• Регистър на дейностите (портал на Microsoft 365)
• Обмен (синхронизирането от страна на сървъра)

Въведение в управлението на ключове

С управлението на ключове администраторите могат да предоставят собствен шифроващ ключ или за тях да бъде генериран шифроващ ключ, който да се използва за защита на базата данни за дадена среда.

Функцията за управление на ключове поддържа PFX и BYOK файлове с шифроващ ключ, като съхранените в защитния модул на хардуера (HSM). За да използвате опцията за шифроване на ключ за качване, ви е необходим както пубълващият, така и частният ключ за криптиране.

Функцията за управление на ключове премахва сложността на управлението на ключове за криптиране, като използва Azure Key Vault за сигурно съхранение на ключове за криптиране. Azure Key Vault помага в защитата на криптографски ключове и тайни, използвани от приложения и услуги в облака. Функцията за управление на ключове не изисква да имате абонамент за Azure Key Vault и за повечето ситуации няма нужда от достъп до ключовете за шифроване, използвани в Dataverse хранилището.

Функцията за управлявани ключове ви позволява да изпълнявате следните задачи.

• Разрешаване на възможността за самостоятелно управление на шифроващите ключове за базата данни, които са свързани със среди.

• Генериране на нови шифроващи ключове или качване на съществуващи .PFX или .BYOK файлове с шифроващ ключ.

• Заключване и отключване на среди на клиент.

  Предупреждение

  Докато клиентът е заключен, никой няма достъп до никоя среда в него. Повече информация: Заключване на клиента.

Разбиране на потенциалния риск, когато управлявате ключовете

Както при всяко важно за бизнеса приложение, трябва да се има доверие на персонала в организацията, който има достъп на административно ниво. Преди да използвате функцията за управление на ключове, трябва да разберете риска при управлението на шифроващите ключове за базата данни. Възможно е злонамерен администратор (лице, на което е предоставен или е получил достъп на ниво администратор с намерение да навреди на защитата или бизнес процесите на организацията), работещ във вашата организация, да използва функцията за управлявани ключове, за да създаде ключ и да го използва, за да заключи всички среди в клиента.

Обмислете следната последователност от събития.

Злонамереният администратор влиза в центъра за администриране на Power Platform, отива в раздела Среди и избира Управление на шифроващ ключ. След това злонамереният администратор създава нов ключ с парола, изтегля шифроващия ключ на локалния си диск и активира новия ключ. Сега всички бази данни на средите са шифровани с новия ключ. След това злонамереният администратор заключва клиента с току-що изтегления ключ и след това взема или изтрива изтегления шифроващ ключ.

Тези действия водят до деактивиране на всички среди в клиента от онлайн достъп и правят всички резервни копия на базата данни невъзстановими.

Изисквания за шифроващия ключ

Ако предоставите собствен шифроващ ключ, вашият ключ трябва да отговаря на изискванията, приети от Azure Key Vault.

• Форматът на файловете с шифроващ ключ трябва да бъде PFX или BYOK.
• 2048-битов RSA.
• Тип ключ RSA-HSM (изисква заявка за поддръжка на Microsoft).
• PFX файловете с шифроващ ключ трябва да са защитени с парола.

За повече информация относно генерирането и прехвърлянето на защитен с HSM ключ през интернет вижте Как да генерирате и прехвърляте защитени с HSM ключове за хранилището за ключове на Azure. Само nCipher Vendor HSM ключ се поддържа. Преди да генерирате вашия HSM ключ, отидете на административния център на Power Platform, прозореца Управление на ключовете за криптиране/Създаване на нов ключ, за да получите идентификационния номер на абонамента за вашия регион на среда. Трябва да копирате и поставите този абонаментен идентификатор във вашия HSM, за да създадете ключа. Това гарантира, че само нашият Azure Key Vault може да отвори вашия файл.

Задачи по управление на ключове

За да се опростят основните задачи за управление, те са разделени на три области:

1. Генериране или качване на шифроващия ключ за клиент
2. Активиране на шифроващ ключ за клиент
3. Управление на шифроване за среда

Администраторите могат да използват центъра за администриране на Power Platform или командите на модула за администриране на Power Platform, за да изпълняват описаните тук задачи за управление на ключовете за защита на клиентите.

Генериране или качване на шифроващия ключ за клиент

Всички шифроващи ключове се съхраняват в хранилището за ключове в Azure и в даден момент може да има само един активен ключ. Тъй като активният ключ се използва за шифроване на всички среди в клиента, управлението на шифроването се управлява на ниво клиент. След като ключът бъде активиран, всяка отделна среда може да бъде избрана да използва шифроващия ключ.

Използвайте тази процедура, за да зададете функцията за управляван ключ за първи път за среда или да промените (или превъртите) шифроващ ключ за вече самостоятелно управляван клиент.

1. Влезте в центъра Power Platform заадминистриране като администратор (администратор или Microsoft Power Platform администратор на Dynamics 365).

2. Изберете раздела Среди и след това в лентата с инструменти изберете Управление на шифроващи ключове.

3. Изберете Потвърждаване , за да потвърдите риска от управлявания ключ.

4. Изберете Нов ключ в лентата с инструменти.

5. В левия екран попълнете подробностите, за да генерирате или качите ключ:

   • Изберете Регион. Тази опция се показва само ако клиентът ви има няколко региона.
   • Въведете Име на ключ.
   • Изберете от следните опции:
     • За да създадете нов ключ, изберете Генериране на нов (.pfx). Повече информация: Генериране на нов ключ (.pfx).
     • За да използвате собствения си генериран ключ, изберете Качване (.pfx или .byok). Повече информация: Качване на ключ (.pfx или .byok).

6. Изберете Напред.

Генериране на нов ключ (.pfx)

1. Въведете парола и след това въведете отново паролата, за да потвърдите.
2. Изберете Създаване и след това изберете създаденото известие за файл във вашия браузър.
3. .PFX файлът с шифроващия ключ се изтегля в папката за изтегляне по подразбиране на вашия уеб браузър. Запазете файла на сигурно място (препоръчваме този ключ да бъде архивиран заедно с паролата му).

Качване на ключ (.pfx или .byok)

1. Изберете Качване на ключа, изберете .pfx или .byok¹ файла и след това изберете Отваряне.
2. Въведете паролата за ключа и след това изберете Създаване.

¹ За .byok файлове с шифроващ ключ се уверете, че използвате ИД на абонамента, както е показано на екрана, когато експортирате шифроващия ключ от локалния HSM. Повече информация: Как да генерирате и прехвърляте HSM защитени ключове за хранилището за ключове в Azure.

Активиране на шифроващ ключ за клиент

След като се генерира или качи ключ за кодиране за клиента, той може да бъде активиран.

1. Влезте в центъра Power Platform заадминистриране като администратор (администратор или Microsoft Power Platform администратор на Dynamics 365).
2. Изберете раздела Среди и след това в лентата с инструменти изберете Управление на шифроващи ключове.
3. Изберете Потвърждаване , за да потвърдите риска от управлявания ключ.
4. Изберете ключ със състояние Наличен и след това изберете Активиране на ключ в лентата с инструменти.
5. Изберете Потвърждаване , за да потвърдите промяната на ключа.

Когато активирате ключ за клиента, отнема известно време, докато услугата за управление на ключове активира ключа. Състояние на ключа показва ключа като Инсталиране, когато се активира новият или каченият ключ. След като ключът се активира, се случва следното:

• Всички шифровани среди автоматично се шифроват с активния ключ (няма прекъсване с това действие).
• Когато е активиран, шифроващият ключ се прилага към всички среди, които са променени от предоставен от Microsoft на самоуправляван шифроващ ключ.

Управление на шифроване за среда

По подразбиране всяка среда се шифрова с осигурения от Microsoft шифроващ ключ. След като шифроващият ключ бъде активиран за клиента, администраторите могат да изберат да променят шифроването по подразбиране, за да използват активирания шифроващ ключ. За да използвате активирания ключ, следвайте тези стъпки.

Прилагане на шифроващ ключ към среда

1. Влезте в центъра за администрация на Power Platform, използвайки идентификационни данни за ролята на администратор на средата или на системния администратор.
2. Изберете раздела Среди.
3. Отворете среда с шифроване Осигурено от Microsoft.
4. Изберете Виж всички.
5. В секцията Шифроване на средата изберете Управление.
6. Изберете Потвърждаване , за да потвърдите риска от управлявания ключ.
7. Изберете Прилагане на този ключ, за да приемете промяната на шифроването и да използвате активирания ключ.
8. Изберете Потвърждаване , за да потвърдите, че управлявате ключа директно и че има престой за това действие.

Връщане на управляван шифроващ ключ обратно към осигурения от Microsoft шифроващ ключ

Връщането към осигурения от Microsoft шифроващ ключ конфигурира средата обратно към поведението по подразбиране, където Microsoft управлява шифроващия ключ за вас.

1. Влезте в центъра за администрация на Power Platform, използвайки идентификационни данни за ролята на администратор на средата или на системния администратор.
2. Изберете раздела Среди и след това изберете среда, която се шифрова със самоуправляващ се ключ.
3. Изберете Виж всички.
4. В секцията Шифроване на средата изберете Управление и след това изберете Потвърждаване.
5. Във Връщане към стандартно управление на шифроването изберете Връщане.
6. За производствени среди потвърдете средата, като въведете името й.
7. Изберете Потвърждаване за връщане към стандартно управление на шифроващи ключове.

Заключване на клиента

Тъй като има само един активен ключ за клиент, заключването на шифроването за клиента деактивира всички среди , които са в клиента. Всички заключени среди остават недостъпни за всички, включително Microsoft, докато администратор на услуга на Power Platform в организацията го отключи с помощта на ключа, използван за заключването му.

1. Влезте в центъра Power Platform заадминистриране като администратор (администратор или Microsoft Power Platform администратор на Dynamics 365).
2. Изберете раздела Среди и след това в командната лента изберете Управление на шифроващи ключове.
3. Изберете ключа Активен и след това изберете Заключване на активните среди.
4. В десния екран изберете Качване на активен ключ, отидете до и изберете ключа, въведете паролата и след това изберете Заключване.
5. Когато бъдете подканени, въведете текста, който се показва на вашия екран, за да потвърдите, че искате да заключите всички среди в региона, и след това изберете Потвърждаване.

Отключване на заключени среди

За да отключите среди, първо трябва да качите и след това да активирате ключа за шифроване на клиента със същия ключ, който е бил използван за заключване на клиента. Имайте предвид, че заключените среди не се отключват автоматично, след като ключът е активиран. Всяка заключена среда трябва да се отключи поотделно.

Отключване на шифроващ ключ

1. Влезте в центъра Power Platform заадминистриране като администратор (администратор или Microsoft Power Platform администратор на Dynamics 365).
2. Изберете раздела Среди и след това Управление на шифроващи ключове.
3. Изберете ключа със състояние Заключен и след това в командната лента изберете Отключване на ключ.
4. Изберете Качване на заключен ключ, отидете до и изберете ключа, който е бил използван за заключване на клиента, въведете паролата и след това изберете Отключване. Ключът преминава в състояние Инсталиране. Трябва да изчакате, докато ключът премине в състояние Активен, преди да можете да отключите заключени среди.
5. За да отключите среда, вижте следващия раздел.

Отключване на среди

1. Изберете раздела Среди и след това изберете името на заключената среда.

   Съвет

   Не избирайте реда. Изберете името на средата.

2. В секцията Подробности изберете Виж всички, за да се покаже екранът Подробности отдясно.

3. В секцията Шифроване на средата в екрана Подробности изберете Управление.

   

4. На страницата Шифроване на средата изберете Отключване.

   

5. Изберете Потвърждаване, за да потвърдите, че искате да отключите средата.

6. Повторете предишните стъпки, за да отключите други среди.

Операции на база данни на среда

Клиентският клиент може да има среди, които са криптирани с помощта на управлявания ключ на Microsoft, и среди, които са криптирани с управлявания от клиента ключ. За да се поддържа целостта на данните и защитата на данните, са налични следните контроли при управление на операции с база данни на среда.

1. Възстановяване Средата за презаписване (възстановената среда) е ограничена до същата среда, от която е взето архивирането, или до друга среда, която е шифрована със същия управляван от клиента ключ.

   

2. Копиране Средата за презаписване (копираната в среда) е ограничена до друга среда, която е шифрована със същия управляван от клиента ключ.

   

   Бележка

   Ако среда за разследване на поддръжка е създадена за разрешаване на проблема с поддръжката в среда, управлявана от клиента, ключът за криптиране на средата за разследване на поддръжката трябва да бъде променен на ключ, управляван от клиента, преди да може да се извърши операцията за копиране на среда.

3. Нулиране Шифрованите данни на средата се изтриват, включително резервните копия. След като средата е нулирана, криптирането на средата ще се върне обратно към управлявания ключ на Microsoft.

Свързано съдържание

SQL Server: Прозрачно криптиране на данни (TDE)