PowerShell en Azure CLI: Transparent Data Encryption inschakelen met door de klant beheerde sleutel vanuit Azure Key Vault

Van toepassing op: Toegewezen SQL-pools van Azure Synapse Analytics (voorheen SQL DW)

Tip

Microsoft Fabric Data Warehouse is een relationeel warehouse op ondernemingsniveau op data lake-basis, met een architectuur die klaar is voor de toekomst, ingebouwde AI en nieuwe functies. Als u nieuw bent in gegevensopslag, begin dan met Fabric Data Warehouse. Bestaande dediceerde SQL-poolworkloads kunnen upgraden naar Fabric voor toegang tot nieuwe mogelijkheden in data science, realtime analyses en rapportage.

Dit artikel legt uit hoe je een sleutel uit Azure Key Vault gebruikt voor transparante data-encryptie (TDE) in Azure Synapse Analytics. Ga naar TDE met door de klant beheerde sleutels in Azure Key Vaultvoor meer informatie over de TDE met Azure Key Vault-integratie - ByOk -ondersteuning (Bring Your Own Key).

Note

Dit artikel behandelt standalone dedicated SQL-pools (voorheen SQL DW).

  • Voor Azure Synapse Analytics dedicated SQL pools (voorheen SQL DW), stel je de TDE-beschermer in op serverniveau. Alle versleutelde databases die aan die server zijn gekoppeld, erven de TDE-beschermer.
  • Versleutel de data in speciale SQL-pools en serverless SQL-pools in een Synapse-werkruimte door gebruik te maken van de klantbeheerde sleutel die op werkruimteniveau is geconfigureerd. Zie Azure Synapse Analytics-versleuteling voor transparante gegevensversleuteling voor toegewezen SQL-pools in Synapse-werkruimten.

Vereisten voor PowerShell

  • U moet een Azure-abonnement hebben en een beheerder van dat abonnement zijn.
  • [Aanbevolen maar optioneel] Zorg voor een hardwarebeveiligingsmodule (HSM) of een lokaal sleutelarchief voor het maken van een lokale kopie van het TDE Protector-sleutelmateriaal.
  • U moet Azure PowerShell hebben geïnstalleerd en uitgevoerd.
  • Maak een Azure Key Vault en Sleutel die u voor TDE wilt gebruiken.
  • De sleutel moet de volgende kenmerken hebben die moeten worden gebruikt voor TDE:
    • De activeringsdatum (indien ingesteld) moet een datum en tijd in het verleden zijn
    • De vervaldatum (indien ingesteld) moet een toekomstige datum en tijd zijn
    • De sleutel moet de status Ingeschakeld hebben
    • In staat om op te halen, sleutel in te pakken, sleutel uit te pakken bewerkingen uit te voeren.
  • Als u een Azure Key Vault beheerde HSM-sleutel wilt gebruiken, volgt u de instructies voor het maken en activeren van een beheerde HSM met behulp van Azure CLI

Zie Azure PowerShell-installeren voor installatie-instructies voor Az PowerShell-module.

Zie voor specifieke informatie over Azure Key Vault de PowerShell-instructies van Azure Key Vault en hoe u soft-delete van Azure Key Vault met PowerShell kunt gebruiken.

Een Microsoft Entra-identiteit toewijzen aan uw server

Als je een bestaande server hebt, gebruik dan de volgende instructies om een Microsoft Entra-identiteit aan je server toe te voegen:

$server = Set-AzSqlServer -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -AssignIdentity

Als je een server maakt, gebruik dan de New-AzSqlServer-cmdlet met de -Identity tag om een Microsoft Entra-identiteit toe te voegen tijdens het serveraanmaken:

$server = New-AzSqlServer -ResourceGroupName <SQLDatabaseResourceGroupName> -Location <RegionName> `
    -ServerName <LogicalServerName> -ServerVersion "12.0" -SqlAdministratorCredentials <PSCredential> -AssignIdentity

Azure Key Vault-machtigingen verlenen aan uw server

Gebruik de cmdlet Set-AzKeyVaultAccessPolicy om uw server toegang te verlenen tot de sleutelkluis voordat u een sleutel uit de sleutelkluis voor TDE gebruikt.

Set-AzKeyVaultAccessPolicy -VaultName <KeyVaultName> `
    -ObjectId $server.Identity.PrincipalId -PermissionsToKeys get, wrapKey, unwrapKey

Om rechten toe te voegen aan je server op een Managed HSM, voeg je de lokale RBAC-rol Managed HSM Crypto Service Encryption User toe aan de server. Deze rol stelt de server in staat om wrap key, unwrap key en get bewerkingen uit te voeren op de sleutels in de Managed HSM. Zie Beheer van beheerde HSM-rollen voor meer informatie.

De Azure Key Vault-sleutel toevoegen aan de server en de TDE-beveiliging instellen

Note

Voor beheerde HSM-sleutels gebruikt u Az.Sql 2.11.1-versie van PowerShell of hoger.

Note

De gecombineerde lengte van de sleutelkluisnaam en sleutelnaam mag niet hoger zijn dan 94 tekens.

Tip

Gebruik van versiebeheerde Azure Key Vault-sleutels voor TDE

Bij het instellen van de TDE-beschermer verwijs je naar een Azure Key Vault-sleutel door een specifieke sleutelversie te gebruiken.

Example:

  • Sleutel-id die een specifieke versie bevat

    https://<key-vault-name>.vault.azure.net/keys/<key-name>/<key-version>

# add the key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>

# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> `
   -Type AzureKeyVault -KeyId <KeyVaultKeyId>

# confirm the TDE protector was configured as intended
Get-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName>

TDE inschakelen

Gebruik de cmdlet Set-AzSqlDatabaseTransparentDataEncryption om TDE in te schakelen.

Set-AzSqlDatabaseTransparentDataEncryption -ResourceGroupName <SQLDatabaseResourceGroupName> `
   -ServerName <LogicalServerName> -DatabaseName <DatabaseName> -State "Enabled"

De database of het datawarehouse heeft nu TDE ingeschakeld met een versleutelingssleutel in Azure Key Vault.

De versleutelingsstatus en versleutelingsactiviteit controleren

Gebruik de Get-AzSqlDatabaseTransparentDataEncryption om de versleutelingsstatus voor een database of datawarehouse op te halen.

# get the encryption state of the database
Get-AzSqlDatabaseTransparentDataEncryption -ResourceGroupName <SQLDatabaseResourceGroupName> `
   -ServerName <LogicalServerName> -DatabaseName <DatabaseName> `

Nuttige PowerShell-cmdlets

  • Gebruik de cmdlet Set-AzSqlDatabaseTransparentDataEncryption om TDE uit te schakelen.

    Set-AzSqlDatabaseTransparentDataEncryption -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName> `
    -DatabaseName <DatabaseName> -State "Disabled"

  • Gebruik de cmdlet Get-AzSqlServerKeyVaultKey om de lijst met Azure Key Vault-sleutels te retourneren die aan de server zijn toegevoegd.

    # KeyId is an optional parameter, to return a specific key version
Get-AzSqlServerKeyVaultKey -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

  • Gebruik de Remove-AzSqlServerKeyVaultKey om een Azure Key Vault-sleutel van de server te verwijderen.

    # the key set as the TDE Protector cannot be removed
Remove-AzSqlServerKeyVaultKey -KeyId <KeyVaultKeyId> -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

Troubleshooting

  • Als de sleutelkluis niet gevonden kan worden, zorg dan dat je in het juiste abonnement zit.

    Get-AzSubscription -SubscriptionId <SubscriptionId>

  • Als je de nieuwe sleutel niet aan de server kunt toevoegen, of als je de nieuwe sleutel niet kunt updaten als TDE Protector, controleer dan de volgende voorwaarden:

    • De sleutel zou geen vervaldatum moeten hebben.
    • De sleutel moet de ophalen, de sleutelverpakken, en de sleutel uitpakken.

Verwante onderwerpen

  • Laatst bijgewerkt om