Girar o protetor de TDE (Transparent Data Encryption)

Aplica-se a:Banco de Dados SQL do Azure Instância Gerenciada de SQL do Azure

Este artigo descreve a rotação de chave para um servidor usando um protetor TDE do Azure Key Vault. Girar o Protetor TDE lógico para um servidor SQL do Azure significa alternar para uma nova chave compatível que protege os bancos de dados no servidor. Dependendo da configuração, o protetor de TDE pode ser apoiado por uma chave assimétrica (RSA) ou simétrica (AES) com suporte armazenada em Azure Key Vault ou Azure Key Vault HSM Gerenciado. A rotação de chave é uma operação online e deve demorar apenas alguns segundos para ser concluída, porque isso somente descriptografa e criptografa novamente a chave de criptografia de dados do banco de dados, não o banco de dados inteiro.

Este artigo aborda ambos os métodos automatizado e manual para girar o protetor de TDE no servidor.

Considerações importantes ao girar o protetor de TDE

Quando o protetor de TDE é alterado/girado, os backups antigos do banco de dados, incluindo os arquivos de log de backup, não são atualizados para usar o protetor de TDE mais recente. Para restaurar um backup criptografado com um protetor TDE do Azure Key Vault ou do HSM Gerenciado do Azure, verifique se o material da chave está disponível para o servidor de destino. Portanto, recomendamos manter todas as versões antigas do protetor de TDE no Azure Key Vault ou no HSM Gerenciado do Azure, para que os backups de banco de dados possam ser restaurados.
Mesmo ao alternar da CMK (chave gerenciada pelo cliente) para a chave gerenciada pelo serviço, mantenha todas as chaves usadas anteriormente no Azure Key Vault ou no HSM Gerenciado do Azure. Isso garante que os backups de banco de dados, incluindo arquivos de log copiados, possam ser restaurados com os protetores TDE armazenados no Azure Key Vault ou no HSM Gerenciado do Azure.
Além dos backups antigos, os arquivos de log de transações também podem exigir acesso ao protetor de TDE mais antigo. Para determinar se há algum log restante que ainda exija a chave mais antiga, depois de executar a rotação de chaves, use o Sys.DM_DB_LOG_INFO DMV (exibição de gerenciamento dinâmico). Essa DMV retorna informações sobre o VLF (arquivo de log virtual) do log de transações com a impressão digital da chave de criptografia do VLF.
Mantenha chaves antigas no Azure Key Vault ou no Azure Managed HSM e torne-as disponíveis para o servidor com base no período de retenção de backup configurado como parte das políticas de retenção de backup no banco de dados. Essa prática ajuda a garantir que quaisquer backups de Retenção de Longo Prazo (LTR) no servidor ainda possam ser restaurados usando as chaves antigas.
Você pode rotacionar o protetor do TDE alterando a configuração para usar uma nova chave armazenada no Azure Key Vault ou no Azure Key Vault Managed HSM. Dependendo da oferta SQL do Azure e da configuração com suporte, isso pode incluir:
- Mudar para uma nova versão da mesma chave
- Alternar para uma chave diferente
- Alternar entre tipos de chave com suporte, como chaves assimétricas (RSA) e simétricas (AES)
  
  Observação
  
  Transparent Data Encryption com chaves simétricas (AES) tem suporte apenas para Banco de Dados SQL do Azure e está em versão prévia pública. Você pode ver essa funcionalidade aparecer ao longo do tempo, dependendo do status da sua região e da implantação do serviço.

Pré-requisitos

Este artigo parte do pressuposto de que você já está usando uma chave do Azure Key Vault como protetor TDE para Banco de Dados SQL do Azure ou Instância Gerenciada de SQL do Azure. Confira Transparent Data Encryption com suporte de BYOK.
É necessário ter o Azure PowerShell instalado e funcionando.

Dica

Recomendado, mas opcional – Crie o material da chave para o protetor de TDE em um HSM (módulo de segurança de hardware) ou o armazenamento de chaves local primeiro e importe o material da chave para o Azure Key Vault. Siga as instruções para usar um HSM (módulo de segurança de hardware) e o Azure Key Vault para saber mais.

Vá para o Portal do Azure

Rotação automática de chaves

A Rotação automática para o protetor de TDE pode ser habilitada durante a configuração do protetor de TDE para o servidor ou o banco de dados, por meio do portal do Azure, do PowerShell abaixo ou dos comandos da CLI do Azure. Depois que ela for habilitada, o servidor ou o banco de dados verificará continuamente o cofre de chaves em busca de versões novas da chave que está sendo usada como protetor de TDE. Se uma nova versão da chave for detectada, o protetor de TDE no servidor ou no banco de dados será girado automaticamente para a versão mais recente da chave no período de até 24 horas.

A rotação automática em um servidor, banco de dados ou em uma instância gerenciada pode ser usada com a rotação automática de chaves no Azure Key Vault para habilitar a rotação de toque zero de ponta a ponta para chaves de TDE.

Observação

Se o servidor ou a instância gerenciada tiver a replicação geográfica configurada, antes de habilitar a rotação automática, consulte as considerações de replicação geográfica ao configurar a rotação automatizada do protetor de TDE.

Usando o portal do Azure:

Procure a seção Transparent Data Encryption de um servidor ou uma instância gerenciada existente.
Selecione a opção Chave gerenciada pelo cliente e escolha o cofre de chaves e a chave a ser usada como o protetor de TDE.
Marque a caixa de seleção Girar chave automaticamente.
Clique em Salvar.

Para obter instruções de instalação do módulo Az do PowerShell, confira Instalar o Azure PowerShell.

Para habilitar a rotação automática no protetor de TDE usando o PowerShell, confira o script a seguir. O <keyVaultKeyId> pode ser recuperado do Azure Key Vault.

Banco de Dados SQL do Azure

Use o comando Set-AzSqlServerTransparentDataEncryptionProtector.

Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName> `
    -AutoRotationEnabled <boolean>

Instância Gerenciada do SQL do Azure

Use o comando Set-AzSqlInstanceTransparentDataEncryptionProtector.

Set-AzSqlInstanceTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -InstanceName <ManagedInstanceName> -ResourceGroup <ManagedInstanceResourceGroupName> `
    -AutoRotationEnabled <boolean>

Para saber como instalar versão atual da CLI do Azure, confira o artigo Instalar a CLI do Azure.

Para habilitar a rotação automática no protetor de TDE usando a CLI do Azure, confira o script a seguir.

Banco de Dados SQL do Azure

Use o comando az sql server tde-key set.

az sql server tde-key set --server-key-type AzureKeyVault
                          --auto-rotation-enabled true
                          [--kid] <keyVaultKeyId>
                          [--resource-group] <SQLDatabaseResourceGroupName> 
                          [--server] <logicalServerName>

Instância Gerenciada do SQL do Azure

Use o comando az sql mi tde-key set.

az sql mi tde-key set --server-key-type AzureKeyVault
                      --auto-rotation-enabled true
                      [--kid] <keyVaultKeyId>
                      [--resource-group] <ManagedInstanceGroupName> 
                      [--managed-instance] <ManagedInstanceName>

Rotação automática de chave no nível do banco de dados

Você também pode ativar a rotação automática de chaves no nível do banco de dados para o Banco de Dados SQL do Azure. Essa abordagem é útil quando você quer habilitar a rotação automática de chaves para apenas um ou um subconjunto de bancos de dados em um servidor. Para obter mais informações, confira Gerenciamento de identidades e chaves para TDE com chaves gerenciadas pelo cliente no nível do banco de dados.

PowerShell
CLI do Azure

Para habilitar a rotação automática no protetor de TDE no nível do banco de dados usando o PowerShell, confira o comando a seguir. Use o parâmetro -EncryptionProtectorAutoRotation e configure como $true para habilitar a rotação automática de chave ou $false para desabilitar a rotação automática de chave.

Set-AzSqlDatabase -ResourceGroupName <resource_group_name> -ServerName <server_name> -DatabaseName <database_name> -EncryptionProtectorAutoRotation:$true

Para habilitar a rotação automática no protetor de TDE no nível do banco de dados usando a CLI do Azure, confira o comando a seguir. Use o parâmetro --encryption-protector-auto-rotation e configure como True para habilitar a rotação automática de chave ou False para desabilitar a rotação automática de chave.

az sql db update --resource-group <resource_group_name> --server <server_name> --name <database_name> --encryption-protector-auto-rotation True

Rotação automática de chaves para as configurações de replicação geográfica

Em uma configuração de replicação geográfica do Banco de Dados SQL do Azure em que o servidor primário está definido para usar a TDE com a CMK, o servidor secundário também precisa ser configurado para habilitar a TDE com a CMK com a mesma chave usada no primário.

Portal
PowerShell

Usando o portal do Azure:

Procure a seção Transparent Data Encryption do servidor primário.
Selecione a opção Chave gerenciada pelo cliente e escolha o cofre de chaves e a chave a ser usada como o protetor de TDE.
Marque a caixa de seleção Girar chave automaticamente.
Clique em Salvar.
Procure a seção Transparent Data Encryption do servidor secundário.
Selecione a opção Chave gerenciada pelo cliente e escolha o cofre de chaves e a chave a ser usada como o protetor de TDE. Use a mesma chave usada para o servidor primário.
Desmarque a opção Tornar esta chave o protetor de TDE padrão.
Clique em Salvar.

Quando a chave é girada no servidor primário, ela é transferida automaticamente para o servidor secundário.

Observação

Se você usar a mesma chave do cofre de chaves no servidor principal como protetor TDE padrão no servidor secundário, certifique-se de que a rotação automática de chave esteja habilitada para ambos os servidores. Se você não ativar essa configuração, os fluxos de trabalho de rotação automática podem entrar em estado de erro e impedir novas operações manuais de rotação de chaves.

O <keyVaultKeyId> pode ser recuperado do Azure Key Vault.

Use o comando Add-AzSqlServerKeyVaultKey para adicionar uma nova chave ao servidor secundário.

# add the key from Azure Key Vault to the secondary server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Adicione a mesma chave da primeira etapa ao servidor primário.

# add the key from Azure Key Vault to the primary server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Use Set-AzSqlInstanceTransparentDataEncryptionProtector para definir a chave como o protetor primário no servidor primário com a rotação automática de chaves definida como true.

Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
 -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName> `
 -AutoRotationEnabled $true

Rotacione a chave no Azure Key Vault usando o comando Get-AzKeyVaultKey e Set-AzKeyVaultKeyRotationPolicy.

Get-AzKeyVaultKey -VaultName <keyVaultName> -Name <keyVaultKeyName> | Set-AzKeyVaultKeyRotationPolicy -KeyRotationLifetimeAction @{Action = "Rotate"; TimeBeforeExpiry = "P18M"}

Verifique se o SQL Server (primário e secundário) tem a nova chave ou a nova versão de chave:

Observação

A rotação de chaves pode levar até uma hora para ser aplicada ao servidor. Aguarde, pelo menos, uma hora antes de executar este comando.
```
Get-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName> 
```

Usar chaves diferentes para cada servidor

É possível configurar os servidores primário e secundário com uma chave de cofre de chaves diferente ao configurar a TDE com a CMK no portal do Azure. Não é evidente no portal do Azure que a chave usada para proteger o servidor primário também é a mesma chave que protege o banco de dados primário que foi replicado para o servidor secundário. No entanto, você pode usar o PowerShell, a CLI do Azure ou as APIs REST para obter detalhes sobre as chaves usadas no servidor. Isso mostra que as chaves giradas automaticamente são transferidas do servidor primário para o servidor secundário.

Veja um exemplo de como usar comandos do PowerShell para verificar se há chaves transferidas do servidor primário para o servidor secundário após a rotação de chaves.

Execute o seguinte comando no servidor primário para ver os detalhes da chave de um servidor:

Get-AzSqlServerKeyVaultKey -ServerName <logicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

Você deverá ver resultados semelhantes ao seguinte:

ResourceGroupName : <SQLDatabaseResourceGroupName> 
ServerName        : <logicalServerName> 
ServerKeyName     : <keyVaultKeyName> 
Type              : AzureKeyVault 
Uri               : https://<keyvaultname>.vault.azure.net/keys/<keyName>/<GUID> 
Thumbprint        : <thumbprint> 
CreationDate      : 12/13/2022 8:56:32 PM

Execute o mesmo comando Get-AzSqlServerKeyVaultKey no servidor secundário:

Get-AzSqlServerKeyVaultKey -ServerName <logicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

Se o servidor secundário tiver um protetor de TDE padrão que usa uma chave diferente do servidor primário, você verá duas (ou mais) chaves. A primeira chave é o protetor de TDE padrão, e a segunda chave é a chave usada no servidor primário usado para proteger o banco de dados replicado.
Quando a chave é girada no servidor primário, ela é transferida automaticamente para o servidor secundário. Se você executar a Get-AzSqlServerKeyVaultKey novamente no servidor primário, verá duas chaves. A primeira chave é a chave original e a segunda chave, que é a chave atual gerada como parte da rotação da chave.
A execução do comando Get-AzSqlServerKeyVaultKey no servidor secundário também mostrará as mesmas chaves presentes no servidor primário. Isso confirma que as chaves giradas no servidor primário são transferidas automaticamente para o servidor secundário e usadas para proteger a réplica de banco de dados.

Rotação manual de chaves

A rotação manual de chaves usa os comandos a seguir para adicionar uma nova chave, que pode ter um novo nome ou estar em outro cofre de chaves. Usar essa abordagem dá suporte à adição da mesma chave a diferentes cofres de chaves para dar suporte a cenários de alta disponibilidade e recuperação de desastres geográficos. A rotação manual de chaves também pode ser feita por meio do portal do Azure.

Com a rotação manual de chaves, quando uma nova versão da chave é gerada no cofre de chaves (manualmente ou por meio da política de rotação automática de chaves no cofre de chaves), ela precisa ser definida manualmente como o protetor de TDE no servidor.

Observação

O comprimento combinado para o nome do cofre de chaves e o nome da chave não pode exceder 94 caracteres.

Usando o portal do Azure:

Procure o menu Transparent Data Encryption de um servidor ou uma instância gerenciada existente.
Selecione a opção Chave gerenciada pelo cliente e escolha o cofre de chaves e a chave a ser usada como o novo protetor de TDE.
Clique em Salvar.

Use o comando Add-AzKeyVaultKey para adicionar uma nova chave ao cofre de chaves.

# add a new key to Azure Key Vault
Add-AzKeyVaultKey -VaultName <keyVaultName> -Name <keyVaultKeyName> -Destination <hardwareOrSoftware>

Para Banco de Dados SQL do Azure, use:


# add the new key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>
  
# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Para Instância Gerenciada de SQL do Azure, use:

# add the new key from Azure Key Vault to the managed instance
Add-AzSqlInstanceKeyVaultKey -KeyId <keyVaultKeyId> -InstanceName <ManagedInstanceName> -ResourceGroup <ManagedInstanceResourceGroupName>
  
# set the key as the TDE protector for all resources under the managed instance
Set-AzSqlInstanceTransparentDataEncryptionProtector -Type AzureKeyVault -KeyId <keyVaultKeyId> `
   -InstanceName <ManagedInstanceName> -ResourceGroup <ManagedInstanceResourceGroupName>

Use o comando az keyvault key create para adicionar uma nova chave ao cofre de chaves.

# add a new key to Azure Key Vault
az keyvault key create --name <keyVaultKeyName> --vault-name <keyVaultName> --protection <hsmOrSoftware>

Para Banco de Dados SQL do Azure, use:

# add the new key from Azure Key Vault to the server
az sql server key create --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

# set the key as the TDE protector for all resources under the server
az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

Para Instância Gerenciada de SQL do Azure, use:

# add the new key from Azure Key Vault to the managed instance
az sql mi key create --kid <keyVaultKeyId> --resource-group <Managed InstanceResourceGroupName> --managed-instance <ManagedInstanceName>

# set the key as the TDE protector for all resources under the managed instance
az sql mi tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <ManagedInstanceResourceGroupName> --managed-instance <ManagedInstanceName>

Alternar o modo do protetor TDE

Usando o portal do Azure para alternar o protetor de TDE do modo gerenciado pela Microsoft para BYOK:

Procure o menu Transparent Data Encryption de um servidor ou uma instância gerenciada existente.
Selecione a opção Chave gerenciada pelo cliente.
Escolha o cofre de chaves e a chave a ser usada como o protetor de TDE.
Clique em Salvar.

Banco de Dados SQL do Azure

Para alternar o protetor TDE do modo gerenciado pela Microsoft para o modo BYOK, use o comando Set-AzSqlServerTransparentDataEncryptionProtector.

Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault `
     -KeyId <keyVaultKeyId> -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Para alternar o protetor TDE do modo BYOK para gerenciado pela Microsoft, use o comando Set-AzSqlServerTransparentDataEncryptionProtector.

Set-AzSqlServerTransparentDataEncryptionProtector -Type ServiceManaged `
     -ServerName <logicalServerName> -ResourceGroup <SQLDatabaseResourceGroupName>

Instância Gerenciada do SQL do Azure

Para alternar o protetor TDE do modo gerenciado pela Microsoft para o modo BYOK, use o comando Set-AzSqlInstanceTransparentDataEncryptionProtector.

Set-AzSqlServerTransparentDataEncryptionProtector -Type AzureKeyVault `
     -KeyId <keyVaultKeyId> <ManagedInstanceName> -ResourceGroup <ManagedInstanceResourceGroupName>

Para alternar o protetor TDE do modo BYOK para gerenciado pela Microsoft, use o comando Set-AzSqlInstanceTransparentDataEncryptionProtector.

Set-AzSqlServerTransparentDataEncryptionProtector -Type ServiceManaged `
     -InstanceName <ManagedInstanceName> -ResourceGroup <ManagedInstanceResourceGroupName>e>

Banco de Dados SQL do Azure

Os exemplos a seguir usam az sql server tde-key set.

Para alternar o protetor de TDE do modo gerenciado pela Microsoft para BYOK:

az sql server tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

Para alternar o protetor de TDE do modo BYOK para o gerenciado pela Microsoft:

az sql server tde-key set --server-key-type ServiceManaged --resource-group <SQLDatabaseResourceGroupName> --server <logicalServerName>

Instância Gerenciada do SQL do Azure

Os exemplos a seguir usam az sql mi tde-key set.

Para alternar o protetor de TDE do modo gerenciado pela Microsoft para BYOK:

az sql mi tde-key set --server-key-type AzureKeyVault --kid <keyVaultKeyId> --resource-group <ManagedInstanceResourceGroupName> --managed-instance <ManagedInstanceName>

Para alternar o protetor de TDE do modo BYOK para o gerenciado pela Microsoft:

az sql mi tde-key set --server-key-type ServiceManaged --resource-group <ManagedInstanceResourceGroupName> --managed-instance <ManagedInstanceName>

TDE in Azure Synapse Analytics

Para informações sobre como rotacionar o protetor TDE no Azure Synapse Analytics, veja Rotacionar o protetor TDE. Para ver a documentação sobre a TDE (Transparent Data Encryption) nos pools de SQL dedicados dos workspaces do Azure Synapse, confira Criptografia do Azure Synapse Analytics.

Se houver um risco de segurança, saiba como remover um protetor de TDE potencialmente comprometido: Remover uma chave potencialmente comprometida.
Introdução à integração do Azure Key Vault e suporte para Traga Sua Própria Chave no TDE: Ative o TDE usando uma chave pessoal armazenada no Azure Key Vault por meio do PowerShell.

Comentários

Esta página foi útil?

Última atualização em 2026-10-05

Girar o protetor de TDE (Transparent Data Encryption)

Considerações importantes ao girar o protetor de TDE

Pré-requisitos

Rotação automática de chaves

Rotação automática de chave no nível do banco de dados

Rotação automática de chaves para as configurações de replicação geográfica

Usar chaves diferentes para cada servidor

Rotação manual de chaves

Alternar o modo do protetor TDE

TDE in Azure Synapse Analytics

Conteúdo relacionado

Comentários

Recursos adicionais