Remover um protetor de TDE (Transparent Data Encryption) usando PowerShell

Aplica-se a:Banco de Dados SQL do AzureInstância Gerenciada de SQL do Azure

Este artigo descreve como responder a um protetor TDE potencialmente comprometido para Banco de Dados SQL do Azure ou Instância Gerenciada de SQL do Azure que utiliza TDE com chaves gerenciadas pelo cliente com suporte do Azure Key Vault para Bring Your Own Key (BYOK). Para saber mais sobre o suporte BYOK para TDE, consulte a página de visão geral.

Atenção

Os procedimentos descritos neste artigo devem ser realizados apenas em casos extremos ou em ambientes de teste. Examine as etapas cuidadosamente, pois excluir os protetores de TDE usados ativamente no Azure Key Vault faz com que o banco de dados fique indisponível.

Se houver suspeita de comprometimento de uma chave, a ponto de um serviço ou usuário ter tido acesso não autorizado à chave, a resposta recomendada é primeiro substituir para um novo Protetor de TDE e migrar todos os bancos de dados antes de excluir a chave antiga. Excluir ou desabilitar uma chave sem primeiro girar o protetor de TDE faz com que todos os bancos de dados criptografados se tornem inacessíveis. Além disso, excluir ou desativar uma chave não invalida nenhuma cópia que tenha sido previamente copiada e restaurada em outro cofre. Essas cópias permanecem totalmente funcionais. Para obter mais informações sobre o comportamento da cópia de backup do Key Vault, consulte as considerações de segurança de backup.

Tenha em mente que, depois que o protetor de TDE for excluído no Azure Key Vault, em até 10 minutos, todos os bancos de dados criptografados começarão a negar todas as conexões com a mensagem de erro correspondente e alterarão seu estado para Inacessível.

Este guia de instruções explica a abordagem de tornar os bancos de dados inacessíveis após uma resposta a incidentes comprometida.

Pré-requisitos

  • É necessário ter uma assinatura do Azure e ser um administrador nessa assinatura.
  • É necessário ter o Azure PowerShell instalado e funcionando.
  • Este artigo parte do pressuposto de que você já está usando uma chave do Azure Key Vault como protetor TDE para Banco de Dados SQL do Azure ou Instância Gerenciada de SQL do Azure. Consulte Transparent Data Encryption com suporte de BYOK para saber mais.

Para obter instruções de instalação do módulo Az, confira Instalar o Azure PowerShell. Use o novo módulo Az do Azure PowerShell.

Verificar as impressões digitais do protetor de TDE

Estas etapas descrevem como verificar as impressões digitais do protetor de TDE que ainda estão em uso com o VLF (arquivo de log virtual) de um banco de dados. A impressão digital do protetor de TDE atual do banco de dados e a ID do banco de dados podem ser encontradas executando:

SELECT [database_id],
       [encryption_state],
       [encryptor_type], /*asymmetric key means Azure Key Vault, certificate means service-managed keys*/
       [encryptor_thumbprint]
 FROM [sys].[dm_database_encryption_keys]

A consulta a seguir retorna as respectivas impressões digitais em uso dos VLFs e do protetor de TDE. Cada impressão digital diferente refere-se a uma chave diferente no Azure Key Vault:

SELECT * FROM sys.dm_db_log_info (database_id)

Como alternativa, você pode usar o PowerShell ou a CLI do Azure:

O comando Get-AzSqlServerKeyVaultKey do PowerShell fornece a impressão digital do Protetor de TDE usado na consulta, para que você possa ver quais chaves manter e quais chaves excluir no Azure Key Vault. Somente as chaves que não são mais usadas pelo banco de dados podem ser excluídas com segurança do Azure Key Vault.

Manter os recursos criptografados acessíveis

  1. Crie uma nova chave no Azure Key Vault. Certifique-se de que essa nova chave seja criada em um cofre de chaves separado do protetor de TDE potencialmente comprometido, já que o controle de acesso é provisionado em um nível de segurança.

  2. Adicione a nova chave ao servidor usando os cmdlets Add-AzSqlServerKeyVaultKey e Set-AzSqlServerTransparentDataEncryptionProtector e atualize-a como o novo protetor de TDE do servidor.

    # add the key from Azure Key Vault to the server  
Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>

# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> `
    -ServerName <LogicalServerName> -Type AzureKeyVault -KeyId <KeyVaultKeyId>

  3. Verifique se o servidor e todas as réplicas foram atualizadas para o novo protetor de TDE usando o cmdlet Get-AzSqlServerTransparentDataEncryptionProtector.

    Observação

    Pode demorar alguns minutos para o novo protetor de TDE se propagar em todos os bancos de dados e bancos de dados secundários no servidor.

    Get-AzSqlServerTransparentDataEncryptionProtector -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

  4. Faça um backup da nova chave no Azure Key Vault.

    # -OutputFile parameter is optional; if removed, a file name is automatically generated.
Backup-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName> -OutputFile <DesiredBackupFilePath>

  5. Exclua a chave comprometida do Azure Key Vault usando o cmdlet Remove-AzKeyVaultKey .

    Remove-AzKeyVaultKey -VaultName <KeyVaultName> -Name <KeyVaultKeyName>

  6. Para restaurar uma chave para o Azure Key Vault no futuro, use o cmdlet Restore-AzKeyVaultKey .

    Restore-AzKeyVaultKey -VaultName <KeyVaultName> -InputFile <BackupFilePath>

Tornar os recursos criptografados inacessíveis

  1. Remova os bancos de dados que estão sendo criptografados pela chave potencialmente comprometida.

    O backup do banco de dados e dos arquivos de log é feito automaticamente, portanto, uma recuperação pontual do banco de dados poderá ser realizada a qualquer momento (contanto que você forneça a chave). Os bancos de dados deverão ser removidos antes da exclusão de um protetor de TDE ativo para evitar uma possível perda de dados de até 10 minutos das transações mais recentes.

  2. Faça backup do material da chave do protetor de TDE no Azure Key Vault.

  3. Remova a chave potencialmente comprometida do Azure Key Vault.

Observação

As alterações de permissão podem levar cerca de dez minutos para entrar em vigor no cofre de chaves. Isso inclui a revogação de permissões de acesso ao protetor TDE no AKV. Além disso, os usuários dentro desse período ainda podem ter permissões de acesso.

TDE in Azure Synapse Analytics

Para informações sobre como remover um protetor TDE no Azure Synapse Analytics, veja Remover um protetor TDE.

Conteúdo relacionado

  • Última atualização em