Encriptação de Dados Transparente for Azure Synapse Analytics

Aplica-se a: Pools SQL dedicados do Azure Synapse Analytics (anteriormente SQL DW)

A Encriptação de Dados Transparente (TDE) protege um pool SQL dedicado contra atividades offline maliciosas, encriptando ficheiros de base de dados, registos de transações e backups em repouso. A encriptação e a desencriptação ocorrem em tempo real e não requerem alterações na aplicação.

Deve ativar manualmente o TDE para um pool SQL dedicado independente do Azure Synapse Analytics.

A TDE executa criptografia de E/S em tempo real e descriptografia dos dados no nível da página. Cada página é desencriptada quando é lida na memória e, em seguida, encriptada antes de ser gravada no disco. A TDE criptografa o armazenamento de um banco de dados inteiro usando uma chave simétrica chamada Chave de Criptografia de Banco de Dados (DEK). Na inicialização do banco de dados, a DEK criptografada é descriptografada e, em seguida, usada para descriptografar e novamente cifrar os arquivos de banco de dados no processo do mecanismo de banco de dados do SQL Server. O protetor TDE protege o DEK. O protetor de TDE é um certificado gerido pelo serviço (encriptação de dados transparente gerida pelo serviço).

Para o Azure Synapse, defines o protetor TDE ao nível do servidor e todas as bases de dados associadas a esse servidor herdam-no.

Como funciona a TDE

O TDE encripta páginas de bases de dados utilizando uma Chave de Encriptação de Base de Dados (DEK) simétrica. O DEK é armazenado no registo de arranque da base de dados e o protetor TDE protege-o. O protetor é um certificado gerido pelo serviço.

Configuras o protetor TDE no servidor lógico e os pools SQL dedicados nesse servidor herdam-no. Cada página é desencriptada quando lida na memória e encriptada antes de ser escrita para o armazenamento.

TDE gerido pelo serviço

No Azure, a configuração padrão para TDE é que a DEK é protegida por um certificado de servidor interno. O certificado de servidor incorporado é exclusivo para cada servidor e o algoritmo de encriptação utilizado é o AES 256 no modo Cadeia de Bloqueio de Cifras (CBC). Se um banco de dados estiver em uma relação de replicação geográfica, os bancos de dados primário e geosecundário serão protegidos pela chave do servidor pai do banco de dados primário. Se duas bases de dados estiverem ligadas ao mesmo servidor, também partilharão o mesmo certificado incorporado. A Microsoft alterna automaticamente esses certificados uma vez por ano, em conformidade com a política de segurança interna, e a chave raiz é protegida por um armazenamento secreto interno da Microsoft. Os clientes podem verificar a conformidade do Banco de Dados SQL e da Instância Gerenciada SQL com as políticas internas de segurança em relatórios de auditoria independentes de terceiros disponíveis na Central de Confiabilidade da Microsoft. A Microsoft também move e gere de forma integrada as chaves conforme necessário para georreplicação e restaurações.

TDE gerida pelo cliente

Com o TDE gerido pelo cliente, o protetor é uma chave assimétrica que o utilizador controla no Azure Key Vault ou no Azure Key Vault Managed HSM. Controlas a criação de chaves, permissões de acesso, rotação, backup e eliminação. A chave não sai do repositório de chaves.

Revogar o acesso do servidor lógico à chave torna os pools SQL dedicados encriptados inacessíveis. Proteja o armazenamento de chaves com eliminação suave, proteção contra purga, monitorização e acesso com privilégios mínimos.

O Azure Synapse precisa de receber permissões para o cofre de chaves propriedade do cliente para desencriptar e encriptar o DEK. Se as permissões do servidor para o cofre de chaves forem revogadas, um banco de dados ficará inacessível e todos os dados serão criptografados.

Para requisitos e recomendações, consulte Customer-managed TDE for Azure Synapse Analytics.

Mover uma base de dados protegida pela Encriptação de Dados Transparente

Você não precisa descriptografar bancos de dados para operações no Azure. As configurações de TDE no banco de dados de origem ou no banco de dados primário são herdadas de forma transparente no destino. As operações incluídas envolvem:

• Restauração Geográfica
• Autoatendimento para restauração a um momento específico
• Restauração de um banco de dados excluído
• Replicação geográfica ativa
• Criação de uma cópia de banco de dados

Quando você exporta um banco de dados protegido por TDE para um arquivo BACPAC, o conteúdo exportado do banco de dados não é criptografado. Se você importar para um banco de dados vazio existente, a criptografia dependerá se o TDE está habilitado nesse banco de dados ou não.

Gerir Encriptação de Dados Transparente

portal do Azure

Para ativar ou desativar o TDE, abra o pool SQL dedicado no portal Azure, selecione Encriptação de dados transparente e guarde o estado requerido. Para configurar um protetor gerido pelo cliente, abra a encriptação de dados transparente no servidor lógico e selecione a chave do Azure Key Vault. Encontre as configurações de TDE em seu banco de dados de usuários. Por padrão, a chave de criptografia no nível do servidor é usada. Um certificado TDE é gerado automaticamente para o servidor que contém o banco de dados.

PowerShell

Gerencie a TDE usando o PowerShell.

Para configurar o TDE por meio do PowerShell, você deve estar conectado como Proprietário, Colaborador ou Gerenciador de Segurança SQL do Azure.

Use os seguintes cmdlets Az.Sql:

Transact-SQL

Gerencie TDE usando Transact-SQL.

Conecte-se ao banco de dados usando um logon que seja administrador ou membro da função dbmanager no master banco de dados.

Não é possível trocar o protetor TDE para uma chave do Azure Key Vault usando o Transact-SQL. Use o PowerShell ou o portal do Azure.

API REST

Os seguintes recursos de gestão SQL aplicam-se ao servidor lógico e ao pool SQL dedicado.

Para configurar o TDE por meio da API REST, você deve estar conectado como Proprietário, Colaborador ou Gerenciador de Segurança SQL do Azure.

Utilize o seguinte conjunto de comandos para pools SQL dedicados independentes do Azure Synapse Analytics:

Conteúdo relacionado

• TDE gerido pelo cliente para o Azure Synapse Analytics
• Rodar o protetor TDE
• Remover um protetor TDE
• Comece com o Encriptação de Dados Transparente (TDE) para pool SQL dedicado (anteriormente SQL DW) no Azure Synapse Analytics