PowerShell och Azure CLI: Aktivera transparent datakryptering med kundhanterad nyckel från Azure Key Vault

Gäller för: Dedikerade SQL-pooler i Azure Synapse Analytics (tidigare SQL DW)

Tip

Microsoft Fabric Data Warehouse är ett relationslager i företagsskala på en datasjögrund med en framtidsklar arkitektur, inbyggd AI och nya funktioner. Om du är nybörjare på datalager börjar du med Fabric Data Warehouse. Befintliga dedicerade SQL-poolarbetsbelastningar kan uppgraderas till Fabric för att få åtkomst till nya funktioner inom datavetenskap, realtidsanalys och rapportering.

Den här artikeln går igenom hur man använder en nyckel från Azure Key Vault för transparent datakryptering (TDE) i Azure Synapse Analytics. Mer information om TDE med Azure Key Vault-integrering – BYOK-support (Bring Your Own Key) finns i TDE med kundhanterade nycklar i Azure Key Vault.

Note

Den här artikeln handlar om fristående dedikerade SQL-pooler (tidigare SQL DW).

  • För Azure Synapse Analytics dedikerade SQL-pooler (tidigare SQL DW), ställ in TDE-skyddet på servernivå. Alla krypterade databaser kopplade till den servern ärver TDE-skyddet.
  • Kryptera data i dedikerade SQL-pooler och serverlösa SQL-pooler i en Synapse-arbetsyta genom att använda den kundhanterade nyckeln konfigurerad på arbetsytnivå. Mer information om transparent datakryptering för dedikerade SQL-pooler i Synapse-arbetsytor finns i Azure Synapse Analytics-kryptering.

Förutsättningar för PowerShell

  • Du måste ha en Azure-prenumeration och vara administratör för den prenumerationen.
  • [Rekommenderat men valfritt] Ha en maskinvarusäkerhetsmodul (HSM) eller ett lokalt nyckelarkiv för att skapa en lokal kopia av nyckelmaterialet för TDE-skydd.
  • Du måste ha Azure PowerShell installerat och igång.
  • Skapa ett Azure Key Vault och en nyckel som ska användas för TDE.
  • Nyckeln måste ha följande attribut som ska användas för TDE:
    • Aktiveringsdatumet (om det anges) måste vara ett datum och en tid tidigare
    • Förfallodatumet (om det anges) måste vara ett framtida datum och en framtida tid
    • Nyckeln måste vara i tillståndet Aktiverad
    • Du kan utföra hämta, omslagning av nyckel, avslagning av nyckel operationer
  • Om du vill använda en Azure Key Vault hanterad HSM-nyckel följer du anvisningarna för att skapa och aktivera en hanterad HSM med hjälp av Azure CLI

Installationsinstruktioner för Az PowerShell-moduler finns i Installera Azure PowerShell.

Mer information om Azure Key Vault finns i PowerShell-instruktioner från Azure Key Vault och Så här använder du mjuk borttagning av Azure Key Vault med PowerShell.

Tilldela en Microsoft Entra-identitet till servern

Om du har en befintlig server, använd följande instruktioner för att lägga till en Microsoft Entra-identitet på din server:

$server = Set-AzSqlServer -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -AssignIdentity

Om du skapar en server, använd cmdleten New-AzSqlServer med taggen -Identity för att lägga till en Microsoft Entra-identitet under serverskapandet:

$server = New-AzSqlServer -ResourceGroupName <SQLDatabaseResourceGroupName> -Location <RegionName> `
    -ServerName <LogicalServerName> -ServerVersion "12.0" -SqlAdministratorCredentials <PSCredential> -AssignIdentity

Bevilja Azure Key Vault-behörigheter till servern

Använd cmdleten Set-AzKeyVaultAccessPolicy för att ge servern åtkomst till nyckelvalvet innan du använder en nyckel från den för TDE.

Set-AzKeyVaultAccessPolicy -VaultName <KeyVaultName> `
    -ObjectId $server.Identity.PrincipalId -PermissionsToKeys get, wrapKey, unwrapKey

För att lägga till behörigheter till din server på en hanterad HSM, lägg till den lokala RBAC-rollen Managed HSM Crypto Service Encryption User till servern. Denna roll gör det möjligt för servern att utföra get, wrap key, och unwrap key operationer på nycklarna i den hanterade HSM:en. Mer information finns i Hanterad HSM-rollhantering.

Lägg till Azure Key Vault-nyckeln på servern och ange TDE-skyddet

Note

För Hanterade HSM-nycklar använder du Az.Sql 2.11.1-versionen av PowerShell eller senare.

Note

Den sammanlagda längden för nyckelvalvets namn och nyckelnamnet får inte överstiga 94 tecken.

Tip

Användning av versionerade Azure Key Vault-nycklar för TDE

När du sätter TDE-skyddet, referera till en Azure Key Vault-nyckel genom att använda en specifik nyckelversion.

Example:

  • Nyckelidentifierare som innehåller en specifik version

    https://<key-vault-name>.vault.azure.net/keys/<key-name>/<key-version>

# add the key from Azure Key Vault to the server
Add-AzSqlServerKeyVaultKey -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> -KeyId <KeyVaultKeyId>

# set the key as the TDE protector for all resources under the server
Set-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName> `
   -Type AzureKeyVault -KeyId <KeyVaultKeyId>

# confirm the TDE protector was configured as intended
Get-AzSqlServerTransparentDataEncryptionProtector -ResourceGroupName <SQLDatabaseResourceGroupName> -ServerName <LogicalServerName>

Aktivera TDE

Använd cmdleten Set-AzSqlDatabaseTransparentDataEncryption för att aktivera TDE.

Set-AzSqlDatabaseTransparentDataEncryption -ResourceGroupName <SQLDatabaseResourceGroupName> `
   -ServerName <LogicalServerName> -DatabaseName <DatabaseName> -State "Enabled"

Nu har databasen eller informationslagret TDE aktiverat med en krypteringsnyckel i Azure Key Vault.

Kontrollera krypteringstillståndet och krypteringsaktiviteten

Använd Get-AzSqlDatabaseTransparentDataEncryption för att hämta krypteringstillståndet för en databas eller ett informationslager.

# get the encryption state of the database
Get-AzSqlDatabaseTransparentDataEncryption -ResourceGroupName <SQLDatabaseResourceGroupName> `
   -ServerName <LogicalServerName> -DatabaseName <DatabaseName> `

Användbara PowerShell-cmdletar

  • Använd cmdleten Set-AzSqlDatabaseTransparentDataEncryption för att inaktivera TDE.

    Set-AzSqlDatabaseTransparentDataEncryption -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName> `
    -DatabaseName <DatabaseName> -State "Disabled"

  • Använd cmdleten Get-AzSqlServerKeyVaultKey för att returnera listan över Azure Key Vault-nycklar som har lagts till på servern.

    # KeyId is an optional parameter, to return a specific key version
Get-AzSqlServerKeyVaultKey -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

  • Använd Remove-AzSqlServerKeyVaultKey för att ta bort en Azure Key Vault-nyckel från servern.

    # the key set as the TDE Protector cannot be removed
Remove-AzSqlServerKeyVaultKey -KeyId <KeyVaultKeyId> -ServerName <LogicalServerName> -ResourceGroupName <SQLDatabaseResourceGroupName>

Troubleshooting

  • Om nyckelvalvet inte kan hittas, se till att du är i rätt prenumeration.

    Get-AzSubscription -SubscriptionId <SubscriptionId>

  • Om du inte kan lägga till den nya nyckeln på servern, eller om du inte kan uppdatera den nya nyckeln som TDE Protector, kontrollera följande villkor:

    • Nyckeln ska inte ha något utgångsdatum.
    • Nyckeln måste ha hämta nyckel, wrap-nyckel, och packa upp nyckel-operationer aktiverade.

Relaterat innehåll

  • Uppdaterades senast