Transparent Data Encryption for Azure Synapse Analytics

Gäller för: Dedikerade SQL-pooler i Azure Synapse Analytics (tidigare SQL DW)

Transparent Data Encryption (TDE) skyddar en dedikerad SQL-pool mot skadlig offline-aktivitet genom att kryptera databasfiler, transaktionsloggfiler och säkerhetskopior i vila. Kryptering och dekryptering sker i realtid och kräver inga applikationsändringar.

Du måste manuellt aktivera TDE för en Azure Synapse Analytics fristående dedikerad SQL-pool.

TDE utför I/O-kryptering i realtid och dekryptering av data på sidnivå. Varje sida dekrypteras när den läss in i minnet och sedan krypteras innan den skrivs till disk. TDE krypterar lagringen av en hel databas med hjälp av en symmetrisk nyckel som kallas databaskrypteringsnyckel (DEK). Vid databasstart dekrypteras den krypterade DEK:en och används sedan för dekryptering och omkryptering av databasfilerna i SQL Server-databasmotorprocessen. TDE-skyddet skyddar DEK. TDE-skyddet är antingen ett tjänstehanterat certifikat (tjänstehanterad transparent datakryptering).

För Azure Synapse sätter du TDE-skyddet på servernivå och alla databaser kopplade till den servern ärver det.

Hur TDE fungerar

TDE krypterar databassidor med en symmetrisk databaskrypteringsnyckel (DEK). DEK lagras i databasens startsektor och TDE-skyddet skyddar den. Skyddsmodulen är ett tjänstehanterat certifikat.

Du konfigurerar TDE-skyddet på den logiska servern och de dedikerade SQL-poolerna på den servern ärver det. Varje sida dekrypteras när den läses in i minnet och krypteras innan den skrivs till lagring.

TDE som hanteras av tjänsten

I Azure är standardinställningen för TDE att DEK skyddas av ett inbyggt servercertifikat. Det inbyggda servercertifikatet är unikt för varje server och krypteringsalgoritmen som används är AES 256 i Cipher Block Chaining (CBC)-läge. Om en databas finns i en geo-replikeringsrelation skyddas både de primära och geo-sekundära databaserna av den primära databasens överordnade servernyckel. Om två databaser är anslutna till samma server delar de även samma inbyggda certifikat. Microsoft roterar automatiskt dessa certifikat en gång om året, i enlighet med den interna säkerhetsprincipen, och rotnyckeln skyddas av ett internt Microsoft-hemligt arkiv. Kunder kan verifiera SQL Database- och SQL Managed Instance-efterlevnad med interna säkerhetsprinciper i oberoende granskningsrapporter från tredje part som är tillgängliga på Microsoft Trust Center. Microsoft flyttar och hanterar också nycklarna sömlöst efter behov för geo-replikering och återställningar.

Kundhanterad TDE

Med kundhanterad TDE är skyddsobjektet en asymmetrisk nyckel som du kontrollerar i Azure Key Vault eller Azure Key Vault Managed HSM. Du styr nyckelskapande, åtkomstbehörigheter, rotation, backup och borttagning. Nyckeln lämnar inte nyckellagret.

Att återkalla den logiska serverns åtkomst till nyckeln gör krypterade dedikerade SQL-pooler otillgängliga. Skydda nyckellagret med mjukkorg, rensningsskydd, övervakning och åtkomst med minsta privilegium.

Azure Synapse måste beviljas behörigheter till kundägda nyckelvalvet för att dekryptera och kryptera DEK. Om behörigheter för servern till nyckelvalvet återkallas är en databas otillgänglig och alla data krypteras.

För krav och rekommendationer, se Customer-managed TDE for Azure Synapse Analytics.

Flytta en databas skyddad av Transparent Data Encryption

Du behöver inte dekryptera databaser för åtgärder i Azure. TDE-inställningarna för källdatabasen eller den primära databasen ärvs på ett transparent sätt på målet. Åtgärder som ingår omfattar:

• Geoåterställning
• Självbetjäning för återställning till specifik tidpunkt
• Återställning av en borttagen databas
• Aktiv geografisk replikering
• Skapa en databaskopia

När du exporterar en TDE-skyddad databas till en BACPAC-fil krypteras inte det exporterade innehållet i databasen. Om du importerar till en befintlig tom databas beror krypteringen på om TDE är aktiverat på databasen eller inte.

Hantera Transparent Data Encryption

Azure portal

För att aktivera eller inaktivera TDE, öppna den dedikerade SQL-poolen i Azure-portalen, välj Transparent data encryption och spara det nödvändiga tillståndet. För att konfigurera ett kundhanterat nyckelskydd, öppna transparent datakryptering på den logiska servern och välj nyckeln från Azure Key Vault. Leta upp TDE-inställningarna under din användardatabas. Som standard används krypteringsnyckel på servernivå. Ett TDE-certifikat genereras automatiskt för servern som innehåller databasen.

PowerShell

Hantera TDE med hjälp av PowerShell.

Om du vill konfigurera TDE via PowerShell måste du vara ansluten som Azure-ägare, deltagare eller SQL Security Manager.

Använd följande Az.Sql-cmdlets:

Transact-SQL

Hantera TDE med hjälp av Transact-SQL.

Anslut till databasen med hjälp av en inloggning med administratörsbehörighet eller som medlem i dbmanager-rollen i master-databasen.

Du kan inte byta TDE-skyddet till en nyckel från Azure Key Vault genom att använda Transact-SQL. Använd PowerShell eller Azure-portalen.

REST API

Följande SQL-hanteringsresurser gäller för den logiska servern och den dedikerade SQL-poolen.

Om du vill konfigurera TDE via REST-API:et måste du vara ansluten som Azure-ägare, deltagare eller SQL Security Manager.

Använd följande uppsättning kommandon för Azure Synapse Analytics standalone dedikerade SQL-pooler:

Relaterat innehåll

• Customer-managed TDE for Azure Synapse Analytics
• Rotera TDE-skyddet
• Ta bort ett TDE-skydd
• Kom igång med Transparent Data Encryption (TDE) för dedikerad SQL-pool (tidigare SQL DW) i Azure Synapse Analytics