Ensure SQL server's Transparent Data Encryption (TDE) protector is encrypted with Customer-managed key
Warum das wichtig ist
Transparent Data Encryption (TDE) schützt Ihre SQL-Daten im Ruhezustand, aber wenn nur ein dienstverwaltetes Zertifikat den Verschlüsselungsschlüssel schützt, haben Sie keine Transparenz und Kontrolle darüber, wer auf diesen Schlüssel zugreifen kann. Durch die Verwendung eines kundenseitig verwalteten Schlüssels, der in Azure Key Vault gespeichert ist, setzen Sie eine Aufgabentrennung durch, erhalten die volle Kontrolle über Schlüsselrotation und Zugriffsrichtlinien und erfüllen Compliance-Anforderungen für sensible oder regulierte Daten. Ohne diese Kontrolle könnte ein kompromittierter Dienstschlüssel alle verschlüsselten Datenbanken unter diesem Server offenlegen.
Was Aether365 prüft
Aether365 überprüft, ob für jeden Azure SQL Server der TDE-Schutzmechanismus mit einem kundenseitig verwalteten Schlüssel in Azure Key Vault verschlüsselt ist und nicht mit einem dienstverwalteten Zertifikat. Diese Prüfung wird in Ihrem Aether365-Dashboard im Bereich azure-sql-server angezeigt.
So beheben Sie das Problem
- Öffnen Sie das Azure-Portal und navigieren Sie zu dem SQL-Server, der die zu schützenden Datenbanken hostet.
- Wählen Sie im linken Menü die Option Transparent data encryption aus.
- Setzen Sie die Option TDE protector auf Customer-managed key.
- Folgen Sie den Anweisungen, um einen vorhandenen Schlüsseltresor und Schlüssel auszuwählen oder einen neuen Schlüsseltresor zu erstellen und einen Schlüssel zu importieren oder zu generieren. Beachten Sie, dass sich der Schlüsseltresor in derselben Azure-Region wie Ihr SQL-Server befinden muss.
- Bestätigen Sie die Konfiguration und überprüfen Sie, ob alle Datenbanken unter diesem Server nun den kundenseitig verwalteten Schlüsselschutz übernommen haben.
- Richten Sie einen Zeitplan für die Schlüsselrotation und automatisierte Verwaltungstools (wie z.B. Azure Key Vault-Schlüsselrotation oder das Toolset Ihres Schlüsselanbieters) ein, um die fortlaufende Sicherheit zu gewährleisten.
Compliance
- CIS Microsoft Azure Foundations: 3.0.0 5.1.3 (Stufe 2)
- EIDSCA: Stellt sicher, dass der Schutz von Datenverschlüsselungsschlüsseln den unternehmenseigenen Schlüsselverwaltungsstandards entspricht