Ensure SQL server's Transparent Data Encryption (TDE) protector is encrypted with Customer-managed key

Γιατί Είναι Σημαντικό

Η Διαφανής Κρυπτογράφηση Δεδομένων (TDE) προστατεύει τα δεδομένα σας SQL σε κατάσταση ηρεμίας, αλλά όταν μόνο ένα πιστοποιητικό διαχειριζόμενο από την υπηρεσία προστατεύει το κλειδί κρυπτογράφησης, δεν έχετε ορατότητα ή έλεγχο στο ποιος μπορεί να έχει πρόσβαση σε αυτό το κλειδί. Χρησιμοποιώντας ένα κλειδί διαχειριζόμενο από τον πελάτη που αποθηκεύεται στο Azure Key Vault, επιβάλλετε διαχωρισμό καθηκόντων, αποκτάτε πλήρη έλεγχο στην εναλλαγή κλειδιών και τις πολιτικές πρόσβασης, και ικανοποιείτε τις απαιτήσεις συμμόρφωσης για ευαίσθητα ή ρυθμιζόμενα δεδομένα. Χωρίς αυτόν τον έλεγχο, ένα παραβιασμένο κλειδί επιπέδου υπηρεσίας θα μπορούσε να εκθέσει όλες τις κρυπτογραφημένες βάσεις δεδομένων κάτω από αυτόν τον διακομιστή.

Τι Ελέγχει το Aether365

Το Aether365 επαληθεύει ότι κάθε Azure SQL Server έχει τον προστατευτή TDE κρυπτογραφημένο με ένα κλειδί διαχειριζόμενο από τον πελάτη που αποθηκεύεται στο Azure Key Vault, και όχι με ένα πιστοποιητικό διαχειριζόμενο από την υπηρεσία. Αυτός ο έλεγχος εμφανίζεται στον πίνακα ελέγχου Aether365 στην ενότητα ελέγχων azure-sql-server.

Πώς να Το Διορθώσετε

1. Ανοίξτε την Azure Portal και μεταβείτε στον διακομιστή SQL που φιλοξενεί τις βάσεις δεδομένων που θέλετε να προστατεύσετε.
2. Στο αριστερό μενού, επιλέξτε Transparent data encryption.
3. Ορίστε την επιλογή TDE protector σε Customer-managed key.
4. Ακολουθήστε τις οδηγίες για να επιλέξετε ένα υπάρχον key vault και κλειδί, ή δημιουργήστε ένα νέο key vault και εισαγάγετε ή δημιουργήστε ένα κλειδί. Σημειώστε ότι το key vault πρέπει να βρίσκεται στην ίδια περιοχή Azure με τον διακομιστή SQL σας.
5. Επιβεβαιώστε τη διαμόρφωση και επαληθεύστε ότι όλες οι βάσεις δεδομένων κάτω από αυτόν τον διακομιστή τώρα κληρονομούν τον προστατευτή κλειδιού διαχειριζόμενο από τον πελάτη.
6. Ρυθμίστε ένα πρόγραμμα εναλλαγής κλειδιών και εργαλεία αυτοματοποιημένης διαχείρισης (όπως Azure Key Vault key rotation ή το εργαλείο του παρόχου κλειδιού σας) για να διατηρήσετε τη συνεχή ασφάλεια.

Συμμόρφωση

• CIS Microsoft Azure Foundations: 3.0.0 5.1.3 (Επίπεδο 2)
• EIDSCA: Διασφαλίζει ότι η προστασία κλειδιών κρυπτογράφησης δεδομένων ευθυγραμμίζεται με τα πρότυπα διαχείρισης κλειδιών της επιχείρησης

Σχετικοί Πόροι

• Azure SQL Database Transparent Data Encryption with Customer-managed Key

Microsoft references

• Transparent data encryption byok overview