Ensure SQL server's Transparent Data Encryption (TDE) protector is encrypted with Customer-managed key

Pourquoi C’est Important

Le chiffrement transparent des données (TDE) protège vos données SQL au repos, mais lorsqu’un seul certificat géré par le service protège la clé de chiffrement, vous manquez de visibilité et de contrôle sur les personnes pouvant accéder à cette clé. En utilisant une clé gérée par le client stockée dans Azure Key Vault, vous imposez la séparation des tâches, obtenez un contrôle total sur la rotation des clés et les stratégies d’accès, et répondez aux exigences de conformité pour les données sensibles ou réglementées. Sans ce contrôle, une clé compromise au niveau du service pourrait exposer toutes les bases de données chiffrées sous ce serveur.

Ce que Vérifie Aether365

Aether365 vérifie que chaque Azure SQL Server a son protecteur TDE chiffré avec une clé gérée par le client stockée dans Azure Key Vault, et non avec un certificat géré par le service. Cette vérification apparaît dans votre tableau de bord Aether365 sous la section des contrôles azure-sql-server.

Comment Corriger

1. Ouvrez le Azure Portal et accédez au serveur SQL qui héberge les bases de données que vous souhaitez protéger.
2. Dans le menu de gauche, sélectionnez Transparent data encryption.
3. Définissez l’option TDE protector sur Customer-managed key.
4. Suivez les invites pour sélectionner un coffre de clés et une clé existants, ou créez un nouveau coffre de clés et importez ou générez une clé. Notez que le coffre de clés doit se trouver dans la même région Azure que votre serveur SQL.
5. Confirmez la configuration et vérifiez que toutes les bases de données sous ce serveur héritent désormais du protecteur de clé géré par le client.
6. Établissez un calendrier de rotation des clés et des outils de gestion automatisée (tels que la rotation des clés Azure Key Vault ou la boîte à outils de votre fournisseur de clés) pour maintenir une sécurité continue.

Conformité

• CIS Microsoft Azure Foundations : 3.0.0 5.1.3 (Niveau 2)
• EIDSCA : Garantit que la protection des clés de chiffrement des données est alignée sur les normes de gestion des clés de l’entreprise

Ressources Associées

• Azure SQL Database Transparent Data Encryption avec clé gérée par le client

Microsoft references

• Transparent data encryption byok overview