Ensure SQL server's Transparent Data Encryption (TDE) protector is encrypted with Customer-managed key
Miért Fontos Ez
A Transparent Data Encryption (TDE) védi az SQL-adatokat nyugalmi állapotban, de ha csak egy szolgáltatás által felügyelt tanúsítvány védi a titkosítási kulcsot, nem láthatja és nem szabályozhatja, hogy ki férhet hozzá a kulcshoz. Ha ügyfél által felügyelt kulcsot használ az Azure Key Vaultban tárolva, akkor érvényesíti a feladatkörök szétválasztását, teljes ellenőrzést szerez a kulcsforgatás és hozzáférési szabályzatok felett, valamint teljesíti a bizalmas vagy szabályozott adatokra vonatkozó megfelelőségi követelményeket. Ezen ellenőrzés nélkül egy feltört szolgáltatásszintű kulcs felfedheti a kiszolgáló alatt lévő összes titkosított adatbázist.
Mit Ellenőriz az Aether365
Az Aether365 ellenőrzi, hogy minden Azure SQL Server TDE-védője ügyfél által felügyelt kulccsal van-e titkosítva, amely az Azure Key Vaultban van tárolva, nem pedig szolgáltatás által felügyelt tanúsítvánnyal. Ez az ellenőrzés az Aether365 irányítópultján az azure-sql-server ellenőrzések szakaszában jelenik meg.
Hogyan Javítsa
- Nyissa meg az Azure Portalt, és lépjen arra az SQL-kiszolgálóra, amely a védeni kívánt adatbázisokat üzemelteti.
- A bal oldali menüben válassza a Transparent data encryption lehetőséget.
- Állítsa a TDE protector beállítást Customer-managed key értékre.
- Kövesse az utasításokat egy meglévő kulcstartó és kulcs kiválasztásához, vagy hozzon létre egy új kulcstartót, és importáljon vagy generáljon egy kulcsot. Vegye figyelembe, hogy a kulcstartónak ugyanabban az Azure-régióban kell lennie, mint az SQL-kiszolgálónak.
- Erősítse meg a konfigurációt, és ellenőrizze, hogy a kiszolgáló alatt lévő összes adatbázis mostantól örökli az ügyfél által felügyelt kulcs védőjét.
- Állítson be egy kulcsforgatási ütemtervet és automatizált felügyeleti eszközöket (például Azure Key Vault kulcsforgatás vagy a kulcsszolgáltató eszközkészlete) a folyamatos biztonság fenntartása érdekében.
Megfelelőség
- CIS Microsoft Azure Foundations: 3.0.0 5.1.3 (Level 2)
- EIDSCA: Biztosítja, hogy az adattitkosítási kulcs védelme összhangban legyen a vállalati kulcskezelési szabványokkal