Ensure SQL server's Transparent Data Encryption (TDE) protector is encrypted with Customer-managed key

Perché è Importante

Transparent Data Encryption (TDE) protegge i dati SQL a riposo, ma quando solo un certificato gestito dal servizio protegge la chiave di crittografia, non hai visibilità né controllo su chi può accedere a tale chiave. Utilizzando una chiave gestita dal cliente archiviata in Azure Key Vault, imponi la separazione dei compiti, ottieni il controllo completo sulla rotazione delle chiavi e sulle policy di accesso, e soddisfi i requisiti di conformità per dati sensibili o regolamentati. Senza questo controllo, una chiave compromessa a livello di servizio potrebbe esporre tutti i database crittografati sotto quel server.

Cosa Controlla Aether365

Aether365 verifica che ogni SQL Server di Azure abbia il proprio protettore TDE crittografato con una chiave gestita dal cliente archiviata in Azure Key Vault, e non con un certificato gestito dal servizio. Questo controllo appare nel dashboard di Aether365 nella sezione dei controlli azure-sql-server.

Come Risolvere

1. Apri il portale di Azure e accedi al server SQL che ospita i database che desideri proteggere.
2. Nel menu a sinistra, seleziona Transparent data encryption.
3. Imposta l'opzione TDE protector su Customer-managed key.
4. Segui le istruzioni per selezionare un key vault e una chiave esistenti, oppure crea un nuovo key vault e importa o genera una chiave. Nota che il key vault deve trovarsi nella stessa area di Azure del tuo SQL Server.
5. Conferma la configurazione e verifica che tutti i database sotto quel server ora ereditino il protettore della chiave gestita dal cliente.
6. Imposta una pianificazione di rotazione delle chiavi e strumenti di gestione automatizzata (come la rotazione delle chiavi di Azure Key Vault o gli strumenti del tuo provider di chiavi) per mantenere la sicurezza in corso.

Conformità

• CIS Microsoft Azure Foundations: 3.0.0 5.1.3 (Livello 2)
• EIDSCA: Garantisce che la protezione della chiave di crittografia dei dati sia allineata agli standard aziendali di gestione delle chiavi

Risorse Correlate

• Azure SQL Database Transparent Data Encryption con Chiave Gestita dal Cliente

Microsoft references

• Transparent data encryption byok overview