Управление на шифроващия ключ

Всички среди на Microsoft Dataverse използват шифроване на прозрачни данни (TDE) на SQL сървър, за да изпълняват шифроване на данни в реално време при записване на диск, също познато като неактивно шифроване.

По подразбиране Microsoft съхранява и управлява шифроващите ключове за базата данни за вашите среди, за да не ви се налага на вас. Функцията за управление на ключове в центъра за администриране на Microsoft Power Platform дава на администраторите възможност за самостоятелно управление на шифроващия ключ за базата данни, който е свързан с клиента на Dataverse.

Важно

• От 2 юни 2023 г. тази услуга се надстройва до Управляван от клиента ключ за шифроване. Новите клиенти, които трябва да управляват собствения си ключ за шифроване, ще използват надстроената услуга, тъй като тази услуга вече не се предлага.
• Самоуправляемите ключове за криптиране на бази данни са налични само за клиенти, които имат повече от 1000 лиценза за Power Apps на потребител или повече от 1000 лиценза Dynamics 365 Enterprise, или повече от 1000 лиценза от комбинация от двете в един клиент. За да се включите в тази програма, изпратете заявка за поддръжка.

Управлението на шифроващи ключове е приложимо само за бази данни в среда на Azure SQL. Следните функции и услуги продължават да използват управлявания от Microsoft ключ за шифроване за шифроване на техните данни и не могат да бъдат шифровани със самоуправляващия се ключ за шифроване:

• Копилоти и генеративни AI функции в Microsoft Power Platform и Microsoft Dynamics 365
• Търсене в Dataverse
• Еластични маси
• Mobile Offline
• Регистър на дейностите (портал на Microsoft 365)
• Обмен (синхронизирането от страна на сървъра)

Бележка

• Функцията за самоконтрол на ключа за криптиране на база данни трябва да бъде включена от Microsoft за вашия клиент, преди да можете да използвате функцията.
• За да използвате функциите за управление на криптирането на данните за дадена среда, средата трябва да бъде създадена след функцията за самоконтрол на ключа за криптиране на базата данни е включена от Microsoft.
• След като функцията е включена във вашия клиент, всички нови среди се създават само с SQL хранилище на Azure. Тези среди, независимо дали са криптирани с "bring ing-your-own-key" (BYOK) или с управляван от Microsoft ключ, имат ограничения с размера на качването на файлове, не могат да използват услугите Cosmos и Datalake, а индексите Dataverse за търсене са шифровани с управляван от Microsoft ключ. За да използвате тези услуги, трябва да мигрирате към управляван от клиента ключ.
• Файлове и изображения с размери по-малки от 128 MB могат да се използват, ако вашата среда е версия 9.2.21052.00103 или по-висока.
• Повечето от съществуващите среди имат файлови и дневници, съхранявани в не-Azure SQL бази данни. Тези среди не могат да бъдат включени в самостоятелно управляван ключ за криптиране. Само нови среди (след като се регистрирате за тази програма) могат да бъдат активирани с ключ за самоконтролирано криптиране.

Въведение в управлението на ключове

С управлението на ключове администраторите могат да предоставят собствен шифроващ ключ или за тях да бъде генериран шифроващ ключ, който да се използва за защита на базата данни за дадена среда.

Функцията за управление на ключове поддържа PFX и BYOK файлове с шифроващ ключ, като съхранените в защитния модул на хардуера (HSM). За да използвате опцията за качване на шифроващ ключ, са необходими публичният и частният шифроващ ключ.

Функцията за управление на ключове премахва сложността на управлението на ключове за криптиране, като използва Azure Key Vault за сигурно съхранение на ключове за криптиране. Azure Key Vault помага в защитата на криптографски ключове и тайни, използвани от приложения и услуги в облака. Функцията за управление на ключове не изисква да имате абонамент за Azure Key Vault и за повечето ситуации не е необходимо да получавате достъп до шифроващите ключове, използвани за Dataverse в хранилището.

Функцията за управление на ключове ви позволява да извършите следващите задачи.

• Разрешаване на възможността за самостоятелно управление на шифроващите ключове за базата данни, които са свързани със среди.

• Генериране на нови шифроващи ключове или качване на съществуващи .PFX или .BYOK файлове с шифроващ ключ.

• Заключване и отключване на среди на клиент.

  Предупреждение

  Докато клиентът е заключен, никой няма достъп до никоя среда в него. Повече информация: Заключване на клиента.

Разбиране на потенциалния риск, когато управлявате ключовете

Както при всяко важно за бизнеса приложение, трябва да се има доверие на персонала в организацията, който има достъп на административно ниво. Преди да използвате функцията за управление на ключове, трябва да разберете риска при управлението на шифроващите ключове за базата данни. Възможно е злонамерен администратор (лице с предоставен или придобит достъп на ниво администратор, с намерение да навреди на защитата или бизнес процесите на организация), който работи в организацията, да използва функцията за управление на ключове, за да създаде ключ и да го използва за заключване на всички среди в клиента.

Обмислете следната последователност от събития.

Злонамереният администратор влиза в центъра за администриране на Power Platform, отива в раздела Среди и избира Управление на шифроващ ключ. След това злонамереният администратор създава нов ключ с парола, изтегля шифроващия ключ на локалния си диск и активира новия ключ. Сега всички бази данни на средите са шифровани с новия ключ. След това злонамереният администратор заключва клиента с току-що изтегления ключ и след това взема или изтрива изтегления шифроващ ключ.

Тези действия ще доведат до забрана на онлайн достъпа до всички среди в клиента и ще направят всички резервни копия на базата данни невъзстановими.

Важно

За да се предотврати прекъсването на бизнес операциите от злонамерения администратор чрез заключване на базата данни, функцията за управлявани ключове не позволява заключване на средите в клиента в продължение на 72 часа след промяна или активиране на шифроващия ключ. Така се осигуряват до 72 часа за анулиране от други администратори на всички неупълномощени промени на ключа.

Изисквания за шифроващия ключ

Ако предоставите собствен шифроващ ключ, вашият ключ трябва да отговаря на изискванията, приети от Azure Key Vault.

• Форматът на файловете с шифроващ ключ трябва да бъде PFX или BYOK.
• 2048-битов RSA.
• Тип RSA-HSM ключ (изисква искане за поддръжка на Microsoft).
• PFX файловете с шифроващ ключ трябва да са защитени с парола.

За повече информация относно генерирането и прехвърлянето на ключ, защитен с HSM, по интернет вижте Как се генерират и прехвърлят ключове, защитени с HSM, за хранилището за ключове в Azure. Само nCipher Vendor HSM ключ се поддържа. Преди да генерирате вашия HSM ключ, отидете на административния център на Power Platform, прозореца Управление на ключовете за криптиране/Създаване на нов ключ, за да получите идентификационния номер на абонамента за вашия регион на среда. Трябва да копирате и поставите този абонаментен идентификатор във вашия HSM, за да създадете ключа. Това ще гарантира, че само нашето хранилище за ключове в Azure може да отвори вашия файл.

Задачи по управление на ключове

За да се опростят основните задачи за управление, те са разделени на три области:

1. Генериране или качване на шифроващия ключ за клиент
2. Активиране на шифроващ ключ за клиент
3. Управление на шифроване за среда

Администраторите могат да използват центъра за администриране на Power Platform или командите на модула за администриране на Power Platform, за да изпълняват описаните тук задачи за управление на ключовете за защита на клиентите.

Генериране или качване на шифроващия ключ за клиент

Всички шифроващи ключове се съхраняват в хранилището за ключове в Azure и в даден момент може да има само един активен ключ. Тъй като активният ключ се използва за шифроване на всички среди в клиента, управлението на шифроването се управлява на ниво клиент. След като ключът бъде активиран, всяка отделна среда може да бъде избрана да използва шифроващия ключ.

Използвайте тази процедура за задаване за първи път на функцията за управление на ключове за дадена среда или за промяна (или въвеждане) на шифроващ ключ за самоуправляващ се клиент.

Предупреждение

Когато изпълнявате описаните тук стъпки за първи път, се записвате за самоуправление на вашите шифроващи ключове. Повече информация: Разбиране на потенциалния риск, когато управлявате вашите ключове

1. Влезте в центъра за администриране на Power Platform като администратор (администратор на Dynamics 365, глобален администратор или администратор на Microsoft Power Platform).

2. Изберете раздела Среди и след това в лентата с инструменти изберете Управление на шифроващи ключове.

3. Изберете Потвърждение, за да приемете риска при управлението на ключове.

4. Изберете Нов ключ в лентата с инструменти.

5. В левия екран попълнете подробностите, за да генерирате или качите ключ:

   • Изберете Регион. Тази опция се показва само ако клиентът ви има няколко региона.
   • Въведете Име на ключ.
   • Изберете от следните опции:
     • За да създадете нов ключ, изберете Генериране на нов (.pfx). Повече информация: Генериране на нов ключ (.pfx).
     • За да използвате собствения си генериран ключ, изберете Качване (.pfx или .byok). Повече информация: Качване на ключ (.pfx или .byok).

6. Изберете Напред.

Генериране на нов ключ (.pfx)

1. Въведете парола и след това въведете отново паролата за потвърждение.
2. Изберете Създаване и след това изберете създаденото известие за файл във вашия браузър.
3. .PFX файлът с шифроващия ключ се изтегля в папката за изтегляне по подразбиране на вашия уеб браузър. Запазете файла на сигурно място (препоръчваме този ключ да бъде архивиран заедно с паролата му).

Качване на ключ (.pfx или .byok)

1. Изберете Качване на ключа, изберете .pfx или .byok¹ файла и след това изберете Отваряне.
2. Въведете паролата за ключа и след това изберете Създаване.

¹ За .byok файлове с шифроващ ключ се уверете, че използвате ИД на абонамента, както е показано на екрана, когато експортирате шифроващия ключ от локалния HSM. Повече информация: Как да генерирате и прехвърляте HSM защитени ключове за хранилището за ключове в Azure.

Бележка

За да намали броя на стъпките, за да може администраторът да управлява процеса на ключовете, ключът се активира автоматично при първото му качване. Всички следващи качвания на ключове изискват допълнителна стъпка за активиране на ключа.

Активиране на шифроващ ключ за клиент

След като се генерира или качи ключ за кодиране за клиента, той може да бъде активиран.

1. Влезте в центъра за администриране на Power Platform като администратор (администратор на Dynamics 365, глобален администратор или администратор на Microsoft Power Platform).
2. Изберете раздела Среди и след това в лентата с инструменти изберете Управление на шифроващи ключове.
3. Изберете Потвърждение, за да приемете риска при управлението на ключове.
4. Изберете ключ със състояние Наличен и след това изберете Активиране на ключ в лентата с инструменти.
5. Изберете Потвърждаване , за да потвърдите промяната на ключа.

Когато активирате ключ за клиента, отнема известно време, докато услугата за управление на ключове активира ключа. Състояние на ключа показва ключа като Инсталиране, когато се активира новият или каченият ключ. След като ключът се активира, се случва следното:

• Всички шифровани среди автоматично се шифроват с активния ключ (няма прекъсване с това действие).
• Когато се активира, шифроващият ключ ще бъде приложен за всички среди, които са променени от осигурен от Microsoft самоуправляващ се шифроващ ключ.

Важно

За да опрости процеса на управление на ключовете, така че всички среди да се управляват от един и същ ключ, активният ключ не може да бъде актуализиран, когато има заключени среди. Всички заключени среди трябва да бъдат отключени, преди да може да се активира нов ключ. Ако има заключени среди, които не е необходимо да се отключват, те трябва да бъдат изтрити.

Бележка

След като шифроващият ключ бъде активиран, не можете да активирате друг ключ в продължение на 24 часа.

Управление на шифроване за среда

По подразбиране всяка среда се шифрова с осигурения от Microsoft шифроващ ключ. След като шифроващият ключ бъде активиран за клиента, администраторите могат да изберат да променят шифроването по подразбиране, за да използват активирания шифроващ ключ. За да използвате активирания ключ, следвайте тези стъпки.

Прилагане на шифроващ ключ към среда

1. Влезте в центъра за администрация на Power Platform, използвайки идентификационни данни за ролята на администратор на средата или на системния администратор.
2. Изберете раздела Среди.
3. Отворете среда с шифроване Осигурено от Microsoft.
4. Изберете Виж всички.
5. В секцията Шифроване на средата изберете Управление.
6. Изберете Потвърждение, за да приемете риска при управлението на ключове.
7. Изберете Прилагане на този ключ, за да приемете промяната на шифроването и да използвате активирания ключ.
8. Изберете Потвърждаване, за да потвърдите, че управлявате директно ключа и че има прекъсване на работата за това действие.

Връщане на управляван шифроващ ключ обратно към осигурения от Microsoft шифроващ ключ

Връщането към осигурения от Microsoft шифроващ ключ конфигурира средата обратно към поведението по подразбиране, където Microsoft управлява шифроващия ключ за вас.

1. Влезте в центъра за администрация на Power Platform, използвайки идентификационни данни за ролята на администратор на средата или на системния администратор.
2. Изберете раздела Среди и след това изберете среда, която се шифрова със самоуправляващ се ключ.
3. Изберете Виж всички.
4. В секцията Шифроване на средата изберете Управление и след това изберете Потвърждаване.
5. Във Връщане към стандартно управление на шифроването изберете Връщане.
6. За производствени среди потвърдете средата, като въведете името й.
7. Изберете Потвърждаване за връщане към стандартно управление на шифроващи ключове.

Заключване на клиента

Тъй като има само един активен ключ на клиент, заключването на шифроването за клиента деактивира всички среди, които са в клиента. Всички заключени среди остават недостъпни за всички, включително Microsoft, докато администратор на услуга на Power Platform в организацията го отключи с помощта на ключа, използван за заключването му.

Внимание

Никога не трябва да заключвате среди на клиент като част от нормалния бизнес процес. Когато заключите клиент в Dataverse, всички среди ще бъдат направени напълно офлайн и до тях не може да стигне никой, включително Microsoft. Освен това всички услуги, като например синхронизация и поддръжка, са прекратени. Ако решите да напуснете услугата, заключването на клиента може да гарантира, че онлайн данните ви никога няма да бъдат достъпни отново за никого.
Имайте предвид следното за заключването на клиенти:

• Заключените среди не могат да бъдат възстановени от архивно копие.
• Заключените среди се изтриват, ако не бъдат отключени след 28 дни.
• Не можете да заключвате среди в продължение на 72 часа след промяна на шифроващ ключ.
• Заключване на клиент заключва всички активни среди в рамките на клиента.

Важно

• Трябва да изчакате поне един час, след като заключите активните среди, преди да можете да ги отключите.
• След като започне процесът на заключване, всички шифроващи ключове с активно или налично състояние се изтриват. Процесът на заключване може да отнеме до един час и през това време отключването на заключени среди не е позволено.

1. Влезте в центъра за администриране на Power Platform като администратор (администратор на Dynamics 365, глобален администратор или администратор на Microsoft Power Platform).
2. Изберете раздела Среди и след това в командната лента изберете Управление на шифроващи ключове.
3. Изберете ключа Активен и след това изберете Заключване на активните среди.
4. В десния екран изберете Качване на активен ключ, отидете до и изберете ключа, въведете паролата и след това изберете Заключване.
5. Когато бъдете подканени, въведете текста, който се показва на вашия екран, за да потвърдите, че искате да заключите всички среди в региона, и след това изберете Потвърждаване.

Отключване на заключени среди

За да отключите средите, трябва първо да качите и след това да активирате шифроващия ключ на клиента със същия ключ, с който е бил използван за заключване на клиента. Моля, обърнете внимание, че заключените среди не се отключват автоматично, след като ключът бъде активиран. Всяка заключена среда трябва да се отключи поотделно.

Важно

• Трябва да изчакате поне един час, след като заключите активните среди, преди да можете да ги отключите.
• Процесът на отключване може да отнеме до час. След като ключът бъде отключен, можете да го използвате за управление на шифроването за среда.
• Не можете да генерирате нов или да качите съществуващ ключ, докато не бъдат отключени всички заключени среди.

Отключване на шифроващ ключ

1. Влезте в центъра за администриране на Power Platform като администратор (администратор на Dynamics 365, глобален администратор или администратор на Microsoft Power Platform).
2. Изберете раздела Среди и след това Управление на шифроващи ключове.
3. Изберете ключа със състояние Заключен и след това в командната лента изберете Отключване на ключ.
4. Изберете Качване на заключен ключ, отидете до и изберете ключа, който е бил използван за заключване на клиента, въведете паролата и след това изберете Отключване. Ключът преминава в състояние Инсталиране. Трябва да изчакате, докато ключът премине в състояние Активен, преди да можете да отключите заключени среди.
5. За да отключите среда, вижте следващия раздел.

Отключване на среди

1. Изберете раздела Среди и след това изберете името на заключената среда.

   Съвет

   Не избирайте реда. Изберете името на средата.

2. В секцията Подробности изберете Виж всички, за да се покаже екранът Подробности отдясно.

3. В секцията Шифроване на средата в екрана Подробности изберете Управление.

   

4. На страницата Шифроване на средата изберете Отключване.

   

5. Изберете Потвърждаване, за да потвърдите, че искате да отключите средата.

6. Повторете предишните стъпки, за да отключите допълнителни среди.

Операции на база данни на среда

Клиентският клиент може да има среди, които са криптирани с помощта на управлявания ключ на Microsoft, и среди, които са криптирани с управлявания от клиента ключ. За да се поддържа целостта на данните и защитата на данните, са налични следните контроли при управление на операции с база данни на среда.

1. Възстановяване Средата за презаписване (възстановената в среда) е ограничена до същата среда, от която е направена архивирането или от друга среда, която е криптирана със същия ключ, управляван от клиента.

   

2. Копиране Средата за презаписване (копираната в среда) е ограничена до друга среда, която е криптирана със същия ключ, управляван от клиента.

   

   Бележка

   Ако среда за разследване на поддръжка е създадена за разрешаване на проблема с поддръжката в среда, управлявана от клиента, ключът за криптиране на средата за разследване на поддръжката трябва да бъде променен на ключ, управляван от клиента, преди да може да се извърши операцията за копиране на среда.

3. Нулиране Криптираните данни на средата ще бъдат изтрити, включително резервните копия. След като средата е нулирана, криптирането на средата ще се върне обратно към управлявания ключ на Microsoft.

Вижте също

SQL сървър: Прозрачно криптиране на данни (TDE)