Share via

Administrere krypteringsnøglen

  • Artikel

Alle miljøer for Microsoft Dataverse bruger SQL Server TDE (Transparent Data Encryption) til at udføre kryptering af data i realtid ved skrivning til disk, også kaldet kryptering i hvile.

Som standard gemmer og styrer Microsoft databasekrypteringsnøglen til dine miljøer, så du ikke behøver at gøre det. Nøgleadministrationsfunktionen i Microsoft Power Platform Administration giver administratorer mulighed for selv at styre den databasekrypteringsnøgle, der er knyttet til Dataverse-lejeren.

Vigtigt

  • Fra 2. juni 2023 opgraderes denne tjeneste til en krypteringsnøgle, der administreres af kunden. Nye kunder, der skal administrere deres egen krypteringsnøgle, bruger den opgraderede tjeneste, da denne tjeneste ikke længere tilbydes.
  • Selvadministrerede databasekrypteringsnøgler er kun tilgængelige for kunder, der har mere end 1000 Power Apps pr. brugerlicens eller mere end 1000 Dynamics 365 Enterprise-licenser eller mere end 1000 licenser via en kombination af disse i en enkelt lejer. Hvis du vil tilmelde dig programmet, skal du sende en supportanmodning.

Administration af krypteringsnøgler gælder kun for Azure SQL Environment-databaser. Følgende funktioner og tjenester fortsætter med at bruge Microsoft-administreret nøgle til at kryptere deres data og kan ikke krypteres med den selvadministrerede krypteringsnøgle:

Bemærk

  • Funktionen til selvadministration af databasekrypteringsnøglen skal være slået til af Microsoft for din lejer, før du kan bruge funktionen.
  • Hvis du vil bruge funktionerne for administration af datakryptering til et miljø, skal miljøet oprettes, efter at funktionen for egen administration af krypteringsnøgle til database er aktiveret af Microsoft.
  • Når funktionen er slået til i din lejer, oprettes alle nye miljøer kun med Azure SQL Storage. Disse miljøer har, uanset om de er krypteret med BYOK (bring-your-own-key) eller en Microsoft-administreret nøgle, begrænsninger med størrelsen på filoverførsel, ikke kan bruge tjenester af den slags, og Dataverse søgeindeks er krypteret med en Microsoft-administreret nøgle. Hvis du vil bruge disse tjenester, skal du overføre den til en kundebaseret nøgle.
  • Filer og Billeder med størrelse, der er mindre end 128 MB kan bruges, hvis dit miljø er version 9.2.21052.00103 eller nyere.
  • I størsteparten af eksisterende miljøer er fil og log gemt i ikke-Azure SQL-databaser. Det er ikke muligt at vælge disse miljøer til egen administration af krypteringsnøgle. Det er kun nye miljøer (efter at du har tilmeldt dig programmet), der kan aktiveres i forbindelse med egen administration af krypteringsnøgle.

Introduktion til nøgleadministration

Med nøgleadministration kan administratorer levere deres egen krypteringsnøgle eller få en krypteringsnøgle genereret, der bruges til at beskytte databasen for et miljø.

Nøgleadministrationsfunktionen understøtter både PFX- og BYOK-krypteringsnøglefiler, som f.eks. dem, der er gemt i et hardwaresikkerhedsmodul (HSM). Hvis du vil bruge krypteringsnøgleindstillingen, du har brug for både den offentlige og private krypteringsnøgle.

Nøglestyringsfunktionen fjerner kompleksiteten af krypteringsnøgleadministration ved at bruge Azure Key Vault til at gemme krypteringsnøgler sikkert. Azure Key Vault er med til at beskytte kryptografiske nøgler og hemmeligheder, der bruges af skyprogrammer og -tjenester. Nøglestyringsfunktionen kræver ikke, at du har et Azure Key Vault-abonnement, og i de fleste situationer er der ingen grund til at få adgang til de krypteringsnøgler, der bruges til Dataverse i boksen.

Med nøgleadministrationsfunktionen kan du udføre følgende opgaver.

  • Aktivere muligheden for selv at administrere databasekrypteringsnøgler, der er tilknyttet miljøer.

  • Oprette nye krypteringsnøgler eller overføre eksisterende. PFX- eller. BYOK-krypteringsnøglefiler.

  • Låse lejermiljøer og låse dem op.

    Advarsel!

    Mens en lejer er låst, er det ikke alle, der kan få adgang til alle miljøer i lejeren. Flere oplysninger: Lås lejeren.

Forstå den potentielle risiko, når du administrerer dine nøgler

Som med alle vigtige forretningsprogrammer skal der være tillid til de medarbejderne i organisationen, der har adgang til administrative niveauer. Før du bruger nøgleadministrationsfunktionen, skal du forstå risikoen, når du administrerer dine databasekrypteringsnøgler. Det er tænkeligt, en administrator med onde hensigter (en person, der har fået administratoradgang og har til hensigt at skade en organisations sikkerhed eller forretningsprocesser), der arbejder i din organisation, kan bruge nøgleadministrationsfunktionen til at oprette en nøgle og bruge den til at låse alle miljøer i lejeren.

Overvej følgende sekvens af hændelser.

Den ondsindede administrator logger på Power Platform Administration, går til fanen Miljøer og vælger Administrer krypteringsnøgle. Den ondsindede administrator opretter derefter en ny nøgle med en adgangskode og henter krypteringsnøglen til det lokale drev og aktiverer den nye nøgle. Nu er alle miljødatabaserne krypteret med den nye nøgle. Dernæst låser den ondsindede administrator lejeren med den nøgle, der lige er hentet, og overtager eller sletter den hentede krypteringsnøgle.

Disse handlinger medfører, at ingen miljøer i lejeren kan få onlineadgang, og at ingen sikkerhedskopier af databaser kan gendannes.

Vigtigt

For at forhindre, at den ondsindede administrator afbryder virksomhedsdriften ved at låse databasen, tillader funktionen administrerede nøgler ikke, at lejermiljøet låses i 72 timer efter, at krypteringsnøglen er ændret eller aktiveret. Dette giver op til 72 timer, hvor andre administratorer kan rulle uautoriserede nøgleændringer tilbage.

Krav til krypteringsnøgler

Hvis du angiver din egen krypteringsnøgle, skal nøglen opfylde disse krav, der accepteres af Azure Key Vault.

  • Krypteringsnøglens filformat skal være PFX eller BYOK.
  • 2048-bit RSA.
  • RSA-HSM-nøgletypen (kræver en anmodning fra Microsoft Support).
  • PFX-krypteringsnøglefiler skal være beskyttet med adgangskode.

Du kan finde flere oplysninger om oprettelse og overførsel af en nøgle, der er beskyttet med HSM, via internettet, under Sådan oprettes og overføres HSM-beskyttede nøgler til Azure Key Vault. Det er kun nCipher Vendor HSM-nøglen, der understøttes. Før du genererer HSM-nøglen, skal du gå til Power Platform Administration Administrer krypteringsnøgler/ vinduet Opret ny nøgle for at få abonnements-id'et for dit miljøområde. Du skal kopiere og indsætte dette abonnements-id i din HSM for at oprette nøglen. Dette sikrer, at det kun er vores Azure Key Vault, der kan åbne din fil.

Nøgleadministrationsopgaver

For at forenkle nøgleadministrationsopgaverne opdeles opgaverne i tre områder:

  1. Oprette eller overføre krypteringsnøglen for en lejer
  2. Aktivere en krypteringsnøgle for en lejer
  3. Administrere kryptering for et miljø

Administratorer kan bruge Power Platform Administration eller Power Platform-administrationsmodulets cmdletter til at udføre de nøgleadministrationsopgaver for lejerbeskyttelse, der er beskrevet her.

Oprette eller overføre krypteringsnøglen for en lejer

Alle krypteringsnøgler lagres i Azure Key Vault, og der kan kun være én aktiv nøgle ad gangen. Da den aktive nøgle bruges til at kryptere alle miljøerne i lejeren, sker administration af kryptering på lejerniveau. Når nøglen er aktiveret, kan de enkelte miljøer derefter vælges til at bruge nøglen til kryptering.

Brug denne procedure til at indstille nøgleadministrationsfunktionen første gang for et miljø eller til at ændre (eller skifte til) en krypteringsnøgle for en allerede selvadministreret lejer.

Advarsel!

Når du udfører den fremgangsmåde, der er beskrevet her, første gang, vælger du selv at administrere dine krypteringsnøgler. Du kan finde flere oplysninger under Forstå den potentielle risiko, når du administrerer dine nøgler.

  1. Log på Power Platform Administration som administrator (Dynamics 365-administrator, Global administrator eller Microsoft Power Platform-administrator).

  2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på værktøjslinjen.

  3. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.

  4. Vælg Ny nøgle på værktøjslinjen.

  5. Udfyld oplysningerne i ruden til venstre for at oprette eller overføre en nøgle:

    • Vælg et område. Denne indstilling vises kun, hvis din lejer har flere områder.
    • Angiv et nøglenavn.
    • Vælg mellem følgende indstillinger.

  6. Vælg Næste.

Opret en ny nøgle (.pfx)

  1. Angiv en adgangskode, og angiv derefter adgangskoden igen for at bekræfte den.
  2. Vælg Opret, og vælg derefter den oprettede filmeddelelse i browseren.
  3. .PFX-filen for krypteringsnøglen hentes i webbrowserens standardmappe til overførsel. Gem filen på en sikker placering (det anbefales, at denne nøgle sikkerhedskopieres sammen med adgangskoden).

Overfør en nøgle (.pfx eller .byok)

  1. Vælg Overfør nøglen, vælg .pfx- eller .byok1-filen, og vælg derefter Åbn.
  2. Angiv adgangskoden til nøglen, og vælg derefter Opret.

1 Ved .byok-krypteringsnøglefiler skal du huske at bruge abonnements-id'et, som vises på skærmen, når du eksporterer krypteringsnøglen fra din lokale HSM. Flere oplysninger: Sådan oprettes og overføres HSM-beskyttede nøgler til Azure Key Vault.

Bemærk

For at reducere antallet af trin for administratoren til at administrere nøgleprocessen, aktiveres nøglen automatisk, når den overføres første gang. Alle efterfølgende nøgleoverførsler kræver et ekstra trin for at aktivere nøglen.

Aktivere en krypteringsnøgle for en lejer

Når en krypteringsnøgle er genereret eller overført til lejeren, kan den aktiveres.

  1. Log på Power Platform Administration som administrator (Dynamics 365-administrator, Global administrator eller Microsoft Power Platform-administrator).
  2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på værktøjslinjen.
  3. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.
  4. Vælg en nøgle, der har en tilgængelig tilstand, og vælg derefter Aktivér nøgle på værktøjslinjen.
  5. Vælg Bekræft for at bekræfte nøgleændringen.

Når du aktiverer en nøgle for lejeren, tager det et stykke tid for tjenesten til nøgleadministration at aktivere nøglen. Status for Nøgletilstand viser nøglen som Installerer, når den nye eller overførte nøgle aktiveres. Når nøglen er aktiveret, sker der følgende:

  • Alle krypterede miljøer bliver automatisk krypteret med den aktive nøgle (der er ingen nedetid med denne handling).
  • Når krypteringsnøglen er aktiveret, anvendes den på alle de miljøer, der er ændret fra Microsoft-leveret til selvadministreret krypteringsnøgle.

Vigtigt

For at strømline nøgleadministrationsprocessen, så alle miljøer administreres af den samme nøgle, kan den aktive nøgle ikke opdateres, når der er låste miljøer. Alle låste miljøer skal låses op, før en ny nøgle kan aktiveres. Hvis der er låste miljøer, der ikke behøver at blive låst op, skal de slettes.

Bemærk

Når en krypteringsnøgle er aktiveret, kan du ikke aktivere en anden nøgle i 24 timer.

Administrere kryptering for et miljø

Hvert enkelt miljø krypteres som standard med den krypteringsnøgle, der leveres af Microsoft. Når en krypteringsnøgle er aktiveret for lejeren, kan administratorer vælge at ændre standardkrypteringen for at bruge den aktiverede krypteringsnøgle. Benyt følgende fremgangsmåde for at bruge den aktiverede nøgle.

Anvend krypteringsnøgle på et miljø

  1. Log på Power Platform Administration ved hjælp af legitimationsoplysningerne for rollen som miljøadministratorer eller systemadministrator.
  2. Vælg fanen Miljøer.
  3. Åbn et krypteret miljø, der er leveret af Microsoft.
  4. Vælg Se alle.
  5. Vælg Administrer i sektionen Miljøkryptering.
  6. Vælg Bekræft for at bekræfte risikoen ved nøgleadministration.
  7. Vælg Anvend denne nøgle for at acceptere ændring af krypteringen for at bruge den aktiverede nøgle.
  8. Vælg Bekræft for at bekræfte, at du administrerer nøglen direkte, og at der er nedetid for denne handling.

Skift en administreret krypteringsnøgle tilbage til den krypteringsnøgle, der leveres af Microsoft

Hvis du skifter tilbage til den krypteringsnøgle, der leveres af Microsoft, konfigureres miljøet igen til standardfunktionsmåden, hvor Microsoft administrerer krypteringsnøglen for dig.

  1. Log på Power Platform Administration ved hjælp af legitimationsoplysningerne for rollen som miljøadministratorer eller systemadministrator.
  2. Vælg fanen Miljøer, og vælg derefter et miljø, der er krypteret med en selvadministreret nøgle.
  3. Vælg Se alle.
  4. Vælg Administrer i sektionen Miljøkryptering, og vælg derefter Bekræft.
  5. Under Vend tilbage til administration af standardkrypteringsnøgle skal du vælge Returner.
  6. I forbindelse med produktionsmiljøer skal du bekræfte miljøet ved at angive miljøets navn.
  7. Vælg Bekræft for at vende tilbage til administration af standardkrypteringsnøgle.

Lås lejeren

Da der kun er én aktiv nøgle pr. lejer, deaktiverer krypteringen for lejeren alle de miljøer, der findes i lejeren. Alle låste miljøer forbliver utilgængelige for alle, herunder Microsoft, indtil en Power Platform-administrator i din organisation låser den op ved hjælp af den nøgle, der blev brugt til at låse den.

Advarsel

Du skal aldrig låse lejermiljøer som en del af din normale forretningsproces. Når du låser en Dataverse-lejer, bliver alle miljøer taget helt offline, og der er ingen, som kan få adgang til dem, heller ikke Microsoft. Desuden stoppes alle tjenester, f.eks. synkroniserings- og vedligeholdelsestjenester. Hvis du beslutter dig for at forlade tjenesten, kan du låse lejeren for at sikre, at ingen nogensinde får adgang til dine onlinedata igen.
Bemærk følgende om, hvordan du låser lejermiljøer:

  • Låste miljøer kan ikke gendannes fra sikkerhedskopien.
  • Låste miljøer slettes, hvis de ikke låses op efter 28 dage.
  • Du kan ikke låse miljøer i 72 timer efter at have ændret en krypteringsnøgle.
  • Hvis du låser en lejer, låses alle aktive miljøer i lejeren.

Vigtigt

  • Du skal vente mindst en time, efter at du har låst aktive miljøer, før du kan låse dem op.
  • Når låseprocessen starter, slettes alle krypteringsnøgler med enten tilstanden Aktiv eller Tilgængelig. Låseprocessen kan tage op til en time, og i dette tidsrum er det ikke tilladt at låse låste miljøer op.
  1. Log på Power Platform Administration som administrator (Dynamics 365-administrator, Global administrator eller Microsoft Power Platform-administrator).
  2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler på kommandolinjen.
  3. Vælg den aktive nøgle, og vælg derefter Lås aktive miljøer.
  4. Vælg Overfør aktiv nøgle i ruden til højre, find og markér nøglen, angiv adgangskoden, og vælg derefter Lås.
  5. Når du bliver bedt om det, skal du angive den tekst, der vises på skærmen, for at bekræfte, at du vil låse alle miljøer i området, og derefter vælge Bekræft.

Lås låste miljøer op

Hvis du vil låse miljøer op, skal du først overføre og derefter aktivere krypteringsnøglen for lejeren med den samme nøgle, der blev brugt til at låse lejeren. Bemærk, at låste miljøer ikke automatisk bliver låst op, når nøglen er blevet aktiveret. Hvert låst miljø skal låses op individuelt.

Vigtigt

  • Du skal vente mindst en time, efter at du har låst aktive miljøer, før du kan låse dem op.
  • Processen til oplåsning kan tage op til en time. Når nøglen er låst op, kan du bruge nøglen til at administrere kryptering for et miljø.
  • Du kan ikke oprette en ny eller overføre en eksisterende nøgle, før alle låste miljøer er låst op.
Lås krypteringsnøgle op
  1. Log på Power Platform Administration som administrator (Dynamics 365-administrator, Global administrator eller Microsoft Power Platform-administrator).
  2. Vælg fanen Miljøer, og vælg derefter Administrer krypteringsnøgler.
  3. Vælg den nøgle, der har tilstanden Låst, og vælg derefter Lås nøgle op på kommandolinjen.
  4. Vælg Overfør låst nøgle, find og markér den nøgle, der er brugt til at låse lejeren, angiv adgangskoden, og vælg derefter Lås op. Nøglen skifter til tilstanden Installerer. Du skal vente, indtil nøglen er i tilstanden Aktiv, før du kan låse låste miljøer op.
  5. Hvis du vil låse et miljø op, kan du gå til næste afsnit.
Lås miljøer op

  1. Vælg fanen Miljøer, og vælg derefter navnet på det låste miljø.

    Tip

    Vælg ikke rækken. Vælg navnet på miljøet. Åbn et miljø for at få vist indstillinger.

  2. Vælg Se alle i detaljesektionen for at få vist ruden Detaljer ruden til højre .

  3. Vælg Administrer i sektionen Miljøkryptering i ruden Detaljer.

    Detaljerude for miljø.

  4. Vælg Lås op på siden Miljøkryptering.

    Lås miljøet op.

  5. Vælg Bekræft for at bekræfte, at du vil låse miljøet op.

  6. Gentag de forrige trin for at låse flere miljøer op.

Handlinger for miljødatabaser

En kundelejer kan have miljøer, der er krypteret ved hjælp af Microsofts administrerede nøgle, og de miljøer, der er krypteret med den kundestyrede nøgle. For at bevare dataintegritet og databeskyttelse er følgende kontrolelementer tilgængelige i forbindelse med administration af miljødatabasehandlinger.

  1. Gendan Miljøet, der skal overskrives (miljøet til gendannelse), er begrænset til det samme miljø, som sikkerhedskopien blev taget fra, eller til et andet miljø, der er krypteret med den samme kundestyrede nøgle.

    Gendan sikkerhedskopi.

  2. Kopiér Miljøet, der skal overskrives (det miljø, der kopieres til) er begrænset til et andet miljø, der er krypteret med den samme kundestyrede nøgle.

    Kopiér miljø.

    Bemærk

    Hvis der blev oprettet et supportundersøgelsesmiljø for at løse supportproblemet i et kundestyret miljø, skal krypteringsnøglen til supportundersøgelsesmiljøet ændres til den kundestyrede nøgle, før miljøkopieringshandlingen kan udføres.

  3. Nulstil Miljøets krypterede data slettes, herunder sikkerhedskopier. Når miljøet er nulstillet, gendannes miljøkrypteringen til Microsofts administrerede nøgle.

Se også

SQL Server: Transparent Data Encryption (TDE)