Upravljanje ključem za šifriranje

Sva okruženja servisa Microsoft Dataverse koriste transparentno šifriranje podataka (TDE) SQL poslužitelja za šifriranje podataka u stvarnom vremenu prilikom zapisivanja na disk, što se naziva i šifriranjem u mirovanju.

Microsoft prema zadanim postavkama umjesto vas pohranjuje ključeve za šifriranje baze podataka za vaša okruženja i upravlja njima. Značajka za upravljanje ključevima u centru za administratore platforme Microsoft Power Platform administratorima omogućuje samostalno upravljanje ključem za šifriranje baze podataka koji je povezan s klijentom usluge Dataverse.

Važno

• Od 2. lipnja 2023. ova se usluga nadograđuje na ključ za šifriranje kojim upravlja kupac. Novi korisnici koji trebaju upravljati vlastitim ključem za šifriranje koristit će nadograđenu uslugu jer se ova usluga više ne nudi.
• Ključevi za šifriranje baze podataka kojima se samostalno upravlja dostupni su samo klijentima koji imaju više od 1000 licenci za Power Apps po korisniku ili više od 1000 licenci za Dynamics 365 Enterprise ili više od 1000 licenci koje su kombinacija tih dviju licenci u jednom klijentu. Da biste se prijavili za ovaj program, pošaljite zahtjev za podršku.

Upravljanje ključevima šifriranja primjenjivo je samo na baze podataka okruženja Azure SQL. Sljedeće značajke i servisi i dalje koriste Microsoftov ključ za šifriranje za šifriranje svojih podataka i ne mogu se šifrirati pomoću ključa za šifriranje kojim se samostalno upravlja:

• Kopiloti i generativne značajke umjetne inteligencije u Microsoft Power Platform i Microsoft Dynamics 365
• Pretraživanje platforme Dataverse
• Elastični stolovi
• Mobile Offline
• Zapisnik aktivnosti (portal Microsoft 365)
• Exchange (sinkronizacija sa strane poslužitelja)

Napomena

• Da biste mogli koristiti tu značajku, Microsoft mora za vašeg klijenta uključiti značajku ključa za šifriranje za samostalno upravljanje bazom podataka.
• Da biste koristili značajke upravljanja enkripcijom podataka za okruženje, okruženje se mora stvoriti nakon što Microsoft uključi značajku ključa za šifriranje za samostalno upravljanje bazom podataka.
• Podrška za Datoteku i Sliku s veličinom < 128 MB može se omogućiti ako vaše okruženje ima verziju 9.2.21052.00103 ili noviju.
• Većina postojećih okruženja ima datoteke i zapisnike pohranjene u bazama podataka koje nisu Azure SQL. U ovim okruženjima nije moguće uključiti ključ za šifriranje za samostalno upravljanje. Samo nova okruženja (nakon što ste se prijavili za ovaj program) mogu biti omogućena pomoću ključa za šifriranje za samostalno upravljanje.

Uvod u upravljanje ključem

Upravljanje ključem administratorima omogućuje postavljanje vlastitog ključa za šifriranje ili generiranje ključa za šifriranje koji se koristi za zaštitu baze podataka za određeno okruženje.

Značajka upravljanja ključem podržava PFX i BYOK datoteke ključeva za šifriranje, kao što su oni pohranjeni u modulu za sigurnost hardvera (HSM). Da biste mogli prenijeti ključ, potrebni su vam javni i privatni ključ.

Značajka upravljanja ključem pojednostavnjuje upravljanje ključem za šifriranje tako što koristi Azure Key Vault za sigurno pohranjivanje ključeva za šifriranje. Azure Key Vault olakšava čuvanje kriptografskih ključeva i tajni koje koriste aplikacije i usluge u oblaku. Značajka upravljanja ključеm ne zahtjeva pretplatu na Sef za ključeve platforme Azure i u većini slučajeva nije potreban pristup ključevima za šifriranje koji se koriste za Dataverse u sefu.

Značajka upravljanja ključem omogućuje izvođenje sljedećih zadataka.

• Omogućite mogućnost samostalnog upravljanja ključevima za šifriranje baze podataka koji su pridruženi okruženjima.

• Generirajte nove ključeve za šifriranje ili prenesite postojeće .PFX ili .BYOK datoteke ključeva za šifriranje.

• Zaključajte i otključajte okruženja klijenta.

  Upozorenje

  Dok je klijent zaključan, nitko ne može pristupiti nijednom okruženju unutar klijenta. Dodatne informacije: Zaključaj klijenta.

Mogući rizici prilikom upravljanja ključevima

Kao i u slučaju svake ključne aplikacije, osobe u vašoj tvrtki ili ustanovi koje imaju administrativan pristup moraju biti pouzdane. Da biste mogli početi koristiti značajku upravljanja ključem, morate razumjeti rizik samostalnog upravljanja ključevima za šifriranje baze podataka. Moguće je da zlonamjeran administrator (osoba kojoj je dodijeljen administratorski pristup ili ga je dobila s namjerom da našteti sigurnosti ili poslovnim procesima tvrtke ili ustanove) koji radi u vašoj tvrtki ili ustanovi koristi značajku upravljanja ključevima u svrhu stvaranja ključa kojim će zaključati sva okruženja u klijentu.

Razmislite o sljedećem slijedu događaja.

Zlonamjeran administrator prijavljuje se u centar za administratore platforme Power Platform, otvara karticu Okruženja i odabire Upravljanje ključem za šifriranje. Zlonamjerni administrator zatim stvara novi ključ s lozinkom i preuzima ključ za šifriranje na svoj lokalni pogon te aktivira novi ključ. Sada su sve baze podataka okruženja šifrirane novim ključem. Zatim zlonamjerni administrator zaključava klijenta s nedavno preuzetim ključem, a zatim preuzima ili briše preuzeti ključ za šifriranje.

Te će radnje rezultirati onemogućavanjem svih okruženja u klijentu u mrežnom pristupu i sve sigurnosne kopije baze podataka neće biti moguće obnoviti.

Važno

Radi sprječavanja zlonamjernog administratora u ometanju poslovanja zaključavanjem baze podataka značajka upravljanih ključeva sprječava zaključavanje okruženja klijenta unutar 72 sata od promjene ili aktivacije ključa za šifriranje. To znači da drugi administratori imaju do 72 sata za poništavanje neovlaštene promjene ključa.

Zahtjevi za ključ za šifriranje

Ako unesete vlastiti ključ za šifriranje, ključ mora zadovoljiti ove zahtjeve koje prihvaća Sef za ključeve platforme Azure.

• Oblik datoteke ključa za šifriranje mora biti PFX ili BYOK.
• 2048-bitni RSA.
• Vrsta RSA-HSM ključa (potreban je zahtjev Microsoftove podrške).
• PFX datoteke ključa za šifriranje moraju biti zaštićene lozinkom.

Dodatne informacije o generiranju i prijenosu ključa sa zaštitom HSM putem interneta potražite u članku Kako generirati i prenijeti ključ sa zaštitom HMS za Azure Key Vault. Podržan je samo HSM ključ dobavljača šifre je podržan. Prije generiranja HSM ključa idite u centar za administratore platforme Power Platform na prozor Upravljaj ključevima za šifriranje/Stvori novi ključ za dobivanje ID-ja pretplate za svoju regiju okruženja. Da biste stvorili ključ, morate kopirati i zalijepiti ovaj ID pretplate u svoj HSM. To će osigurati da samo naš sef za ključeve platforme Azure može otvoriti vašu datoteku.

Zadaci za upravljanje ključem

Da bi se pojednostavili ključni zadaci upravljanja, zadaci su podijeljeni na tri područja:

1. Generirajte ili učitajte ključ za šifriranje za klijenta
2. Aktivirajte ključ za šifriranje za klijenta
3. Upravljajte šifriranjem za okruženje

Administratori mogu koristiti centar za administratore servisa Power Platform ili cmdlete administracijskog modula servisa Power Platform za izvršavanje ovdje opisanih zadataka upravljanja sigurnosnim ključem klijenta.

Generirajte ili učitajte ključ za šifriranje za klijenta

Svi ključevi za šifriranje pohranjeni su u sefu za ključeve platforme Azure, a u bilo kojem trenutku može postojati samo jedan aktivni ključ. Budući da se aktivni ključ koristi za šifriranje svih okruženja u klijentu, upravljanjem šifriranjem odvija se na razini klijenta. Nakon što se ključ aktivira, tada se može odabrati svako pojedinačno okruženje koje će koristiti ključ za šifriranje.

Pomoću ovog postupka prvi put postavite značajku upravljanja ključem za okruženje ili promijenite (ili obnovite) ključ za šifriranje za klijenta koji se već samostalno upravlja.

Upozorenje

Kada prvi put izvršite ovdje opisane korake, odlučujete se samoupravljati ključevima za šifriranje. Dodatne informacije: Mogući rizici prilikom upravljanja ključevima.

1. Prijavite se u centar za administratore platforme Power Platform kao administrator (administrator za Dynamics 365, globalni administrator ili administrator platforme Microsoft Power Platform).

2. Odaberite karticu Okruženja, a zatim na alatnoj traci odaberite Upravljaj ključevima za šifriranje.

3. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.

4. Na alatnoj traci odaberite Novi ključ.

5. U lijevom oknu završite pojedinosti za generiranje ili učitavanje ključa:

   • Odaberite Regija. Ova se mogućnost prikazuje samo ako vaš klijent ima više regija.
   • Unesite Naziv ključa.
   • Odaberite neku od sljedećih mogućnosti:
     • Da biste stvorili novi ključ, odaberite Generiraj novi (.pfx). Dodatne informacije: Generiraj novi ključ (.pfx).
     • Za korištenje vlastitog generiranog ključa odaberite Učitaj (.pfx ili .byok). Za dodatne informacije: Učitaj ključ (.pfx ili .byok).

6. Odaberite Dalje.

Generiranje novog ključa (.pfx)

1. Unesite lozinku, a zatim je ponovno unesite za potvrdu.
2. Odaberite Stvori, a zatim odaberite stvorenu obavijest o datoteci u svojem pregledniku.
3. .PFX datoteka ključa za šifriranje preuzima se u zadanu mapu za preuzimanje vašeg web-preglednika. Spremite datoteku na sigurno mjesto (preporučujemo da se za ovaj ključ izrađuje sigurnosna kopija zajedno s lozinkom).

Učitavanje ključa (.pfx ili .byok)

1. Odaberite Učitaj ključ, odaberite datoteku .pfx ili .byok¹, a zatim odaberite Otvori.
2. Unesite lozinku za ključ, a zatim kliknite Stvori.

¹ Za datoteke ključa za šifriranje .byok obavezno koristite ID pretplate prikazan na zaslonu kada izvezete ključ za šifriranje iz lokalnog HSM-a. Za dodatne informacije: Kako generirati i prenositi ključeve zaštićene HSM-om za sef za ključeve platforme Azure.

Napomena

Da bi administratori u postupku upravljanja ključem imali manji broj koraka, ključ se automatski aktivira kad se prvi put prenese. Svi naknadni prijenosi ključa zahtijevaju dodatni korak za aktiviranje ključa.

Aktivirajte ključ za šifriranje za klijenta

Kada se ključ za šifriranje generira ili učita za stanara, može se aktivirati.

1. Prijavite se u centar za administratore platforme Power Platform kao administrator (administrator za Dynamics 365, globalni administrator ili administrator platforme Microsoft Power Platform).
2. Odaberite karticu Okruženja, a zatim na alatnoj traci odaberite Upravljaj ključevima za šifriranje.
3. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.
4. Odaberite ključ koji ima stanje Dostupno, a zatim odaberite Aktiviraj ključ na alatnoj traci.
5. Odaberite Potvrdi da biste potvrdili promjenu ključa.

Kada aktivirate ključ za stanara, potrebno je neko vrijeme da usluga upravljanja ključevima aktivira ključ. Status Stanje ključa prikazuje ključ kao Instaliranje kada se aktivira novi ili učitani ključ. Nakon što se ključ aktivira, događa se sljedeće:

• Sva šifrirana okruženja automatski se šifriraju aktivnim ključem (nema prekida s ovom radnjom).
• Kada se aktivira, ključ za šifriranje primijenit će se na sva okruženja koja su promijenjena iz ključa koji je odobrio Microsoft u samoupravljački ključ za šifriranje.

Važno

Da bi se pojednostavio postupak upravljanja ključevima tako da se svim okruženjima upravlja istim ključem, aktivni se ključ ne može ažurirati ako postoje zaključana okruženja. Sva zaključana okruženja moraju se otključati prije nego što se može aktivirati novi ključ. Ako postoje zaključana okruženja koja se ne trebaju otključati, moraju se izbrisati.

Napomena

Nakon što se aktivira ključ za šifriranje, ne možete aktivirati drugi ključ tijekom 24 sata.

Upravljajte šifriranjem za okruženje

Svako se okruženje prema zadanim postavkama šifrira ključem za šifriranje koji pruža Microsoft. Nakon što se za klijenta aktivira ključ za šifriranje, administratori mogu odabrati promijeniti zadano šifriranje za korištenje aktiviranog ključa za šifriranje. Da biste koristili aktivirani ključ, slijedite ove korake.

Primijenite ključ za šifriranje na okruženje

1. Prijavite se u centar za administratore platforme Power Platform koristeći vjerodajnice za ulogu administratora okruženja ili administratora sustava.
2. Odaberite karticu Okruženja.
3. Otvorite šifrirano okruženje Isporučio Microsoft.
4. Odaberite Vidi sve.
5. U odjeljku Šifriranje okruženja, odaberite Upravljaj.
6. Odaberite Potvrdi da biste potvrdili ključni rizik upravljanja.
7. Odaberite Primijeni ovaj ključ da biste prihvatili promjenu šifriranja za korištenje aktiviranog ključa.
8. Odaberite Potvrdi da potvrdite da izravno upravljate ključem i da ima prekida za ovu radnju.

Vraćanje upravljanog ključa za šifriranje u ključ za šifriranje koji je isporučio Microsoft

Povratak na ključ za šifriranje koji je isporučio Microsoft konfigurira okruženje na zadano ponašanje gdje Microsoft upravlja ključem za šifriranje za vas.

1. Prijavite se u centar za administratore platforme Power Platform koristeći vjerodajnice za ulogu administratora okruženja ili administratora sustava.
2. Odaberite karticu Okruženja, a zatim odaberite okruženje koje je šifrirano pomoću samoupravljanog ključa.
3. Odaberite Vidi sve.
4. U odjeljku Šifriranje okruženja, odaberite Upravljaj, a zatim odaberite Potvrdi.
5. Pod Povratak na standardno upravljanje šifriranjem odaberite Vrati .
6. Za proizvodna okruženja potvrdite okruženje unosom naziva okruženja.
7. Odaberite Potvrdi za povratak na standardno upravljanje ključem za šifriranje.

Zaključavanje klijenta

Budući da postoji samo jedan aktivni ključ po klijentu, zaključavanje šifriranja za klijenta onemogućuje sva okruženja koja su u klijentu. Sva zaključana okruženja ostaju nedostupna svima, uključujući Microsoft, sve dok ih administrator servisa Power Platform u vašoj tvrtki ili ustanovi ne otključa pomoću ključa kojim su bila zaključana.

Oprez

Nikada ne biste smjeli zaključati okruženja klijenta kao dio uobičajenog poslovnog procesa. Kada zaključate klijent Dataverse, sva će se okruženja prebaciti na rad izvan mreže i nitko im neće moći pristupiti, uključujući Microsoft. Osim toga zaustavljane su i usluge kao što su sinkronizacije i održavanje. Ako odlučite napustiti uslugu, zaključavanjem klijenta može se osigurati da više nitko nikada neće pristupiti vašim mrežnim podacima.
Imajte na umu sljedeće o zaključavanju okruženja klijenta:

• Zaključana okruženja nije moguće vratiti iz sigurnosne kopije.
• Zaključana se okruženja brišu ako se nisu otključala nakon 28 dana.
• Okruženja ne možete zaključati 72 sata nakon promjene ključa za šifriranje.
• Zaključavanje klijenta zaključava sva aktivna okruženja unutar klijenta.

Važno

• Morate pričekati najmanje jedan sat nakon zaključavanja aktivnih okruženja da biste ih mogli otključati.
• Nakon što započne proces zaključavanja, svi se ključevi za šifriranje s aktivnim ili dostupnim stanjem brišu. Postupak zaključavanja može potrajati do sat vremena, a za to vrijeme nije dopušteno otključavanje zaključanih okruženja.

1. Prijavite se u centar za administratore platforme Power Platform kao administrator (administrator za Dynamics 365, globalni administrator ili administrator platforme Microsoft Power Platform).
2. Odaberite karticu Okruženja, a zatim na naredbenoj traci odaberite Upravljaj ključevima za šifriranje.
3. Odaberite ključ Aktivan, a zatim odaberite Zaključaj aktivna okruženja.
4. U desnom oknu odaberite Učitaj aktivni ključ, potražite i odaberite ključ, unesite lozinku, a zatim odaberite Zaključaj.
5. Kada se to od vas zatraži, unesite tekst koji se prikazuje na zaslonu da biste potvrdili da želite zaključati sva okruženja u regiji, a zatim odaberite Potvrdi.

Otključavanje zaključanih okruženja

Za otključavanje okruženja najprije morate učitati i aktivirati ključ za šifriranje klijenta s istim ključem koji je bio korišten za zaključavanje klijenta. Imajte na umu da se zaključana okruženja ne otključavaju automatski nakon što se ključ aktivira. Svako zaključano okruženje mora se otključati pojedinačno.

Važno

• Morate pričekati najmanje jedan sat nakon zaključavanja aktivnih okruženja da biste ih mogli otključati.
• Proces otključavanja može potrajati do sat vremena. Nakon otključavanja ključa, možete ga koristiti za Upravljanje šifriranjem za okruženje.
• Ne možete generirati novi ili učitati postojeći ključ dok se ne otključaju sva zaključana okruženja.

Otključavanje ključa za šifriranje

1. Prijavite se u centar za administratore platforme Power Platform kao administrator (administrator za Dynamics 365, globalni administrator ili administrator platforme Microsoft Power Platform).
2. Odaberite karticu Okruženja, a zatim odaberite Upravljaj ključevima za šifriranje.
3. Odaberite ključ koji ima stanje Zaključano, a zatim na naredbenoj traci odaberite Otključaj ključ.
4. Odaberite Učitaj zaključani ključ, potražite i odaberite ključ koji je korišten za zaključavanje klijenta, unesite lozinku, a zatim odaberite Otključaj. Ključ prelazi u stanje Instaliranje. Morate pričekati dok ključ ne bude u stanju Aktivan prije nego što možete otključati zaključana okruženja.
5. Da biste otključali okruženje, pogledajte sljedeći odjeljak.

Otključavanje okruženja

1. Odaberite karticu Okruženja, a zatim odaberite naziv zaključanog okruženja.

   Savjet

   Nemojte odabrati redak. Odaberite naziv okruženja.

2. U odjeljku Pojedinosti, odaberite Vidi sve za prikaz okna Pojedinosti s desne strane.

3. U odjeljku za šifriranje Okruženja u oknu Pojedinosti odaberite Upravljaj.

   

4. Na stranici Šifriranje okruženja odaberite Otključaj.

   

5. Odaberite Potvrdi za potvrdu da želite otključati okruženje.

6. Ponovite prethodne korake za otključavanje dodatnih okruženja.

Operacije baze podataka u okruženju

Klijent može imati okruženja koja su šifrirana pomoću ključa kojim upravlja Microsoft i okruženja koja su šifrirana ključem kojim upravlja klijent. Za održavanje integriteta podataka i zaštite podataka dostupne su sljedeće kontrole za upravljanje operacijama u bazi podataka okruženja.

1. Vraćanje Okruženje za prebrisavanje (vraćeno u okruženje) ograničeno je na isto okruženje iz kojeg je izrađena sigurnosna kopija ili na drugo okruženje koje je šifrirano s istim ključem kojim upravlja klijent.

   

2. Kopiranje Okruženje za prebrisavanje (kopirano u okruženje) ograničeno je na drugo okruženje koje je šifrirano istim ključem kojim upravlja klijent.

   

   Napomena

   Ako je za rješavanje problema s podrškom u okruženju kojim upravlja klijent stvoreno okruženje za podršku istrazi, ključ za šifriranje za okruženje za podršku istrazi mora se promijeniti u ključ kojim upravlja klijent prije nego što se može izvršiti operacija kopiranja okruženja.

3. Ponovno postavljanje Šifrirani podaci okruženja bit će izbrisani, uključujući sigurnosne kopije. Nakon ponovnog postavljanja okruženja šifriranje okruženja vraća se na ključ kojim upravlja Microsoft.

Pogledajte

SQL Server: prozirno šifriranje podataka (TDE)