Gestire la chiave di crittografia

Tutti gli ambienti di Microsoft Dataverse usano SQL Server Transparent Data Encryption (TDE) per eseguire la crittografia dei dati in tempo reale se scritti su disco, detta anche crittografia in inattività.

Per impostazione predefinita, Microsoft memorizza e gestisce la chiave di crittografia del database per i tuoi ambienti, così non devi farlo tu. La funzionalità di gestione delle chiavi nell'interfaccia di amministrazione di Microsoft Power Platform offre agli amministratori la possibilità di gestire autonomamente la chiave di crittografia dei database associata al tenant Dataverse.

La gestione della chiave di crittografia è applicabile solo ai database dell'ambiente SQL di Azure. Le seguenti funzionalità e servizi continuano a utilizzare la chiave di crittografia gestita da Microsoft per crittografare i propri dati e non possono essere crittografati con la chiave di crittografia autogestita:

• Copiloti e funzionalità di intelligenza artificiale generativa in Microsoft Power Platform e Microsoft Dynamics 365
• Ricerca di Dataverse
• Tabelle elastiche
• CRM Mobile Offline
• Log attivitò (portale di Microsoft 365)
• Exchange (sincronizzazione lato server)

Introduzione alla gestione delle chiavi

Con la gestione delle chiavi, gli amministratori possono fornire una propria chiave di crittografia o generare automaticamente una chiave di crittografia utilizzata per proteggere il database per un ambiente

La funzionalità di gestione delle chiavi supporta i file di chiave di crittografia BYOK e PFX, ad esempio quelli archiviati in un modulo di sicurezza dell'hardware (HSM). Per utilizzare la chiave di crittografia di caricamento sono necessarie chiavi di crittografia pubbliche e private.

La funzionalità di gestione delle chiavi elimina la complessità della gestione delle chiavi di crittografia usando Azure Key Vault per archiviare in modo sicuro le chiavi di crittografia. Azure Key Vault aiuta a salvaguardare le chiavi di crittografia e i segreti usati dalle applicazioni e dai servizi cloud. La funzionalità di gestione delle chiavi non richiede una sottoscrizione di Azure Key Vault e per la maggior parte delle situazioni non è necessario accedere alle chiavi di crittografia utilizzate per Dataverse all'interno del vault.

La funzionalità di gestione delle chiavi ti consente di eseguire le attività seguenti.

• Abilitare l'autogestione delle chiavi di crittografia dei database associate agli ambienti.

• Generare nuove chiavi di crittografia o caricare file di chiave di crittografia esistenti con estensione BYOK o PFX.

• Bloccare e sbloccare gli ambienti del tenant.

  Avviso

  Mentre un tenant è bloccato, tutti gli ambienti nel tenant non sono accessibili da alcuno. Ulteriori informazioni: Bloccare il tenant.

Informazioni sul rischio potenziale derivato dalla gestione delle chiavi

Come per qualsiasi applicazione aziendale critica, il personale dell'organizzazione con l'accesso a livello di amministratore deve essere considerato affidabile. Prima di utilizzare la funzionalità di gestione delle chiavi, è importante comprendere il rischio derivato dalla gestione delle chiavi di crittografia dei database. È immaginabile che un amministratore scorretto (una persona a cui è assegnato o dispone dell'accesso a livello di amministratore con l'intenzione di nuocere alla sicurezza o ai processi aziendali di un'organizzazione) che opera nell'organizzazione può utilizzare la funzionalità di gestione delle chiavi per creare una chiave e utilizzarla per bloccare tutti gli ambienti del tenant.

Considera la seguente serie di eventi.

L'amministratore malintenzionato accede all'interfaccia di amministrazione di Power Platform, passa alla scheda Ambienti e seleziona Gestisci chiave di crittografia. L'amministratore malintenzionato quindi crea una nuova chiave con una password e scarica la chiave di crittografia nella sua unità locale e attiva la nuova chiave. Ora tutti i database dell'ambiente sono crittografati con la nuova chiave. Successivamente, l'amministratore malintenzionato blocca il tenant con la chiave appena scaricata e quindi si appropria o elimina la chiave di crittografia scaricata.

Queste azioni comporteranno la disabilitazione di tutti gli ambienti nel tenant dall'accesso online e renderanno tutti i backup di database non repristinabili.

Requisiti delle chiavi di crittografia

Se fornisci una tua chiave di crittografia, la chiave deve soddisfare questi requisiti che sono accettati da Azure Key Vault.

• Il formato di file della chiave di crittografia deve essere PFX o BYOK.
• RSA a 2.048-bit.
• Tipo di chiave RSA-HSM (richiede una Microsoft richiesta di supporto).
• I file di chiave di crittografia PFX devono essere protetti da password.

Per ulteriori informazioni sulla generazione e sul trasferimento di una chiave protetta da HSM in Internet, vedi Come generare e trasferire le chiavi protette da HSM per l'insieme di credenziali delle chiavi di Azure. Solo la chiave HSM del fornitore nCipher è supportata. Prima di generare la chiave HSM, vai alla finestra Gestisci chiavi di crittografia/Crea nuova chiave dell'interfaccia di amministrazione di Power Platform per ottenere l'ID sottoscrizione per l'area geografica dell'ambiente. Devi copiare e incollare questo ID sottoscrizione nel tuo HSM per creare la chiave. Ciò garantirà che solo Azure Key Vault possa aprire il file.

Attività di gestione delle chiavi

Per semplificare le attività di gestione delle chiavi, le attività vengono suddivise in tre aree:

1. Genera o carica la chiave di crittografia per un tenant
2. Attiva una chiave di crittografia per un tenant
3. Gestisci la crittografia per un ambiente

Gli amministratori possono utilizzare i cmdlet interfaccia di amministrazione di Power Platform o modulo di amministrazione di Power Platform per eseguire le attività di gestione delle chiavi di protezione del tenant descritte qui.

Generare o caricare la chiave di crittografia per un tenant

Tutte le chiavi di crittografia vengono archiviate in Azure Key Vault e può esserci una sola chiave attiva alla volta. Poiché la chiave attiva viene utilizzato per crittografare tutti gli ambienti nel tenant, gestire la crittografia avviene a livello di tenant. Dopo aver attivato la chiave, ogni singolo ambiente può quindi essere selezionato per utilizzare la chiave per la crittografia.

Utilizza questa procedura per impostare la funzionalità di gestione delle chiavi per la prima volta per un ambiente o per modificare (o alternare) una chiave di crittografia per un ambiente già autogestito.

1. Accedi a Power Platform ambiente, come amministratore (amministratore Dynamics 365 o Microsoft Power Platform amministratore).

2. Selezionare la scheda Ambienti e quindi sulla barra degli strumenti selezionare Gestisci chiavi di crittografia.

3. Selezionare Conferma per accettare il rischio di gestione delle chiavi.

4. Nella barra degli strumenti selezionare Nuova chiave.

5. Nel riquadro sinistro, completare i dettagli per generare o caricare una chiave:

   • Selezionare un'area: Questa opzione è disponibile solo se il tenant è multiarea.
   • Immettere un Nome chiave.
   • Scegli una delle seguenti opzioni:
     • Per creare una nuova chiave selezionare Genera nuovo (.pfx). Ulteriori informazioni: Generare una nuova chiave (.pfx).
     • Per utilizzare la chiave generata, selezionare Carica (.pfx o .byok). Ulteriori informazioni: Caricare una chiave (.pfx o .byok).

6. Seleziona Avanti.

Generare una nuova chiave (.pfx)

1. Digitare una password e quindi immettere nuovamente la password per confermare.
2. Selezionare Crea e quindi selezionare la notifica di creazione del file nel browser.
3. Il file della chiave di crittografia .PFX viene scaricato nella cartella di download predefinita del Web browser. Salvare il file in una posizione sicura (è consigliabile che della chiave venga eseguito un backup con relativa password).

Caricare una chiave (.pfx o .byok)

1. Selezionare Carica la chiave, selezionare il file .pfx o .byok¹ e quindi selezionare Apri.
2. Immetti la password per la chiave e quindi fai clic su Crea.

¹ Per i file della chiave di crittografia BYOK, accertati di utilizzare l'ID sottoscrizione come illustrato sullo schermo quando esporti la chiave di crittografia dal modulo di protezione hardware locale. Ulteriori informazioni: Come generare e trasferire chiavi con protezione HSM per Azure Key Vault.

Attivare una chiave di crittografia per un tenant

Dopo che una chiave di crittografia viene generata o caricata per il tenant, può essere attivata.

1. Accedi a Power Platform ambiente, come amministratore (amministratore Dynamics 365 o Microsoft Power Platform amministratore).
2. Selezionare la scheda Ambienti e quindi sulla barra degli strumenti selezionare Gestisci chiavi di crittografia.
3. Selezionare Conferma per accettare il rischio di gestione delle chiavi.
4. Selezionare una chiave con stato Disponibile e quindi selezionare Attiva chiave nella barra degli strumenti.
5. Seleziona Conferma per accettare la modifica della chiave.

Quando si attiva una chiave per il tenant, ci vuole del tempo prima che il servizio di gestione delle chiavi attivi la chiave. Lo stato Stato della chiave visualizza la chiave come Installazione quando la chiave nuova o caricata è attivata. Una volta che la chiave viene attivata, accade quanto segue:

• Tutti gli ambienti crittografati vengono automaticamente crittografati con la chiave attiva (non ci sono tempi di inattività con questa azione).
• Una volta attivata, la chiave di crittografia verrà applicata a tutti gli ambienti in cui la chiave di crittografia è stata modificata da fornita a autogestita. Microsoft

Gestire la crittografia per un ambiente

Per impostazione predefinita, ogni ambiente viene crittografato con la chiave di crittografia fornita da Microsoft. Dopo che una chiave di crittografia è attivata per il tenant, gli amministratori possono può scegliere di cambiare la crittografia predefinita e utilizzare la chiave di crittografia attivata. Per utilizzare la chiave attivata, eseguire la procedura seguente.

Applicare la chiave di crittografia in un ambiente

1. Accedi all'interfaccia di amministrazione di Power Platform utilizzando le credenziali del ruolo di amministratore di ambiente o amministratore di sistema.
2. Fare clic sulla scheda Ambienti.
3. Aprire un ripristinare Microsoft-fornito criptato.
4. Seleziona Vedi tutto.
5. Nella sezione Crittografia ambiente, selezionare Gestisci.
6. Selezionare Conferma per accettare il rischio di gestione delle chiavi.
7. Selezionare Applica questa chiave per accettare la modifica di crittografia per utilizzare la chiave attivata.
8. Selezionare Conferma per accettare che si sta gestendo direttamente la chiave e che esiste un tempo di inattività per questa azione.

Restituisce una chiave di crittografia gestita alla chiave di crittografia fornita da Microsoft

Tornando alla chiave di crittografia fornita da Microsoft, ambiente torna al comportamento predefinito, in cui Microsoft gestisce la chiave di crittografia per te.

1. Accedi all'interfaccia di amministrazione di Power Platform utilizzando le credenziali del ruolo di amministratore di ambiente o amministratore di sistema.
2. Selezionare la scheda Ambienti e quindi selezionare un ambiente crittografato con una chiave autogestita.
3. Seleziona Vedi tutto.
4. Nella sezione Crittografia ambiente, selezionare Gestisci e quindi Conferma.
5. In Tornare alla gestione della chiave di crittografia standard selezionare Torna.
6. Per gli ambienti di produzione, confermare l'ambiente immettendo il nome dell'ambiente.
7. per tornare alla gestione della chiave di crittografia standard selezionare Conferma.

Bloccare il tenant

Poiché esiste una sola chiave attiva per tenant, bloccare la crittografia per il tenant disabilita tutti gli ambienti nel tenant. Tutti gli ambienti bloccati restano inaccessibili a chiunque, incluso Microsoft, finché un Power Platform amministratore della tua organizzazione non li sblocca utilizzando la chiave utilizzata per bloccarli.

1. Accedi a Power Platform interfaccia di amministrazione, come amministratore (amministratore Dynamics 365 o Microsoft Power Platform amministratore).
2. Selezionare la scheda Ambienti e quindi sulla barra dei comandi selezionare Gestisci chiavi di crittografia.
3. Selezionare la chiave Attiva e quindi selezionare Blocca ambienti attivi.
4. Nel riquadro destro selezionare Carica chiave attiva, individuare e selezionare la chiave, digitare la password e quindi selezionare Blocca.
5. Quando viene richiesto, digitare il testo visualizzate sullo schermo per confermare che si desidera bloccare tutti gli ambienti nell'area e quindi selezionare Conferma.

Sbloccare ambienti bloccati

Per sbloccare gli ambienti innanzitutto occorre caricare e quindi attivare la chiave di crittografia del tenant con la stessa chiave usata per bloccare il tenant. Si noti che gli ambienti bloccati non vengono sbloccati automaticamente una volta che la chiave è stata attivato. Ogni ambiente bloccato deve essere sbloccato singolarmente.

Sbloccare la chiave di crittografia

1. Accedi a Power Platform interfaccia di amministrazione, come amministratore (amministratore Dynamics 365 o Microsoft Power Platform amministratore).
2. Selezionare la scheda Ambienti e quindi selezionare Gestisci chiavi di crittografia.
3. Selezionare una chiave con stato Bloccato e quindi selezionare Sblocca chiave nella barra dei comandi.
4. Selezionare Carica chiave bloccata, individuare e selezionare la chiave usata per bloccare il tenant, digitare la password e quindi selezionare Sblocca. La chiave entra in stato Installazione. È necessario attendere finché la chiave è in stato Attivo prima di poter sbloccare gli ambienti bloccati.
5. Per sbloccare un ambiente, vedere la sezione successiva.

Sbloccare gli ambienti

1. Selezionare la scheda ambienti, quindi selezionare il nome dell'ambiente bloccato.

   Suggerimento

   Non selezionare la riga. Selezionare il nome dell'ambiente.

2. Nella sezione Dettagli, selezionare Vedi tutto per visualizzare il riquadro Dettagli a destra.

3. Nella sezione Crittografia ambiente nel riquadro Dettagli selezionare Gestisci.

   

4. Nella pagina Crittografia ambiente, selezionare Sblocca.

   

5. Selezionare Conferma per confermare che si vuole sbloccare l'ambiente .

6. Ripetere i passaggi precedenti per sbloccare gli altri ambienti.

Operazioni del database di ambienti

Un tenant cliente può disporre di ambienti crittografati mediante la chiave gestita e di ambienti crittografati con la chiave gestita dal cliente. Microsoft Per mantenere l'integrità e la protezione dei dati, sono disponibili i seguenti controlli durante la gestione delle operazioni del database di ambiente.

1. Ripristina Il ambiente da sovrascrivere (il ripristino su ambiente) è limitato allo stesso ambiente da cui è stato eseguito il backup o a un altro ambiente crittografato con la stessa chiave gestita dal cliente.

   

2. Copia Il ambiente da sovrascrivere (quello copiato su ambiente) è limitato a un altro ambiente crittografato con la stessa chiave gestita dal cliente.

   

   Nota

   Se è stato creato un ambiente di investigazione del supporto per risolvere il problema di supporto in un ambiente gestito dal cliente, la chiave di crittografia per l'ambiente di investigazione del supporto deve essere cambiata in chiave gestita dal cliente prima di poter eseguire l'operazione di copia dell'ambiente.

3. Reimposta I dati crittografati di ambiente verranno eliminati, inclusi i backup. Dopo aver reimpostato ambiente, la crittografia ambiente tornerà alla chiave gestita. Microsoft

Vedi anche

SQL Server: crittografia trasparente dei dati (TDE)