Gérer la clé de chiffrement

Tous les environnements de Microsoft Dataverse utilisent la technologie TDE (Transparent Data Encryption) de SQL Server pour effectuer le chiffrement en temps réel des données lorsqu’elles sont écrites sur le disque, également appelé Chiffrement au repos.

Par défaut, Microsoft enregistre et gère la clé de chiffrement de base de données pour vos environnements pour que vous n’ayez pas à le faire. La fonctionnalité de gestion des clés du centre d’administration Microsoft Power Platform permet aux administrateurs d’autogérer la clé de chiffrement de base de données associée au client Dataverse.

La gestion des clés de chiffrement ne s’applique qu’aux bases de données de l’environnement Azure SQL. Les fonctionnalités et les services suivants continuent d’utiliser la clé de chiffrement gérée par Microsoft pour chiffrer leurs données et elles ne peuvent pas être chiffrées avec la clé de chiffrement auto-gérée :

• Les copilotes et les fonctionnalités d’IA générative dans Microsoft Power Platform et Microsoft Dynamics 365
• Recherche Dataverse
• Tableaux élastiques
• Mobile Offline
• Journal d’activité (portail Microsoft 365)
• Exchange (synchronisation côté serveur)

Présentation de la gestion des clés

Avec la fonctionnalité de gestion des clés, les administrateurs peuvent fournir leur propre clé de chiffrement ou en faire générer une, qui est utilisée pour protéger la base de données d’un environnement.

La fonctionnalité de gestion des clés prend en charge les fichiers de clé de chiffrement PFX et BYOK, comme ceux stockés dans un module de sécurité matériel (HSM). Pour utiliser l’option Télécharger la clé de chiffrement, les clés de chiffrement publique et privée sont nécessaires.

La fonctionnalité de gestion des clés simplifie la gestion des clés de chiffrement en utilisant Azure Key Vault pour stocker en toute sécurité les clés de chiffrement. Azure Key Vault permet de protéger les clés de chiffrement et les secrets utilisés par les applications et les services cloud. La fonctionnalité de gestion des clés ne nécessite pas que vous disposiez d’un abonnement Azure Key Vault et, dans la plupart des situations, il n’est pas nécessaire d’accéder aux clés de chiffrement utilisées pour Dataverse dans le coffre-fort.

La fonctionnalité de gestion des clés vous permet d’effectuer les tâches suivantes.

• Permettre d’autogérer les clés de chiffrement de base de données associées aux environnements.

• Générer de nouvelles clés de chiffrement ou télécharger les fichiers de clé de chiffrement .PFX ou .BYOK existants.

• Verrouillez et déverrouillez les environnements de client.

  Avertissement

  Lorsqu’un client est verrouillé, tous les environnements dans le client sont inaccessibles. Informations complémentaires : Verrouiller le client.

Comprendre le risque potentiel lié à la gestion de vos clés

Comme pour toute application critique d’entreprise, le personnel de votre organisation qui dispose d’un accès de niveau administrateur doit être approuvé. Avant d’utiliser la fonctionnalité de gestion des clés, vous devez comprendre le risque lié à la gestion de vos clés de chiffrement de base de données. Il est possible qu’un administrateur malveillant (une personne qui reçoit ou obtient un accès de niveau administrateur dans l’intention de nuire à la sécurité ou aux processus d’entreprise d’une organisation) qui travaille au sein de votre organisation utilise la fonctionnalité de gestion des clés pour créer une clé et l’utiliser pour verrouiller tous les environnements dans le client.

Imaginez la séquence suivante d’événements.

L’administrateur malveillant se connecte au centre d’administration Power Platform, accède à l’onglet Environnements et sélectionne Gérer la clé de chiffrement. L’administrateur malveillant ensuite crée une nouvelle clé avec un mot de passe et télécharge la clé de chiffrement sur son lecteur local, puis active la nouvelle clé. Maintenant toutes les bases de données de l’environnement sont chiffrées avec la nouvelle clé. Ensuite, l’administrateur malveillant verrouille le client avec la clé nouvellement téléchargée, puis prend ou supprime la clé de chiffrement téléchargée.

Ces actions entraînent la désactivation de tous les environnements dans le client d’accéder en mode connexion et rendent toutes les sauvegardes de bases de données non reconstituables.

Configuration requise pour la clé de chiffrement

Si vous fournissez votre propre clé de chiffrement, celle-ci doit respecter la configuration requise suivante qui est acceptée par Azure Key Vault.

• Le fichier de clé de chiffrement doit être au format PFX ou BYOK.
• RSA 2048 bits.
• Type de clé RSA-HSM (nécessite une demande de support Microsoft).
• Les fichiers de clé de chiffrement PFX doivent être protégés par un mot de passe.

Pour plus d’informations sur la génération et le transfert d’une clé protégée par HSM sur Internet, voir Génération et transfert de clés protégées par HSM pour Azure Key Vault. Seule la Clé HSM du fournisseur nCipher est prise en charge. Avant de générer votre clé HSM, accédez au centre d’administration Power Platform, fenêtre Gérer les clés de chiffrement/Créer une nouvelle clé pour obtenir l’ID d’abonnement de votre région d’environnement. Vous devez copier et coller cet ID d’abonnement dans votre HSM pour créer la clé. Cela garantira que seul notre Azure Key Vault peut ouvrir votre fichier.

Tâches de gestion des clés

Pour simplifier les tâches de gestion des clés, les tâches sont décomposées en trois éléments suivants :

1. Générer ou télécharger la clé de chiffrement pour un locataire
2. Activer une clé de chiffrement pour un locataire
3. Gérer le cryptage pour un environnement

Les administrateurs peuvent utiliser le centre d’administration Power Platform ou les applets de commande du module d’administration de Power Platform pour effectuer les tâches de gestion de la clé de protection du client décrites ici.

Générer ou télécharger la clé de chiffrement pour un client

Toutes les clés de chiffrement sont stockées dans Azure Key Vault, et il ne peut exister qu’une clé active à tout moment. Comme la clé active sert à chiffrer tous les environnements dans le client, gérer le chiffrement est opéré au niveau du client. Une fois la clé activée, chaque environnement peut ensuite être sélectionné pour utiliser la clé pour le chiffrement.

Utilisez la procédure suivante pour définir pour la première fois la fonctionnalité de gestion des clés pour un environnement ou pour modifier (restaurer) une clé de chiffrement pour un client déjà autogéré.

1. connectez-vous à Power Platform Centre d’administration, en tant qu’administrateur (Dynamics 365 admin ou Microsoft Power Platform admin).

2. Sélectionnez l’onglet Environnements, puis le sélectionnez Gérer les clés de chiffrement dans la barre d’outils.

3. Sélectionnez Confirmer pour accepter le risque de gérer les clés.

4. Sélectionnez Nouvelle clé dans la barre d’outils.

5. Dans le volet gauche, complétez les détails pour générer ou télécharger une clé :

   • Sélectionner une Région : Cette option est la seule affichée si votre client a plusieurs régions.
   • Entrez un Nom de la clé.
   • Sélectionnez l’une des options suivantes :
     • Pour créer une clé, sélectionnez Générer un nouveau (.pfx). Informations complémentaires : Générer une nouvelle clé (.pfx).
     • Pour utiliser votre propre clé générée, sélectionnez Télécharger (.pfx ou .byok). Informations complémentaires : Téléchargez une clé (.pfx ou .byok).

6. Sélectionnez Suivant.

Générer une clé (.pfx)

1. Entrez un mot de passe, puis entrez de nouveau le mot de passe pour confirmer.
2. Sélectionnez Créer, puis sélectionnez la notification des de fichier créé sur votre navigateur.
3. Le fichier de la clé de chiffrement .PFX est téléchargé dans le dossier par défaut de téléchargement de votre navigateur web. Enregistrez le fichier à un emplacement sécurisé (il est recommandé que cette clé soit sauvegardée avec son mot de passe).

Charger une clé (.pfx ou .byok)

1. Sélectionnez Télécharger la clé, sélectionnez le fichier de .pfx ou .byok¹, puis sélectionnez Ouvrir.
2. Entrez le mot de passe pour la clé, puis sélectionnez Créer.

¹ Pour les fichiers de clé de chiffrement .byok, assurez-vous d’utiliser l’ID d’abonnement comme indiqué à l’écran quand vous exportez la clé de chiffrement depuis votre module HSM local. Informations complémentaires : Comment générer et transférer les clés protégées par HSM pour Azure Key Vault.

Activer une clé de chiffrement pour un client

Une fois qu’une clé de chiffrement est générée ou téléchargée pour le client, elle peut être activée.

1. connectez-vous à Power Platform Centre d’administration, en tant qu’administrateur (Dynamics 365 admin ou Microsoft Power Platform admin).
2. Sélectionnez l’onglet Environnements, puis le sélectionnez Gérer les clés de chiffrement dans la barre d’outils.
3. Sélectionnez Confirmer pour accepter le risque de gérer les clés.
4. Sélectionnez une clé qui possède un état Disponible puis sélectionnez Activer la clé dans la barre d’outils.
5. Sélectionnez Confirmer pour accepter le changement de clé.

Lorsque vous activez une clé pour le client, le service de gestion des clés peut nécessiter un peu de temps pour active la clé. Le statut État de la clé affiche la clé comme Installation en cours lorsque la clé nouvelle ou téléchargée est activée. Une fois la clé activée, ce qui suit se produit :

• Tous les environnements chiffrés sont automatiquement chiffrés avec la clé active (aucun temps d’arrêt pour cette action).
• Lorsque activée, la clé de chiffrement sera appliquée à tous les environnements dont la clé de chiffrement passe de fournie par Microsoft à autogérée.

Gérer le chiffrement dans un environnement

Par défaut, chaque environnement est chiffré avec la clé de chiffrement fournie par Microsoft. Une fois qu’une clé de chiffrement est activée pour le client, les administrateurs peuvent choisir de modifier le chiffrement par défaut pour utiliser la clé de chiffrement activée. Pour utiliser la clé activée, procédez comme suit.

Appliquer la clé de chiffrement à un environnement

1. Connectez-vous au centre d’administration Power Platform, à l’aide des informations d’identification du rôle Administrateur d’environnement ou Administrateur système.
2. Cliquez sur l’onglet environnements.
3. Ouvrez un environnement chiffré Fourni par Microsoft.
4. Sélectionner Afficher tout.
5. Dans la section Chiffrement de l’environnement, sélectionnez Gérer.
6. Sélectionnez Confirmer pour accepter le risque de gérer les clés.
7. Sélectionnez Appliquer cette clé pour accepter de modifier le chiffrement pour utiliser la clé activée.
8. Sélectionnez Confirmer pour accepter de gérer la clé directement et qu’un temps d’arrêt est nécessaire pour cette action.

Revenir d’une clé de chiffrement gérée à une clé de chiffrement fournie par Microsoft

Le retour à la clé de chiffrement fournie par Microsoft reconfigure l’environnement avec le comportement par défaut où Microsoft gère la clé de chiffrement pour vous.

1. Connectez-vous au centre d’administration Power Platform, à l’aide des informations d’identification du rôle Administrateur d’environnement ou Administrateur système.
2. Sélectionnez l’onglet Environnements, puis sélectionnez un environnement qui est chiffré avec une clé autogérée.
3. Sélectionner Afficher tout.
4. Dans la section Chiffrement de l’environnement, sélectionnez Gérer, puis sélectionnez Confirmer.
5. Sous Revenir à la gestion des clés de chiffrement standard, sélectionnez Revenir.
6. Pour des environnements de production, confirmez l’environnement en écrivant le nom de l’environnement.
7. Sélectionnez Confirmer pour revenir à la gestion des clés de chiffrement standard.

Verrouiller le client

Puisqu’il n’existe qu’une clé active par client, le verrouillage du chiffrement pour le client désactive tous les environnements qui se trouvent dans le client. Tous les environnements verrouillés restent inaccessibles à tous, y compris Microsoft, jusqu’à ce qu’un administrateur Power Platform de votre organisation la déverrouille à l’aide de la clé utilisée pour la verrouiller.

1. connectez-vous à Power Platform Centre d’administration, en tant qu’administrateur (Dynamics 365 admin ou Microsoft Power Platform admin).
2. Sélectionnez l’onglet Environnements, puis le sélectionnez sur la barre de commandes, sélectionnez Gérer les clés de chiffrement.
3. Sélectionnez la clé Active puis sélectionnez Verrouiller les environnements actifs.
4. Dans le volet de droite, sélectionnez Télécharger la clé active, accédez et sélectionnez la clé, entrez le mot de passe, puis sélectionnez Verrouiller.
5. Lorsque vous y êtes invité, tapez le texte qui s’affiche à l’écran pour confirmer que vous souhaitez verrouiller tous les environnements de la région, puis sélectionnez Confirmer.

Déverrouiller les environnements verrouillés

Pour déverrouiller des environnements vous devez d’abord charger, puis activer la clé de chiffrement du client avec la même clé que celle utilisée pour verrouiller le client. Notez que les environnements verrouillés ne sont pas déverrouillés automatiquement une fois la clé activée. Chaque environnement verrouillé doit être déverrouillé individuellement.

Déverrouiller la clé de chiffrement

1. connectez-vous à Power Platform Centre d’administration, en tant qu’administrateur (Dynamics 365 admin ou Microsoft Power Platform admin).
2. Sélectionnez l’onglet Environnements, puis le sélectionnez Gérer les clés de chiffrement.
3. Sélectionnez la clé qui possède un état Verrouillée puis sélectionnez dans la barre de commande Déverrouiller la clé.
4. Sélectionnez Télécharger la clé verrouillée, accédez et sélectionnez la clé utilisée pour verrouiller le client, entrez le mot de passe, puis sélectionnez Déverrouiller. La clé est affiché dans un état d’Installation en cours. Vous devez attendre jusqu’à ce que la clé passe à l’état Active avant de pouvoir déverrouiller les environnements verrouillés.
5. Pour déverrouiller un environnement, voir la section suivante.

Déverrouiller des environnements

1. Sélectionnez l’onglet Environnements, puis sélectionnez le nom de l’environnement verrouillé.

   Astuce

   Ne sélectionnez pas la ligne. Sélectionnez le nom de l’environnement.

2. Dans la section Détails, sélectionnez Afficher tout pour afficher le volet Détails sur la droite.

3. Dans la section de chiffrement de l’Environnement, dans le volet Détails, sélectionnez Gérer.

   

4. Sur la page Chiffrement de l’environnement, sélectionnez Déverrouiller.

   

5. Sélectionnez Confirmer pour confirmer que vous souhaitez déverrouiller l’environnement.

6. Répétez les étapes précédentes pour déverrouiller des environnements supplémentaires.

Opérations de la base de données de l’environnement

Un client du client peut avoir des environnements chiffrés à l’aide de la clé gérée par Microsoft et des environnements chiffrés avec la clé gérée par le client. Pour maintenir l’intégrité et la protection des données, les contrôles suivants sont disponibles lors de la gestion des opérations de base de données d’environnement.

1. Restaurer L’environnement à remplacer (l’environnement restauré) est limité au même environnement que la sauvegarde a été effectuée depuis ou vers un autre environnement chiffré avec la même clé gérée par le client.

   

2. Copier L’environnement à remplacer (l’environnement vers lequel la copie est faite) est limité à un autre environnement chiffré avec la même clé gérée par le client.

   

   Note

   Si un environnement Examen du support a été créé pour résoudre le problème de support dans un environnement géré par le client, la clé de chiffrement de l’environnement Examen du support doit être remplacée par la clé gérée par le client avant de pouvoir exécuter l’opération de l’environnement de copie.

3. Réinitialiser Les données cryptées du environnement seront supprimées, y compris les sauvegardes. Une fois l’environnement réinitialisé, le chiffrement de l’environnement reviendra à la clé gérée Microsoft.

Voir aussi

SQL Serveur : Chiffrement transparent des données (TDE)