Peter Kirchner Technical Evangelist Microsoft Azure

Transkript

1 Peter Kirchner Technical Evangelist Microsoft Azure

2 Peter Kirchner Technical Evangelist Seit 2008 bei Microsoft Deutschland Fokus-Themen Microsoft Azure (PaaS, IaaS und Informationssicherheit) Windows 8 App-Entwicklung Windows 7 Anwendungskompatibilität Seit 1999 in der Softwareentwicklung und IT tätig Kontaktmöglichkeiten: Blog: blogs.msdn.com/pkirchner peter.kirchner@microsoft.com

3 Kursthemen Datenbankverschlüsselung von SQL Server 2014 mit Azure Key Vault 01 Azure Key Vault erstellen & konfigurieren 02 SQL Server 2014 VM erstellen & konfigurieren 03 SQL Server 2014: Transparente Datenverschlüsselung & verschlüsselte Backups

4 01 Azure Key Vault erstellen & konfigurieren Peter Kirchner Technical Evangelist Microsoft Azure

5 Azure Key Vault Kryptografische Schlüssel und geheime Informationen Speicherung und kryptographische Operationen Schlüsseltresor derart konzipiert, dass Microsoft Schlüssel weder extrahiert noch sieht Abruf von Schlüsseln und Operationen direkt über URI zur HSM Stand heute ( ) Azure Key Vault ist als Preview verfügbar Geplant: Protokollierung der Schlüsselverwendung (nahezu in Echtzeit) Cloud Platform Roadmap:

6 Azure Key Vault Terminologie Geheimnis Sequenz von Bytes unter 10 KB. Zum Beispiel: SQL-Verbindungszeichenfolgen, PFX- Dateien, AES-Verschlüsselungsschlüssel Autorisierte Nutzer und Anwendungen schreiben und lesen die geheimen Informationen. Schlüssel Kryptographisher Schlüssel, RSA 2048 Ein Schlüssel kann nicht gelesen werden. Der Aufrufer muss Dienste zum Operationen wie Verschlüsseln oder Signieren aufrufen. Key Vault Container für Schlüssel und Geheimnisse, die zusammen verwaltet werden. Einheit der Zugriffskontrolle und Abrechnung Eine Azure-Ressource, wie z.b. ein Speicherkonto VM VMVM Subscription Resource Group Resource Group Resource Group Storage account Storage account Storage account... Secret Secret Secret Key Key Vault Key Vault Vault Secret Version Secret Version Secret Version Key Key Key Key Key Version

7 Azure Key Vault Varianten Schlüssel durch Hardware Security Module (HSM) geschützt Operationen auf Schlüssel werden innerhalb einer HSM durchgeführt Thales nshield, FIPS Level 2 Schlüssel durch Software geschützt Operationen auf Schlüssel werden auf VMs in Azure durchgeführt FIPS Level 1 ausstehend Gespeicherte Schlüssel werden durch Schlüsselkette verschlüsselt, die in einem HSM terminiert

8 Azure Key Vault nutzen Key Vault erstellen und verwalten Azure PowerShell Azure Resource Manager und Key Vault REST API + Client SDK Key Vault verwenden Mehrere Anwendungen sind bereits mit Key Vault integriert In eigenen Anwendungen unter Nutzung der Key Vault REST API + Client SDK Dienste, die Azure Key Vault nutzen: SQL Server Transparent Data Encryption Azure RMS für BYOK CloudLink SecureVM Azure Storage Client SDK Azure VM Zertifikatsmanagmeent Azure VM Volume Encryption (angekündigt) Office 365 Advanced Encryption (angekündigt)

9 Autorisierung Offline Besitzer vom Key Vault setzt ACLs für Schlüssel und Geheimnisse Jeder Eintrag ist ein Paar der Form : {Azure AD identity, operations}. Operationen für Schlüssel: Create Key, Import Key, Delete Key, Encrypt, Decrypt, Wrap, Unwrap, Backup, Restore Operationen für Geheimnisse: Get, Set, Delete, List Zur Laufzeit Key Vault prüft vor Ausführung einer Operation das Azure AD Token des Aufrufers gegen die Berechtigungen im Key Vault

10 Zusammenspiel von SQL Server & Azure Key Vault

11 Azure Key Vault erstellen & konfigurieren 1. Azure Key Vault erstellen 2. Dienstkonten im Azure AD erstellen a. sysadmin: zur Einrichtung der SQL Server Verschlüsselung b. DBEgine: SQL Server Database Engine für TDE 3. Dienstkonten im Key Vault berechtigen 4. Asymmetrischen Schlüssel erstellen oder importieren

12 DEMO Azure Key Vault erstellen & konfigurieren (

13 Schlüsselgenerierung SQL Server Connector für Microsoft Azure Key Vault Benötigt asymmetrischen RSA-Schlüssel mit 2048 Bit Schlüssel kann als PFX in Azure Key Vault importiert werden Empfohlen, da Schlüssel außerhalb von Azure gesichert werden kann Schlüssel kann direkt in Azure Key Vault generiert werden Nicht für Produktivsysteme empfohlen, da keine Sicherung des Schlüssels erstellt werden kann

14 DEMO Schlüssel erstellen & importieren (

15 Zusammenfassung Modul 1 Azure Key Vault speichert Schlüssel und Geheimnisse Durch Software oder HSM geschützt HSM nach FIPS Level 2 zertifiziert Authentifizierung durch Azure AD (AAD) Autorisierung von AAD-Nutzern und -Anwendungen in Azure Key Vault für ausgewählte Operationen Zwei Dienstkonten für SQL Server im AAD sysadmin und DBEngine Schlüssel in Azure Key Vault erstellen oder importieren

16 Weiter geht s! Datenbankverschlüsselung von SQL Server 2014 mit Azure Key Vault 01 Azure Key Vault erstellen & konfigurieren 02 SQL Server 2014 VM erstellen & konfigurieren 03 SQL Server 2014: Transparente Datenverschlüsselung & verschlüsselte Backups

17 02 SQL Server 2014 VM erstellen & konfigurieren Peter Kirchner Technical Evangelist Microsoft Azure

18 Testumgebung Dieser MVA-Kurs verwendet SQL Server 2014 Enterprise mit Windows Server 2012 R2 VM-Vorlage in Azure ( keine SQL Server-Lizenz notwendig) Instanzgröße D13 in Azure 8 Kerne, 56 GB RAM, 400 GB SSD Temp-Laufwerk) SQL Server kann auch on-prem betrieben werden

19 DEMO SQL Server VM in Azure erstellen

20 Verschlüsselung in SQL Server & SQL Database Verschlüsselungsoptionen: Transparent Data Encryption (TDE) und Cell Level Encryption (CLE) SQL Server Encrypted Backups SQL Server Extensible Key Management (EKM) Provider verschiebt Verschlüsselungs-Master-Schlüssel an externen Schlüssel-Manager Trennung der Rollen für die Verwaltung von Daten und Schlüssel Azure Key Vault als EKM SQL Server Connector ermöglicht Zugriff auf Azure Key Vault als EKM Kunde besitzt Verschlüsselungs-Master-Schlüssel in Software or Hardware (FIPS überprüfte HSM) Vault SQL Server On-prem oder Azure VMs

21 SQL Server Connector for Microsoft Azure Key Vault Extensible Key Management (EKM) Zugriff auf symmetrische oder asymmetrische Schlüssel außerhalb des SQL Server SQL Server Connector installiert zwei Komponenten Microsoft.AzureKeyVaultService.EKM.dll Windows-Dienst zur Kommunikation zwischen EKM und Azure Key Vault Voraussetzungen für SQL Server Connector Windows Server Windows Server 2012 Windows Server 2012 R2 SQL Server SQL Server 2014 RTM Enterprise 64-bit SQL Server 2012 SP2 Enterprise 64-bit SQL Server 2012 SP1 CU6 Enterprise 64-bit SQL Server 2008 R2 SP2 CU8 Enterprise 64-bit.NET Version Download SQL Server Connector for Microsoft Azure Key Vault

22 SQL Server Connector installieren & konfigurieren 1. SQL Server Connector herunterladen & installieren 2. SQL Server Connector als EKM konfigurieren 3. SQL Server Credential für aktuellen Administrator konfigurieren Credential enthält Zugangsdaten zum Azure Key Vault 4. Asymmetrischen Key aus Azure Key Vault öffnen Oder neuen Schlüssel erstellen lassen. (Nur für Testzwecke empfohlen.)

23 DEMO SQL Server Connector installieren & konfigurieren Master-Schlüssel im SQL Server öffnen

24 Zusammenfassung Modul 2 SQL Server VM in Azure zu Testzwecken erstellt SQL Server Connector als EKM im SQL Server konfiguriert SQL Server Credential zum aktuellen Admin-Login hinzugefügt Master-Schlüssel aus Azure Key Vault geöffnet

25 Weiter geht s! Datenbankverschlüsselung von SQL Server 2014 mit Azure Key Vault 01 Azure Key Vault erstellen & konfigurieren 02 SQL Server 2014 VM erstellen & konfigurieren 03 SQL Server 2014: Transparente Datenverschlüsselung & verschlüsselte Backups

26 03 SQL Server 2014: Transparente Datenverschlüsselung & verschlüsselte Backups Peter Kirchner Technical Evangelist Microsoft Azure

27 Transparente Datenverschlüsselung TDE verschlüsselt in Echtzeit Daten- und Log-Dateien Verschlüsselung nutzt symmetrischen Database Encryption Key (DEK) DEK mit Zertifikat in der Master-DB verschlüsselt und liegt im DB Boot Record TDE schützt Daten at rest Keine Anpassung von Anwendungen notwendig

28 Verfügbarkeit von TDE

29 Transparente Datenverschlüsselung einrichten 1. SQL Server Login für Database Engine erstellen 2. SQL Server Credential für Database Engine erstellen Und mit Login aus Schritt 1 verknüpfen 3. Erneut asymmetrischen Schlüssel aus Azure Key Vault öffnen 4. Symmetrischen Database Encryption Key (DEK) für transparente Datenverschlüsselung (TDE) erstellen DEK wird mit Schlüssel aus Schritt 3 geschützt 5. TDE aktivieren

30 DEMO Transparente Datenverschlüsselung einrichten Transport einer verschlüsselten Datenbank

31 Backup-Verschlüsselung Verschlüsselung der Daten während des Backups Backup-Verschlüsselung kann für TDE-verschlüsselte Datenbanken verwendet werden Unterschiedliche Schlüssel empfohlen, um erhöhte Sicherheit zu bieten Mit Extensible Key Management (EKM) integrierbar Verfügbar ab SQL Server 2014

32 DEMO Verschlüsselte Backups erstellen

33 Zusammenfassung Modul 3 Transparent Data Encryption (TDE) verschlüsselt Daten- und Log-Dateien in Echtzeit Anwendungen müssen nicht angepasst werden TDE ist sowohl für SQL Server als auch SQL Database verfügbar Integration mit Azure Key Vault derzeit nur für SQL Server Backup-Verschlüsselung kann mit TDE kombiniert werden

34 Geschafft! Datenbankverschlüsselung von SQL Server 2014 mit Azure Key Vault 01 Azure Key Vault erstellen & konfigurieren 02 SQL Server 2014 VM erstellen & konfigurieren 03 SQL Server 2014: Transparente Datenverschlüsselung & verschlüsselte Backups

35 Weiterführende Informationen Introduction to Microsoft Azure Key Vault Extensible Key Management Using Azure Key Vault (SQL Server) Extensible Key Management (EKM) Download SQL Server Connector for Microsoft Azure Key Vault Transparent Data Encryption (TDE) sys.dm_database_encryption_keys (Transact-SQL) Adventure Works 2014 Sample Databases

36 2013 Microsoft Corporation. All rights reserved. Microsoft, Windows, Office, Azure, System Center, Dynamics and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.