Cifrado de datos de recuperación en la base de datos

Se aplica a: Configuration Manager (rama actual)

Al crear una directiva de administración de BitLocker, Configuration Manager implementa el servicio de recuperación en un punto de administración. En la página Administración de clientes de la directiva de administración de BitLocker, al configurar los servicios de administración de BitLocker, el cliente realiza una copia de seguridad de la información de recuperación de claves en la base de datos del sitio. Esta información incluye claves de recuperación de BitLocker, paquetes de recuperación y hashes de contraseña de TPM. Cuando se bloquea el acceso de un usuario a un dispositivo protegido, puedes usar esta información para ayudarles a recuperar el acceso al dispositivo.

Dada la naturaleza confidencial de esta información, debe protegerla. Configuration Manager requiere una conexión HTTPS entre el cliente y el servicio de recuperación para cifrar los datos en tránsito a través de la red. Para obtener más información, consulta Cifrar los datos de recuperación a través de la red.

Considere también cifrar estos datos cuando se almacenen en la base de datos del sitio. Si instala un certificado de SQL Server, Configuration Manager cifrará los datos en SQL.

Si no quieres crear un certificado de cifrado de administración de BitLocker, participa en el almacenamiento de texto sin formato de los datos de recuperación. Al crear una directiva de administración de BitLocker, habilita la opción Permitir que la información de recuperación se almacene en texto sin formato.

Certificado de cifrado de SQL Server

Usa este certificado de SQL Server para que Configuration Manager cifre los datos de recuperación de BitLocker en la base de datos del sitio. Puede crear un certificado autofirmado mediante un script en SQL Server.

Como alternativa, puede usar su propio proceso para crear e implementar este certificado, siempre que cumpla los siguientes requisitos:

• El nombre del certificado de cifrado de administración de BitLocker debe ser BitLockerManagement_CERT.

• Cifrar este certificado con una clave maestra de base de datos.

• Los siguientes usuarios de SQL Server necesitan permisos de Control sobre el certificado:

  • RecoveryAndHardwareCore
  • RecoveryAndHardwareRead
  • RecoveryAndHardwareWrite

• Implemente el mismo certificado en todas las bases de datos del sitio de la jerarquía.

• Cree el certificado con la versión más reciente de SQL Server.

  Importante

  • Los certificados creados con SQL Server 2016 o posterior son compatibles con SQL Server 2014 o versiones anteriores.
  • Los certificados creados con SQL Server 2014 o versiones anteriores no son compatibles con SQL Server 2016 o versiones posteriores.

Administrar el certificado de cifrado en la actualización de SQL Server

Si la base de datos del sitio usa SQL Server 2014 o versiones anteriores, antes de actualizar SQL Server a la versión 2016 o posterior, siga este procedimiento para rotar el certificado a una versión compatible.

1. En una instancia de SQL Server que ejecute la versión disponible más reciente, al menos la versión 2016:

   1. Crear un nuevo certificado

   2. Hacer una copia de seguridad del nuevo certificado

2. En la instancia de SQL Server con la base de datos de sitio cifrada que tiene previsto actualizar:

   1. Mueva el certificado existente en la instancia de SQL Server del servidor de bases de datos del sitio a otro nombre.

   2. Restaure el nuevo certificado.

   3. Rote el nuevo certificado para el certificado existente. Use la función SQL proporcionada [RecoveryAndHardwareCore].[RecryptKey]

También puede usar este proceso si los requisitos empresariales especifican que debe renovar periódicamente este certificado.

Scripts de ejemplo

Estos scripts SQL son ejemplos para crear e implementar un certificado de cifrado de administración de BitLocker en la base de datos del sitio de Configuration Manager.

Crear certificado

Este script de muestra realiza las siguientes acciones:

• Crea un certificado
• Establece los permisos
• Crea una clave maestra de base de datos

Antes de usar este script en un entorno de producción, cambie los siguientes valores:

• Nombre de la base de datos del sitio (CM_ABC)
• Contraseña para crear la clave maestra (MyMasterKeyPassword)
• Fecha de expiración del certificado (20391022)

USE CM_ABC
IF NOT EXISTS (SELECT name FROM sys.symmetric_keys WHERE name = '##MS_DatabaseMasterKey##')
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'MyMasterKeyPassword'
END

IF NOT EXISTS (SELECT name from sys.certificates WHERE name = 'BitLockerManagement_CERT')
BEGIN
    CREATE CERTIFICATE BitLockerManagement_CERT AUTHORIZATION RecoveryAndHardwareCore
    WITH SUBJECT = 'BitLocker Management',
    EXPIRY_DATE = '20391022'

    GRANT CONTROL ON CERTIFICATE ::BitLockerManagement_CERT TO RecoveryAndHardwareRead
    GRANT CONTROL ON CERTIFICATE ::BitLockerManagement_CERT TO RecoveryAndHardwareWrite
END

Copia de seguridad del certificado

Este script de muestra hace una copia de seguridad de un certificado. Al guardar el certificado en un archivo, puede restaurarlo en otras bases de datos de sitios de la jerarquía.

Antes de usar este script en un entorno de producción, cambie los siguientes valores:

• Nombre de la base de datos del sitio (CM_ABC)
• Ruta de acceso y nombre del archivo (C:\BitLockerManagement_CERT_KEY)
• Exportar contraseña de clave (MyExportKeyPassword)

USE CM_ABC
BACKUP CERTIFICATE BitLockerManagement_CERT TO FILE = 'C:\BitLockerManagement_CERT'
    WITH PRIVATE KEY ( FILE = 'C:\BitLockerManagement_CERT_KEY',
        ENCRYPTION BY PASSWORD = 'MyExportKeyPassword')

Restaurar certificado

Este script de ejemplo restaura un certificado a partir de un archivo. Use este proceso para implementar un certificado creado en otra base de datos del sitio.

Antes de usar este script en un entorno de producción, cambie los siguientes valores:

• Nombre de la base de datos del sitio (CM_ABC)
• Contraseña de clave maestra (MyMasterKeyPassword)
• Ruta de acceso y nombre del archivo (C:\BitLockerManagement_CERT_KEY)
• Exportar contraseña de clave (MyExportKeyPassword)

USE CM_ABC
IF NOT EXISTS (SELECT name FROM sys.symmetric_keys WHERE name = '##MS_DatabaseMasterKey##')
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'MyMasterKeyPassword'
END

IF NOT EXISTS (SELECT name from sys.certificates WHERE name = 'BitLockerManagement_CERT')
BEGIN

CREATE CERTIFICATE BitLockerManagement_CERT AUTHORIZATION RecoveryAndHardwareCore
FROM FILE  = 'C:\BitLockerManagement_CERT'
    WITH PRIVATE KEY ( FILE = 'C:\BitLockerManagement_CERT_KEY',
        DECRYPTION BY PASSWORD = 'MyExportKeyPassword')

GRANT CONTROL ON CERTIFICATE ::BitLockerManagement_CERT TO RecoveryAndHardwareRead
GRANT CONTROL ON CERTIFICATE ::BitLockerManagement_CERT TO RecoveryAndHardwareWrite
END

Verificar certificado

Use este script SQL para comprobar que SQL Server creó correctamente el certificado con los permisos requeridos.

USE CM_ABC
declare @count int
select @count = count(distinct u.name) from sys.database_principals u
join sys.database_permissions p on p.grantee_principal_id = u.principal_id or p.grantor_principal_id = u.principal_id
join sys.certificates c on c.certificate_id = p.major_id
where u.name in('RecoveryAndHardwareCore', 'RecoveryAndHardwareRead', 'RecoveryAndHardwareWrite') and
c.name = 'BitLockerManagement_CERT' and p.permission_name like 'CONTROL'
if(@count >= 3) select 1
else select 0

Si el certificado es válido, el script devuelve un valor de 1.

SQL AlwaysOn cuando los datos de recuperación de BitLocker se cifran en la base de datos

Si usa SQL AlwaysOn, consulte SQL AlwaysOn cuando los datos de recuperación de BitLocker se cifran en la base de datos para obtener pasos e instrucciones adicionales importantes y necesarios.

Artículos relacionados

Para obtener más información sobre estos comandos SQL, consulte los siguientes artículos:

• SQL Server y claves de cifrado de bases de datos.
• Crear certificado.
• Certificado de copia de seguridad.
• Crear clave maestra.
• Clave maestra de copia de seguridad.
• Conceder permisos de certificado.
• SQL AlwaysOn cuando los datos de recuperación de BitLocker se cifran en la base de datos.

Pasos siguientes

• Implementar el cliente de administración de BitLocker.
• SQL AlwaysOn cuando los datos de recuperación de BitLocker se cifran en la base de datos.