DP-700: cómo implementar cifrado en reposo para datos en Fabric

Te enseñaré cómo implementar cifrado en reposo (encryption at rest) para datos en Microsoft Fabric — una competencia importante para el DP-700, porque protege datos sensibles y suele ser requerida en diseños de soluciones analytics. Saber configurar claves, validar el cifrado y comprender los modelos de responsabilidad compartida es crucial tanto para el examen como para implementaciones reales.

Lo que necesitas saber

El cifrado en reposo garantiza que los datos almacenados — archivos, tablas, blobs y metadatos — estén cifrados cuando no se están procesando. En el contexto de Fabric, esto implica frecuentemente:

• Cifrado gestionado por la plataforma (service-managed keys): Fabric gestiona las claves de cifrado sin configuración adicional por parte del usuario.
• Customer-managed keys (CMK) o Bring Your Own Key (BYOK): el cliente gestiona las claves usando Azure Key Vault y configura el servicio para usar esas claves.
• Modelos de responsabilidad: Microsoft garantiza el cifrado a nivel de la infraestructura; el cliente es responsable de la gestión de sus claves (cuando usa CMK) y de la protección de las credenciales de acceso.

Ejemplo práctico: cifrar un Data Lake en OneLake para que los archivos Delta y los datos del Lakehouse estén cifrados con una clave gestionada por el cliente en Azure Key Vault.

Cómo funciona

Pasos y componentes clave:

1. Azure Key Vault: crea un Key Vault y genera o importa una clave (Key Vault Key). Configura políticas de acceso (Access Policies o RBAC) para permitir que el servicio Fabric/Storage acceda a la clave.
2. Sincronizar identidades: asigna una Managed Identity (identidad asignada al servicio Fabric o al recurso de Storage) con permiso Get y UnwrapKey/WrapKey según sea necesario en el Key Vault.
3. Configurar CMK en el recurso de almacenamiento: en el recurso que soporta OneLake/Storage, activa la opción para usar Customer-managed key y apunta a la Key Vault Key. El servicio valida la clave y pasa a cifrar nuevos datos con esa clave.
4. Rotación de claves: planifica y ejecuta la rotación de claves en el Key Vault. Opcionalmente, usa versiones de las claves y prueba la compatibilidad antes de eliminar versiones antiguas.
5. Auditoría y monitorización: habilita logging (Azure Monitor, Activity Logs) y alertas para operaciones del Key Vault y del Storage para detectar accesos y fallos de cifrado.

En la práctica

Ejemplo paso a paso simplificado (conceptual):

// 1. Criar Key Vault (Azure CLI - conceptual)  az keyvault create --name myKeyVault --resource-group RG --location westeurope    // 2. Criar chave no Key Vault  az keyvault key create --vault-name myKeyVault --name myCMK --kty RSA    // 3. Dar permissões à Managed Identity do serviço Fabric/Storage  az keyvault set-policy --name myKeyVault --object-id <managed-identity-object-id> --key-permissions wrapKey unwrapKey get    // 4. Configurar recurso Storage/OneLake para usar CMK (portal ou ARM template)  // No portal: Storage Account > Encryption > Customer-managed key > seleccionar Key Vault e chave    // 5. Testar gravação e leitura de dados no Lakehouse, validar que operações de encriptação não falham  

Notas prácticas:

• Al usar CMK, si la clave se elimina o la Managed Identity pierde permisos, el servicio puede quedar incapaz de acceder a los datos cifrados — planificar alta disponibilidad y recuperación es esencial.
• No todos los componentes de Fabric exponen la misma interfaz para configurar CMK; sigue la documentación del recurso (por ejemplo, Storage Account o configuración del recurso OneLake).

Errores comunes

• Permisos insuficientes en el Key Vault: olvidar conceder a la Managed Identity los permisos necesarios (Get, WrapKey, UnwrapKey) es una causa frecuente de fallos en el cifrado/descifrado.
• Eliminar o rotar claves sin planificar: rotar o eliminar la versión de una clave en producción sin actualizar la configuración del servicio conduce a la incapacidad de descifrar datos existentes.
• Asumir cobertura completa: confiar en que CMK resuelve todos los riesgos cuando aún es necesario aplicar controles de acceso, políticas de retención y monitorización para proteger datos sensibles.

Cómo practicar

Practica en entornos controlados (subscriptions de dev/test): crea un Key Vault, genera claves y configura una Storage Account o recurso compatible de Fabric para usar CMK. Prueba escritura, lectura y rotación de claves. Para la preparación del examen, usa el Practice Assessment OFICIAL y gratuito de Microsoft y la study guide oficial del DP-700 (ambos gratuitos) para validar los temas medidos. No utilices dumps; céntrate en comprender conceptos y la ejecución práctica.

En resumen

• El cifrado en reposo protege los datos almacenados; puede ser gestionado por la plataforma o por el cliente (CMK/BYOK).
• CMK requiere Azure Key Vault, Managed Identity con permisos adecuados y configuración del recurso de almacenamiento.
• Planifica la rotación de claves y la recuperación; permisos incorrectos o la eliminación de claves provocan pérdida de acceso a los datos.
• Practica en tu entorno, usa el Practice Assessment oficial y la study guide Microsoft para consolidar los conocimientos.