DP-700: como implementar encriptação em descanso para dados no Fabric
Vou ensinar como implementar encriptação em descanso (encryption at rest) para dados no Microsoft Fabric — uma competência importante para o DP-700, porque protege dados sensíveis e é frequentemente requerida em designs de soluções analytics. Saber configurar chaves, validar encriptação e compreender modelos de responsabilidade partilhada é crucial tanto para o exame como para implementações reais.
O que precisas de saber
Encriptação em descanso garante que os dados armazenados — ficheiros, tabelas, blobs, e metadados — estão cifrados quando não estão a ser processados. No contexto do Fabric, isto envolve frequentemente:
- Encriptação gerida pela plataforma (service-managed keys): o Fabric gere chaves de encriptação sem configuração adicional por parte do utilizador.
- Customer-managed keys (CMK) ou Bring Your Own Key (BYOK): o cliente gere as chaves usando o Azure Key Vault e configura o serviço para usar essas chaves.
- Modelos de responsabilidade: a Microsoft garante encriptação ao nível da infraestrutura; o cliente é responsável pela gestão das suas chaves (quando usa CMK) e pela protecção das credenciais de acesso.
Exemplo prático: encriptar um Data Lake em OneLake para que os ficheiros Delta e os dados do Lakehouse sejam cifrados com uma chave gerida pelo cliente no Azure Key Vault.
Como funciona
Passos e componentes chave:
- Azure Key Vault: cria um Key Vault e gera ou importa uma chave (Key Vault Key). Configura políticas de acesso (Access Policies ou RBAC) para permitir que o serviço Fabric/Storage aceda à chave.
- Sincronizar identidades: atribui uma Managed Identity (identidade atribuída ao serviço Fabric ou recurso de Storage) com permissão
GeteUnwrapKey/WrapKeyconforme necessário no Key Vault. - Configurar CMK no recurso de armazenamento: no recurso que suporta OneLake/Storage, activa a opção para usar Customer-managed key e aponta para a Key Vault Key. O serviço valida a chave e passa a cifrar novos dados com essa chave.
- Rotação de chaves: planifica e executa a rotação de chaves no Key Vault. Opcionalmente, usa versões das chaves e testa a compatibilidade antes de remover versões antigas.
- Auditoria e monitorização: habilita logging (Azure Monitor, Activity Logs) e alertas para operações do Key Vault e do Storage para detetar acessos e falhas de encriptação.
Na prática
Exemplo passo-a-passo simplificado (conceptual):
// 1. Criar Key Vault (Azure CLI - conceptual) az keyvault create --name myKeyVault --resource-group RG --location westeurope // 2. Criar chave no Key Vault az keyvault key create --vault-name myKeyVault --name myCMK --kty RSA // 3. Dar permissões à Managed Identity do serviço Fabric/Storage az keyvault set-policy --name myKeyVault --object-id <managed-identity-object-id> --key-permissions wrapKey unwrapKey get // 4. Configurar recurso Storage/OneLake para usar CMK (portal ou ARM template) // No portal: Storage Account > Encryption > Customer-managed key > seleccionar Key Vault e chave // 5. Testar gravação e leitura de dados no Lakehouse, validar que operações de encriptação não falham Notas práticas:
- Ao usar CMK, se a chave for removida ou a Managed Identity perder permissões, o serviço pode ficar incapaz de aceder aos dados cifrados — planear elevada disponibilidade e recuperação é essencial.
- Nem todos os componentes do Fabric expõem a mesma interface para configurar CMK; segue a documentação do recurso (por exemplo, Storage Account ou configuração do recurso OneLake).
Erros comuns
- Permissões insuficientes no Key Vault: esquecer de conceder à Managed Identity as permissões necessárias (Get, WrapKey, UnwrapKey) é uma causa frequente de falhas na encriptação/descifragem.
- Remover ou rotacionar chaves sem planear: rodar ou eliminar a versão de uma chave em produção sem atualizar a configuração do serviço conduz à incapacidade de descifrar dados existentes.
- Assumir cobertura completa: confiar que CMK resolve todos os riscos quando ainda é necessário aplicar controlos de acesso, políticas de retenção e monitorização para proteger dados sensíveis.
Como praticar
Pratica em ambientes controlados (subscriptions de dev/test): cria um Key Vault, gera chaves e configura uma Storage Account ou recurso compatível do Fabric para usar CMK. Testa gravação, leitura e rotação de chaves. Para preparação do exame, usa o Practice Assessment OFICIAL e gratuito da Microsoft e a study guide oficial do DP-700 (ambos gratuitos) para validar os tópicos medidos. Não uses dumps; concentra-te em compreender conceitos e execução prática.
Em resumo
- Encriptação em descanso protege os dados armazenados; pode ser gerida pela plataforma ou pelo cliente (CMK/BYOK).
- CMK exige Azure Key Vault, Managed Identity com permissões adequadas e configuração do recurso de armazenamento.
- Planifica rotação de chaves e recuperação; permissões incorrectas ou remoção de chaves provocam perda de acesso aos dados.
- Pratica no teu ambiente, usa o Practice Assessment oficial e a study guide Microsoft para consolidar os conhecimentos.