Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für:
Azure SQL-Datenbank
In Azure SQL-Datenbank können für Always Encrypted mit Secure Enclaves entweder Intel SGX-Enclaves (Intel Software Guard Extensions) oder VBS-Enclaves (virtualisierungsbasierte Sicherheit) verwendet werden.
Wichtig
Der Support für Always Encrypted mit Intel Software Guard Extensions (Intel SGX)-Enklaven endet am 31. Oktober 2027. Migrieren Sie betroffene Datenbanken vor diesem Datum. Nach dem 31. Oktober 2027 verschiebt Azure automatisch jede Datenbank, die sich auf der DC-Serien-Compute-Stufe befindet, auf eine unterstützte Standardserien-Compute-Stufe (nicht-DC) und aktiviert virtualisierungsbasierte Sicherheits-Enklaven (VBS). Für Migrationsoptionen siehe Always Encrypted with Intel SGX Enclaves Migrationsleitfaden.
Intel SGX-Enclaves
Intel SGX ist eine Technologie für eine hardwarebasierte vertrauenswürdige Ausführungsumgebung. Es ist in Datenbanken und elastischen Pools verfügbar, die das vCore-Kaufmodell und die Hardwarekonfiguration der DC-Serie verwenden. Um eine Intel SGX-Enclave für Ihre Datenbank oder Ihren Pool für elastische Datenbanken verfügbar zu machen, müssen Sie entweder beim Erstellen der Datenbank oder des Pools für elastische Datenbanken die Hardwarekonfiguration der DC-Serie auswählen, oder Sie können Ihre vorhandene Datenbank bzw. Ihren vorhandenen Pool für elastische Datenbanken so aktualisieren, dass die Hardware der DC-Serie verwendet wird.
Hinweis
Intel SGX ist auf anderer Hardware als der DC-Serie nicht verfügbar. Beispielsweise ist Intel SGX in der Hardwarekonfiguration der Standardserie (Gen5) nicht verfügbar und für Datenbanken mit dem DTU-Einkaufsmodell nicht verfügbar.
Intel SGX-Enclaves bieten in Kombination mit Microsoft Azure Attestation im Vergleich zu VBS-Enclaves einen besseren Schutz vor Angriffen von Akteur*innen mit Administratorzugriff auf Betriebssystemebene. Bevor Sie jedoch die Hardware der DC-Serie für Ihre Datenbank konfigurieren, sollten Sie sich ihrer Leistungsmerkmale und Einschränkungen bewusst sein:
- Im Gegensatz zu anderen Hardwarekonfigurationen des vCore-basierten Kaufmodells verwendet die DC-Serie physische Prozessorkerne, nicht logische Kerne. Die Ressourcengrenzwerte von Datenbanken der DC-Serie unterscheiden sich von den Ressourcengrenzwerten der Hardwarekonfiguration der Standard-Serie (Gen5).
- Die maximale Anzahl von Prozessorkernen, die Sie für eine Datenbank auf der DC-Serie festlegen können, beträgt 40.
- Die DC-Serie funktioniert nicht mit serverlosen Konfigurationen.
Überprüfen Sie außerdem die aktuelle regionale Verfügbarkeit der DC-Serie, und stellen Sie sicher, dass sie in Ihren bevorzugten Regionen verfügbar ist. Einzelheiten dazu finden Sie unter DC-Serie.
SGX-Enclaves werden für Workloads empfohlen, die den stärksten Schutz der Datenvertraulichkeit erfordern und die aktuellen Einschränkungen der DC-Serie einhalten können.
VBS-Enclaves
VBS-Enclaves (auch als im virtuellen sicheren Modus oder VSM-Enclaves bezeichnet) sind eine softwarebasierte Technologie, die auf dem Windows-Hypervisor basieren und keine spezielle Hardware erfordern. Daher sind VBS-Enclaves in allen Angeboten von Azure SQL-Datenbank (einschließlich Azure SQL Pools für elastische Datenbanken) verfügbar. Dies bietet Ihnen die Flexibilität, Always Encrypted mit sicheren Enclaves mit einer Computegröße, einer Dienstebene, einem Kaufmodell, einer Hardwarekonfiguration und in einer Region verwenden zu können, die Ihren Workloadanforderungen am besten entsprechen.
Hinweis
VBS-Enclaves sind in allen Azure SQL-Datenbank-Regionen verfügbar, außer: Jio Indien, Mitte.
VBS-Enclaves werden für Kund*innen empfohlen, die Schutz für die von Benutzer*innen mit umfangreichen Berechtigungen verwendeten Daten in der Kundenorganisation benötigen, einschließlich Datenbankadministrator*innen (DBAs). Ohne die kryptografischen Schlüssel, die die Daten schützen, kann ein DBA nicht auf die Daten im Klartext zugreifen.
VBS-Enclaves können auch einige Bedrohungen auf Betriebssystemebene verhindern, z. B. das Exfiltrieren vertraulicher Daten aus Speicherabbildern auf einer VM, die Ihre Datenbank hostet. Die in einer Enclave verarbeiteten Klartextdaten sind nicht in den Speicherabbildern enthalten, sodass der Code in der Enclave und seine Eigenschaften nicht böswillig geändert werden können. VBS-Enklaven in Azure SQL-Datenbank können jedoch aufgrund der derzeit fehlenden Enclave-Attestierung komplexere Angriffe, etwa das Ersetzen der Enclave-Binärdatei durch schädlichen Code, nicht abwehren. Außerdem bieten VBS-Enklaven unabhängig von der Attestierung keinen Schutz vor Angriffen, die privilegierte Systemkonten verwenden und vom Host ausgehen. Wichtig ist, dass Microsoft in der Azure-Cloud mehrschichtige Sicherheitsmaßnahmen implementiert hat, um solche Angriffe zu erkennen und zu verhindern, darunter Just-in-Time-Zugriff, Multi-Faktor-Authentifizierung und Sicherheitsüberwachung. Dennoch könnten Kund*innen, die eine hohe Sicherheitsisolation benötigen, Intel SGX-Enclaves mit der Hardwarekonfiguration der DC-Serie gegenüber VBS-Enclaves bevorzugen.
Planen von Enclave-Nachweisen in Azure SQL-Datenbank
Das Konfigurieren des Nachweises mithilfe von Microsoft Azure Attestation ist erforderlich, wenn Intel SGX-Enclaves in Datenbanken der DC-Serie verwendet werden.
Wichtig
Für VBS-Enclaves wird Attestation derzeit nicht unterstützt. Der Rest dieses Abschnitts gilt nur für Intel SGX-Enclaves in Datenbanken der DC-Serie.
Um Microsoft Azure Attestation für den Nachweis in Intel SGX-Enclaves in Azure SQL-Datenbank verwenden zu können, müssen Sie einen Nachweisanbieter erstellen und mit der von Microsoft bereitgestellten Nachweisrichtlinie konfigurieren. Weitere Informationen finden Sie unter Konfigurieren des Nachweises für Always Encrypted mithilfe von Azure Attestation.
Rollen und Verantwortlichkeiten beim Konfigurieren von Intel SGX-Enklaven und Attestierung
Die Konfiguration Ihrer Umgebung zur Unterstützung von Intel SGX-Enclaves und Attestierung für Always Encrypted in Azure SQL-Datenbank umfasst das Einrichten unterschiedlicher Komponenten: ein Attestierungsanbieter, eine Datenbank und Anwendungen, die die Attestierung der Enclave auslösen. Die Konfiguration von Komponenten der einzelnen Typen wird von Benutzern durchgeführt, die eine der folgenden unterschiedlichen Rollen haben:
- Nachweisadministrator: erstellt einen Nachweisanbieter in Microsoft Azure Attestation und die Nachweisrichtlinie, erteilt dem logischen Azure SQL-Server Zugriff auf den Nachweisanbieter und gibt die Nachweis-URL, die auf die Richtlinie verweist, für Anwendungsadministratoren frei.
- Datenbankadministrator*innen (DBA): aktivieren SGX-Enclaves in Datenbanken durch Auswahl von Hardware der DC-Serie und Übergeben der Identität des logischen Azure SQL-Servers, der Zugriff auf den Nachweisanbieter benötigt, an die Nachweisadministrator*innen.
- Anwendungsadministrator: konfiguriert die Anwendungen mit der Attestierungs-URL, die er vom Attestierungsadministrator erhalten hat.
In Produktionsumgebungen, in denen echte vertrauliche Daten verarbeitet werden, ist es wichtig, dass Ihre Organisation beim Konfigurieren der Attestierung die Rollentrennung einhält, wobei jede einzelne Rolle von unterschiedlichen Personen eingenommen wird. Datenbankadministrator*innen sollten insbesondere dann nicht die Attestierungsrichtlinien verwalten, wenn das Ziel der Always Encrypted-Bereitstellung in Ihrer Organisation darin besteht, die Angriffsfläche zu verringern, indem sichergestellt wird, dass Datenbankadministrator*innen keinen Zugriff auf vertrauliche Daten haben.