Azure SQL Database でセキュリティで保護されたエンクレーブが設定された Always Encrypted を有効にする

Intel SGX を使用できるようにするには、データベースで仮想コア モデルと DC シリーズのハードウェアを使用する必要があります。

Intel SGX エンクレーブを有効にするように DC シリーズのハードウェアを構成することは、Azure SQL Database 管理者の責任です。 詳細については、Intel SGX エンクレーブと構成証明を構成する場合のロールと責任に関する記事を参照してください。

特定のハードウェア構成を使うように新規または既存のデータベースを構成する方法の詳細については、「ハードウェア構成」を参照してください。

詳細については、「 Azure 構成証明を使用して Always Encrypted の構成証明を構成する」を参照してください。

既定では、新しいデータベースは VBS エンクレーブなしで作成されます。 データベースまたはエラスティックプールでVBSエンクレーブを有効にするには、 preferredEnclaveTypedatabaseプロパティをVBSに設定する必要があります。これにより、データベースまたはエラスティック・プールのVBSエンクレーブが有効になります。 preferredEnclaveType は、新しいデータベースまたはエラスティック プールの作成時、または既存のデータベースまたはエラスティック プールの更新時に設定できます。 エラスティック プールに追加するすべてのデータベースは、データベース SLO のように、そこからエンクレーブ プロパティを継承します。 そのため、VBS が有効になっているエラスティック プールに VBS エンクレーブが有効になっていないデータベースを追加すると、この新しいデータベースはエラスティック プールの一部になり、このデータベースでは VBS エンクレーブが有効になります。 VBS エンクレーブが有効なデータベースを VBS エンクレーブのないエラスティック プールに追加することはサポートされていません。

preferredEnclaveType プロパティは、Azure ポータル、SQL Server Management Studio、Azure PowerShell、または Azure CLI を使用して設定できます。

Azure portal を使用して VBS エンクレーブを有効にする

VBS エンクレーブを使用して、新しいデータベースまたはエラスティック プールを作成する

1. Azure portal を開き、VBS エンクレーブを使用してデータベースまたはエラスティック プールを作成する、論理 SQL Server を見つけます。

2. データベースの作成 または 新しいエラスティック プール ボタンを選択します。

3. セキュリティ タブで、Always Encrypted セクションを見つけます。

4. セキュアなエンクレーブを有効にするを ON に設定します。 これにより、VBS エンクレーブが有効化されたデータベースが作成されます。

   

既存のデータベースまたはエラスティック プールに対して VBS エンクレーブを有効にする

1. Azure portal を開き、セキュアなエンクレーブを有効にするデータベースまたはエラスティック プールを見つけます。

2. 既存のデータベースの場合:

   1. セキュリティ設定で、データ暗号化を選択します。

   2. データ暗号化 メニューで、Always Encrypted タブを選択します。

   3. セキュア エンクレーブを有効にする を ON に設定します。

   4. 保存 を選択して、Always Encrypted の構成を保存します。

3. 既存のエラスティック プールの場合:

   1. [設定] で [構成] を選択します。

   2. [構成] メニューの [Always Encrypted] タブを選択します。

   3. セキュアなエンクレーブを有効にするを ON に設定します。

      

   4. [保存] を選択して、Always Encryptedの構成を保存します。

SQL Server Management Studio を使用して VBS エンクレーブを有効にする

最新バージョンの SQL Server Management Studio (SSMS) をダウンロードします。

VBS エンクレーブを使用した新しいデータベースを作成する

1. SSMS を開き、データベースを作成する対象の論理サーバーに接続してください。
2. [データベース] フォルダを右クリックし、 [新規データベース...]をクリックします。
3. [SLO の構成] ページで、[セキュリティで保護されたエンクレーブを有効にする] オプションを [オン] に設定します。 これにより、仮想化ベースのセキュリティ (VBS) エンクレーブが有効になっているデータベースが作成されます。

既存のデータベースに対して仮想化ベースのセキュリティ (VBS) エンクレーブを有効にする

1. SSMS を起動し、データベースを変更する論理サーバーに接続します。
2. データベースを右クリックし、[プロパティ] を選択します。
3. [SLO の構成] ページで、[セキュリティで保護されたエンクレーブを有効にする] オプションを [オン] に設定します。
4. OK を選択して、データベースのプロパティを保存します。

Azure PowerShell を使用して VBS エンクレーブを有効にする

仮想化ベースのセキュリティ (VBS) エンクレーブによる新しいデータベースまたはエラスティック プールの作成

New-AzSqlDatabase コマンドレットを使って、VBS エンクレーブが設定された新しいデータベースを作成します。 次の例では、VBS エンクレーブが設定されたサーバーレス データベースを作成します。

New-AzSqlDatabase  -ResourceGroupName "ResourceGroup01" `
    -ServerName "Server01" `
    -DatabaseName "Database01" `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -PreferredEnclaveType VBS

New-AzSqlElasticPool コマンドレットを使用して、VBS エンクレーブが設定された新しいエラスティック プールを作成します。 次の例では、VBS エンクレーブを設定したエラスティック プールを作成します。

New-AzSqlElasticPool ` 
    -ComputeGeneration Gen5 `
    -Edition 'GeneralPurpose' `
    -ElasticPoolName $ElasticPoolName `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -VCore 2 `
    -PreferredEnclaveType 'VBS'

既存のデータベースまたはエラスティック プールに対して仮想化ベースのセキュリティ (VBS) エンクレーブを有効にする

既存のデータベースに対して VBS エンクレーブを有効にするには、Set-AzSqlDatabase コマンドレットを使います。 次に例を示します。

Set-AzSqlDatabase -ResourceGroupName "ResourceGroup01" `
    -DatabaseName "Database01" `
    -ServerName "Server01" `
    -PreferredEnclaveType VBS

既存のエラスティックプールの VBS エンクレーブを有効にするには、Set-AzSqlElasticPool コマンドレットを使用します。 次に例を示します。

Set-AzSqlElasticPool `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -ElasticPoolName $ElasticPoolName `
    -PreferredEnclaveType 'VBS' 

Azure CLI を使用して VBS エンクレーブを有効にする

仮想化ベースのセキュリティ (VBS) エンクレーブによる新しいデータベースまたはエラスティック プールの作成

az sql db create コマンドレットを使って、VBS エンクレーブが設定された新しいデータベースを作成します。 次の例では、VBS エンクレーブが設定されたサーバーレス データベースを作成します。

az sql db create -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    -e GeneralPurpose `
    --compute-model Serverless `
    -f Gen5 `
    -c 2 `
    --min-capacity 2 `
    --preferred-enclave-type VBS 

az sql elastic-pool create コマンドレットを使用して、VBS エンクレーブを持つ新しいエラスティック プールを作成します。 次の例では、VBS エンクレーブが設定されたサーバーレス データベースを作成します。

az sql elastic-pool create -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    -e GeneralPurpose `
    -f Gen5 `
    -c 2 `
    --preferred-enclave-type VBS

既存のデータベースまたはエラスティック プールに対して仮想化ベースのセキュリティ (VBS) エンクレーブを有効にする

既存のデータベースの VBS エンクレーブを有効にするには、az sql db update コマンドレットを使います。 次に例を示します。

az sql db update -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    --preferred-enclave-type VBS

既存のエラスティック プールの VBS エンクレーブを有効にするにはaz sql elastic-pool update コマンドレットを使用します。 次に例を示します。

az sql elastic-pool update -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    --preferred-enclave-type VBS