適用対象:
Azure SQL データベース
Azure SQL Database で、セキュリティで保護されたエンクレーブが設定された Always Encrypted には、Intel Software Guard Extensions (Intel SGX) エンクレーブまたは仮想化ベースのセキュリティ (VBS) エンクレーブを使用できます。
重要
Always Encrypted with Intel Software Guard Extensions(Intel SGX)エンクレーブは2027年10月31日にサポート終了となります。 この日より前に対象のデータベースを移行してください。 2027年10月31日以降、AzureはDCシリーズの計算層に残るデータベースを自動的にサポート済みの標準シリーズ(非DC)計算層に移行し、仮想化ベースのセキュリティ(VBS)エンクレーブを有効にします。 移行オプションについては、 Always Encrypted with Intel SGX enclaves migration guideをご覧ください。
Intel SGX エンクレーブ
Intel SGX は、ハードウェアベースの高信頼実行環境テクノロジです。 仮想コア購入モデルと DC シリーズ ハードウェア構成を使用しているデータベースとエラスティック プールで利用できます。 お使いのデータベースまたはエラスティック プールで Intel SGX エンクレーブを使用できるようにするには、データベースまたはエラスティック プールの作成時に DC シリーズ ハードウェア構成を選ぶか、DC シリーズのハードウェアを使うように既存のデータベースまたはエラスティック プールを更新する必要があります。
注
Intel SGX は、DC シリーズ以外のハードウェアでは使用できません。 たとえば、Intel SGX は Standard シリーズ (Gen5) ハードウェア構成では使用できません。 また、DTU 購入モデルを使用するデータベースでは使用できません。
Intel SGX エンクレーブを Microsoft Azure Attestation が提供する構成証明と組み合わせると、OS レベルの管理者アクセス権を持つアクターからの攻撃に対して、VBS エンクレーブよりも強力に保護できます。 ただし、お使いのデータベース用に DC シリーズのハードウェアを構成する前に、そのパフォーマンスのプロパティと制限事項を確認しておいてください。
- DC シリーズは、vCore 購入モデルの他のハードウェア構成とは異なり、論理コアではなく物理プロセッサ コアを使います。 DC シリーズ データベースのリソース制限は、Standard シリーズ (Gen 5) ハードウェア構成のリソース制限とは異なります。
- DC シリーズのデータベースに設定できるプロセッサ コアの最大数は 40 です。
- DC シリーズはサーバーレスでは機能しません。
また、DC シリーズの現在のリージョン別提供状況を確認し、希望するリージョンで使用できることを確認します。 詳細については、DC シリーズに関する記事を参照してください。
SGX エンクレーブは、最も強力なデータ機密保護が必要であり、DC シリーズの現在の制限に従うことができるワークロードに推奨します。
VBS エンクレーブ
VBS エンクレーブ (仮想セキュア モード (VSM) エンクレーブとも呼ばれます) は Windows ハイパーバイザーに依存するソフトウェアベースのテクノロジであり、特別なハードウェアは必要ありません。 そのため、VBS エンクレーブは、Azure SQL Elastic Pools を含む Azure SQL Database のすべての製品で利用可能であり、ワークロードの要件に最適なコンピューティング サイズ、サービスレベル、購入モデル、ハードウェア構成、およびリージョンで、セキュリティで保護されたエンクレーブが設定された Always Encrypted を柔軟に使用できます。
注
VBS エンクレーブは、以下のリージョンを除くすべてのAzure SQL Database リージョンで利用可能です: Jio India Central.
VBS エンクレーブは、データベース管理者 (DBA) を含む、自社組織内の特権レベルの高いユーザーから、使用中のデータを保護したいと考えるユーザーに推奨されるソリューションです。 データを保護する暗号キーを持っていない場合、DBA はプレーンテキスト内のデータにアクセスできません。
VBS エンクレーブは、データベースをホストする VM 内のメモリ ダンプから機密データを持ち出すといった、一部の OS レベルの脅威の防止にも役立ちます。 エンクレーブ内のコードとそのプロパティが悪意を持って変更されていなければ、エンクレーブ内で処理されたプレーンテキスト データはメモリ ダンプに表示されません。 ただし、現在はエンクレーブの構成証明はないため、Azure SQL Database の VBS エンクレーブでは、エンクレーブのバイナリを悪意のあるコードに置き換えるなど、より高度な攻撃には対処できません。 また、構成証明に関係なく、VBS エンクレーブでは、特権システム アカウントを使ってホストから送信される攻撃からは保護できません。 MicrosoftはAzure クラウドにおいて、ジャスト インタイム アクセス、多要素認証、セキュリティ監視など、こうした攻撃を検知、防止する層的なセキュリティ対策を講じている点に留意することが重要です。 ただし、強力なセキュリティ分離を必要とするお客様は、VBS エンクレーブよりも DC シリーズのハードウェア構成を使う Intel SGX エンクレーブを好む場合があります。
Azure SQL Database でのエンクレーブの構成証明を計画する
DC シリーズ データベースで Intel SGX エンクレーブを使う場合、Microsoft Azure Attestation を使って構成証明を構成する必要があります。
重要
現在、VBS エンクレーブでは構成証明はサポートされていません。 このセクションの残りの部分は、DC シリーズ データベースの Intel SGX エンクレーブにのみ適用されます。
Azure SQL Database で Intel SGX エンクレーブの構成証明に Microsoft Azure Attestation を使用するには、構成証明プロバイダーを作成し、Microsoft 提供の構成証明ポリシーを使って構成する必要があります。 「Azure Attestation を使用して Always Encrypted の構成証明を構成する」をご覧ください
Intel SGX エンクレーブと構成証明を構成する場合のロールと責任
Azure SQL Database で Always Encrypted の Intel SGX エンクレーブと構成証明をサポートにするよう環境を構成するには、エンクレーブの構成証明をトリガーする構成証明プロバイダー、データベース、アプリケーションというさまざまなコンポーネントを設定する必要があります。 それぞれの種類のコンポーネントの構成は、以下の異なるロールのいずれかを引き受けるユーザーによって実行されます。
- 構成証明管理者 - Microsoft Azure Attestation 内で構成証明プロバイダーを作成し、構成証明ポリシーを作成し、Azure SQL 論理サーバーに構成証明プロバイダーへのアクセスを付与し、ポリシーを指す構成証明 URL をアプリケーション管理者に共有します。
- データベース管理者 (DBA) - DC シリーズのハードウェアを選ぶことでデータベースでの SGX エンクレーブを有効にし、構成証明プロバイダーにアクセスする必要がある Azure SQL 論理サーバーの ID を構成証明管理者に提供します。
- アプリケーション管理者 - 構成証明管理者から取得した構成証明 URL でアプリケーションを構成します。
本番環境（実際の機密データを扱う環境）では、構成証明を設定する際に、組織が役割分離を遵守し、それぞれの異なる役割を別々の担当者が担うことが重要です。 特に、Always Encrypted を組織にデプロイする目的が、データベース管理者が機密データにアクセスできないようにすることにより攻撃対象領域を減らすことである場合、データベース管理者は構成証明ポリシーを制御できません。