Zawsze szyfrowane z przewodnikiem migracji Intel SGX enklaw

Azure SQL Database

Ten artykuł opisuje alternatywy dla Always Encrypted with Intel SGX enklawy oraz zmiany wymagane dla każdej z nich. Przeanalizuj kwestie bezpieczeństwa , zanim wybierzesz alternatywę. Enklawy Intel SGX i VBS zapewniają różne zabezpieczenia przed atakami pochodzącymi z systemu operacyjnego gościa i hosta.

Zanim zaczniesz, upewnij się, że możesz przeglądać i modyfikować docelowe logiczne serwery, bazy danych i pule elastyczne Azure SQL. W przypadku PowerShell zainstaluj moduły PowerShell Az i zaloguj się do Azure. Dla Azure CLI zainstaluj Azure CLI i zaloguj się do Azure. Zrób inwentaryzację aplikacji łączących się z dotkniętymi bazami danych, aby móc aktualizować ich sterowniki, łańcuchy połączeń i ustawienia poświadczeń podczas migracji.

Zidentyfikuj bazy danych z serii DC

Zidentyfikuj wszystkie samodzielne bazy danych i pule elastyczne wykorzystujące serię DC, zanim zaplanujesz migrację. Każda baza danych w elastycznym puli serii DC jest dotknięta.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

az login

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Wybieranie ścieżki migracji

Wybierz ścieżkę migracji spełniającą wymagania bezpieczeństwa i aplikacji Twojego obciążenia. Użyj poniższego porównania jako punktu wyjścia i zapoznaj się ze szczegółowymi wskazówkami dotyczącymi wybranej ścieżki przed wprowadzeniem zmian w środowisku produkcyjnym.

Migrowanie pojedynczej bazy danych do enklaw VBS

Użyj tej ścieżki, aby zachować funkcje obsługujące enklawy w usłudze Azure SQL Database.

1. Wybierz obsługiwaną konfigurację sprzętową serii standardowej (nie-DC), która spełnia wymagania wydajnościowe i dostępności Twojego obciążenia roboczego.
2. Przenieś bazę danych do wybranej konfiguracji sprzętowej.
3. Włącz enklawy VBS dla bazy danych Włączenie enklaw VBS ustawia właściwość preferredEnclaveType bazy danych na VBS.
4. Przejrzyj wymagania dotyczące sterownika klienckiego dla enklaw VBS bez poświadczenia i w razie potrzeby zaktualizuj sterownik kliencki aplikacji.
5. Zaktualizuj każde połączenie aplikacji tak, aby korzystało z protokołu poświadczania enklawy None, i usuń adres URL usługi Microsoft Azure Attestation. Dokładne słowa kluczowe łączące łańcuchy łączeń zależą od sterownika klienta.
6. Zakończ weryfikację po migracji.

Migrowanie puli elastycznej do enklaw VBS

Wszystkie bazy danych w puli elastycznej dziedziczą konfigurację enklawy puli. Użyj tej ścieżki, aby zachować funkcje z obsługą enklaw dla baz danych w elastycznej puli Azure SQL.

1. Wybierz obsługiwaną konfigurację z serii standardowej (inną niż DC), która spełnia wymagania puli dotyczące wydajności i dostępności. Aby uzyskać informacje na temat zmiany konfiguracji puli, zobacz Zarządzanie pulą elastyczną w Azure SQL Database.
2. Włącz enklawy VBS dla basenu elastycznego. Włączanie enklaw VBS ustawia właściwość puli preferredEnclaveType na .VBS
3. Przejrzyj wymagania sterowników klienta dla enklaw VBS bez potwierdzenia i zaktualizuj sterowniki aplikacji, jeśli to konieczne.
4. Zaktualizuj każde połączenie aplikacji, aby korzystało z protokołu poświadczania enklawy None, i usuń adres URL usługi Microsoft Azure Attestation. Dokładne słowa kluczowe parametrów połączenia zależą od sterownika klienta.
5. Ukończ weryfikację po migracji dla każdej bazy danych w puli.

Migruj do programu SQL Server na poufnej maszynie wirtualnej platformy Azure

Rozważ tę opcję, jeśli potrzebujesz granicy wymuszanej sprzętowo, która pomaga chronić system operacyjny gościa przed dostępem ze strony operatora hosta. Poufne maszyny wirtualne platformy Azure szyfrują pamięć maszyny wirtualnej i zapewniają inne właściwości w zakresie zabezpieczeń niż enklawy Intel SGX. Oceń te różnice pod kątem wymagań dotyczących bezpieczeństwa i zgodności.

1. Wdróż program SQL Server na poufnej maszynie wirtualnej platformy Azure.
2. Zdecyduj, czy skorzystać z poświadczenia enklawy:
   • Zaplanuj Always Encrypted z bezpiecznymi enklawami w SQL Server bez potwierdzenia.
   • Plan potwierdzania Usługi Ochrony Gospodarza.
3. Skonfiguruj Always Encrypted z enklawami VBS na instancji SQL Server, stosując się do wybranej opcji poświadczenia.
4. Zaplanuj migrację bazy danych, logowania, kluczy, łączności aplikacji i zależnych zasobów.
5. Wybierz opcję migracji danych w zależności od rozmiaru bazy danych, konfiguracji sieci, dopuszczalnego czasu przestoju oraz obsługiwanych obiektów bazy danych. Do najczęściej stosowanych opcji należą:
   • Azure Data Factory: Użyj działania kopiowania z łącznikiem Azure SQL Database jako źródła i łącznikiem SQL Server jako ujścia. ADF traktuje kolumny Always Encrypted jako wartości binarne lub zaszyfrowane i przenosi je bez konieczności dostępu do Klucza Kolumnowego Master.
   • Smart Bulk Copy: Użyj Smart Bulk Copy do kopiowania schematu i danych z usługi Azure SQL Database do programu SQL Server. Przed migracją zapoznaj się z wymaganiami i ograniczeniami narzędzia.
   • BACPAC: Rozważ użycie pliku BACPAC w przypadku mniejszych baz danych, których obiekty są obsługiwane przez aplikacje warstwy dostępu do danych. Dane Always Encrypted pozostają zaszyfrowane podczas eksportu i importu, a BACPAC zawiera metadane klucza Always Encrypted (Zawsze szyfrowane). Więcej informacji można znaleźć w tematach Eksportowanie i importowanie baz danych przy użyciu funkcji Always Encrypted, Eksportowanie pliku BACPAC oraz Importowanie pliku BACPAC w celu utworzenia nowej bazy danych.
6. Zaktualizuj ciągi połączeń aplikacji dla instancji SQL Server oraz wybraną opcję atestacji.
7. Zakończ weryfikację po migracji.

Weryfikowanie migracji

Zanim przeniesiesz obciążenie do produkcji:

1. Sprawdź, czy aplikacje mogą łączyć się z włączonym Always Encrypted (Zawsze szyfrowane).
2. Uruchamiaj reprezentatywne zapytania wykorzystujące zaszyfrowane kolumny, w tym zapytania wymagające obliczeń enklawowych, jeśli środowisko docelowe korzysta z bezpiecznych enklaw.
3. Sprawdź, czy wstawianie, aktualizowanie, usuwanie i indeksowanie na zaszyfrowanych kolumnach zachowują się zgodnie z oczekiwaniami.
4. Testuj wydajność aplikacji i w razie potrzeby dostosowuj docelową konfigurację obliczeń.
5. Przetestuj procedury ciągłości działania, odzyskiwania po awarii i przełączania awaryjnego. Wszystkie repliki bazy danych muszą obsługiwać bezpieczne enklawy, jeśli obciążenie korzysta z operacji korzystających z enklaw.
6. Monitoruj aplikację pod kątem błędów enklawy, poświadczeń i zapytań przed zakończeniem cutoveru.

Treści powiązane

• Dokumentacja funkcji Always Encrypted z użyciem bezpiecznych enklaw
• Samouczek : Wprowadzenie do korzystania z funkcji Always Encrypted z bezpiecznymi enklawami
• Konfigurowanie i używanie funkcji Always Encrypted przy użyciu bezpiecznych enklaw