Migrowanie danych do lub z kolumn za pomocą funkcji Always Encrypted przy użyciu Kreatora importu i eksportu programu SQL Server

Dotyczy:SQL ServerAzure SQL DatabaseAzure SQL Managed Instance

Kreator importu i eksportu SQL Server to narzędzie pozwalające kopiować dane ze źródła do miejsca docelowego. Ten artykuł opisuje, jak korzystać z Kreatora importu i eksportu SQL Server, gdy źródło, miejsce docelowe lub oba są bazą danych SQL Server zawierającą kolumny chronione metodą Always Encrypted.

Scenariusze migracji

Za pomocą Kreatora importu i eksportu programu SQL Server można zaimplementować następujące scenariusze migracji danych do lub z zaszyfrowanych kolumn.

Szyfrowanie danych w postaci zwykłego tekstu podczas migracji

Jeśli Twoje źródło danych zawiera dane w formacie jawnym, a docelowym miejscem jest baza danych SQL Server zawierająca zaszyfrowane kolumny, możesz użyć Kreatora importu i eksportu SQL Server, aby pobrać dane w formie jawnej ze źródła, zaszyfrować je i skopiować zaszyfrowane dane (szyfrogram) do zaszyfrowanych kolumn docelowej bazy danych. W tym scenariuszu migracji źródłem danych może być dowolny magazyn danych obsługiwany przez Kreator importu i eksportu SQL Server, taki jak plik, baza danych SQL Server lub baza danych w innym systemie bazodanowym.

Aby mieć pewność, że Kreator importu i eksportu SQL Server może szyfrować dane, włącz funkcję Always Encrypted dla połączenia z docelową bazą danych oraz upewnij się, że masz dostęp do kluczy chroniących dane w kolumnach docelowej bazy danych. Aby uzyskać więcej informacji, zapoznaj się z Włączanie i wyłączanie funkcji Always Encrypted dla połączenia z bazą danych oraz Uprawnienia do szyfrowania lub deszyfrowania danych podczas migracji.

Odszyfrowywanie zaszyfrowanych danych podczas migracji

Jeśli migrujesz dane przechowywane w zaszyfrowanych kolumnach bazy danych w bazie SQL Server, możesz skonfigurować kreator importu i eksportu SQL Server, aby odszyfrował dane i skopiował odszyfrowane (jawne) dane do celu. Celem może być dowolny magazyn danych obsługiwany przez Kreatora importu i eksportu SQL Server, taki jak plik, baza danych SQL Server lub baza danych w innym systemie bazodanowym.

Aby mieć pewność, że kreator importu i eksportu SQL Server może odszyfrować dane, włącz Always Encrypted dla połączenia z bazą źródłową oraz upewnij się, że masz dostęp do kluczy chroniących dane w kolumnach bazy źródłowej. Aby uzyskać więcej informacji, zapoznaj się z Włączanie i wyłączanie funkcji Always Encrypted dla połączenia z bazą danych oraz Uprawnienia do szyfrowania lub deszyfrowania danych podczas migracji.

Ponowne szyfrowanie danych podczas migracji

Jeśli kopiujesz dane z zaszyfrowanych kolumn w bazie źródłowej SQL Server do zaszyfrowanych kolumn w tej samej lub innej bazie SQL Server, możesz skonfigurować kreator importu i eksportu SQL Server, aby odszyfrował dane po ich pobraniu ze źródła i ponownie zaszyfrował je przed wstawieniem do zaszyfrowanych kolumn w docelowej bazie danych. Stosuj tę metodę, jeśli schemat kolumn docelowych, takich jak typy danych kolumn, typy szyfrowania i klucze szyfrujące kolumny, różni się od schematu kolumn źródłowych.

Aby mieć pewność, że kreator importu i eksportu SQL Server będzie mógł szyfrować i odszyfrowywać dane, włącz funkcję Always Encrypted zarówno dla połączenia ze źródłową bazą danych, jak i połączenia z docelową bazą danych, oraz zapewnij dostęp do kluczy chroniących dane zarówno w kolumnach źródłowej bazy danych, jak i docelowej bazy danych. Aby uzyskać więcej informacji, zapoznaj się z Włączanie i wyłączanie funkcji Always Encrypted dla połączenia z bazą danych oraz Uprawnienia do szyfrowania lub deszyfrowania danych podczas migracji.

Przechowywanie danych zaszyfrowanych podczas migracji

Jeśli kopiujesz dane z zaszyfrowanych kolumn w bazie źródłowej SQL Server do zaszyfrowanych kolumn w tej samej lub innej bazie SQL Server, a kolumny docelowe używają dokładnie tego samego schematu co kolumny źródłowe, w tym te same typy danych, typy szyfrowania i klucze do szyfrowania kolumn, możesz skonfigurować kreator importu i eksportu SQL Server, aby pobierał szyfrogram z kolumn źródłowych i wstawiał zaszyfrowane dane (szyfrogram) do zaszyfrowanej kolumny docelowej bazy SQL Server.

W takim przypadku użyj dowolnego dostawcy danych, który obsługuje SQL Server, aby połączyć się z bazą źródłową lub docelową bazą danych SQL Server. Jeśli korzystasz z dostawcy obsługującego Always Encrypted do łączenia się z docelową bazą danych, upewnij się, że Always Encrypted jest wyłączone dla połączenia z bazą danych. Aby uzyskać więcej informacji, zobacz Włączanie i wyłączanie funkcji Always Encrypted dla połączenia z bazą danych.

Musisz także upewnić się, że podmiot zabezpieczeń bazy danych (użytkownik), którego używa Kreator importu i eksportu programu SQL Server do połączenia z docelową bazą danych, jest skonfigurowany z opcją ALLOW_ENCRYPTED_VALUE_MODIFICATIONS ustawioną na ON. Ta opcja pomija sprawdzanie metadanych kryptograficznych na serwerze podczas operacji kopiowania masowego, co pozwala kreatorowi na masowe wstawianie zaszyfrowanych danych do docelowej bazy bez ich odszyfrowania. Więcej informacji można znaleźć w artykule Hurtowe ładowanie zaszyfrowanych danych do kolumn chronionych przez Always Encrypted.

Włączanie i wyłączanie funkcji Always Encrypted dla połączenia z bazą danych

Jeśli Twój scenariusz migracji wymaga kreatora importu i eksportu SQL Server do szyfrowania lub odszyfrowania danych, skonfiguruj źródłowe połączenie bazy danych SQL Server, docelowe połączenie bazy danych SQL Server lub oba połączenia, korzystając z dostawcy danych obsługującego Always Encrypted. Musisz też włączyć Always Encrypted dla tych połączeń.

Użyj dowolnego dostawcy danych do połączenia, jeśli nie potrzebujesz kreatora do szyfrowania lub deszyfrowania danych na tym połączeniu.

Następujący dostawcy danych w Kreatorze importu i eksportu programu SQL Server obsługują funkcję Always Encrypted.

Uprawnienia do szyfrowania lub odszyfrowywania danych podczas migracji

Aby zaszyfrować lub odszyfrować dane przechowywane w źródłowej lub docelowej bazie danych SQL Server, potrzebujesz uprawnień VIEW ANY COLUMN MASTER KEY DEFINITION i VIEW ANY COLUMN ENCRYPTION KEY DEFINITION w bazie źródłowej. Potrzebujesz również uprawnień do magazynu kluczy, aby uzyskać dostęp i używać głównego klucza kolumny. Aby uzyskać szczegółowe informacje o uprawnieniach magazynu kluczy wymaganych do operacji zarządzania kluczami, zobacz Utwórz i zapisz klucze główne kolumn dla Always Encrypted oraz znajdź sekcję odpowiednią dla swojego magazynu kluczy.

Treści powiązane

  • Ostatnia aktualizacja o