Guia de migração de enclaves Always Encrypted com Intel SGX

Banco de Dados SQL do Azure

Este artigo descreve as alternativas ao Always Encrypted com enclaves Intel SGX e as mudanças necessárias para cada alternativa. Revise as considerações de segurança antes de escolher uma alternativa. Os enclaves Intel SGX e VBS oferecem diferentes proteções contra ataques originados no sistema operacional convidado e no host.

Antes de começar, confirme se você pode exibir e modificar os servidores lógicos do SQL do Azure de destino, bancos de dados e pools elásticos. Para o PowerShell, instale os módulos do Az PowerShell e entre no Azure. Para a CLI do Azure, instale-a e entre no Azure. Faça um inventário dos aplicativos que se conectam aos bancos de dados afetados para que você possa atualizar seus drivers, cadeias de conexão e configurações de atestado durante a migração.

Identificar bancos de dados que utilizam a série DC

Identifique todos os bancos de dados independentes e pools elásticos que usam a série DC antes de planejar a migração. Todo banco de dados em um pool elástico série DC é afetado.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

az login

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Escolher um caminho de migração

Escolha o caminho de migração que atenda aos requisitos de segurança e do aplicativo da sua carga de trabalho. Use a comparação a seguir como ponto de partida e revise as orientações detalhadas para o caminho selecionado antes de fazer alterações na produção.

Migrar um banco de dados individual para enclaves VBS

Use esse caminho para manter os recursos habilitados para enclave no Banco de Dados SQL do Azure.

1. Selecione uma configuração de hardware suportada da série padrão (não DC) que atenda aos requisitos de desempenho e disponibilidade da sua carga de trabalho.
2. Migre o banco de dados para a configuração de hardware selecionada.
3. Habilite enclaves VBS para o banco de dados. Habilitar enclaves VBS define a propriedade preferredEnclaveType do banco de dados como VBS.
4. Analise os requisitos do driver de cliente para enclaves VBS sem atestação e atualize o driver do seu aplicativo, se necessário.
5. Atualize cada conexão do aplicativo para usar o None protocolo de atestado de enclave e remova a URL do Atestado do Microsoft Azure. As palavras-chave exatas da string de conexão dependem do driver usado pelo cliente.
6. Conclua a validação pós-migração.

Migrar um pool elástico para enclaves VBS

Todos os bancos de dados em um pool elástico herdam a configuração do enclave do pool. Use esse caminho para manter os recursos habilitados para enclave para bancos de dados em um pool elástico do SQL do Azure.

1. Selecione uma configuração de série padrão suportada (não DC) que atenda aos requisitos de desempenho e disponibilidade do pool. Para informações sobre como alterar a configuração do pool, veja Gerenciar um pool elástico no Banco de Dados SQL do Azure.
2. Ative enclaves VBS para o pool elástico. Habilitar enclaves VBS define a propriedade do pool preferredEnclaveType como VBS.
3. Revise os requisitos dos drivers do cliente para enclaves VBS sem atestação e atualize os drivers da sua aplicação se necessário.
4. Atualize cada conexão de aplicação para usar o None protocolo de atestação enclave e remova o URL do Microsoft Atestado do Azure. As palavras-chave exatas da string de conexão dependem do driver do cliente.
5. Conclua a validação pós-migração para cada banco de dados do pool.

Migrar para um SQL Server em uma VM confidencial do Azure

Considere esse caminho se você precisar de um limite imposto por hardware que ajude a proteger o sistema operacional convidado contra o acesso de operadores de host. As VMs confidenciais do Azure criptografam a memória da VM e fornecem diferentes propriedades de segurança dos enclaves Intel SGX. Avalie essas diferenças com base nos seus requisitos de segurança e conformidade.

1. Implante o SQL Server em uma VM confidencial do Azure.
2. Escolha se deve usar o atestado de enclave:
   • Planeje para Always Encrypted com enclaves seguros no SQL Server sem atestado.
   • Planejar a atestação do Host Guardian Service
3. Configure o Always Encrypted com enclaves VBS na instância do SQL Server seguindo as orientações da opção de atestação que você selecionou.
4. Planeje a migração do seu banco de dados, logins, chaves, conectividade de aplicativos e recursos dependentes.
5. Escolha uma opção de migração de dados com base no tamanho do seu banco de dados, na configuração de rede, nos requisitos de indisponibilidade e nos objetos de banco de dados suportados. As opções comuns incluem:
   • Azure Data Factory: use uma atividade Copy com o conector do Banco de Dados SQL do Azure como a origem e o conector do SQL Server como o coletor. O ADF trata as colunas Always Encrypted como valores binários ou de texto cifrado e move-as sem precisar acessar a Chave Mestra de Coluna.
   • Smart Bulk Copy: use Smart Bulk Copy para copiar esquemas e dados do Banco de Dados SQL do Azure para o SQL Server. Verifique os pré-requisitos e as limitações da ferramenta antes da migração.
   • BACPAC: considere um BACPAC para bancos de dados menores cujos objetos tenham suporte de aplicativos da camada de dados. Os dados Always Encrypted permanecem criptografados durante a exportação e importação, e o BACPAC inclui os metadados da chave Always Encrypted. Para mais informações, consulte Exportar e importar bancos de dados usando Always Encrypted, Exportar um arquivo BACPAC e Importar um arquivo BACPAC para criar um novo banco de dados.
6. Atualize as cadeias de conexão do aplicativo para a instância do SQL Server e a opção de atestado selecionada.
7. Conclua a validação pós-migração.

Validar a migração

Antes de transferir a carga de trabalho para produção:

1. Verifique se os aplicativos conseguem se conectar com o recurso Always Encrypted habilitado.
2. Execute consultas representativas que usam colunas criptografadas, incluindo consultas que exigem computações de enclave, se o ambiente de destino usar enclaves seguros.
3. Verifique se as inserções, atualizações, exclusões e operações em índices em colunas criptografadas se comportam como esperado.
4. Teste o desempenho do aplicativo e ajuste a configuração de computação de destino, se necessário.
5. Teste a continuidade de negócios, a recuperação de desastres e os procedimentos de failover. Todas as réplicas de banco de dados devem suportar enclaves seguros se a carga de trabalho usar operações habilitadas pelo enclave.
6. Monitore o aplicativo para erros de enclave, atestado e consulta antes de concluir a substituição.

Conteúdo relacionado

• Documentação do Always Encrypted com enclaves seguros
• Tutorial: Introdução ao uso de Always Encrypted com enclaves seguros
• Configurar e usar o Always Encrypted com enclaves seguros