Vždy šifrované pomocí migračního průvodce Intel SGX enklávy

Azure SQL Database

Important

Enklávy Always Encrypted s rozšířeními Intel Software Guard (Intel SGX) končí s podporou 31. října 2027. Migrujte postižené databáze před tímto datem. Po 31. říjnu 2027 Azure automaticky přesune jakoukoli databázi, která zůstane na výpočetní úrovni řady DC, do podporované úrovně standardních řad (non-DC) a umožní bezpečnostní enklávy založené na virtualizaci (VBS).

Tento článek popisuje alternativy k Always Encrypted s Intel SGX enklávami a změny potřebné pro každou z nich. Před výběrem alternativy si pečlivě zkontrolujte bezpečnostní aspekty . Enklávy Intel SGX a VBS poskytují odlišné ochrany proti útokům pocházejícím z hostovaného operačního systému a hostitele.

Než začnete, ověřte si, že můžete zobrazit a upravit cílové logické servery, databáze a elastické pooly pro Azure SQL. V prostředí PowerShellu nainstalujte moduly Az PowerShell a přihlaste se k Azure. Pro Azure CLI instalujte Azure CLI a přihlaste se do Azure. Proveďte inventarizaci aplikací, které se připojují k dotčeným databázím, abyste během migrace mohli aktualizovat jejich ovladače, připojovací řetězce a nastavení atestace.

Identifikovat databáze používající řadu DC

Před plánovaním migrace identifikujte všechny samostatné databáze a elastické pooly, které používají DC-series. Každá databáze v elastickém fondu řady DC je ovlivněna.

portál Azure

1. V Azure Portalu přejděte ke svému logickému serveru Azure SQL.
2. Na stránce Přehled najděte Dostupné prostředky. Tato tabulka obsahuje seznam databází na logickém serveru.
3. Ve sloupci Cenová vrstva vyberte filtr a poté filtrujte seznam podle DC-série.
4. Zaznamenejte každou databázi v filtrovaném seznamu. Tyto databáze používají enklávy řady DC a enklávy Intel SGX.
5. Tyto kroky zopakujte pro každý logický server, na kterém jsou ve vašem prostředí hostovány databáze Azure SQL.

PowerShell

Nastavte $resourceGroupName a $serverName, a poté spusťte následující skript. Skript vrací samostatné databáze řady DC a databáze v elastických poolech řady DC na určeném logickém serveru.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

Spusťte skript pro každý logický server, který ve vašem prostředí hostí databáze Azure SQL. Pokud skript nevrací žádné řádky, určený server nemá databáze používající DC-series.

Azure CLI

Nastavte skupinu zdrojů a logický název serveru.

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

Přihlaste se k Azure:

az login

Uveďte samostatné databáze, které využívají řadu DC:

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

Získejte elastické fondy řady DC na serveru:

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

Pro každý elastický pool řady DC vrácený předchozím příkazem vypište jeho databáze:

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Spusť příkazy pro každý logický server, který hostuje Azure SQL databáze ve tvém prostředí.

Volba cesty migrace

Vyberte si migrační cestu, která splňuje požadavky na zabezpečení a aplikace vaší úlohy. Použijte následující porovnání jako výchozí bod a před provedením změn v produkčním prostředí si prostudujte podrobné pokyny pro zvolený postup.

Postup migrace	Tuto možnost použijte, když	Attestation
Azure SQL Database with VBS enclaves	Chcete zůstat na Azure SQL Database a VBS enklávy splňují vaše bezpečnostní požadavky.	Enklávy VBS ve službě Azure SQL Database nepodporují ověření identity.
SQL Server na důvěrném virtuálním počítači Azure s enklávami VBS	Potřebujete hardwarově vynucenou izolaci, která pomáhá chránit hostovaný operační systém před přístupem operátora hostitele.	Ověření Host Guardian Service (HGS) je dobrovolné.

Migrace jedné databáze do VBS enkláv

Použijte tento postup k zachování funkcí s podporou enkláv v Azure SQL Database.

1. Vyberte podporovanou hardwarovou konfiguraci standardní řady (non-DC), která splňuje požadavky na výkon a dostupnost vaší pracovní zátěže.
2. Přesuňte databázi do vybrané hardwarové konfigurace.
3. Povolte VBS enklávy pro databázi. Povolení VBS enkláv nastaví vlastnost databáze preferredEnclaveType na VBS.
4. Zkontrolujte požadavky na klientský ovladač pro enklávy VBS bez atestace a v případě potřeby aktualizujte ovladač aplikace.
5. Aktualizujte každé připojení aplikace, aby používalo None protokol enclave attestation, a odstraňte URL Microsoft Azure Attestation. Přesná klíčová slova pro spojovací řetězce závisí na ovladači klienta.
6. Dokončete validaci po migraci.

Migrujte elastický pool do enkláv VBS

Všechny databáze v elastickém poolu dědí konfiguraci enklávy poolu. Použijte tuto cestu k zachování enklávových schopností pro databáze v Azure SQL elastickém poolu.

1. Vyberte podporovanou konfiguraci řady Standard (bez DC), která splňuje požadavky fondu na výkon a dostupnost. Pro informace o změně konfigurace poolu viz Správa elastického poolu v Azure SQL Database.
2. Povolte enklávy VBS pro elastický fond. Zapnutí VBS enkláv nastaví vlastnost preferredEnclaveType poolu na VBS.
3. Projděte požadavky na klientské ovladače pro VBS enklávy bez potvrzení a pokud je to nutné, aktualizujte ovladače aplikace.
4. Aktualizujte každé připojení aplikace, aby používalo None protokol enclave attestation, a odstraňte URL Microsoft Azure Attestation. Přesná klíčová slova připojovacího řetězce závisí na klientském ovladači.
5. Dokončete validaci po migraci pro každou databázi ve fondu.

Migrate to SQL Server on an Azure confidential VM

Zvažte tuto možnost, pokud potřebujete hardwarově vynucené oddělení, které pomáhá chránit hostovaný operační systém před přístupem operátora hostitele. Důvěrné virtuální počítače Azure šifrují paměť virtuálního počítače a poskytují jiné bezpečnostní vlastnosti než enklávy Intel SGX. Posuďte tyto rozdíly s ohledem na své bezpečnostní požadavky a požadavky na shodu.

1. Deploy SQL Server to a Azure confidential VM.
2. Vyberte si, zda použít enklávové potvrzení:
   • Plán pro Always Encrypted s bezpečnými enklávami v SQL Serveru bez atestace.
   • Plán ověření služby Strážce hostitele.
3. Nakonfigurujte Always Encrypted s enklávami VBS v instanci SQL Serveru podle pokynů pro možnost atestace, kterou jste vybrali.
4. Plánujte migraci své databáze, přihlašovacích údajů, klíčů, připojení aplikací a závislých zdrojů.
5. Vyberte možnost migrace dat podle velikosti databáze, konfigurace sítě, požadavků na dobu odstávky a podporovaných databázových objektů. Mezi běžné možnosti patří:
   • Azure Data Factory: Použijte aktivitu kopírování s konektorem Azure SQL Database jako se zdrojem a konektorem SQL Server jako s jímkou. ADF považuje sloupce Always Encrypted za binární nebo šifrované hodnoty a přesouvá je bez nutnosti přístupu ke Column Master Key.
   • Smart Bulk Copy: Smart Bulk Copy slouží ke kopírování schématu a dat z Azure SQL Database do SQL Serveru. Před migrací si projděte předpoklady a omezení nástroje.
   • BACPAC: Zvažte použití souboru BACPAC u menších databází, jejichž objekty aplikace datové vrstvy podporují. Data chráněná technologií Always Encrypted zůstávají během exportu a importu zašifrovaná a soubor BACPAC obsahuje metadata klíče Always Encrypted. Další informace najdete v tématech Export a import databází pomocí Always Encrypted, Export souboru BACPAC a Import souboru BACPAC k vytvoření nové databáze.
6. Aktualizujte řetězce připojení aplikace pro instanci SQL Server a vybranou možnost atestace.
7. Dokončete validaci po migraci.

Ověření migrace

Než přesunete pracovní zátěž do produkce:

1. Ověřte, že aplikace se mohou připojit s povolenou funkcí Always Encrypted.
2. Spusťte reprezentativní dotazy využívající šifrované sloupce, včetně dotazů, které vyžadují výpočty v enklávě, pokud cílové prostředí používá zabezpečené enklávy.
3. Ověřte, že operace vkládání, aktualizací, mazání a indexování šifrovaných sloupců fungují podle očekávání.
4. Testujte výkon aplikace a případně upravujte cílovou výpočetní konfiguraci.
5. Otestujte plány kontinuity provozu, obnovy po havárii a postupy převzetí služeb při selhání. Všechny databázové repliky musí podporovat zabezpečené enklávy, pokud pracovní zátěž využívá operace s podporou enkláv.
6. Před dokončením přepínaní sledujte aplikaci na chyby v enklávě, ověřování a dotazu.

Související obsah

• Dokumentace ke službě Always Encrypted se zabezpečenými enklávy
• Kurz: Začínáme používat funkci Always Encrypted se zabezpečenými enklávy
• Konfigurace a použití funkce Always Encrypted se zabezpečenými enklávy