Panduan migrasi enclave Intel SGX dengan Always Encrypted

Azure SQL Database

Important

Always Encrypted dengan enklaf Intel Software Guard Extensions (Intel SGX) akan mencapai akhir dukungan pada 31 Oktober 2027. Migrasikan database yang terdampak sebelum tanggal ini. Setelah 31 Oktober 2027, Azure secara otomatis memindahkan database yang tersisa di tier komputasi seri DC ke tier komputasi standard-series (non-DC) yang didukung dan mengaktifkan enclave keamanan berbasis virtualisasi (VBS).

Artikel ini menjelaskan alternatif selain Always Encrypted dengan enklave Intel SGX serta perubahan yang diperlukan untuk masing-masing alternatif. Tinjau pertimbangan keamanan sebelum Anda memilih alternatif. Enclave Intel SGX dan VBS memberikan perlindungan berbeda terhadap serangan yang berasal dari sistem operasi tamu dan host.

Sebelum memulai, pastikan bahwa Anda dapat melihat dan memodifikasi server logika Azure SQL target, basis data, dan elastic pool. Untuk menggunakan PowerShell, instal modul Az PowerShell dan masuk ke Azure. Untuk Azure CLI, instal Azure CLI dan masuk ke Azure. Inventarisasikan aplikasi yang terhubung ke basis data yang terdampak agar Anda dapat memperbarui driver, string koneksi, dan pengaturan atestasi aplikasi-aplikasi tersebut selama migrasi.

Identifikasi basis data yang menggunakan seri DC

Identifikasi semua database tunggal dan kumpulan elastis yang menggunakan seri DC sebelum Anda merencanakan migrasi. Setiap basis data dalam kolam elastis seri DC terdampak.

Portal Azure

1. Di Azure portal, buka server logis Azure SQL Anda.
2. Di halaman Ikhtisar, cari Sumber daya tersedia. Tabel ini mencantumkan database di server logis.
3. Di kolom Tingkat harga, pilih filter, lalu saring daftar berdasarkan DC-series.
4. Catat setiap basis data dalam daftar yang difilter. Database ini menggunakan enclave seri DC dan Intel SGX.
5. Ulangi langkah-langkah ini untuk setiap server logis yang menghosting database Azure SQL di lingkungan Anda.

PowerShell

Atur $resourceGroupName dan $serverName, lalu jalankan skrip berikut. Skrip mengembalikan database DC-series mandiri dan database dalam pool elastis DC-series pada server logis yang ditentukan.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

Jalankan skrip untuk setiap server logis yang menampung database Azure SQL di lingkungan Anda. Jika skrip tidak mengembalikan baris apa pun, server yang ditentukan tidak memiliki basis data yang menggunakan seri DC.

Azure CLI

Atur grup sumber daya dan nama server logis.

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

Masuk ke Azure:

az login

Daftar basis data mandiri yang menggunakan seri DC:

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

Ambil pool elastis seri DC di server:

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

Untuk setiap elastic pool seri DC yang dikembalikan oleh perintah sebelumnya, tampilkan daftar databasenya:

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Jalankan perintah untuk setiap server logis yang menampung database Azure SQL di lingkungan Anda.

Pilih jalur migrasi

Pilih jalur migrasi yang memenuhi persyaratan keamanan dan aplikasi dari beban kerja Anda. Gunakan perbandingan berikut sebagai titik awal, dan tinjau panduan rinci untuk jalur yang dipilih sebelum melakukan perubahan pada produksi.

Jalur migrasi	Gunakan opsi ini ketika	Attestation
Azure SQL Database dengan enclave VBS	Anda ingin tetap menggunakan Azure SQL Database dan enklave VBS memenuhi persyaratan keamanan Anda.	Enklave VBS di Azure SQL Database tidak mendukung pengesahan.
SQL Server pada VM komputasi rahasia Azure dengan enclave VBS	Anda memerlukan batas yang diterapkan oleh perangkat keras untuk membantu melindungi sistem operasi tamu dari akses oleh operator host.	Pengesahan Host Guardian Service (HGS) bersifat opsional.

Migrasikan satu database ke enclave VBS

Gunakan jalur ini untuk mempertahankan kemampuan yang diaktifkan enclave di Azure SQL Database.

1. Pilih konfigurasi perangkat keras seri standar (non-DC) yang didukung yang memenuhi persyaratan kinerja dan ketersediaan beban kerja Anda.
2. Pindahkan database ke konfigurasi perangkat keras yang dipilih.
3. Aktifkan enklaf VBS untuk basis data. Mengaktifkan enklaf VBS menetapkan properti database preferredEnclaveType menjadi VBS.
4. Tinjau persyaratan driver klien untuk enclave VBS tanpa attestasi, dan perbarui driver aplikasi Anda jika diperlukan.
5. Perbarui setiap koneksi aplikasi agar menggunakan protokol pengesahan enclave None, dan hapus URL Microsoft Azure Attestation. Kata kunci string koneksi yang tepat bergantung pada driver klien.
6. Selesaikan validasi pasca-migrasi.

Migrasikan kolam elastis ke enclave VBS

Semua basis data dalam pool elastis mewarisi konfigurasi enclave dari pool tersebut. Gunakan jalur ini untuk mempertahankan kemampuan yang diaktifkan enclave untuk basis data dalam pool elastis Azure SQL.

1. Pilih konfigurasi seri standar (non-DC) yang didukung yang memenuhi persyaratan kinerja dan ketersediaan pool. Untuk informasi tentang cara mengubah konfigurasi elastic pool, lihat Mengelola elastic pool di Azure SQL Database.
2. Aktifkan enclave VBS untuk kolam elastis. Mengaktifkan enclave VBS mengatur preferredEnclaveType properti pool menjadi VBS.
3. Tinjau persyaratan driver klien untuk enclave VBS tanpa attestasi, dan perbarui driver aplikasi Anda jika diperlukan.
4. Perbarui setiap koneksi aplikasi untuk menggunakan None protokol enclave attestation, dan hapus URL Microsoft Azure Attestation. Kata kunci string koneksi yang tepat bergantung pada driver klien.
5. Selesaikan validasi pasca-migrasi untuk setiap database dalam pool.

Migrasi ke SQL Server di VM komputasi rahasia Azure

Pertimbangkan jalur ini jika Anda memerlukan batas yang ditegakkan perangkat keras yang membantu melindungi sistem operasi tamu dari akses operator host. VM rahasia Azure mengenkripsi memori VM dan menyediakan properti keamanan yang berbeda dari enklave Intel SGX. Evaluasi perbedaan ini terhadap persyaratan keamanan dan kepatuhan Anda.

1. Terapkan SQL Server ke VM rahasia Azure.
2. Pilih apakah akan menggunakan atestasi enclave:
   • Rencanakan untuk Selalu Terenkripsi dengan enklave aman di SQL Server tanpa attestation.
   • Rencanakan pengesahan Layanan Host Guardian.
3. Konfigurasikan Selalu Dienkripsi dengan enklaf VBS pada instance SQL Server dengan mengikuti panduan opsi attestation yang Anda pilih.
4. Rencanakan migrasi database, login, kunci, konektivitas aplikasi, dan sumber daya dependen Anda.
5. Pilih opsi migrasi data berdasarkan ukuran basis data Anda, konfigurasi jaringan, kebutuhan waktu henti, dan objek basis data yang didukung. Pilihan umum meliputi:
   • Azure Data Factory: Gunakan aktivitas penyalinan dengan konektor Azure SQL Database sebagai sumber dan konektor SQL Server sebagai tujuan. ADF memperlakukan kolom Always Encrypted sebagai nilai biner atau ciphertext dan memindahkannya tanpa perlu mengakses Column Master Key.
   • Smart Bulk Copy: Gunakan Smart Bulk Copy untuk menyalin skema dan data dari Azure SQL Database ke SQL Server. Tinjau prasyarat dan batasan alat sebelum migrasi.
   • BACPAC: Pertimbangkan BACPAC untuk basis data yang lebih kecil yang objeknya didukung oleh aplikasi data-tier. Data yang menggunakan Always Encrypted tetap terenkripsi selama ekspor dan impor, dan BACPAC menyertakan metadata kunci Always Encrypted. Untuk informasi selengkapnya, lihat Ekspor dan impor basis data menggunakan Always Encrypted, Ekspor file BACPAC, dan Impor file BACPAC untuk membuat basis data baru.
6. Perbarui string koneksi aplikasi untuk instans SQL Server dan opsi pengesahan yang dipilih.
7. Selesaikan validasi pasca-migrasi.

Memvalidasi migrasi

Sebelum Anda memindahkan beban kerja ke lingkungan produksi:

1. Pastikan bahwa aplikasi dapat terhubung saat Always Encrypted diaktifkan.
2. Jalankan kueri perwakilan yang menggunakan kolom terenkripsi, termasuk kueri yang memerlukan komputasi enklave jika lingkungan target menggunakan enklave aman.
3. Pastikan operasi penyisipan, pembaruan, penghapusan, dan indeks pada kolom terenkripsi berperilaku sesuai harapan.
4. Uji kinerja aplikasi dan sesuaikan konfigurasi komputasi target jika diperlukan.
5. Uji prosedur kontinuitas bisnis, pemulihan bencana, dan failover Anda. Semua replika basis data harus mendukung enklave aman jika beban kerja menggunakan operasi yang mendukung enklave.
6. Pantau aplikasi untuk mendeteksi kesalahan enclave, atestasi, dan kueri sebelum menyelesaikan peralihan.

Konten terkait

• Always Encrypted dengan dokumentasi enklave aman
• Tutorial: Mulai menggunakan Always Encrypted dengan enklave aman
• Konfigurasikan dan gunakan Always Encrypted dengan enklave yang aman