バックアップの暗号化

[アーティクル]
01/19/2024

適用対象: SQL Server

この記事では、SQL Server バックアップの暗号化オプションについて概説します。バックアップ時の暗号化の使用、利点、および推奨される操作の詳細が含まれています。

概要

SQL Server 2014 (12.x) 以降では、バックアップの作成時に SQL Server がデータを暗号化する機能があります。バックアップの作成時に暗号化アルゴリズムと暗号化機能 (証明書または非対称キー) を指定することにより、暗号化されたバックアップファイルを作成することができます。あらゆるバックアップ先ストレージ、つまり内部設置型のストレージも Azure Storage もサポートされます。さらに、SQL Server 2014 (12.x) で導入された新機能である Microsoft Azure への SQL Server マネージドバックアップの運用にあたり、暗号化オプションを構成できます。

バックアップ時に暗号化を行うには、暗号化アルゴリズムを指定し、暗号化キーを保護するための暗号化機能を指定する必要があります。サポートされている暗号化オプションは次のとおりです。

暗号化アルゴリズム: サポートされている暗号化アルゴリズムは、AES 128、AES 192、AES 256、および Triple DES です。
暗号化機能: 証明書または非対称キー。

注意事項

証明書または非対称キーをバックアップすることが非常に重要であり、これらを使用して暗号化したバックアップファイルとは別の場所に保存することをお勧めします。証明書または非対称キーがないと、バックアップを復元できず、バックアップファイルのレンダリングが使用できなくなります。包含システムデータベースに格納されている証明書もバックアップする必要があります。

暗号化されたバックアップの復元: SQL Server の復元では、復元時に暗号化パラメーターを指定する必要はありません。ただし、バックアップファイルの暗号化に使用された証明書または非対称キーを復元先のインスタンスで使用できる必要があります。復元を実行するユーザーアカウントには、証明書またはキーに対する VIEW DEFINITION 権限が必要です。暗号化されたバックアップを別のインスタンスに復元する場合は、そのインスタンスで証明書を使用できるようにする必要があります。
暗号化されたデータベースを新しい場所に復元する手順は次のようになります。

以前のデータベースで BACKUP CERTIFICATE (Transact-SQL)
新しい場所の master データベースで CREATE MASTER KEY (Transact-SQL)
新しいサーバー上の場所にインポートされた古いデータベースのバックアップ証明書から CREATE CERTIFICATE (Transact-SQL)
データベースを新しい場所に復元する (SQL Server)

TDE で暗号化されたデータベースからバックアップを復元する場合、復元先のインスタンスで TDE の証明書を使用できる必要があります。詳細については、「別の SQL Server への TDE で保護されたデータベースの移動」を参照してください。

メリット

データベースのバックアップを暗号化することは、データの保護に役立ちます。SQL Server では、バックアップの作成時にバックアップデータを暗号化するためのオプションが提供されます。
暗号化は、TDE を使用して暗号化されたデータベースにも使用できます。
Microsoft Azure への SQL Server マネージドバックアップによって実行されるバックアップでは、暗号化がサポートされているため、オフサイトバックアップのセキュリティを強化できます。
この機能では、AES 256 ビットまでの複数の暗号化アルゴリズムがサポートされます。このため、要件に合うアルゴリズムを選択できます。
暗号化キーは拡張キー管理 (EKM) プロバイダーと統合できます。

前提条件

バックアップを暗号化するための前提条件は次のとおりです。

master データベースのデータベースマスターキーの作成: データベースマスターキー (DMK) は、証明書の秘密キーやデータベース内に存在する非対称キーを保護するために使用される対称キーです。詳細については、「SQL Server とデータベースの暗号化キー (データベースエンジン)」を参照してください。
バックアップ暗号化に使用する証明書または非対称キーを作成します。証明書の作成の詳細については、「CREATE CERTIFICATE (Transact-SQL)」を参照してください。証明書の作成の詳細については、「CREATE ASYMMETRIC KEY (Transact-SQL)」を参照してください。

重要

サポートされるのは、拡張キー管理 (EKM) に存在する非対称キーのみです。

制限事項

暗号化オプションに適用される制限事項は次のとおりです。

バックアップデータの暗号化に非対称キーを使用する場合は、EKM プロバイダーに存在する非対称キーのみがサポートされます。
SQL Server Express および SQL Server Web では、バックアップ時の暗号化がサポートされません。ただし、暗号化されたバックアップから SQL Server Express インスタンスまたは SQL Server Web インスタンスへの復旧は、サポートされます。
以前のバージョンの SQL Server では、暗号化されたバックアップを読み取ることができません。
[既存のバックアップセットに追加する] オプションは、暗号化されたバックアップに対してはサポートされません。

アクセス許可

暗号化されたデータベースでバックアップ操作を行うアカウントには、特定の権限が必要です。

バックアップするデータベースの db_backupoperator データベースレベルロール。これは、暗号化に関係なく必要です。
VIEW DEFINITION データベース内の証明書に対する master 権限。

次の例では、証明書に対する適切な権限を付与します。
```
USE [master]
GO
GRANT VIEW DEFINITION ON CERTIFICATE::[<SERVER_CERT>] TO [<db_account>]
GO
```

Note

TDE で保護されたデータベースをバックアップまたは復元する場合、TDE 証明書へのアクセスは必要ありません。

バックアップ暗号化方法

以下のセクションでは、バックアップ時にデータを暗号化する手順の概要を説明します。 Transact-SQL を使用して既存のバックアップを暗号化するためのさまざまな手順を示した完全なチュートリアルについては、「暗号化されたバックアップの作成」を参照してください。

SQL Server Management Studio を使用します。

次のいずれかのダイアログボックスを使用して、データベースバックアップの作成時にバックアップを暗号化することができます。

データベースのバックアップ (バックアップオプション)バックアップオプション ページで、暗号化 を選択し、暗号化に使用する暗号化アルゴリズムと証明書または非対称キーを指定します。
メンテナンスプランウィザードの使用 : [データベースのバックアップ () タスクの定義] ページの [オプション] タブでバックアップタスクを選択する場合は、 [バックアップの暗号化]を選択し、暗号化に使用する暗号化アルゴリズムと証明書またはキーを指定することができます。

Transact-SQL の使用

バックアップファイルを暗号化するためのサンプル Transact-SQL ステートメントを次に示します。

BACKUP DATABASE [MYTestDB]
TO DISK = N'C:\Program Files\Microsoft SQL Server\MSSQL13.MSSQLSERVER\MSSQL\Backup\MyTestDB.bak'
WITH
  COMPRESSION,
  ENCRYPTION
   (
   ALGORITHM = AES_256,
   SERVER CERTIFICATE = BackupEncryptCert
   ),
  STATS = 10
GO

Transact-SQL ステートメントの完全な構文については、「BACKUP (Transact-SQL)」を参照してください。

PowerShell の使用

この例では、暗号化オプションを作成し、それを Backup-SqlDatabase コマンドレットのパラメーター値として使用して暗号化されたバックアップを作成します。

$encryptionOption = New-SqlBackupEncryptionOption -Algorithm Aes256 -EncryptorType ServerCertificate -EncryptorName "BackupCert"

Backup-SqlDatabase -ServerInstance . -Database "<myDatabase>" -BackupFile "<myDatabase>.bak" -CompressionOption On -EncryptionOption $encryptionOption

推奨される運用

インスタンスがインストールされているローカルコンピューター以外の場所に暗号化証明書とキーのバックアップを作成します。ディザスターリカバリーシナリオに対応するには、証明書またはキーのバックアップをオフサイトに保管することを検討します。バックアップの暗号化に使用された証明書がないと、暗号化されたバックアップを復元することはできません。

暗号化されたバックアップを復元するには、復元先のインスタンスで、バックアップの作成時に使用された元の証明書および対応するサムプリントを使用できるようにしておく必要があります。このため証明書には、有効期限切れによる更新またはその他の変更を行わないでください。更新すると証明書が更新され拇印の変更が発生するため、バックアップファイルに対して証明書が無効になることがあります。復元を実行するアカウントには、バックアップ時に暗号化に使用される証明書または非対称キーに対する VIEW DEFINITION 権限が必要です。

可用性グループデータベースのバックアップは、通常は優先されるバックアップレプリカで実施します。バックアップを実施したのとは異なるレプリカでバックアップを復元する場合は、バックアップに使用した元の証明書が、復元先のレプリカで利用できることを確認してください。

データベースが TDE 対応の場合は、データベースの暗号化とバックアップに別々の証明書または非対象キーを選択することにより、セキュリティを強化します。

次の方法で共有

バックアップの暗号化

概要

メリット

前提条件

制限事項

アクセス許可

バックアップ暗号化方法

SQL Server Management Studio を使用します。

Transact-SQL の使用

PowerShell の使用

推奨される運用

フィードバック

その他のリソース

次の方法で共有

バックアップの暗号化

概要

メリット

前提条件

制限事項

アクセス許可

バックアップ暗号化方法

SQL Server Management Studio を使用します。

Transact-SQL の使用

PowerShell の使用

推奨される運用

関連するコンテンツ

フィードバック

その他のリソース