Always Encrypted with Intel SGX エンクレーブ移行ガイド

Azure SQL Database

Important

Always Encrypted with Intel Software Guard Extensions(Intel SGX)エンクレーブは2027年10月31日にサポート終了となります。 この日までに該当するデータベースを移行してください。 2027年10月31日以降、AzureはDCシリーズの計算層に残るデータベースを自動的にサポート済みの標準シリーズ(非DC)計算層に移行し、仮想化ベースのセキュリティ(VBS)エンクレーブを有効にします。

この記事では、Always Encrypted with Intel SGX enclaves の代替手段と、それぞれの代替手段に必要な変更について説明します。 代替案を選ぶ前にセキュリティに関する考慮事項を確認しましょう。 Intel SGX と VBS エンクレーブは、ゲスト オペレーティング システムおよびホストに起因する攻撃に対して、それぞれ異なる保護機能を提供します。

作業を開始する前に、対象の Azure SQL 論理サーバー、データベース、エラスティック プールを表示、変更できることを確認してください。 PowerShell では、Az PowerShell モジュールをインストールし、Azure にサインインしてください。 Azure CLI では、Azure CLI をインストールし、Azure にサインインしてください。 影響を受けるデータベースに接続するアプリケーションを一覧化し、移行中にそれらのドライバー、接続文字列、認証設定を更新できるようにします。

DC シリーズを使用しているデータベースを特定する

移行を計画する前に、DC シリーズを使用するすべての単一データベースとエラスティック プールを特定してください。 DCシリーズの弾力プール内のすべてのデータベースが影響を受けます。

Azure Portal

1. Azureポータルで、Azure SQLの論理サーバーにアクセスします。
2. 概要ページで利用可能なリソースを探してください。 この表には、論理サーバー上のデータベースが一覧表示されます。
3. 価格ティア列でフィルターを選択し、その後、一覧をDC-seriesで絞り込みます。
4. フィルター済みのリスト内の各データベースを記録する。 これらのデータベースは、DC シリーズおよび Intel SGX エンクレーブを使用しています。
5. お使いの環境内で Azure SQL データベースをホストしている各論理サーバーについて、これらの手順を繰り返します。

PowerShell

$resourceGroupName と $serverName を設定し、次のスクリプトを実行してください。 スクリプトは、指定された 論理サーバー上の独立したDCシリーズデータベースと、DCシリーズのエラスティックプール内のデータベースを返します。

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

ご利用の環境内でAzure SQLデータベースをホストしている各論理サーバーに対して、このスクリプトを実行してください。 スクリプトが行を返さない場合、指定されたサーバーにはDCシリーズを使用するデータベースが存在しません。

リソースグループと論理サーバー名を設定します。

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

Azure にサインインします。

az login

DCシリーズを使用するスタンドアロンデータベースの一覧:

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

サーバー上の DC シリーズのエラスティック プールを取得します:

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

前のコマンドで返された各 DC シリーズのエラスティック プールについて、そのデータベースを一覧表示します:

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

環境内のAzure SQLデータベースをホストする各論理サーバーごとにコマンドを実行してください。

移行パスを選択する

ワークロードに求められるセキュリティ要件とアプリケーション要件を満たす移行パスを選択してください。 以下の比較を出発点として使用し、選択したパスの詳細なガイダンスを確認してから本番環境に変更を加えてください。

移行経路	このオプションは、次の場合に使用します。	Attestation
Azure SQL Database の VBS エンクレーブ対応	Azure SQL Database を引き続き利用したいと考えており、VBS エンクレーブがセキュリティ要件を満たしています。	Azure SQL Database の VBS エンクレーブでは、構成証明はサポートされません。
SQL Server on an Azure confidential VM with VBS enclaves	ホスト オペレーターによるアクセスからゲスト OS を保護するのに役立つ、ハードウェアで強制される境界が必要です。	ホストガーディアンサービス(HGS)の認証は任意です。

単一のデータベースをVBSエンクレーブに移行する

Azure SQL Database でエンクレーブ対応機能を維持するには、このパスを使用します。

1. ワークロードのパフォーマンスと可用性要件を満たす 対応標準シリーズ(非DC)ハードウェア構成 を選択してください。
2. データベースを選択したハードウェア構成に移動します。
3. データベースのVBSエンクレーブを有効にしてください。 VBS エンクレーブを有効にすると、データベース プロパティ preferredEnclaveType は VBS に設定されます。
4. 構成証明のないVBSエンクレイブのクライアントドライバー要件を確認し、必要に応じてアプリケーションドライバーを更新してください。
5. 各アプリケーション接続が None エンクレーブ構成証明プロトコルを使用するように更新し、Microsoft Azure Attestation の URL を削除してください。 正確な接続文字列キーワードはクライアントドライバーによって異なります。
6. 移行後の検証を完了してください。

エラスティック プールを VBS エンクレーブに移行する

エラスティックプール内のすべてのデータベースは、プールのエンクレーブ構成を継承します。 Azure SQL エラスティック プール内のデータベースで、エンクレーブ対応機能を維持するには、このパスを使用します。

1. プールのパフォーマンスと可用性の要件を満たす、サポート対象の標準シリーズ (DC 以外) の構成を選択してください。 プール設定の変更については、Azure SQL Database のエラスティック プール管理を参照してください。
2. エラスティック プールで VBS エンクレーブを有効にする。 VBS エンクレーブを有効にすると、preferredEnclaveType プール プロパティが VBS に設定されます。
3. 証明のない VBS エンクレーブに関するクライアント ドライバーの要件を確認し、必要に応じてアプリケーション ドライバーを更新してください。
4. 各アプリケーションの接続設定を更新して、None エンクレーブ認証プロトコルを使用するように設定し、Microsoft Azure の認証 URL を削除します。 接続文字列の具体的なキーワードは、使用するクライアント ドライバーによって異なります。
5. プール内のすべてのデータベースについて、移行後の検証を完了してください。

Azure の機密 VM 上で SQL Server へ移行する

ホストのオペレーターによるアクセスからゲストOSを保護するための、ハードウェアによる強制的な境界が必要な場合は、この方法を検討してください。 Azure Confidential VM は、VM のメモリを暗号化し、Intel SGX エンクレーブとは異なるセキュリティ特性を提供します。 これらの違いを、あなたのセキュリティおよびコンプライアンス要件と比較して評価してください。

1. Azure 機密 VM に SQL Server をデプロイします。
2. エンクレイブ認証を使用するかどうかを選択してください:
   • SQL Server において、証明を使用せずにセキュアなエンクレーブを用いた「Always Encrypted」を計画します。
   • ホスト ガーディアン サービスの構成証明の計画。
3. 選択した認証オプションのガイダンスに従って、SQL Server インスタンス上で VBS エンクレーブを使用した Always Encrypted を構成します
4. データベース、ログイン、キー、アプリケーション接続、依存するリソースの移行を計画しましょう。
5. データベースのサイズ、ネットワーク構成、ダウンタイムの要件、サポートされているデータベースオブジェクトに基づいて、データ移行のオプションを選択します。 一般的なオプションは次のとおりです:
   • Azure Data Factory: コピー アクティビティを使用して、ソースとして Azure SQL Database コネクタを、シンクとして SQL Server コネクタを指定します。 ADF は Always Encrypted 列をバイナリ値または暗号文として扱い、列マスター キーにアクセスすることなく移動します。
   • スマート一括コピー: スマート一括コピーを使用して、Azure SQL Database から SQL Server へスキーマとデータをコピーします。 移行を行う前に、ツールの前提条件と制限事項を確認してください。
   • BACPAC: データ層アプリケーションでサポートされるオブジェクトを含む小規模なデータベースには、BACPAC を検討してください。 Always Encrypted データは、エクスポートとインポート中も暗号化されたままとなり、BACPAC には Always Encrypted キーのメタデータが含まれます。 詳細については、Always Encrypted を使用したデータベースのエクスポートとインポート、BACPAC ファイルのエクスポート、BACPAC ファイルをインポートして新しいデータベースを作成するを参照してください。
6. SQL Server インスタンスと選択した認証オプションに合わせて、アプリケーションの接続文字列を更新します。
7. 移行後の検証を完了してください。

移行を検証する

ワークロードを本番環境に移行する前に:

1. Always Encrypted が有効な状態で、アプリケーションが接続できることを確認してください。
2. 暗号化された列を使った代表的なクエリを実行し、対象環境がセキュアエンクレーブを使用している場合は、エンクレーブ計算を必要とするクエリも含めて実行します。
3. 暗号化された列に対する挿入、更新、削除、インデックス操作が、期待どおりに動作することを確認してください。
4. アプリケーションのパフォーマンスをテストし、必要に応じて対象のコンピューティング構成を調整します。
5. 事業継続、災害復旧、フェイルオーバーの手順をテストしてください。 ワークロードでエンクレーブ対応操作を使用する場合は、すべてのデータベース レプリカがセキュア エンクレーブをサポートしている必要があります。
6. カットオーバーを完了する前に、アプリケーションにおいてエンクレーブ、照明、クエリのエラーがないことを監視してください。

関連するコンテンツ

• セキュリティで保護されたエンクレーブが設定された Always Encrypted のドキュメント
• チュートリアル: セキュリティで保護されたエンクレーブが設定された Always Encrypted の使用を開始する
• セキュリティで保護されたエンクレーブが設定された Always Encrypted を構成して使用する