CREATE COLUMN MASTER KEY (Transact-SQL)

[アーティクル]
05/30/2023

適用対象: SQL Server 2016 (13.x) 以降 Azure SQL Database Azure SQL Managed Instance

データベースに列マスターキーメタデータオブジェクトを作成します。列マスターキーメタデータエントリは、外部キーストアに格納されたキーを表します。 Always Encrypted またはセキュリティで保護されたエンクレーブが設定された Always Encrypted を使用していると、そのキーによって列暗号化キーが保護 (暗号化) されます。複数の列マスターキーを使用してキーのローテーションを定期的に行い、セキュリティを強化できます。 SQL Server Management Studio のオブジェクトエクスプローラーまたは PowerShell を使用して、キーストアに列マスターキーを作成し、データベースに関連するメタデータオブジェクトを作成します。詳しくは、「Always Encrypted のキー管理の概要」をご覧ください。

Transact-SQL 構文表記規則

重要

(ENCLAVE_COMPUTATIONS を使用した) エンクレーブ対応のキーの作成には、セキュリティで保護されたエンクレーブが設定された Always Encrypted が必要です。

構文

CREATE COLUMN MASTER KEY key_name   
    WITH (  
        KEY_STORE_PROVIDER_NAME = 'key_store_provider_name',  
        KEY_PATH = 'key_path'   
        [,ENCLAVE_COMPUTATIONS (SIGNATURE = signature)]
         )   
[;]

引数

key_name
データベース内の列マスターキーの名前。

key_store_provider_name
キーストアプロバイダーの名前を指定します。キーストアプロバイダーは、列マスターキーが含まれるキーストアを保持するクライアント側ソフトウェアコンポーネントです。

Always Encrypted が有効なクライアントドライバーでは次のことが行われます。

キーストアプロバイダー名が使用されます
キーストアプロバイダーのドライバーのレジストリでキーストアプロバイダーが検索されます

その後、ドライバーでは、プロバイダーを使用して列暗号化キーの暗号化が解除されます。列暗号化キーは、列マスターキーによって保護されています。列マスターキーは、基になるキーストアに格納されています。その後、列暗号化キーのプレーンテキスト値を使用して、暗号化されたデータベースの列に対応するクエリパラメーターが暗号化されます。または、列暗号化キーで、暗号化された列からのクエリ結果の暗号化が解除されます。

Always Encrypted が有効なクライアントドライバーライブラリには、一般的なキーストア用のキーストアプロバイダーが含まれます。

使用可能なプロバイダーのセットは、クライアントドライバーの種類とバージョンによって異なります。特定のドライバーについては、Always Encrypted の次のドキュメントをご覧ください。Always Encrypted を使用したアプリケーションの開発。

次の表では、システムプロバイダーの名前を示します。

キーストアプロバイダーの名前	基になっているキーストア
'MSSQL_CERTIFICATE_STORE'	Windows 証明書ストア
'MSSQL_CSP_PROVIDER'	Microsoft CryptoAPI をサポートするハードウェアセキュリティモジュール (HSM) などのストア。
'MSSQL_CNG_STORE'	ハードウェアセキュリティモジュール (HSM) など、Cryptography API: Next Generation をサポートするストア。
'AZURE_KEY_VAULT'	「Azure Key Vault の使用を開始する」をご覧ください
'MSSQL_JAVA_KEYSTORE'	Java キーストア。

Always Encrypted が有効なクライアントドライバーでは、組み込みのキーストアプロバイダーがない列マスターキーを格納するカスタムキーストアプロバイダーを設定することができます。カスタムキーストアプロバイダーの名前を "MSSQL_" で始めることはできません。これは、Microsoft キーストアプロバイダー用に予約されているプレフィックスです。

key_path
列マスターキーストア内のキーのパス。キーのパスは、データを暗号化および暗号化を解除することが予想される各クライアントアプリケーションに対して有効である必要があります。データは、参照されている列マスターキーによって (間接的に) 保護されている列に格納されます。クライアントアプリケーションには、キーへのアクセス権が必要です。キーのパスの形式は、キーストアプロバイダーに固有です。次の一覧では、特定の Microsoft システムキーストアプロバイダーのキーパスの形式を説明します。

プロバイダー名: MSSQL_CERTIFICATE_STORE

キーパス形式: CertificateStoreName/CertificateStoreLocation/CertificateThumbprint

ここで:

CertificateStoreLocation
証明書ストアの場所。現在のユーザーまたはローカルマシンにする必要があります。詳しくは、「Local Machine and Current User Certificate Stores」(ローカルマシンおよび現在のユーザーの証明書ストア) をご覧ください。

CertificateStore
証明書ストアの名前 (例: "My")。

CertificateThumbprint
証明書のサムプリント。

例:
```
N'CurrentUser/My/BBF037EC4A133ADCA89FFAEC16CA5BFA8878FB94'  

N'LocalMachine/My/CA5BFA8878FB94BBF037EC4A133ADCA89FFAEC16'  
```
プロバイダー名: MSSQL_CSP_PROVIDER

キーパス形式: ProviderName/KeyIdentifier

ここで:

ProviderName
列マスターキーストアの暗号サービスプロバイダー (CSP) の名前。CAPI が実装されています。キーストアとして HSM を使用する場合、プロバイダー名は HSM ベンダー提供の CSP の名前にする必要があります。クライアントコンピューターにプロバイダーをインストールする必要があります。

KeyIdentifier
キーストア内のキーの識別子。列マスターキーとして使用されます。

例:
```
N'My HSM CSP Provider/AlwaysEncryptedKey1'  
```
プロバイダー名: MSSQL_CNG_STORE

キーパス形式: ProviderName/KeyIdentifier

ここで:

ProviderName
キーストレージプロバイダー (KSP) の名前。列マスターキーストアの場合、Cryptography: Next Generation (CNG) API を実装しています。キーストアとして HSM を使用する場合、プロバイダー名は HSM ベンダー提供の KSP の名前にする必要があります。クライアントコンピューターにプロバイダーをインストールする必要があります。

KeyIdentifier
キーストア内のキーの識別子。列マスターキーとして使用されます。

例:
```
N'My HSM CNG Provider/AlwaysEncryptedKey1'  
```
プロバイダー名: AZURE_KEY_STORE

キーパス形式: KeyUrl

ここで:

KeyUrl
Azure Key Vault 内のキーの URL

ENCLAVE_COMPUTATIONS
列マスターキーがエンクレーブ対応であることを指定します。列マスターキーで暗号化されたすべての列暗号化キーを、サーバー側のセキュリティで保護されたエンクレーブと共有し、エンクレーブ内の計算に使用できます。詳細については、「セキュアエンクレーブを使用する Always Encrypted」を参照してください。

signature
"キーのパス" のデジタル署名と列マスターキーでの ENCLAVE_COMPUTATIONS の設定の結果であるバイナリリテラル。署名には、ENCLAVE_COMPUTATIONS が指定されているかどうかが反映されます。この署名は、承認されていないユーザーが符号付きの値を変更できないようにします。 Always Encrypted 対応のクライアントドライバーでは、署名が検証されて、署名が無効な場合はアプリケーションにエラーが返されます。署名は、クライアント側のツールを使用して生成されている必要があります。詳細については、「セキュアエンクレーブを使用する Always Encrypted」を参照してください。

解説

データベースに列暗号化キーメタデータエントリを作成する前、および Always Encrypted を使用してデータベース内の列を暗号化する前に、列マスターキーメタデータエントリを作成します。メタデータ内の列マスターキーエントリには、実際の列マスターキーは含まれません。列マスターキーは、(SQL Server の外部にある) 外部列キーストアに格納する必要があります。メタデータ内のキーストアプロバイダー名と列マスターキーパスは、クライアントアプリケーションに対して有効である必要があります。クライアントアプリケーションでは、列マスターキーを使用して、列暗号化キーの暗号化を解除する必要があります。列暗号化キーは、列マスターキーで暗号化されています。また、クライアントアプリケーションでは、暗号化された列のクエリを実行する必要があります。

SQL Server Management Studio (SSMS) や PowerShell などのツールを使って、列マスターキーを管理することをお勧めします。そのようなツールを使うと、署名を生成し (セキュリティで保護されたエンクレーブが設定された Always Encrypted を使っている場合)、CREATE COLUMN MASTER KEY ステートメントを自動的に発行して列暗号化キーのメタデータオブジェクトを作成することができます。「SQL Server Management Studio を使用して Always Encrypted キーをプロビジョニングする」および「PowerShell を使用した Always Encrypted キーのプロビジョニング」を参照してください。

アクセス許可

ALTER ANY COLUMN MASTER KEY 権限が必要です。

例

A. 列マスターキーを作成する

次の例では、列マスターキーの列マスターキーメタデータエントリを作成します。列マスターキーは、MSSQL_CERTIFICATE_STORE プロバイダーを使用して列マスターキーにアクセスするクライアントアプリケーションの証明書ストアに格納されます。

CREATE COLUMN MASTER KEY MyCMK  
WITH (  
     KEY_STORE_PROVIDER_NAME = N'MSSQL_CERTIFICATE_STORE',   
     KEY_PATH = 'Current User/Personal/f2260f28d909d21c642a3d8e0b45a830e79a1420'  
   );

列マスターキーの列マスターキーメタデータエントリを作成します。 MSSQL_CNG_STORE プロバイダーを使用するクライアントアプリケーションが、列マスターキーにアクセスします。

CREATE COLUMN MASTER KEY MyCMK  
WITH (  
    KEY_STORE_PROVIDER_NAME = N'MSSQL_CNG_STORE',    
    KEY_PATH = N'My HSM CNG Provider/AlwaysEncryptedKey'  
);

列マスターキーの列マスターキーメタデータエントリを作成します。列マスターキーは、AZURE_KEY_VAULT プロバイダーを使用して列マスターキーにアクセスするクライアントアプリケーション用に、Azure キーコンテナーに格納されます。

CREATE COLUMN MASTER KEY MyCMK  
WITH (  
    KEY_STORE_PROVIDER_NAME = N'AZURE_KEY_VAULT',  
    KEY_PATH = N'https://myvault.vault.azure.net:443/keys/  
        MyCMK/4c05f1a41b12488f9cba2ea964b6a700');

列マスターキーの列マスターキーメタデータエントリを作成します。列マスターキーは、カスタム列マスターキーストアに格納されます。

CREATE COLUMN MASTER KEY MyCMK  
WITH (  
    KEY_STORE_PROVIDER_NAME = 'CUSTOM_KEY_STORE',    
    KEY_PATH = 'https://contoso.vault/sales_db_tce_key'  
);

B. エンクレーブ対応の列マスターキーを作成します

次の例では、エンクレーブ対応の列マスターキーに対する列マスターキーメタデータエントリを作成します。エンクレーブ対応の列マスターキーは、MSSQL_CERTIFICATE_STORE プロバイダーを使用して列マスターキーにアクセスするクライアントアプリケーションの証明書ストアに格納されます。

CREATE COLUMN MASTER KEY MyCMK  
WITH (  
     KEY_STORE_PROVIDER_NAME = N'MSSQL_CERTIFICATE_STORE',   
     KEY_PATH = 'Current User/Personal/f2260f28d909d21c642a3d8e0b45a830e79a1420'  
     ENCLAVE_COMPUTATIONS (SIGNATURE = 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
  );

エンクレーブ対応の列マスターキーに対する列マスターキーメタデータエントリを作成します。エンクレーブ対応の列マスターキーは、AZURE_KEY_VAULT プロバイダーを使用して列マスターキーにアクセスするクライアントアプリケーション用に、Azure キーコンテナーに格納されます。

CREATE COLUMN MASTER KEY MyCMK
WITH (
	KEY_STORE_PROVIDER_NAME = N'AZURE_KEY_VAULT',
	KEY_PATH = N'https://myvault.vault.azure.net:443/keys/MyCMK/4c05f1a41b12488f9cba2ea964b6a700',
	ENCLAVE_COMPUTATIONS(SIGNATURE = 0xA80F5B123F5E092FFBD6014FC2226D792746468C901D9404938E9F5A0972F38DADBC9FCBA94D9E740F3339754991B6CE26543DEB0D094D8A2FFE8B43F0C7061A1FFF65E30FDDF39A1B954F5BA206AAC3260B0657232020582413990261D878318CC38EF4E853970ED69A8D4A306693B8659AAC1C4E4109DE5EB148FD0E1FDBBC32F002C1D8199D313227AD689279D8DEEF91064DF122C19C3767C463723AB663A6F8412AE17E745922C0E3A257EAEF215532588ACCBD440A03C7BC100A38BD0609A119E1EF7C5C6F1B086C68AB8873DBC6487B270340E868F9203661AFF0492CEC436ABF7C4713CE64E38CF66C794B55636BFA55E5B6554AF570CF73F1BE1DBD)
);

次の方法で共有

CREATE COLUMN MASTER KEY (Transact-SQL)

構文

引数

解説

アクセス許可

例

A. 列マスターキーを作成する

B. エンクレーブ対応の列マスターキーを作成します

参照

フィードバック

その他のリソース

次の方法で共有

CREATE COLUMN MASTER KEY (Transact-SQL)

構文

引数

解説

アクセス許可

例

A. 列マスター キーを作成する

B. エンクレーブ対応の列マスター キーを作成します

参照

フィードバック

その他のリソース

A. 列マスターキーを作成する

B. エンクレーブ対応の列マスターキーを作成します