적용 대상: Azure Synapse Analytics 전용 SQL 풀(이전의 SQL DW)
Tip
Microsoft Fabric Data Warehouse는 데이터 레이크 기반의 엔터프라이즈 규모 관계형 웨어하우스로, 미래 대비 아키텍처, 기본 제공 AI 및 새로운 기능을 제공합니다. 데이터 웨어하우징이 처음이라면, Fabric Data Warehouse부터 시작하세요. 기존 전용 SQL 풀 워크로드는 업그레이드하면 Fabric을 통해 데이터 과학, 실시간 분석 및 보고 전반에 걸쳐 새로운 기능에 액세스할 수 있습니다.
고객 관리형 키(CMK)를 사용한 TDE(투명한 데이터 암호화)를 사용하면 미사용 데이터 보호를 위한 BYOK(Bring Your Own Key) 시나리오가 가능하며 조직에서 키와 데이터 관리 시 업무 분리를 구현할 수 있습니다. 고객 관리형 TDE를 사용하면 키 수명 주기 관리(키 만들기, 업로드, 교체, 삭제), 키 사용 권한 및 키 관련 작업에 대한 감사에 대해 전적인 책임과 통제권을 갖게 됩니다.
이 시나리오에서 투명한 데이터 암호화(TDE) 보호기는 데이터베이스 암호화 키(DEK)를 보호하는 고객이 관리하는 키입니다. TDE 보호기는 Azure Key Vault 또는 Azure Key Vault Managed HSM에 저장하는데, 이 두 서비스는 고가용성과 확장성을 위해 설계된 안전한 클라우드 기반 키 관리 서비스입니다. 두 서비스 모두 FIPS 140-2 검증 하드웨어로 보호되는 암호화 키를 지원합니다: Azure Key Vault는 FIPS 140-2 레벨 2를 지원하고, Azure Key Vault Managed HSM은 FIPS 140-2 레벨 3을 지원합니다. 두 서비스 모두 비대칭 및 대칭 키 타입을 지원하며, 지원되는 알고리즘과 사용법은 TDE 배포 모델에 따라 다릅니다. 키는 서비스에서 생성하거나, 가져오거나, 온 프레미스 HSM에서 안전하게 전송할 수 있습니다. 키에 대한 직접 접근이 제한되므로, 권한 있는 서비스는 키 자료를 노출하지 않고 암호학적 작업을 수행합니다.
Note
이 글에서는 독립형 전용 SQL 풀(이전 명칭: SQL DW)에 대해 다룹니다.
- Azure Synapse Analytics 전용 SQL 풀(이전 명칭: SQL DW)의 경우, TDE 보호기를 서버 수준에서 설정하세요. 해당 서버와 연관된 모든 암호화된 데이터베이스는 TDE 프로텍터를 상속받습니다.
- Synapse 작업 공간 내 전용 SQL 풀과 서버리스 SQL 풀에서 데이터를 작업 공간 수준에서 설정된 고객 관리 키를 사용해 암호화합니다. Synapse 작업 영역 내의 전용 SQL 풀에 대한 투명한 데이터 암호화에 대한 자세한 내용은 Azure Synapse Analytics 암호화를 참조하세요.
CMK(고객 관리형 키) 및 BYOK(Bring Your Own Key)
이 문서에서는 CMK(고객 관리형 키) 및 BYOK(Bring Your Own Key)라는 용어가 서로 바꿔서 사용되지만 몇 가지 차이점을 나타냅니다.
고객 관리 키(CMK) - 키 생성, 키 교체, 삭제를 포함한 키 수명 주기를 관리합니다. 키를 Azure Key Vault 또는 Azure Managed HSM에 저장하고 데이터베이스 암호화 키(DEK)의 암호화에 사용하세요.
Bring Your Own Key (BYOK) - 온-프레미스 하드웨어 보안 모듈(HSM)에서 Azure Key Vault로 자신의 키를 안전하게 가져오거나 가져옵니다. 이러한 가져온 키는 DEK 암호화를 위한 고객 관리형 키를 포함하여 Azure Key Vault의 다른 키로 사용될 수 있습니다. 자세한 내용은 HSM으로 보호된 키를 관리형 HSM으로 가져오기(BYOK)를 참조하세요.
고객 관리형 TDE의 이점
고객 관리 TDE는 다음과 같은 이점을 제공합니다:
TDE 보호기의 사용 및 관리에 대한 전체 및 세분화된 제어
TDE 보호기 사용의 투명도입니다.
조직 내의 키 및 데이터 관리에서 업무 분리를 구현하는 기능.
Azure Key Vault 관리자는 암호화된 데이터베이스에 액세스할 수 없도록 키 액세스 권한을 취소할 수 있습니다.
Azure Key Vault에서 키의 중앙 관리.
Azure Key Vault는 Microsoft에서 암호화 키를 보거나 추출할 수 없도록 설계되었으므로 최종 고객의 신뢰도를 높입니다.
Important
서비스 관리형 TDE를 사용 중인 고객이 고객 관리형 TDE로 전환하려는 경우, 전환 과정 동안 데이터가 암호화된 상태로 유지되며, 다운타임이 없고 데이터베이스 파일 재암호화도 없습니다. 서비스 관리형 키에서 고객 관리형 키로 전환하려면 빠른 온라인 작업인 DEK를 다시 암호화해야 합니다.
Azure Key Vault에서 customer-managed TDE를 구성할 권한
사용하려는 Azure Key Vault 유형을 선택합니다.
Azure의 SQL 논리 서버가 Azure Key Vault에 저장된 TDE 보호기를 사용하여 DEK를 암호화하려면, Key Vault 관리자는 서버의 고유한 Microsoft Entra ID를 사용해 서버에 액세스 권한을 부여해야 합니다. 서버 ID는 시스템 할당 관리 ID 또는 서버에 할당된 사용자 할당 관리 ID일 수 있습니다. 키 자격 증명 모음에 대한 액세스 권한을 서버에 부여하는 두 가지 액세스 모델이 있습니다.
Azure RBAC(역할 기반 액세스 제어) - Azure RBAC를 사용하여 키 자격 증명 모음에 대한 사용자, 그룹 또는 애플리케이션 액세스 권한을 부여합니다. 이 메서드는 유연성과 세분성을 위해 권장됩니다. 서버 신원은 암호화 및 복호화 작업에 키를 사용하려면 Key Vault Crypto Service Encryption User 역할이 필요합니다.
보관소 액세스 정책 - 키 보관소 액세스 정책을 사용하여 키 보관소에 대한 서버 액세스 권한을 부여합니다. 이 메서드는 더 간단하고 간단하지만 덜 유연합니다. 서버 신원은 Key Vault에 대해 다음과 같은 권한이 필요합니다:
- get - Azure Key Vault에서 키의 공개 부분 및 속성을 검색하기 위한 것입니다.
- wrapKey - DEK를 보호(암호화)할 수 있습니다.
- unwrapKey - DEK를 보호 해제(암호 해독)할 수 있도록 합니다.
키 자격 증명 모음의 액세스 구성 Azure 포털 메뉴에서 Azure 역할 기반 액세스 제어 또는 자격 증명 모음 액세스 정책을 선택할 수 있습니다. TDE용 Azure Key Vault 액세스 구성 설정에 대한 단계별 지침은 Azure Key Vault를 사용하여 SQL Server TDE 확장 가능 키 관리 설정을 참조하세요. 액세스 모델에 대한 자세한 내용은 Azure Key Vault 보안을 참조하세요.
또한 Key Vault 관리자는 키 자격 증명 모음 감사 이벤트 로깅을 사용하도록 설정하여 나중에 감사할 수도 있습니다.
Azure Key Vault에서 TDE 보호기를 사용하도록 서버를 설정하면, 서버는 TDE가 활성화된 각 데이터베이스의 DEK를 암호화를 위해 키 볼트로 보냅니다. 키 볼트는 암호화된 DEK를 반환하며, 서버는 이를 사용자 데이터베이스에 저장합니다.
필요할 때 서버는 보호된 DEK를 복호화를 위해 키 금고로 보냅니다.
감사자는 로깅이 활성화되어 있다면 Azure Monitor를 사용해 Key Vault AuditEvent 로그를 검토할 수 있습니다.
Note
키 금고에 대한 권한 변경이 적용되기까지 약 10분 정도 걸릴 수 있습니다. 이번에는 AKV에서 TDE 보호기에 대한 액세스 권한을 취소하는 것도 포함되며, 사용자는 여전히 액세스 권한을 가질 수 있습니다.
Azure Key Vault에서 고객 관리형 TDE를 구성하기 위한 요구 사항
Azure Key Vault에서 소프트 삭제 및 영구 삭제 방지 기능을 활성화하세요. 이렇게 구성하면 데이터베이스에 액세스할 수 없는 상태가 될 수 있는 우발적이거나 악의적인 키 자격 증명 모음 또는 키 삭제를 방지하는 데 유용합니다. 기존 서버에서 TDE 프로텍터를 설정하거나 서버 생성 중에 Azure SQL이 사용 중인 키 볼트에 소프트 삭제 및 정리 보호가 켜져 있는지 검증합니다. 키 자격 증명 모음에서 일시 삭제 및 제거 보호를 사용하도록 설정되어 있지 않으면 오류가 표시되고 TDE 보호기 설정이 실패합니다. 이 경우 키 자격 증명 모음에서 임시 삭제와 제거 방지를 활성화한 후 TDE 보호기 설정을 수행합니다.
Azure Key Vault에서 방화벽을 사용하는 경우 Azure Key Vault에 프라이빗 엔드포인트를 사용하지 않는 한 신뢰할 수 있는 Microsoft 서비스가 방화벽을 바이패스하도록 허용하는 옵션을 사용하도록 설정해야 합니다. 자세한 내용은 Azure Key Vault 방화벽 및 가상 네트워크 구성을 참조하세요.
TDE 보호기를 구성하기 위한 주요 요구 사항
고객 관리 키가 적용된 투명한 데이터 암호화은 Azure Key Vault에 저장된 TDE 프로텍터라고 하는 외부 키를 사용하여 데이터베이스 암호화 키(DEK)를 보호합니다.
다음 요구 사항이 적용됩니다.
지원되는 키 유형 및 크기
TDE 보호기는 Azure Key Vault에 저장된 비대칭 키로 보호될 수 있습니다. 지원되는 키 길이는 2,048비트와 3,072비트입니다.
주요 상태 및 유효성 요구 사항
- 키 활성화 날짜를 지정했다면, 과거의 날짜와 시간으로 설정하세요.
- 키 만료일을 지정했다면, 미래의 날짜와 시간으로 설정하세요.
- 키가 사용 상태여야 합니다.
주요 가져오기 요구 사항
기존 키를 Azure Key Vault에 가져오면, 다음 지원 형식 중 하나로 키를 제공하세요:
.pfx.byok.backup
Azure Key Vault에서 고객 관리형 TDE를 구성하기 위한 권장 사항
고가용성을 유지하고 제한 문제를 방지하려면 구독당 다음 지침을 따르세요.
최적의 성능과 신뢰성을 위해 Azure SQL에 전용 Azure Key Vault를 사용하세요. 이 키 금고를 다른 서비스와 공유하지 마세요. 키 볼트가 공유 사용이나 과도한 키 연산으로 인해 과도한 부하를 받으면, 특히 암호화 키 접근 시 데이터베이스 성능에 부정적인 영향을 줄 수 있습니다. Azure Key Vault는 속도 제어 제한을 적용합니다. 이러한 제한을 초과하면 작업이 지연되거나 실패할 수 있습니다. 이 위험은 서버 장애 조치(failover)에서 가장 높으며, 서버 내 모든 데이터베이스에 대한 키 작업을 트리거합니다.
스로틀링 동작에 대한 자세한 내용은 Azure Key Vault 스로틀링 가이드를 참조하세요.
단일 Azure Key Vault에 연결할 수 있는 하이퍼스케일 데이터베이스의 수는 페이지 서버 수에 따라 달라집니다. 각 페이지 서버는 논리 데이터 파일에 연결됩니다. 페이지 서버 수를 찾으려면 다음 쿼리를 실행하세요.
-- # of page servers (primary copies) for this database SELECT COUNT(*) AS page_server_count FROM sys.database_files WHERE type_desc = 'ROWS';500개 이상의 페이지 서버를 하나의 Azure Key Vault에 연결하지 마세요. 데이터베이스가 증가함에 따라 페이지 서버 수가 자동으로 증가하므로 데이터베이스 크기를 정기적으로 모니터링하는 것이 중요합니다. 페이지 서버 수가 500개를 초과한다면, 각 하이퍼스케일 데이터베이스마다 전용 Azure Key Vault를 사용하고, 그 키 볼트를 다른 Azure SQL 리소스와 공유하지 마세요.
Azure Key Vault 경고를 모니터링하고 구성합니다. 모니터링 및 알림에 관한 자세한 내용은 Azure Key Vault 모니터링 및 Azure Key Vault 경고 구성을 참조하세요.
이 중요한 리소스를 삭제할 수 있는 사용자를 제어하고 실수로 또는 무단 삭제를 방지하려면 키 자격 증명 모음에 리소스 잠금을 설정합니다. 리소스 잠금에 대해 자세히 알아보려면.
모든 암호화 키에 대한 감사 및 보고 사용: Azure Key Vault는 다른 보안 정보 및 이벤트 관리 도구에 쉽게 삽입할 수 있는 로그를 제공합니다. Operations Management Suite Log Analytics 는 이미 통합된 서비스의 한 예입니다.
최대 가용성을 위해 콘텐츠를 페어링된 지역으로 복제할 수 있는 Azure 지역의 키 보관소를 사용합니다. 자세한 내용은 Azure Key Vault 사용 모범 사례 , Azure Key Vault 및 Azure Key Vault 가용성 및 중복성 을 참조하세요.
TDE 보호기를 구성하기 위한 권장 사항
TDE 보호기의 복사본을 안전한 위치에 보관하거나 에스크로 서비스로 에스크로합니다.
키 볼트에서 키를 생성했다면, Azure Key Vault에서 키를 처음 사용하기 전에 키 백업을 생성하세요. 백업은 Azure Key Vault에만 복원할 수 있습니다. 자세히 알아보려면 Backup-AzKeyVaultKey 명령을 참조하세요. Azure Managed HSM은 모든 키, 버전, 특성, 태그 및 역할 할당을 포함하여 HSM의 전체 콘텐츠에 대한 전체 백업을 생성할 수 있습니다. 자세한 내용은 전체 백업 및 복원 및 선택적 키 복원을 참조하세요.
키를 변경할 때마다(예: 키 속성, 태그, ACL) 새 백업을 생성하세요.
키의 이전 버전을 유지하여 키를 교체할 때 키 자격 증명 모음 또는 Managed HSM에 보관하면 이전 데이터베이스 백업을 복원할 수 있습니다. 데이터베이스에 대한 TDE 보호기가 변경될 때, 데이터베이스의 오래된 백업은 최신 TDE 보호기를 사용하도록 업데이트되지 않습니다 . 복원 시 각 백업에는 만들 때 암호화한 TDE 보호기가 필요합니다. 키를 회전시키려면 '투명 데이터 암호화(TDE) 보호기 회전하기'라는 기사의 지침을 따르세요.
서비스 관리 키로 전환한 후에도 이전에 사용한 모든 키를 Azure Key Vault에 보관하세요. Azure Key Vault에 저장된 TDE 보호기로 데이터베이스 백업이 복원될 수 있도록 보장합니다. Azure Key Vault로 생성된 TDE 보호기는 남아 있는 저장된 모든 백업이 서비스 관리형 키로 생성될 때까지 유지해야 합니다. Backup-AzKeyVaultKey를 사용하여 이 키들에 대한 복구 가능한 백업 사본을 만드세요.
데이터 손실의 위험 없이 보안 인시던트 중에 잠재적으로 손상된 키를 제거하려면 PowerShell을 사용하여 TDE(투명한 데이터 암호화) 보호기 제거 문서의 단계를 따르세요. 손상된 키를 삭제하거나 사용하지 않도록 설정하기 전에 항상 새 TDE 보호기로 회전하고 모든 데이터베이스가 새 키를 사용하고 있는지 확인합니다. 키를 먼저 교체하지 않고 삭제하거나 비활성화하면 모든 암호화된 데이터베이스가 접근 불가능해지고, 이전에 백업 후 다른 금고에 복원된 키 복사본은 무효화되지 않습니다.
TDE 보호기 회전
TDE 보호기를 교체하면 데이터베이스 암호화 키(DEK)를 보호하는 키를 교체합니다. 키 순환은 온라인으로 진행되며 몇 초밖에 걸리지 않습니다. 이 작업은 전체 데이터베이스가 아니라 데이터베이스 암호화 키만 복호화하고 재암호화합니다.
Azure Key Vault에 저장된 새 키를 사용하도록 설정을 전환하면 TDE 프로텍터를 교체할 수 있습니다. 제공되는 서비스와 지원되는 구성에 따라 이 키는 다음과 같습니다:
- 동일한 키의 새 키 버전으로 전환
- 다른 키로 전환
TDE 보호기의 회전은 수동으로 또는 자동화된 회전 기능을 사용하여 수행할 수 있습니다.
서버용 TDE 프로텍터를 설정할 때 TDE 프로텍터의 자동 회전을 활성화할 수 있습니다. 자동화된 회전은 기본적으로 사용하지 않도록 설정됩니다. 활성화되면 서버는 TDE 보호기로 사용되는 키의 새로운 버전이 있는지 키 금고에서 지속적으로 확인합니다. 서버가 새로운 키 버전을 감지하면 24시간 이내에 서버나 데이터베이스의 TDE 보호기를 최신 키 버전으로 자동으로 교체합니다.
Note
CMK로 TDE를 키를 수동 또는 자동으로 회전하여 설정할 때는 항상 시스템에서 지원하는 최신 버전의 키를 사용합니다. 설정에서는 이전 또는 하위 버전의 키를 사용할 수 없습니다. 항상 최신 키 버전을 사용하는 것은 손상될 수 있는 이전 키 버전을 허용하지 않는 Azure SQL 보안 정책을 준수합니다.
액세스할 수 없는 TDE 보호기
TDE를 고객이 관리하는 키를 사용하도록 설정하면, 데이터베이스는 온라인 상태를 유지하기 위해 TDE 프로텍터에 지속적으로 접근해야 합니다. 서버가 Azure Key Vault에서 고객이 관리하는 TDE 보호기에 접근할 수 없게 되면, 데이터베이스는 10분 이내에 모든 연결을 거부하고 오류 메시지를 표시하며 상태를 액세스할 수 없음으로 변경합니다. 액세스할 수 없는 상태의 데이터베이스에서 허용되는 유일한 작업은 삭제하는 것입니다.
액세스할 수 없는 상태
간헐적인 네트워킹 중단(예: 5XX 오류)으로 인해 데이터베이스에 액세스할 수 없는 경우 데이터베이스가 자동으로 온라인 상태가 되므로 아무 작업도 필요하지 않습니다. Azure Key Vault에서 TDE 보호기에 접근할 때 발생하는 네트워크 오류나 장애의 영향을 줄이기 위해, 서비스는 데이터베이스를 접근 불가능한 상태로 전환하기 전에 24시간 버퍼를 도입합니다. 액세스할 수 없는 상태에 도달하기 전에 장애 조치(failover)가 발생하면 암호화 캐시 손실로 인해 데이터베이스를 사용할 수 없게 됩니다.
Azure Key Vault 오류(예: 4XX 오류)로 인해 서버가 Azure Key Vault 내 고객 관리 TDE 프로텍터에 대한 액세스 권한을 잃으면, 데이터베이스는 30분 후 액세스할 수 없는 상태로 전환됩니다.
Azure Key Vault 오류 후 데이터베이스 액세스 복원
키에 대한 액세스가 복원되면 데이터베이스를 다시 온라인 상태로 만들기 위해서는 추가 시간과 단계가 필요하며, 이는 키가 사용할 수 없는 기간과 데이터베이스 내의 데이터 크기에 따라 달라질 수 있습니다.
키 액세스가 30분 이내에 복원되면 데이터베이스는 이후 1시간 내에 자동으로 복구됩니다. 그러나 30분 이상 후에 키 액세스가 복원되면 데이터베이스의 자동 복구가 불가능합니다. 이러한 경우 데이터베이스 복원에는 Azure Portal을 통한 추가 절차가 포함되며 데이터베이스 크기에 따라 시간이 오래 걸릴 수 있습니다.
데이터베이스가 다시 온라인 상태가 되면, 장애 조치(failover) 그룹 구성 및 태그를 포함한 서버 수준 설정과 탄력적 풀 구성, 읽기 확장, 자동 일시 중지, 지정 시간 복원 기록, 장기 보존 정책 등을 포함한 데이터베이스 수준 설정 등 이전에 구성된 모든 설정이 손실됩니다. 따라서 고객은 30분 이내에 암호화 키 액세스의 손실을 감지하는 알림 시스템을 구현하는 것이 좋습니다. 30분 기간이 만료된 후 복구된 데이터베이스의 모든 서버 및 데이터베이스 수준 설정의 유효성을 검사하는 것이 좋습니다.
다음은 액세스할 수 없는 데이터베이스를 다시 온라인 상태로 만들기 위해 포털에 필요한 추가 단계를 보여줍니다.
실수로 인한 TDE 보호기 액세스 해지
키 자격 증명 모음 또는 관리되는 HSM에 대한 충분한 액세스 권한을 가진 사용자가 다음과 같은 실수로 인해 키에 대한 서버 액세스 권한을 사용하지 않도록 설정하는 문제가 발생할 수 있습니다.
서버에서 키 자격 증명 모음 또는 관리되는 HSM의 get, wrapKey, unwrapKey 권한을 해지합니다
키 삭제
키 볼트 또는 관리형 HSM 삭제
키 자격 증명 모음 또는 관리되는 HSM 방화벽 규칙 변경
Microsoft Entra ID에서 서버의 관리 ID 삭제
데이터베이스에 액세스할 수 없게 되는 일반적인 원인에 대해 자세히 알아봅니다.
SQL Managed Instance와 Azure Key Vault 간 연결 차단
SQL Managed Instance와 키 자격 증명 모음 또는 관리형 HSM 간의 네트워크 연결 블록은 주로 키 자격 증명 모음 또는 관리형 HSM 리소스가 존재하지만 관리되는 인스턴스에서 엔드포인트에 연결할 수 없는 경우에 발생합니다. 키 자격 증명 모음 또는 관리형 HSM 엔드포인트에 연결할 수 있지만 연결이 거부되거나 사용 권한이 누락되는 모든 시나리오에서는 데이터베이스가 해당 상태를 액세스할 수 없음으로 변경합니다.
Azure Key Vault에 대한 네트워킹 연결 부족의 가장 흔한 원인은 다음과 같습니다:
Azure Key Vault는 프라이빗 엔드포인트를 통해 노출되며, 관리되는 인스턴스 서브넷과 연관된 네트워크 보안 그룹(NSG)의 아웃바운드 규칙에서는 Azure Key Vault 서비스의 프라이빗 IP 주소가 허용되지 않습니다.
Key Vault 또는 관리되는 HSM FQDN이 확인되지 않거나 잘못된 IP 주소로 확인되는 경우와 같은 DNS 확인 문제가 있습니다.
SQL Managed Instance에서 TDE 프로텍터를 호스팅하는 Azure Key Vault로 연결성을 테스트하세요.
- 엔드포인트는 <vault_name>.vault.azure.net(https:// 제외)과 자격 증명 모음 FQDN입니다.
- 테스트할 포트는 443입니다.
- RemoteAddress에 대한 결과가 존재하고 올바른 IP 주소여야 합니다.
- TCP 테스트의 결과는 TcpTestSucceeded: True여야 합니다.
테스트가 TcpTestSucceeded: False를 반환하는 경우 네트워킹 구성을 검토합니다.
확인된 IP 주소가 유효한지 검토합니다. 누락된 값은 DNS 확인에 문제가 있음을 의미합니다.
관리되는 인스턴스의 네트워크 보안 그룹에 포트 443에서 해결된 IP 주소를 포함하는 아웃바운드 규칙이 있는지 확인합니다. 특히, 해결된 주소가 키 자격 증명 모음 또는 관리형 HSM 프라이빗 엔드포인트에 속하는 경우에는 이러한 규칙이 적용되어야 합니다.
경로 테이블, 가상 어플라이언스 및 해당 구성과 같은 다른 네트워킹 구성을 확인합니다.
고객 관리형 TDE 모니터링
데이터베이스 상태를 모니터링하고 TDE 보호기 액세스 손실에 대한 경고를 사용하도록 설정하려면 다음 Azure 기능을 구성합니다.
Azure Resource Health. TDE 보호기에 대한 액세스 권한이 손실된 액세스할 수 없는 데이터베이스는 데이터베이스에 대한 첫 번째 연결이 거부된 후 “액세스할 수 없음”으로 표시됩니다.
활동 로그 고객 관리형 키 자격 증명 모음의 TDE 보호기에 대한 액세스가 실패하면 항목이 활동 로그에 추가됩니다. 이러한 이벤트에 대한 알림을 생성하면 가능한 한 빨리 접근 권한을 복구할 수 있습니다.
액션 그룹은 이메일, SMS, 푸시, 음성, 논리 앱, 웹훅, ITSM, 자동화 런북 등 사용자의 선호도에 따라 알림 및 경고를 보내도록 정의할 수 있습니다.
고객이 관리하는 TDE를 이용한 데이터베이스 백업 및 복원
Azure Key Vault의 키를 사용해 데이터베이스가 TDE로 암호화되면, 새로 생성된 백업도 동일한 TDE 프로텍터로 암호화됩니다. TDE 보호기가 변경되면 데이터베이스의 이전 백업이 최신 TDE 보호기를 사용하도록 업데이트되지 않습니다.
Azure Key Vault에서 TDE 보호기로 암호화된 백업을 복원하려면 대상 서버에서 키 자료를 사용할 수 있는지 확인합니다. 따라서 데이터베이스 백업을 복원할 수 있도록 모든 구버전 TDE 보호기는 키 금고나 관리 HSM에 보관하세요.
Important
서버에 대해 TDE 보호기를 두 개 이상 설정할 수 없습니다. Azure portal 창에서 키를 기본 TDE 보호기로 설정하는 것으로 표시된 키가 TDE 보호기입니다. 그러나 여러 키를 TDE 보호기로 표시하지 않고 서버에 연결할 수 있습니다. 해당 키는 DEK 보호에는 사용되지 않으나, 백업 파일이 해당 지문으로 암호화된 키를 사용하는 경우 백업 복원 시에 이용할 수 있습니다.
백업 복원에 필요한 키를 대상 서버에서 더 이상 사용할 수 없는 경우 복원 시도에서 다음 오류 메시지가 반환됩니다. "대상 서버 <Servername> 는 타임스탬프 #1<과 >타임스탬프 #2< 사이에 >만들어진 모든 AKV URI에 액세스할 수 없습니다. 모든 AKV URI를 복원한 후 작업을 다시 시도하세요."
이를 완화하려면 대상 서버에 대해 Get-AzSqlServerKeyVaultKey cmdlet을 실행하거나 대상 관리형 인스턴스의 Get-AzSqlInstanceKeyVaultKey 를 실행하여 사용 가능한 키 목록을 반환하고 누락된 키를 식별합니다. 모든 백업을 복원할 수 있도록 하려면 복원 대상 서버에서 필요한 모든 키에 액세스할 수 있는지 확인합니다. 해당 키는 TDE 보호기로 표시할 필요가 없습니다.
Azure Synapse Analytics의 전용 SQL 풀에 대한 백업 복구에 대한 자세한 내용은 전용 SQL 풀 복구를 참조하세요.
로그 파일에 대한 또 다른 고려 사항: 백업된 로그 파일은 원래 TDE 보호기로 암호화된 상태로 유지됩니다. 이 파일은 회전되고 데이터베이스에서 새 TDE 보호기를 사용하고 있는 경우에도 그대로 유지됩니다. 복원 시 데이터베이스를 복원하려면 두 키가 모두 필요합니다. 로그 파일이 Azure Key Vault에 저장된 TDE 프로텍터를 사용하고 있다면, 데이터베이스가 서비스 관리 TDE로 변경되었더라도 복원 시 이 키가 필요합니다.
고객 관리형 TDE를 사용하여 고가용성
Azure Key Vault의 다중 중복 계층을 활용함으로써, 고객이 관리하는 키를 사용하는 TDE는 Azure Key Vault의 가용성과 복원력을 누릴 수 있습니다. 이들은 Azure Key Vault 이중화 솔루션을 완전히 신뢰할 수 있습니다.
Azure Key Vault의 다중 중복 계층은 개별 서비스 구성 요소가 실패하거나 Azure 지역 또는 가용성 존이 다운되더라도 키 접근을 보장합니다. 추가 정보는 Azure Key Vault의 가용성 및 중복성을 참조하세요.
Azure Key Vault는 사용자 개입 없이도 자동으로 다음과 같은 가용성 및 복원력 요소를 제공합니다: