Share via

Kolomversleuteling configureren met Always Encrypted met een DAC-pakket

Van toepassing op:SQL ServerAzure SQL DatabaseAzure SQL Managed Instance

Een DAC-pakket (data-tier application), ook wel dacpac genoemd, is een draagbare eenheid van sql Server-database-implementatie waarmee alle SQL Server-objecten worden gedefinieerd, inclusief tabellen en kolommen in de tabellen. Wanneer u een DACPAC publiceert naar een database (wanneer u een database bijwerkt met behulp van een DACPAC), wordt het schema van de doeldatabase bijgewerkt zodat deze overeenkomt met het schema in de DACPAC. U kunt een DACPAC publiceren via de wizard Gegevenslaagapplicatie upgraden in SQL Server Management Studio, PowerShell of sqlpackage.

In dit artikel worden speciale overwegingen behandeld voor het upgraden van een database wanneer de DACPAC of/en de doeldatabase kolommen bevat die zijn beveiligd met Always Encrypted. Als het versleutelingsschema voor een kolom in de DACPAC verschilt van het versleutelingsschema voor een bestaande kolom in de doeldatabase, resulteert het publiceren van de DACPAC in het versleutelen, ontsleutelen of opnieuw versleutelen van de gegevens die in de kolom zijn opgeslagen. Zie de onderstaande tabel voor meer informatie.

Condition Handeling
De kolom wordt versleuteld in de DACPAC en wordt niet versleuteld in de database. De gegevens in de kolom worden versleuteld.
De kolom is niet versleuteld in de DACPAC, maar wel in de database. De gegevens in de kolom worden ontsleuteld (de versleuteling wordt verwijderd voor de kolom).
De kolom wordt zowel in de DACPAC als de database versleuteld, maar de kolom in de DACPAC gebruikt een ander versleutelingstype of/en een andere versleutelingssleutel voor kolommen dan de bijbehorende kolom in de database. De gegevens in de kolom worden ontsleuteld en vervolgens opnieuw versleuteld om overeen te komen met de versleutelingsconfiguratie in de DACPAC.

Het implementeren van een DAC-pakket kan ook resulteren in het maken of verwijderen van metagegevensobjecten voor kolomhoofdsleutels of kolomversleutelingssleutels voor Always Encrypted.

Prestatie-overwegingen

Als u cryptografische bewerkingen wilt uitvoeren, moet een hulpprogramma dat u gebruikt om een DACPAC te implementeren de gegevens uit de database verplaatsen. Het hulpprogramma maakt een nieuwe tabel (of tabellen) met de gewenste versleutelingsconfiguratie in de database, laadt alle gegevens uit de oorspronkelijke tabellen, voert de aangevraagde cryptografische bewerkingen uit, uploadt de gegevens naar de nieuwe tabel(en) en wisselt vervolgens de oorspronkelijke tabel(s) door de nieuwe tabel(en). Het uitvoeren van cryptografische bewerkingen kan lang duren. Gedurende die tijd is uw database niet beschikbaar voor het schrijven van transacties.

Opmerking

Als u SQL Server 2019 (15.x) gebruikt en uw SQL Server-exemplaar is geconfigureerd met een beveiligde enclave, kunt u cryptografische bewerkingen uitvoeren zonder gegevens uit de database te verplaatsen. Zie Kolomversleuteling in-place configureren met Always Encrypted en beveiligde enclaves. Houd er rekening mee dat in-place versleuteling niet beschikbaar is voor DACPAC-implementaties.

Machtigingen voor het publiceren van een DAC-pakket als Always Encrypted is ingesteld

Als u het DAC-pakket wilt publiceren als Always Encrypted is ingesteld in de DACPAC of/en in de doeldatabase, hebt u mogelijk enkele of alle onderstaande machtigingen nodig, afhankelijk van de verschillen tussen het schema in de DACPAC en het doeldatabaseschema.

WIJZIG ELKE KOLONEN MASTER SLEUTEL, WIJZIG ELKE KOLONEN VERSLEUTELINGSSLEUTEL, BEKIJK DEFINITIE VAN ELKE KOLONEN MASTER SLEUTEL, BEKIJK DEFINITIE VAN ELKE KOLONEN VERSLEUTELINGSSLEUTEL

Als de upgradebewerking een bewerking voor gegevensversleuteling activeert, hebt u ook sleutelarchiefmachtigingen nodig om toegang te krijgen tot uw kolomhoofdsleutel en deze te gebruiken. Ga naar Maak en sla kolomhoofdsleutels op voor Always Encrypted voor gedetailleerde informatie over machtigingen voor sleutelarchieven en zoek een sectie die relevant is voor uw sleutelarchief.

Volgende stappen

Zie ook

  • Last updated on