Altijd versleuteld met Intel SGX enclaves migratiegids

Azure SQL Database

Important

De ondersteuning voor Always Encrypted with Intel Software Guard Extensions (Intel SGX) enclaves eindigt op 31 oktober 2027. Migreer getroffen databases vóór deze datum. Na 31 oktober 2027 verplaatst Azure automatisch elke database die nog op de DC-serie compute-laag staat naar een ondersteunde standaard-serie (niet-DC) compute-laag en schakelt virtualisatiegebaseerde beveiligingsenclaves (VBS-enclaves) in.

Dit artikel beschrijft de alternatieven voor Always Encrypted with Intel SGX-enclaves en de benodigde wijzigingen voor elk alternatief. Bekijk de beveiligingsoverwegingen voordat je een alternatief kiest. Intel SGX- en VBS-enclaves bieden verschillende bescherming tegen aanvallen die afkomstig zijn van het gastbesturingssysteem en de host.

Controleer voordat je begint of je de doel-Azure SQL-logische servers, databases en elastic pools kunt bekijken en wijzigen. Voor PowerShell installeer je de Az PowerShell-modules en log je in bij Azure. Voor Azure CLI installeer je de Azure CLI en log je in bij Azure. Maak een inventaris van de applicaties die verbinding maken met getroffen databases zodat je hun drivers, verbindingsstrings en attestatie-instellingen tijdens de migratie kunt bijwerken.

Identificeer databases die DC-series gebruiken

Identificeer alle zelfstandige databases en elastic pools die de DC-serie gebruiken voordat je de migratie plant. Elke database in een elastische pool uit de DC-serie wordt beïnvloed.

Azure-portal

1. Ga in het Azure-portaal naar je Azure SQL logische server.
2. Zoek op de pagina Overzicht naar de beschikbare bronnen. Deze tabel geeft een overzicht van de databases op de logische server.
3. Selecteer in de kolom Prijscategorie het filter en filter vervolgens de lijst op DC-series.
4. Noteer elke database in de gefilterde lijst. Deze databases gebruiken DC-series en Intel SGX-enclaves.
5. Herhaal deze stappen voor elke logische server die Azure SQL-databases in jouw omgeving host.

PowerShell

Stel $resourceGroupName en $serverName, en voer vervolgens het volgende script uit. Het script retourneert afzonderlijke DC-seriedatabases en databases in elastische pools uit de DC-serie op de opgegeven logische server.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

Voer het script uit voor elke logische server die Azure SQL-databases in je omgeving host. Als het script geen rijen teruggeeft, heeft de gespecificeerde server geen databases die DC-series gebruiken.

Azure CLI

Stel de resourcegroep en de logische servernaam in.

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

Meld u aan bij Azure:

az login

Lijst van zelfstandige databases die DC-series gebruiken:

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

Download de DC-serie elastic pools op de server:

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

Maak voor elke elastische pool uit de DC-serie die door de vorige opdracht is geretourneerd een lijst van de bijbehorende databases:

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Voer de opdrachten uit voor elke logische server waarop Azure SQL-databases in je omgeving worden gehost.

Een migratiepad kiezen

Kies het migratiepad dat voldoet aan de beveiligings- en applicatievereisten van uw workload. Gebruik het volgende vergelijkingsoverzicht als uitgangspunt en bekijk de gedetailleerde richtlijnen voor het geselecteerde traject voordat je productiewijzigingen aanbrengt.

Migratiepad	Gebruik deze optie wanneer	Attestation
Azure SQL Database met VBS-enclaves	Je wilt Azure SQL Database blijven gebruiken en VBS-enclaves voldoen aan je beveiligingsvereisten.	VBS-enclaves in Azure SQL Database bieden geen ondersteuning voor attestation.
SQL Server op een Azure confidential VM met VBS-enclaves	Je hebt een door hardware afgedwongen scheiding nodig die helpt het gastbesturingssysteem te beschermen tegen toegang van de hostoperator.	Host Guardian Service (HGS) attestatie is optioneel.

Eén database migreren naar VBS-enclaves

Gebruik deze methode om mogelijkheden met enclave-ondersteuning in Azure SQL Database te behouden.

1. Kies een hardwareconfiguratie uit een ondersteunde standaardreeks (niet-DC) die voldoet aan de prestatie- en beschikbaarheidseisen van uw workload.
2. Verplaats de database naar de geselecteerde hardwareconfiguratie.
3. Schakel VBS-enclaves in voor de database. Het inschakelen van VBS-enclaves stelt de preferredEnclaveType database-eigenschap in op VBS.
4. Bekijk de clientdriververeisten voor VBS-enclaves zonder attestatie en werk je applicatiedriver bij indien nodig.
5. Werk elke toepassingsverbinding bij om het None enclave-attestatieprotocol te gebruiken, en verwijder de URL voor Microsoft Azure Attestation. De exacte verbindingsstring-zoekwoorden hangen af van de clientdriver.
6. Voltooi de post-migratie validatie.

Migreer een elastische pool naar VBS-enclaves

Alle databases in een elastische pool erven de enclaveconfiguratie van de pool. Gebruik dit pad om enclave-enabled capabilities voor databases in een Azure SQL elastic pool te behouden.

1. Selecteer een ondersteunde standaardreeksconfiguratie (niet-DC) die voldoet aan de prestatie- en beschikbaarheidseisen van de pool. Voor informatie over het wijzigen van de configuratie van een pool, raadpleegt u Beheer een elastische pool in Azure SQL Database.
2. Schakel VBS-enclaves in voor de elastische pool. Het inschakelen van VBS-enclaves stelt de preferredEnclaveType pool-eigenschap op .VBS
3. Bekijk de clientdriververeisten voor VBS-enclaves zonder bevestiging, en werk je applicatiedrivers bij indien nodig.
4. Werk elke applicatieverbinding bij om het None enclave attestation-protocol te gebruiken en verwijder de Microsoft Azure Attestation URL. De exacte verbindingsstring-zoekwoorden hangen af van de clientdriver.
5. Voltooi de verificatie na migratie voor elke database in de pool.

Migreer naar SQL Server op een vertrouwelijke Azure-VM

Overweeg dit pad als je een door hardware afgedwongen grens nodig hebt die helpt het gastbesturingssysteem te beschermen tegen toegang van de hostoperator. Azure confidential VM's versleutelen VM-geheugen en bieden andere beveiligingseigenschappen dan Intel SGX-enclaves. Beoordeel deze verschillen aan de hand van uw beveiligings- en compliance-eisen.

1. Implementeer SQL Server op een vertrouwelijke Azure-VM.
2. Kies of je enclave-attestatie wil gebruiken:
   • Plan voor Always Encrypted met beveiligde enclaves in SQL Server zonder attestatie.
   • Plan voor attestation van Host Guardian-service.
3. Configureer Always Encrypted met VBS-enclaves op de SQL Server-instantie door de instructies te volgen voor de attestatieoptie die je hebt gekozen.
4. Plan de migratie van je database, inloggegevens, sleutels, applicatieconnectiviteit en afhankelijke bronnen.
5. Kies een optie voor datamigratie op basis van de grootte van je database, netwerkconfiguratie, downtime-eisen en ondersteunde databaseobjecten. Veelvoorkomende opties zijn:
   • Azure Data Factory: Gebruik een kopieeractiviteit met de Azure SQL Database-connector als bron en de SQL Server-connector als doel. ADF behandelt de Always Encrypted columns als binaire of ciphertextwaarden en verplaatst ze zonder toegang te hoeven tot de Column Master Key.
   • Smart Bulk Copy: Gebruik Smart Bulk Copy om schema en gegevens van Azure SQL Database naar SQL Server te kopiëren. Bekijk de vereisten en beperkingen van de tool voordat u migreert.
   • BACPAC: Overweeg een BACPAC voor kleinere databases waarvan de objecten worden ondersteund in toepassingen op gegevenslaagniveau. Always Encrypted-gegevens blijven versleuteld tijdens exporteren en importeren, en de BACPAC bevat de metagegevens van de Always Encrypted-sleutel. Voor meer informatie, zie Exporteren en importeren databases met Always Encrypted, Export een BACPAC-bestand en Importeren van een BACPAC-bestand om een nieuwe database aan te maken.
6. Werk de verbindingsreeksen van de toepassing bij voor het SQL Server-exemplaar en de geselecteerde attesteringsoptie.
7. Voltooi de post-migratie validatie.

De migratie valideren

Voordat je de werklast naar productie verplaatst:

1. Controleer of applicaties kunnen verbinden met Always Encrypted ingeschakeld.
2. Voer representatieve query's uit die versleutelde kolommen gebruiken, waaronder query's die berekeningen binnen enclaves vereisen indien de doelomgeving veilige enclaves gebruikt.
3. Controleer of invoegingen, updates, verwijderingen en indexbewerkingen op versleutelde kolommen werken zoals verwacht.
4. Test de prestaties van de toepassing en pas de doelconfiguratie voor rekenkracht indien nodig aan.
5. Test uw bedrijfscontinuïteit, disaster recovery en uw failoverprocedures. Alle databasereplica’s moeten beveiligde enclaves ondersteunen als de werklast bewerkingen gebruikt waarvoor enclaves zijn ingeschakeld.
6. Controleer de applicatie op fouten met enclaves, attestatie en query's voordat de cutover wordt afgerond.

Verwante onderwerpen

• Documentatie voor Always Encrypted met beveiligde enclaves
• Zelfstudie: Aan de slag met Always Encrypted met beveiligde enclaves
• Always Encrypted configureren en gebruiken met beveiligde enclaves