Włączanie funkcji Always Encrypted z bezpiecznymi enklawami w usłudze Azure SQL Database

Dotyczy:Azure SQL Database

W usłudze Azure SQL Database Always Encrypted z bezpiecznymi enklawami może używać enklaw Intel Software Guard Extensions (Intel SGX) lub enklaw opartych na wirtualizacji (VBS). Aby uzyskać więcej informacji, zobacz Planowanie bezpiecznych enklaw w usłudze Azure SQL Database.

Ważne

Enklawy Always Encrypted with Intel Software Guard Extensions (Intel SGX) zakończą wsparcie 31 października 2027 roku. Migruj dotknięte bazy danych przed tą datą. Po 31 października 2027 roku Azure automatycznie przenosi każdą bazę danych, która pozostaje na warstwie obliczeniowej serii DC, do obsługiwanej warstwy obliczeniowej serii standardowej (non-DC) i włącza enklawy zabezpieczeń oparte na wirtualizacji (VBS). Opcje migracji znajdziesz w przewodniku migracji Always Encrypted with Intel SGX Enclaves.

Aby Intel SGX był dostępny, baza danych musi używać modelu vCore i sprzętu serii DC.

Konfigurowanie sprzętu z serii DC w celu włączenia enklaw Intel SGX jest obowiązkiem administratora usługi Azure SQL Database. Aby uzyskać więcej informacji, zobacz Role i obowiązki podczas konfigurowania enklaw Intel SGX i zaświadczania.

Uwaga

Intel SGX nie jest dostępny w konfiguracjach sprzętowych innych niż seria DC. Na przykład intel SGX nie jest dostępny dla sprzętu serii standardowej (Gen5) i nie jest dostępny dla baz danych przy użyciu modelu zakupów DTU.

Ważne

Przed skonfigurowaniem sprzętu serii DC dla bazy danych sprawdź regionalną dostępność serii DC i upewnij się, że rozumiesz jej ograniczenia wydajności. Aby uzyskać więcej informacji, zobacz Seria DC.

Aby uzyskać szczegółowe instrukcje dotyczące konfigurowania nowej lub istniejącej bazy danych pod kątem używania określonej konfiguracji sprzętowej, zobacz Konfiguracja sprzętu.

Aby uzyskać więcej informacji, zobacz Konfigurowanie zaświadczania dla funkcji Always Encrypted przy użyciu zaświadczania platformy Azure.

Enklawy VBS

Domyślnie nowa baza danych jest tworzona bez enklaw VBS. Aby włączyć enklawę VBS w bazie danych lub elastycznej puli, należy ustawić właściwość preferowanej bazy danychEnclaveType na VBS, która aktywuje enklawę VBS dla bazy danych lub elastycznej puli. Preferowany typ Enklawy można ustawić podczas tworzenia nowej bazy danych lub elastycznej puli albo przez zaktualizowanie istniejącej bazy danych lub elastycznej puli. Każda baza danych dodana do elastycznej puli odziedziczy od niej właściwość enklawy, podobnie jak SLO bazy danych. W związku z tym, jeśli dodasz bazę danych bez włączonych enklaw VBS do elastycznej puli z włączonymi enklawami VBS, ta nowa baza danych stanie się częścią elastycznej puli, a enklawy VBS zostaną włączone. Dodawanie bazy danych z enklawami VBS włączonymi do elastycznej puli bez enklaw VBS nie jest obsługiwane.

Można ustawić preferowaną właściwośćEnclaveType przy użyciu witryny Azure Portal, programu SQL Server Management Studio, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure.

Włączanie enklaw VBS przy użyciu witryny Azure Portal

Utwórz nową bazę danych lub pulę elastyczną z enklawą VBS

1. Otwórz witrynę Azure Portal i znajdź logiczny program SQL Server, dla którego chcesz utworzyć bazę danych lub pulę elastyczną z enklawą VBS.

2. Wybierz pozycję Utwórz bazę danych lub przycisk Nowa elastyczna pula .

3. Na karcie Zabezpieczenia znajdź sekcję Always Encrypted .

4. Ustaw Włącz bezpieczne enklawy na WŁĄCZONE. Spowoduje to utworzenie bazy danych z włączoną enklawą VBS.

   

Włączanie enklawy VBS dla istniejącej bazy danych lub elastycznej puli

1. Otwórz portal Azure i znajdź bazę danych lub pulę zasobów elastycznych, dla których chcesz włączyć bezpieczne enklawy.

2. Dla istniejącej bazy danych:

   1. W obszarze Ustawienia zabezpieczeń wybierz pozycję Szyfrowanie danych.

   2. W menu Szyfrowanie danych wybierz kartę Always Encrypted.

   3. Ustaw Włącz bezpieczne enklawy na WŁĄCZONE.

   4. Wybierz pozycję Zapisz , aby zapisać konfigurację funkcji Always Encrypted.

3. W przypadku istniejącej elastycznej puli:

   1. W obszarze Ustawienia wybierz pozycję Konfiguracja.

   2. W menu Konfiguracja wybierz kartę Always Encrypted.

   3. Ustaw Włącz bezpieczne enklawy na WŁĄCZONE.

      

   4. Wybierz pozycję Zapisz , aby zapisać konfigurację funkcji Always Encrypted.

Włączanie enklaw VBS przy użyciu programu SQL Server Management Studio

Pobierz najnowszą wersję programu SQL Server Management Studio (SSMS).

Tworzenie nowej bazy danych z enklawą VBS

1. Otwórz program SSMS i połącz się z serwerem logicznym, na którym chcesz utworzyć bazę danych.
2. Kliknij prawym przyciskiem myszy folder Bazy danych i wybierz pozycję Nowa baza danych...
3. Na stronie Konfigurowanie SLO ustaw opcję Włącz bezpieczne enklawy na WŁ. Spowoduje to utworzenie bazy danych z włączoną enklawą VBS.

Włączanie enklawy VBS dla istniejącej bazy danych

1. Otwórz program SSMS i połącz się z serwerem logicznym, na którym chcesz zmodyfikować bazę danych.
2. Kliknij prawym przyciskiem myszy bazę danych i wybierz polecenie Właściwości.
3. Na stronie Konfigurowanie SLO ustaw opcję Włącz bezpieczne enklawy na WŁ.
4. Wybierz przycisk OK , aby zapisać właściwości bazy danych.

Włączanie enklaw VBS przy użyciu programu Azure PowerShell

Utwórz nową bazę danych lub pulę elastyczną z enklawą VBS

Utwórz nową bazę danych z enklawą VBS za pomocą polecenia cmdlet New-AzSqlDatabase . Poniższy przykład tworzy bezserwerową bazę danych z enklawą VBS.

New-AzSqlDatabase  -ResourceGroupName "ResourceGroup01" `
    -ServerName "Server01" `
    -DatabaseName "Database01" `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -PreferredEnclaveType VBS

Utwórz nową elastyczną pulę z enklawą VBS za pomocą polecenia cmdlet New-AzSqlElasticPool . Poniższy przykład tworzy elastyczną pulę z enklawą VBS.

New-AzSqlElasticPool ` 
    -ComputeGeneration Gen5 `
    -Edition 'GeneralPurpose' `
    -ElasticPoolName $ElasticPoolName `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -VCore 2 `
    -PreferredEnclaveType 'VBS'

Włączanie enklawy VBS dla istniejącej bazy danych lub elastycznej puli

Aby włączyć enklawę VBS dla istniejącej bazy danych, użyj polecenia cmdlet Set-AzSqlDatabase . Oto przykład:

Set-AzSqlDatabase -ResourceGroupName "ResourceGroup01" `
    -DatabaseName "Database01" `
    -ServerName "Server01" `
    -PreferredEnclaveType VBS

Aby włączyć enklawę VBS dla istniejącej elastycznej puli, użyj cmdletu Set-AzSqlElasticPool. Oto przykład:

Set-AzSqlElasticPool `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -ElasticPoolName $ElasticPoolName `
    -PreferredEnclaveType 'VBS' 

Włączanie enklaw VBS przy użyciu interfejsu wiersza polecenia platformy Azure

Utwórz nową bazę danych lub pulę elastyczną z enklawą VBS

Utwórz nową bazę danych, która zawiera enklawę VBS, używając polecenia cmdlet az sql db create. Poniższy przykład tworzy bezserwerową bazę danych z enklawą VBS.

az sql db create -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    -e GeneralPurpose `
    --compute-model Serverless `
    -f Gen5 `
    -c 2 `
    --min-capacity 2 `
    --preferred-enclave-type VBS 

Utwórz nową pulę elastyczną z enklawą VBS za pomocą polecenia az sql elastic-pool create. Poniższy przykład tworzy bezserwerową bazę danych z enklawą VBS.

az sql elastic-pool create -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    -e GeneralPurpose `
    -f Gen5 `
    -c 2 `
    --preferred-enclave-type VBS

Włączanie enklawy VBS dla istniejącej bazy danych lub elastycznej puli

Aby włączyć enklawę VBS dla istniejącej bazy danych, użyj az sql db update cmdlet. Oto przykład:

az sql db update -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    --preferred-enclave-type VBS

Aby włączyć enklawę VBS dla istniejącej elastycznej puli, użyj cmdletu az sql elastic-pool update. Oto przykład:

az sql elastic-pool update -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    --preferred-enclave-type VBS

Treści powiązane

• Wprowadzenie do korzystania z Always Encrypted w bezpiecznych enklawach