Udostępnij za pośrednictwem

Obracanie kluczy obsługiwanych przez enklawę

Dotyczy: SQL Server 2019 (15.x) i nowsze — tylko Windows Azure SQL Database

W funkcji Always Encrypted rotacja kluczy to proces zastępowania istniejącego klucza głównego kolumny lub klucza szyfrowania kolumny nowym kluczem. W tym artykule opisano przypadki użycia i zagadnienia związane z rotacją kluczy, specyficzne dla technologii Always Encrypted z bezpiecznymi enklawami, gdy zarówno klucz początkowy, jak i/lub docelowy (nowy) są kluczami z aktywną funkcją enklawy. Aby uzyskać ogólne wytyczne i procesy zarządzania kluczami Always Encrypted, zobacz Omówienie zarządzania kluczami dla funkcji Always Encrypted.

Może być konieczne obracanie klucza ze względów bezpieczeństwa lub zgodności. Na przykład jeśli klucz został naruszony lub zasady organizacji wymagają okresowego zastępowania kluczy. Ponadto funkcjonalność Always Encrypted z rotacją kluczy w bezpiecznych enklawach zapewnia możliwość włączania lub wyłączania funkcjonalności bezpiecznej enklawy po stronie serwera dla zaszyfrowanych kolumn.

  • Po zastąpieniu klucza, który nie jest obsługiwany przez enklawę, kluczem obsługiwanym przez enklawę, można odblokować funkcjonalność bezpiecznej enklawy do wykonywania zapytań o kolumny chronione tym kluczem. Aby uzyskać więcej informacji, zobacz Włączanie funkcji Always Encrypted z bezpiecznymi enklawami dla istniejących zaszyfrowanych kolumn.
  • Po zastąpieniu klucza z obsługą enklawy kluczem, który jej nie obsługuje, funkcjonalność bezpiecznej enklawy do zapytań o kolumny chronione za pomocą klucza zostaje wyłączona.

Jeśli obracasz klucz tylko ze względów bezpieczeństwa/zachowania zgodności, a nie po to, aby włączyć lub wyłączyć obliczenia enklaw dla kolumn, upewnij się, że klucz docelowy ma taką samą konfigurację enklaw jak klucz źródłowy. Jeśli na przykład klucz źródłowy jest włączony w enklawie, klucz docelowy powinien być również włączony w enklawie.

Poniższe kroki obejmują linki do szczegółowych artykułów w zależności od scenariusza rotacji:

  1. Aprowizuj nowy klucz (klucz główny kolumny lub klucz szyfrowania kolumny).

    Uwaga / Notatka

    W przypadku korzystania z usługi Azure Key Vault jako magazynu kluczy wielodostępna rotacja kluczy zarządzanych przez klienta nie jest obsługiwana. Upewnij się, że nowy klucz zarządzany przez klienta znajduje się w tym samym tenantcie co istniejący.

  2. Zastąp istniejący klucz nowym kluczem.

Powiązana zawartość