Always Encrypted с анклавами Intel SGX: руководство по миграции

База данных SQL Azure

Important

Поддержка Always Encrypted с анклавами Intel Software Guard Extensions (Intel SGX) прекращается 31 октября 2027 года. Мигрировать затронутые базы данных до этой даты. После 31 октября 2027 года Azure автоматически переводит любую базу данных, оставшиеся на вычислительном уровне серии DC, на поддерживаемый стандартный (не DC) уровень вычислений и включает виртуализационные энклавы безопасности (VBS).

В этой статье описываются альтернативы Always Encrypted с помощью энклав Intel SGX и изменения, необходимые для каждой альтернативы. Изучите вопросы безопасности , прежде чем выбирать альтернативу. Энклавы Intel SGX и VBS обеспечивают различную защиту от атак, исходящих от гостевой операционной системы и хоста.

Перед началом убедитесь, что вы можете просматривать и изменять целевые логические серверы, базы данных и эластичные пулы Azure SQL. Для PowerShell установите модули Az PowerShell и войдите в Azure. Чтобы использовать Azure CLI, установите Azure CLI и выполните вход в Azure. Инвентаризируйте приложения, которые подключаются к затронутым базам данных, чтобы обновлять их драйверы, строки подключения и настройки аттестации во время миграции.

Определить базы данных, использующие серии DC

Определите все автономные базы данных и эластичные пулы, использующие DC-series, прежде чем планировать миграцию. Каждая база данных в упругом пуле DC-серии подвергается влиянию.

Портал Azure

1. В Azure portal перейдите к логическому серверу Azure SQL.
2. На странице обзора найдите раздел «Доступные ресурсы». В этой таблице перечислены базы данных на логическом сервере.
3. В столбце уровня ценообразования выберите фильтр, а затем отфильтруйте список по DC-серии.
4. Записывайте каждую базу данных в отфильтрованный список. Эти базы данных используют виртуальные машины серии DC и энклавы Intel SGX.
5. Повторите эти шаги для каждого логического сервера, на котором размещены базы данных Azure SQL в вашей среде.

Powershell

Установите $resourceGroupName и $serverName, а затем запустите следующий скрипт. Скрипт возвращает отдельные базы данных серии DC и базы данных в упругих пулах DC-серии на указанном логическом сервере.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

Запустите скрипт для каждого логического сервера, который размещает базы данных Azure SQL в вашей среде. Если скрипт не возвращает строк, указанный сервер не имеет баз данных, использующих DC-series.

Azure CLI

Задайте группу ресурсов и логическое имя сервера.

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

Войдите в Azure:

az login

Перечислите автономные базы данных, использующие серию DC:

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

Получить эластичные пулы серии DC на сервере:

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

Для каждого эластичного пула серии DC, возвращённого предыдущей командой, перечислите его базы данных:

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Запустите команды для каждого логического сервера, который размещает базы данных Azure SQL в вашей среде.

Выбор пути миграции

Выберите путь миграции, который соответствует требованиям безопасности и требованиям к приложениям вашей рабочей нагрузки. Используйте следующее сравнение в качестве отправной точки и изучите подробные рекомендации по выбранному пути, прежде чем вносить изменения в рабочую среду.

Путь миграции	Используйте этот параметр, если	Attestation
База данных SQL Azure с анклавами VBS	Вы хотите продолжать использовать База данных SQL Azure, и VBS Enclaves соответствуют вашим требованиям безопасности.	Анклава VBS в базе данных SQL Azure не поддерживают аттестацию.
SQL Server в конфиденциальной виртуальной машине Azure с анклавами VBS	Вам требуется аппаратно обеспеченная изоляция, которая помогает защитить гостевую операционную систему от доступа операторов хоста.	Аттестация службы Host Guardian Service (HGS) необязательна.

Перенести отдельную базу данных в энклавы VBS

Используйте этот способ, чтобы сохранить возможности с поддержкой доверенных анклавов в База данных SQL Azure.

1. Выберите поддерживаемую конфигурацию оборудования стандартной серии (не DC), соответствующую требованиям к производительности и доступности вашей нагрузки.
2. Переместите базу данных на выбранную аппаратную конфигурацию.
3. Включить VBS-энклавы для базы данных. Включение VBS-энклавов устанавливает свойство preferredEnclaveType базы данных на VBS.
4. Ознакомьтесь с требованиями к клиентскому драйверу для VBS-энклавов без аттестации и при необходимости обновите драйвер вашего приложения.
5. Обновите каждое подключение приложения так, чтобы оно использовало протокол None аттестации анклава, и удалите URL-адрес Microsoft Аттестация Azure. Точные ключевые слова строки подключения зависят от драйвера клиента.
6. Пройдите валидацию после миграции.

Migrate a elastic pool to VBS enclaves

Все базы данных в эластичном пуле наследуют конфигурацию анклава пула. Используйте этот путь для сохранения enclave-enabled возможностей для баз данных в Azure SQL elastic pool.

1. Выберите поддерживаемую конфигурацию стандартной серии (не постоянного тока), которая соответствует требованиям по производительности и доступности пула. Для информации об изменении конфигурации пула см. Управление эластичным пулом в База данных SQL Azure.
2. Включите энклавы VBS для эластичного пула. Включение VBS-энклавов устанавливает свойство preferredEnclaveType пула в VBS.
3. Проверьте требования к драйверам клиента для VBS Enclaves без аттестации и при необходимости обновите драйверы приложений.
4. Обновите каждое соединение приложения для использования None протокола attestation enclave и удалите URL Microsoft Аттестация Azure. Точные ключевые слова в строке подключения зависят от драйвера клиента.
5. Пройдите валидацию после миграции для каждой базы данных в пуле.

Перенос на SQL Server на конфиденциальной виртуальной машине Azure

Рассмотрите этот путь, если вам нужна аппаратно закреплённая граница, которая помогает защитить гостевую операционную систему от доступа операторов хоста. Azure конфиденциальные виртуальные машины шифруют память и предоставляют другие свойства безопасности по сравнению с энклавами Intel SGX. Оцените эти различия с учётом ваших требований по безопасности и соответствию.

1. Развернуть SQL Server в конфиденциальную виртуальную машину Azure.
2. Выберите использовать ли аттестацию по анклаву:
   • Планируйте Always Encrypted с защищёнными энклавами в SQL Server без подтверждения.
   • Планирование аттестации Host Guardian Service.
3. Настройте Always Encrypted с помощью VBS-энклав на инстансе SQL Server, следуя инструкциям по выбранной опции аттестации.
4. Спланируйте миграцию базы данных, учётных данных, ключей, подключений приложений и зависимых ресурсов.
5. Выберите вариант миграции данных на основе размера вашей базы данных, конфигурации сети, допустимого времени простоя и поддерживаемых объектов базы данных. Распространённые варианты включают:
   • Фабрика данных Azure: Используйте операцию копирования с коннектором База данных SQL Azure в качестве исходного кода и коннектором SQL Server в качестве пошивателя. ADF рассматривает столбцы Always Encrypted как двоичные или шифротекстовые значения и перемещает их без доступа к Column Master Key.
   • Smart Bulk Copy: Используйте Smart Bulk Copy для копирования схемы и данных из База данных SQL Azure в SQL Server. Перед миграцией изучите требования и ограничения инструмента.
   • BACPAC: Рассмотрим BACPAC для небольших баз данных, объекты которых поддерживаются приложениями уровня данных. Всегда зашифрованные данные остаются зашифрованы при экспорте и импорте, а BACPAC включает метаданные ключа Always Encrypted. Для получения дополнительной информации см. разделы «Экспорт и импорт баз данных с использованием Always Encrypted», «Экспорт файла BACPAC» и «Импорт файла BACPAC для создания новой базы данных».
6. Обновите строки подключения приложений для экземпляра SQL Server и выбранную опцию аттестации.
7. Пройдите валидацию после миграции.

Проверка миграции

Прежде чем перенести нагрузку на продакшн:

1. Проверьте, могут ли приложения подключаться при включённой функции Always Encrypted.
2. Запускайте репрезентативные запросы с использованием зашифрованных столбцов, включая запросы, требующие вычислений в анклаве, если целевая среда использует защищённые анклавы.
3. Проверьте, что операции вставки, обновления, удаления и индексирования зашифрованных столбцов ведут себя должным образом.
4. Тестируйте производительность приложения и при необходимости корректируйте конфигурацию целевых вычислений.
5. Проверьте процедуры обеспечения непрерывности бизнеса, аварийного восстановления и аварийного переключения. Все реплики базы данных должны поддерживать защищённые энклавы, если рабочая нагрузка использует операции с поддержкой анклава.
6. Отслеживайте приложение на наличие ошибок enclave, attestation и запросов перед завершением cutover.

Связанные материалы

• Документация по функции Always Encrypted с безопасными анклавами
• Руководство: Начало работы с Always Encrypted с безопасными анклавами
• Настройте и используйте функцию Always Encrypted с безопасными анклавами