你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Azure SQL 数据库中启用具有安全 enclave 的 Always Encrypted

适用于：Azure SQL 数据库

在 Azure SQL 数据库中，具有安全 enclave 的 Always Encrypted 可以使用 Intel Software Guard Extensions (Intel SGX) enclave 或基于虚拟化的安全性 (VBS) enclave。 有关详细信息，请参阅规划 Azure SQL 数据库中的安全 enclave。

Intel SGX enclave

若要使 Intel SGX 可用，数据库必须使用 vCore 模型和 DC 系列硬件。

Azure SQL 数据库管理员应负责配置 DC 系列硬件以启用 Intel SGX Enclave。 有关详细信息，请参阅配置 Intel SGX enclave 和证明时的角色和职责。

注意

Intel SGX 不适用于 DC 系列以外的硬件配置。 例如，Intel SGX 不适用于标准系列 (Gen5) 硬件，也不适用于使用 DTU 模型的数据库。

重要

在为数据库配置 DC 系列硬件之前，请检查 DC 系列的区域可用性，确保你了解其性能限制。 有关更多信息，请参见 DC 系列。

有关如何配置新的或现有的数据库以使用特定硬件配置的详细说明，请参阅硬件配置。

后续步骤

• 为 Azure SQL 数据库服务器配置 Azure 证明

VBS enclave

默认情况下，会新建一个没有 VBS enclave 的数据库。 若要在数据库或弹性池中启用 VBS enclave，需要将 preferredEnclaveType 数据库属性设置为 VBS，这将激活数据库或弹性池的 VBS enclave。 可在创建新的数据库或弹性池时，或者通过更新现有数据库或弹性池来设置 preferredEnclaveType。 添加到弹性池的任何数据库都都将从该池中继承 enclave 属性，例如数据库 SLO。 因此，如果将未启用 VBS enclave 的数据库添加到启用了 VBS 的弹性池，这个新的数据库将成为弹性池的一部分，并且将在此数据库上启用 VBS enclave。 不支持将启用了 VBS enclave 的数据库添加到没有 VBS enclave 的弹性池。

可以使用 Azure 门户、SQL Server Management Studio、Azure PowerShell 或 Azure CLI 设置 preferredEnclaveType 属性。

使用 Azure 门户启用 VBS enclave

创建具有 VBS enclave 的新数据库或弹性池

1. 打开Azure 门户，查找要为其创建具有 VBS enclave 的数据库或弹性池的逻辑 SQL Server。

2. 选择“创建数据库”或“新建弹性池”按钮。

3. 在“安全”选项卡中，找到“Always Encrypted”部分。

4. 将“启用安全 enclave”设置为“开启”。 这将创建启用了 VBS enclave 的数据库。

   

为现有数据库或弹性池启用 VBS enclave

1. 打开 Azure 门户并查找要为其启用安全 enclave 的数据库或弹性池。

2. 对于现有数据库：

   1. 在“安全”设置中，选择“数据加密”。

   2. 在“数据加密”菜单中，选择“Always Encrypted”选项卡。

   3. 将“启用安全 enclave”设置为“开启”。

      

   4. 若要保存 Always Encrypted 配置，请选择“保存”。

3. 对于现有弹性池：

   1. 在“设置”中选择“配置”。

   2. 在“配置”菜单中，选择“Always Encrypted”选项卡。

   3. 将“启用安全 enclave”设置为“开启”。

      

   4. 若要保存 Always Encrypted 配置，请选择“保存”。

使用 SQL Server Management Studio 启用 VBS enclave

下载最新版 SQL Server Management Studio (SSMS)。

创建具有 VBS enclave 的新数据库

1. 打开 SSMS 并连接到要在其中创建数据库的逻辑服务器。
2. 右键单击“数据库”文件夹并选择“新数据库...”
3. 在“配置 SLO”页中，将“启用安全 enclave”选项设置为“开启”。 这将创建启用了 VBS enclave 的数据库。

为现有数据库启用 VBS enclave

1. 打开 SSMS 并连接到要在其中修改数据库的逻辑服务器。
2. 右键单击该数据库并选择“属性”。
3. 在“配置 SLO”页中，将“启用安全 enclave”选项设置为“开启”。
4. 选择“确定”以保存数据库属性。

使用 Azure PowerShell 启用 VBS enclave

创建具有 VBS enclave 的新数据库或弹性池

使用 New-AzSqlDatabase cmdlet 创建具有 VBS enclave 的新数据库。 以下示例创建具有 VBS enclave 的无服务器数据库。

New-AzSqlDatabase  -ResourceGroupName "ResourceGroup01" `
    -ServerName "Server01" `
    -DatabaseName "Database01" `
    -Edition GeneralPurpose `
    -ComputeModel Serverless `
    -ComputeGeneration Gen5 `
    -VCore 2 `
    -MinimumCapacity 2 `
    -PreferredEnclaveType VBS

使用 New-AzSqlElasticPool cmdlet 新建具有 VBS enclave 的弹性池。 以下示例创建一个具有 VBS enclave 的弹性池。

New-AzSqlElasticPool ` 
    -ComputeGeneration Gen5 `
    -Edition 'GeneralPurpose' `
    -ElasticPoolName $ElasticPoolName `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -VCore 2 `
    -PreferredEnclaveType 'VBS'

为现有数据库或弹性池启用 VBS enclave

若要为现有数据库启用 VBS enclave，请使用 Set-AzSqlDatabase cmdlet。 下面是一个示例：

Set-AzSqlDatabase -ResourceGroupName "ResourceGroup01" `
    -DatabaseName "Database01" `
    -ServerName "Server01" `
    -PreferredEnclaveType VBS

若要为现有弹性池启用 VBS enclave，请使用 Set-AzSqlElasticPool cmdlet。 下面是一个示例：

Set-AzSqlElasticPool `
    -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -ElasticPoolName $ElasticPoolName `
    -PreferredEnclaveType 'VBS' 

使用 Azure CLI 启用 VBS enclave

创建具有 VBS enclave 的新数据库或弹性池

使用 az sql db create cmdlet 创建具有 VBS enclave 的新数据库。 以下示例创建具有 VBS enclave 的无服务器数据库。

az sql db create -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    -e GeneralPurpose `
    --compute-model Serverless `
    -f Gen5 `
    -c 2 `
    --min-capacity 2 `
    --preferred-enclave-type VBS 

使用 az sql elastic-pool create cmdlet 新建具有 VBS enclave 的弹性池。 以下示例创建具有 VBS enclave 的无服务器数据库。

az sql elastic-pool create -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    -e GeneralPurpose `
    -f Gen5 `
    -c 2 `
    --preferred-enclave-type VBS

为现有数据库或弹性池启用 VBS enclave

若要为现有数据库启用 VBS enclave，请使用 az sql db update cmdlet。 下面是一个示例：

az sql db update -g ResourceGroup01 `
    -s Server01 `
    -n Database01 `
    --preferred-enclave-type VBS

若要为现有弹性池启用 VBS enclave，请使用 az sql elastic-pool update cmdlet。 下面是一个示例：

az sql elastic-pool update -g ResourceGroup01 `
    -s Server01 `
    -n ElasticPool01 `
    --preferred-enclave-type VBS

另请参阅

• 开始使用具有安全 enclave 的 Always Encrypted