Настройка расширенного управления ключами SQL Server TDE с помощью Azure Key Vault

Область применения:SQL Server

В этой статье описана установка и настройка соединителя SQL Server для Azure Key Vault.

Расширяемое управление ключами с помощью Azure Key Vault (AKV) доступно для SQL Server на Linux сред, начиная с накопительного обновления 12 SQL Server 2022 (16.x). Выполните те же инструкции, но пропустите шаги 3 и 4.

Предварительные условия

Прежде чем приступить к использованию Azure Key Vault с экземпляром SQL Server, убедитесь, что выполнены следующие предварительные требования.

• У вас должна быть подписка Azure.

• Установите Azure PowerShell версии 5.2.0 или более поздней.

• Создайте клиент Microsoft Entra.

• Ознакомьтесь с принципами расширяемого хранилища управления ключами (EKM) в Azure Key Vault, просмотрев расширяемое управление ключами с помощью Azure Key Vault (SQL Server).

• Вы можете изменить реестр на компьютере SQL Server.

• Установите версию распространяемого пакета Visual Studio C++, соответствующую используемой версии SQL Server:

  Версия SQL Server	Распространяемый пакет Visual C++
  2008, 2008 R2, 2012, 2014	Распространяемые пакеты Visual C++ для Visual Studio 2013
  2016, 2017, 2019, 2022	Распространяемый пакет Visual C++ для Visual Studio 2015

• Ознакомьтесь с доступом к Azure Key Vault за брандмауэром , если вы планируете использовать соединитель SQL Server для Azure Key Vault за брандмауэром или прокси-сервером.

Шаг 1. Создайте учетную запись служебного приложения Microsoft Entra

Чтобы предоставить экземпляру SQL Server разрешения на доступ к хранилищу ключей Azure, вам нужна учетная запись службы в Microsoft Entra ID.

1. Войдите на портал Azure и выполните одно из следующих действий.

   • Нажмите кнопку Microsoft Entra ID.

     

   • Выберите "Дополнительные службы", а затем в области "Все службы" введите идентификатор Microsoft Entra.

2. Зарегистрируйте приложение с помощью идентификатора Microsoft Entra, выполнив указанные ниже действия. Подробные пошаговые инструкции смотрите в разделе Получение удостоверения для приложения записи блога Azure Key Vault Azure Key Vault — пошаговые инструкции.

   1. В разделе "Управление" ресурса идентификатора Microsoft Entra выберите Регистрация приложений.

      

   2. На странице Регистрация приложений выберите Новая регистрация.

      

   3. На панели Зарегистрировать приложение введите имя приложения, доступное для пользователя, а затем выберите Зарегистрировать.

      

   4. В левой области выберите Сертификаты и секреты > Секреты клиента > Новый секрет клиента.

      

   5. В разделе Добавить секрет клиента введите описание и соответствующий срок действия, а затем выберите Добавить. Вы не можете выбрать срок действия, превышающий 24 месяца. Дополнительные сведения см. в разделе Добавление секрета клиента.

      

   6. В области "Сертификаты и секреты" в разделе "Значение" нажмите кнопку "Копировать" рядом со значением секрета клиента, который будет использоваться для создания асимметричного ключа в SQL Server.

      

   7. В левой области выберите Обзор, а затем, в поле Идентификатор приложения (клиента), скопируйте значение, которое будет использоваться для создания асимметричного ключа в SQL Server.

      

Шаг 2. Создание хранилища ключей

Выберите метод, который следует использовать для создания хранилища ключей.

$securepfxpwd = ConvertTo-SecureString -String '12987553' `
  -AsPlainText -Force

    Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
      -Name 'DocsFirstKey' -KeyFilePath 'C:\softkey.pfx' `
      -KeyFilePassword $securepfxpwd $securepfxpwd  -Destination 'HSM'

Add-AzureKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'ContosoRSAKey0' -Destination 'Software'

Attributes : Microsoft.Azure.Commands.KeyVault.Models.KeyAttributes
Key        :  {"kid":"https:DocsSampleEKMKeyVault.azure.net/keys/
                ContosoRSAKey0/<guid>","dty":"RSA:,"key_ops": ...
VaultName  : contosodevkeyvault
Name       : contosoRSAKey0
Version    : <guid>
Id         : https://DocsSampleEKMKeyVault.vault.azure.net:443/
              keys/ContosoRSAKey0/<guid>

Необязательно — настройте управляемый аппаратный модуль безопасности (HSM) в Azure Key Vault

Управляемый модуль HSM в Azure Key Vault (аппаратный модуль безопасности) поддерживается для SQL Server и SQL Server на виртуальных машинах Azure при использовании последней версии соединителя SQL Server, а также Azure SQL. Управляемый HSM — это полностью управляемая, высокодоступная, однотенантная служба HSM. Управляемый модуль HSM обеспечивает безопасную основу для криптографических операций и хранилища ключей. Управляемый модуль HSM предназначен для удовлетворения самых строгих требований к безопасности и соответствию требованиям.

На шаге 2 мы узнали, как создать хранилище ключей и ключ в Azure Key Vault. При необходимости можно использовать управляемый HSM в Azure Key Vault для хранения или создания ключа, который будет использоваться с соединителем SQL Server. Ниже приведены шаги.

1. Создайте управляемый HSM в Azure Key Vault. Это можно сделать с помощью портал Azure, выполнив поиск службы управляемого HSM в Azure Key Vault и создав новый ресурс, или с помощью Azure CLI, PowerShell или шаблона ARM.

2. Активация управляемого модуля HSM. Только назначенные администраторы, указанные при создании управляемого HSM, могут активировать HSM. Это можно сделать, выбрав управляемый ресурс HSM в портале Azure, выбрав «Скачать домен безопасности» в меню «Обзор» ресурса. Затем следуйте одному из кратких руководств, чтобы активировать управляемый HSM.

3. Предоставьте разрешения учетной записи службы Microsoft Entra на доступ к управляемому HSM. Роль администратора управляемого HSM не предоставляет разрешения на создание ключа. Аналогично шагу 2, для приложения EKM требуется роль управляемого пользователя HSM для криптографирования или управляемого пользователя службы шифрования HSM для выполнения операций обёртывания и развертывания. Выберите тип приложения Enterprise при добавлении субъекта для назначения роли. Дополнительные сведения см. в статье о встроенных ролях локального RBAC для управляемого устройства HSM.

4. В меню службы управляемого HSM в Azure Key Vault в разделе "Параметры" выберите "Ключи". В окне "Ключи" выберите "Создать/импортировать и восстановить резервную копию", чтобы создать ключ или импортировать существующий ключ.

   Примечание.

   При создании учетных данных для доступа к управляемому HSM удостоверение <name of Managed HSM>.managedhsm.azure.net, которое можно найти в портале Azure в разделе Обзор в управляемом HSM Azure Key Vault, в качестве URI HSM.

   Автоматическая смена ключей поддерживается в управляемом HSM в Azure Key Vault. Дополнительные сведения см. в разделе "Настройка автоматического поворота ключей" в управляемом HSM Azure.

   Соединитель SQL Server версии 15.0.2000.440 или более поздней требуется для поддержки управляемого HSM в Azure Key Vault.

   Управляемый HSM поддерживает подключения к частной конечной точке. Дополнительные сведения см. в статье Интеграция управляемой службы HSM с помощью частного подключения Azure. В этой конфигурации параметр обхода доверенной службы Microsoft должен быть включен в сетевых настройках управляемого HSM в Azure Key Vault.

Шаг 3. Установка соединителя SQL Server

Скачайте Соединитель SQL Server из Центра загрузки Майкрософт. Скачивание должно выполняться администратором компьютера SQL Server.

По умолчанию соединитель устанавливается в C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault. Это местоположение можно изменить во время установки. Если вы измените ее, измените сценарии в следующем разделе.

Интерфейс для соединителя отсутствует, но если он установлен успешно, то Microsoft.AzureKeyVaultService.EKM.dll установлен на компьютере. Эта сборка является DLL криптографического поставщика EKM, которую необходимо зарегистрировать в SQL Server с помощью инструкции CREATE CRYPTOGRAPHIC PROVIDER.

Установка Соединителя SQL Server также позволяет при необходимости скачать примеры скриптов для шифрования SQL Server.

Просмотреть описания кодов ошибок, параметры конфигурации и задачи обслуживания для соединителя SQL Server можно в следующих разделах.

• А. Инструкции по обслуживанию для соединителя SQL Server
• В. Описания кодов ошибок для соединителя SQL Server

Шаг 4: Добавление ключа реестра для поддержки поставщика EKM

1. Убедитесь, что SQL Server установлен и запущен.

2. Запустите regedit , чтобы открыть редактор реестра.

3. Создайте раздел реестра SQL Server Cryptographic Provider на HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft. Полный путь выглядит так: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider.

4. Щелкните правой кнопкой SQL Server Cryptographic Provider мыши раздел реестра и выберите "Разрешения".

5. Предоставьте разрешения на полный доступ для ключа реестра пользовательскому аккаунту, запустившему службу SQL Server.

   

6. Нажмите кнопку Apply (Применить), а затем — ОК.

7. Закройте редактор реестра и перезапустите службу SQL Server.

   Примечание.

   Если вы используете TDE с EKM или Azure Key Vault в отказоустойчивом кластере, необходимо выполнить дополнительный шаг, чтобы добавить HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider в подпрограмму контрольной точки реестра кластера, чтобы реестр мог синхронизироваться с узлами. Синхронизация упрощает восстановление базы данных после перехода на резервный сервер и ротации ключей.

   Чтобы добавить ключ реестра в процедуру контрольной точки реестра кластера, выполните следующую команду в PowerShell:

   Add-ClusterCheckpoint -RegistryCheckpoint "SOFTWARE\Microsoft\SQL Server Cryptographic Provider" -Resourcename "SQL Server"

Шаг 5. Настройка SQL Server

Сведения о минимальном уровне разрешений для выполнения каждого из описанных здесь действий см. в разделе Б. Часто задаваемые вопросы.

master Настройка базы данных

1. Запустите sqlcmd или откройте SQL Server Management Studio.

2. Настройте SQL Server для использования EKM, выполнив следующий скрипт Transact-SQL:

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. Зарегистрируйте коннектор SQL Server в качестве поставщика EKM в SQL Server.

   Создайте криптографического провайдера с помощью соединителя SQL Server, который служит провайдером EKM для Azure Key Vault. В этом примере имя поставщика — AzureKeyVault_EKM.

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Примечание.

   Длина пути файла не может превышать 256 символов.

4. Настройте учетные данные SQL Server для входа в SQL Server, чтобы использовать хранилище ключей.

   Учетные данные необходимо добавить к каждому имени входа, которое будет выполнять шифрование с использованием ключа из хранилища ключей. В частности, это могут быть следующие задачи:

   • Имя входа администратора SQL Server, использующее хранилище ключей для настройки сценариев шифрования SQL Server и управления ими.

   • Другие имена входа SQL Server, которые могут активировать TDE или другие функции шифрования SQL Server.

   Между учетными данными и логинами существует соответствие "один к одному". То есть каждое имя входа должно иметь уникальные учетные данные.

   Измените этот скрипт Transact-SQL следующим образом:

   • Измените аргумент IDENTITY (DocsSampleEKMKeyVault), чтобы он указывал на хранилище ключей Azure.

     • Если вы используете глобальную службу Azure, замените аргумент именем Azure Key Vault из шага 2. Создайте IDENTITY хранилище ключей.
     • Если вы используете частное облако Azure (например, Azure для государственных организаций, Microsoft Azure под управлением 21Vianet или Azure в Германии), замените IDENTITY аргумент URI хранилища, возвращаемый на шаге 3 из раздела "Создание хранилища ключей и ключа" с помощью раздела PowerShell. Не включайте https:// в URI хранилища ключей.

   • Замените первую часть SECRET части аргумента идентификатором клиента Microsoft Entra из Шаг 1: Настройка субъекта-службы Microsoft Entra. В этом примере идентификатором клиента является d956f6b9xxxxxxx.

     Внимание

     Необходимо удалить дефисы из идентификатора приложения (клиента).

   • Выполните вторую часть аргумента SECRET с секретом клиента из шага 1: Настройка учетной записи службы Microsoft Entra. В этом примере секретом клиента является yrA8X~PldtMCvUZPxxxxxxxx. Последняя строка аргумента SECRET будет длинной последовательностью букв и чисел без дефисов (за исключением раздела секрета клиента, если секрет клиента содержит все дефисы).

     USE master;
     CREATE CREDENTIAL sysadmin_ekm_cred
         WITH IDENTITY = 'DocsSampleEKMKeyVault',                            -- for public Azure
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.usgovcloudapi.net', -- for Azure Government
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.azure.cn',          -- for Microsoft Azure operated by 21Vianet
         -- WITH IDENTITY = 'DocsSampleEKMKeyVault.vault.microsoftazure.de', -- for Azure Germany
         -- WITH IDENTITY = '<name of Managed HSM>.managedhsm.azure.net',    -- for Managed HSM (HSM URI in the Azure portal resource)
                --<----Application (Client) ID ---><--Microsoft Entra app (Client) ID secret-->
         SECRET = 'd956f6b9xxxxxxxyrA8X~PldtMCvUZPxxxxxxxx'
     FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
     
     -- Add the credential to the SQL Server administrator's domain login
     ALTER LOGIN [<domain>\<login>]
     ADD CREDENTIAL sysadmin_ekm_cred;
     

   Пример использования переменных для CREATE CREDENTIAL аргумента и программного удаления дефисов из идентификатора клиента см. в разделе CREATE CREDENTIAL.

5. Откройте ключ Azure Key Vault в экземпляре SQL Server.

   Независимо от того, создали ли вы новый ключ или импортировали асимметричный ключ, как описано на шаге 2. Создайте хранилище ключей, необходимо открыть ключ. Откройте его, указав имя ключа в следующем скрипте Transact-SQL.

   Внимание

   Сначала выполните предварительные требования реестра для этого шага.

   • Замените EKMSampleASYKey на имя, которое вы хотите присвоить ключу в SQL Server.
   • Замените ContosoRSAKey0 именем ключа в Azure Key Vault или управляемом HSM. Ниже приведен пример ключа без версии.

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   Начиная с обновленной версии 1.0.5.0 соединителя SQL Server, можно обратиться к определенной версии ключа в Azure Key Vault:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
   FROM PROVIDER [AzureKeyVault_EKM]
   WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
   CREATION_DISPOSITION = OPEN_EXISTING;
   

   В предыдущем примере скрипта 1a4d3b9b393c4678831ccc60def75379 представляет конкретную версию ключа, который будет использоваться. При использовании этого скрипта не имеет значения, будет ли ключ обновлен новой версией. Версия ключа (например, 1a4d3b9b393c4678831ccc60def75379) всегда будет использоваться для операций в базе данных.

6. Создайте новое имя входа с помощью асимметричного ключа в SQL Server, созданном на предыдущем шаге.

   --Create a Login that will associate the asymmetric key to this login
   CREATE LOGIN TDE_Login
   FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. Создайте новое имя входа из асимметричного ключа в SQL Server. Удалите сопоставление учетных данных на шаге 5. Настройте SQL Server , чтобы учетные данные могли быть сопоставлены с новым именем входа.

   --Now drop the credential mapping from the original association
   ALTER LOGIN [<domain>\<login>]
   DROP CREDENTIAL sysadmin_ekm_cred;
   

8. Измените новый логин и сопоставьте учетные данные EKM с новым логином.

   --Now add the credential mapping to the new Login
   ALTER LOGIN TDE_Login
   ADD CREDENTIAL sysadmin_ekm_cred;
   

Настройка шифрования пользовательской базы данных

1. Создайте тестовую базу данных, которая будет зашифрована с помощью ключа Azure Key Vault.

   --Create a test database that will be encrypted with the Azure Key Vault key
   CREATE DATABASE TestTDE;
   

2. Создайте ключ шифрования базы данных с помощью ASYMMETRIC KEY (EKMSampleASYKey).

   USE <DB Name>;
   --Create an ENCRYPTION KEY using the ASYMMETRIC KEY (EKMSampleASYKey)
   CREATE DATABASE ENCRYPTION KEY
   WITH ALGORITHM = AES_256
   ENCRYPTION BY SERVER ASYMMETRIC KEY EKMSampleASYKey;
   

3. Зашифруйте тестовую базу данных. Включите TDE, задав параметр ENCRYPTION ON.

   --Enable TDE by setting ENCRYPTION ON
   ALTER DATABASE TestTDE
   SET ENCRYPTION ON;
   

Сведения о реестре

1. Выполните следующий запрос Transact-SQL в master базе данных, чтобы отобразить асимметричный ключ, используемый.

   SELECT name, algorithm_desc, thumbprint FROM sys.asymmetric_keys;
   

   Инструкция возвращает следующие данные:

   name            algorithm_desc    thumbprint
   EKMSampleASYKey RSA_2048          <key thumbprint>
   

2. В пользовательской базе данных (TestTDE) выполните следующий запрос Transact-SQL, чтобы отобразить используемый ключ шифрования.

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('TestTDE');
   

   Инструкция возвращает следующие данные:

   encryptor_type encryption_state_desc encryptor_thumbprint
   ASYMMETRIC KEY ENCRYPTED             <key thumbprint>
   

Очистка

1. Очистите тестовые объекты. Удалите все объекты, созданные в этом тестовом сценарии.

   -- CLEAN UP
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   ALTER LOGIN [TDE_Login] DROP CREDENTIAL [sysadmin_ekm_cred];
   DROP LOGIN [TDE_Login];
   GO
   
   DROP CREDENTIAL [sysadmin_ekm_cred];
   GO
   
   USE master;
   GO
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   

   Примеры сценариев см. в блоге Прозрачное шифрование данных и расширенное управление ключами SQL Server с помощью Azure Key Vault.

2. Раздел SQL Server Cryptographic Provider реестра не очищается автоматически после удаления ключа или всех ключей EKM. Его необходимо очистить вручную. Очистка раздела реестра должна выполняться с крайней осторожностью, так как преждевременная очистка реестра может нарушить функциональные возможности EKM. Чтобы очистить ключ реестра, удалите ключ SQL Server Cryptographic Provider на HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft.

Устранение неполадок

Если раздел HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider реестра не создан или необходимые разрешения не предоставлены, следующая инструкция DDL завершится ошибкой:

CREATE ASYMMETRIC KEY EKMSampleASYKey
FROM PROVIDER [AzureKeyVault_EKM]
WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
CREATION_DISPOSITION = OPEN_EXISTING;

Msg 33049, Level 16, State 2, Line 65
Key with name 'ContosoRSAKey0' does not exist in the provider or access is denied. Provider error code: 2058.  (Provider Error - No explanation is available, consult EKM Provider for details)

Секреты клиента, срок действия которых истекает

Если учетные данные имеют секрет клиента, срок действия которого скоро истечет, учетным данным можно назначить новый секрет.

1. Обновите секрет, изначально созданный на шаге 1: Настройка субъекта-службы Microsoft Entra.

2. Измените учетные данные с помощью того же удостоверения и нового секрета с помощью следующего кода. Замените <New Secret> новым секретом:

   ALTER CREDENTIAL sysadmin_ekm_cred
   WITH IDENTITY = 'DocsSampleEKMKeyVault',
   SECRET = '<New Secret>';
   

3. Перезапустите службу SQL Server.

Смена асимметричного ключа с новым ключом AKV или новой версией ключа AKV

SQL Server не имеет механизма автоматического поворота асимметричного ключа, используемого для TDE. Ниже приведены шаги по повороту асимметричного ключа вручную.

1. Учетные данные, используемые в начальной настройке (sysadmin_ekm_cred), также можно повторно использовать для смены ключей. При необходимости создайте новые учетные данные для нового асимметричного ключа.

   CREATE CREDENTIAL <new_credential_name>
       WITH IDENTITY = <key vault>,
       SECRET = 'existing/new secret'
       FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   

2. Добавьте учетные данные к основному объекту:

   ALTER LOGIN [domain\userName];
   ADD CREDENTIAL <new_credential_name>;
   

3. Создайте асимметричный ключ на основе нового ключа (после поворота ключа). Новый ключ может быть ключом без версии (ContosoRSAKey0 в нашем примере) или ключом с версиями (ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379 где 1a4d3b9b393c4678831ccc60def75379 версия обновленного ключа в AKV):

   CREATE ASYMMETRIC KEY <new_ekm_key_name>
    FROM PROVIDER [AzureKeyVault_EKM]
    WITH PROVIDER_KEY_NAME = <new_key_from_key_vault>,
    CREATION_DISPOSITION = OPEN_EXISTING;
   

4. Создайте новое имя входа из нового асимметричного ключа:

   CREATE LOGIN <new_login_name>
   FROM ASYMMETRIC KEY <new_ekm_key_name>;
   

5. Удалите учетные данные из субъекта:

   ALTER LOGIN [domain\username]
   DROP CREDENTIAL <new_credential_name>;
   

6. Сопоставление учетных данных AKV с новым именем входа:

   ALTER LOGIN <new_login_name>;
   ADD CREDENTIAL <new_credential_name>;
   

7. Измените ключ шифрования базы данных (DEK) для повторного шифрования с помощью нового асимметричного ключа:

   USE [databaseName];
   GO
   ALTER DATABASE ENCRYPTION KEY ENCRYPTION BY SERVER ASYMMETRIC KEY <new_ekm_key_name>;
   

8. Вы можете проверить новый асимметричный ключ и ключ шифрования, используемый в базе данных:

   SELECT encryptor_type, encryption_state_desc, encryptor_thumbprint
   FROM sys.dm_database_encryption_keys
   WHERE database_id = DB_ID('databaseName');
   

   Этот отпечаток должен соответствовать разделу реестра по пути HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider\Azure Key Vault\<key_vault_url>\<thumbprint> и дать вам повернутый KeyUri ключ.

Связанный контент

• Использование соединителя SQL Server с компонентами шифрования SQL
• Расширенное управление ключами с помощью Azure Key Vault (SQL Server)
• Обслуживание и устранение неполадок соединителя SQL Server