Guía de migración de enclaves Always Encrypted con Intel SGX

Azure SQL Database

Este artículo describe las alternativas a Always Encrypted con enclaves Intel SGX y los cambios necesarios para cada alternativa. Revisa las consideraciones de seguridad antes de elegir una alternativa. Los enclaves de Intel SGX y VBS proporcionan diferentes protecciones contra ataques procedentes del sistema operativo invitado y del anfitrión.

Antes de empezar, comprueba que puedes ver y modificar los servidores lógicos, las bases de datos y los Grupos Elásticos de Azure SQL de destino. Para PowerShell, instala los módulos de Az PowerShell e inicia sesión en Azure. Para usar la CLI de Azure, instala la CLI de Azure e inicia sesión en Azure. Haz un inventario de las aplicaciones que se conectan a las bases de datos afectadas para que puedas actualizar sus controladores, cadenas de conexión y parámetros de atestación durante la migración.

Identificar bases de datos que utilizan la serie DC

Identifica todas las bases de datos independientes y los Grupos Elásticos que utilizan la serie DC antes de planificar la migración. Todas las bases de datos de un grupo elástico de la serie DC se ven afectadas.

$resourceGroupName = "<resource-group-name>"
$serverName = "<server-name>"

$databases = Get-AzSqlDatabase `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName

$standaloneDatabases = $databases | Where-Object {
	-not $_.ElasticPoolName -and
	$_.CurrentServiceObjectiveName -match '(^|_)DC(_|$)'
}

$dcPoolNames = Get-AzSqlElasticPool `
	-ResourceGroupName $resourceGroupName `
	-ServerName $serverName | ForEach-Object {
		$poolResource = Get-AzResource -ResourceId $_.ResourceId -ExpandProperties
		if ($poolResource.Sku.Family -eq 'DC') {
			$_.ElasticPoolName
		}
	}

$pooledDatabases = $databases | Where-Object {
	$_.ElasticPoolName -in $dcPoolNames
}

@($standaloneDatabases) + @($pooledDatabases) |
	Select-Object DatabaseName, ElasticPoolName, Edition, CurrentServiceObjectiveName

resourceGroupName="<resource-group-name>"
serverName="<server-name>"

az login

az sql db list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?elasticPoolName == null && currentSku.family == 'DC'].{Database:name, ServiceObjective:currentServiceObjectiveName}" \
    --output table

dcPoolNames=$(az sql elastic-pool list \
    --resource-group $resourceGroupName \
    --server $serverName \
    --query "[?sku.family == 'DC'].name" \
    --output tsv)

for poolName in $dcPoolNames; do
    az sql elastic-pool list-dbs \
        --resource-group $resourceGroupName \
        --server $serverName \
        --name $poolName \
        --query "[].{PoolName:elasticPoolName, Database:name}" \
        --output table
done

Elección de una ruta de migración

Elige la ruta de migración que satisfaga los requisitos de seguridad y de las aplicaciones de tu carga de trabajo. Utiliza la siguiente comparación como punto de partida y revisa la guía detallada para la ruta seleccionada antes de hacer cambios en producción.

Migrar una sola base de datos a enclaves VBS

Utilice esta ruta para conservar las capacidades habilitadas para enclaves en Azure SQL Database.

1. Selecciona una configuración de hardware compatible de la serie estándar (no DC) que cumpla los requisitos de rendimiento y disponibilidad de tu carga de trabajo.
2. Traslade la base de datos a la configuración de hardware seleccionada.
3. Habilite los enclaves VBS para la base de datos. Al habilitar los enclaves VBS, se establece la propiedad preferredEnclaveType de la base de datos en VBS.
4. Revise los requisitos del controlador de cliente para los enclaves VBS sin certificación y actualice el controlador de su aplicación si es necesario.
5. Actualiza cada conexión de aplicación para usar el None protocolo de atestación enclave y elimina la URL de Microsoft Azure Attestation. Las palabras clave exactas de la cadena de conexión dependen del controlador del cliente.
6. Completa la validación posterior a la migración.

Migrar un pool elástico a enclaves VBS

Todas las bases de datos en un pool elástico heredan la configuración del enclave del pool. Utiliza esta ruta para conservar capacidades habilitadas para enclave en bases de datos en un pool elástico de Azure SQL.

1. Seleccione una configuración de serie estándar (no DC) soportada que cumpla con los requisitos de rendimiento y disponibilidad del pool. Para información sobre cómo cambiar la configuración del pool, consulte Gestionar un pool elástico en Azure SQL Database.
2. Habilitar enclaves VBS para el pool elástico. Al habilitar los enclaves VBS, se establece la propiedad preferredEnclaveType del grupo en VBS.
3. Revisa los requisitos del controlador de cliente para los enclaves VBS sin certificación y actualiza los controladores de tus aplicaciones si es necesario.
4. Actualiza cada conexión de aplicación para que utilice el Noneprotocolo de certificación de enclaves y elimina la URL de certificación de Microsoft Azure. Las palabras clave exactas de la cadena de conexión dependen del controlador de cliente.
5. Completa la validación posterior a la migración para cada base de datos del grupo.

Migrar a SQL Server en una máquina virtual confidencial de Azure

Considere esta opción si necesita un límite impuesto por el hardware que ayude a proteger el sistema operativo invitado del acceso del operador del host. Las máquinas virtuales confidenciales de Azure cifran la memoria de la máquina virtual y ofrecen propiedades de seguridad diferentes a las de los enclaves de Intel SGX. Evalúe estas diferencias en función de sus requisitos de seguridad y cumplimiento normativo.

1. Implemente SQL Server en una máquina virtual confidencial de Azure.
2. Elija si desea utilizar la certificación de enclave:
   • Planifique Always Encrypted con enclaves seguros en SQL Server sin certificación.
   • Planificación de la atestación del Servicio de protección de host.
3. Configure Always Encrypted con enclaves VBS en la instancia de SQL Server siguiendo las instrucciones correspondientes a la opción de certificación que haya seleccionado.
4. Planifique la migración de su base de datos, inicios de sesión, claves, conectividad de aplicaciones y recursos dependientes.
5. Elija una opción de migración de datos en función del tamaño de su base de datos, la configuración de red, los requisitos de tiempo de inactividad y los objetos de base de datos compatibles. Entre las opciones más comunes se incluyen:
   • Azure Data Factory: Utiliza una actividad de copia con el conector de Azure SQL Database como origen y el conector de SQL Server como destino. ADF trata las columnas Always Encrypted como valores binarios o de texto cifrado y las transfiere sin necesidad de acceder a la clave maestra de columna.
   • Smart Bulk Copy: Utilice Smart Bulk Copy para copiar el esquema y los datos de Azure SQL Database a SQL Server. Revisa los requisitos previos y limitaciones de la herramienta antes de migrar.
   • BACPAC: Considere la posibilidad de utilizar un BACPAC para bases de datos más pequeñas cuyos objetos sean compatibles con aplicaciones de nivel de datos. Los datos de Always Encrypted permanecen cifrados durante la exportación y la importación, y el archivo BACPAC incluye los metadatos de la clave de Always Encrypted. Para obtener más información, consulte Exportar e importar bases de datos con Always Encrypted, Exportar un archivo BACPAC e Importar un archivo BACPAC para crear una nueva base de datos.
6. Actualice las cadenas de conexión de la aplicación para la instancia de SQL Server y la opción de certificación seleccionada.
7. Completa la validación posterior a la migración.

Validación de la migración

Antes de trasladar la carga de trabajo a producción:

1. Comprueba que las aplicaciones puedan conectarse con Always Encrypted habilitado.
2. Ejecuta consultas representativas que usen columnas cifradas, incluyendo consultas que requieran cálculos de enclave si el entorno destino utiliza enclaves seguros.
3. Comprueba que las operaciones de inserción, actualización, eliminación e indexación en columnas cifradas se comporten según lo esperado.
4. Comprueba el rendimiento de la aplicación y ajusta la configuración de proceso de destino si es necesario.
5. Prueba los procedimientos de continuidad de tu negocio, recuperación ante desastres y conmutación por error. Todas las réplicas de la base de datos deben admitir enclaves seguros si la carga de trabajo utiliza operaciones habilitadas para enclaves.
6. Supervisa la aplicación en busca de errores de enclave, certificación y consultas antes de completar la transición.

Contenido relacionado

• Documentación de Always Encrypted con enclaves seguros
• Tutorial: Introducción al uso de Always Encrypted con enclaves seguros
• Configuración y uso de Always Encrypted con enclaves seguros