チュートリアル: Always Encrypted の作業の開始

[アーティクル]
09/07/2023

適用対象:SQL Server Azure SQL Database Azure SQL Managed Instance

Always Encrypted の開始方法について説明します。次のことを示します。

データベース内の選択した列を暗号化する方法。
暗号化された列のクエリを実行する方法。

注意

セキュリティで保護されたエンクレーブによる Always Encrypted に関する情報をお探しの場合は、代わりに次のチュートリアルを参照してください。

前提条件

このチュートリアルには、次のものが必要です。

SQL Server データベース、Azure SQL Managed Instance、またはSQL Server の空のデータベース次の手順では、データベース名が ContosoHR であることを前提としています。データベースの所有者 (db_owner ロールのメンバー) である必要があります。データベースを作成する方法の詳細については、「クイックスタート: 単一データベースを作成する - Azure SQL Database」または「データベースを作成する - SQL Server」を参照してください。
オプションとして、特にデータベースが Azure にある場合には、Azure Key Vault のキーコンテナーをお勧めします。キーコンテナーを作成する方法については、「クイックスタート: Azure portal を使用してキーコンテナーを作成する」を参照してください。
- キーコンテナーでアクセスポリシーのアクセス許可モデルを使用する場合は、キーコンテナーに次のキーアクセス許可があることを確認します: get、list、create、unwrap key、wrap key、verify、sign。「Key Vault アクセスポリシーを割り当てる」を参照してください。
- Azure ロールベースのアクセス制御 (RBAC) アクセス許可モデルを使用している場合は、キーコンテナーの Key Vault Crypto Officer ロールのメンバーであることを確認してください。「Azure のロールベースのアクセス制御を使用して Key Vault のキー、証明書、シークレットへのアクセス権を付与する」を参照してください。
最新バージョンの SQL Server Management Studio (SSMS) または最新バージョンの SqlServer および Az PowerShell モジュール。 Az PowerShell モジュールは、Azure Key Vault を使用している場合にのみ必要です。

手順 1: データベーススキーマを作成して設定する

この手順では、HR スキーマと Employees テーブルを作成します。次に、テーブルにデータを入力します。

SSMS
PowerShell

データベースに接続します。 SSMS からデータベースに接続する方法については、「クイックスタート: SQL Server Management Studio (SSMS) を使用して Azure SQL Database または Azure Managed Instance に接続してクエリを実行する」または「クイックスタート: SQL Server Management Studio (SSMS) を使用して SQL Server インスタンスに接続し、クエリを行う」を参照してください。
ContosoHR データベースの新しいクエリウィンドウを開きます。

以下のステートメントを貼り付けて実行し、Employees という名前の新しいテーブルを作成します。

CREATE SCHEMA [HR];
GO

CREATE TABLE [HR].[Employees]
(
    [EmployeeID] [int] IDENTITY(1,1) NOT NULL
    , [SSN] [char](11) NOT NULL
    , [FirstName] [nvarchar](50) NOT NULL
    , [LastName] [nvarchar](50) NOT NULL
    , [Salary] [money] NOT NULL
) ON [PRIMARY];

次のステートメントを貼り付けて実行し、Employees テーブルにいくつかの従業員レコードを追加します。

INSERT INTO [HR].[Employees]
(
    [SSN]
    , [FirstName]
    , [LastName]
    , [Salary]
)
VALUES
(
    '795-73-9838'
    , N'Catherine'
    , N'Abel'
    , $31692
);

INSERT INTO [HR].[Employees]
(
    [SSN]
    , [FirstName]
    , [LastName]
    , [Salary]
)
VALUES
(
    '990-00-6818'
    , N'Kim'
    , N'Abercrombie'
    , $55415
);

PowerShell ウィンドウで、次のコマンドを実行します。接続文字列は、サーバーのアドレスと、データベースに対して有効な認証設定で更新してください。

Import-Module "SqlServer"

# Set your database connection string
$connectionString = "Server = myServerAddress; Database = ContosoHR; ..."

# Create a new table, named Employees.
$query = @'
    CREATE SCHEMA [HR];
    GO
    
    CREATE TABLE [HR].[Employees]
    (
        [EmployeeID] [int] IDENTITY(1,1) NOT NULL
        , [SSN] [char](11) NOT NULL
        , [FirstName] [nvarchar](50) NOT NULL
        , [LastName] [nvarchar](50) NOT NULL
        , [Salary] [money] NOT NULL
    ) ON [PRIMARY];
'@
Invoke-SqlCmd -ConnectionString $connectionString -Query $query

# Add a few rows to the Employees table.
$query = @'
    INSERT INTO [HR].[Employees]
    (
        [SSN]
        , [FirstName]
        , [LastName]
        , [Salary]
    )
    VALUES
    (
        '795-73-9838'
        , N'Catherine'
        , N'Abel'
        , $31692
    );

    INSERT INTO [HR].[Employees]
    (
        [SSN]
        , [FirstName]
        , [LastName]
        , [Salary]
    )
    VALUES
    (
        '990-00-6818'
        , N'Kim'
        , N'Abercrombie'
        , $55415
    );
'@
Invoke-SqlCmd -ConnectionString $connectionString -Query $query

手順 2: 列を暗号化する

この手順では、Always Encrypted の列マスターキーと列暗号化キーをプロビジョニングします。次に、Employees テーブルの SSN 列と Salary 列を暗号化します。

SSMS
PowerShell

SSMS に用意されているウィザードを使用すると、列マスターキー、列暗号化キーを設定し、選択した列を暗号化することにより、簡単に Always Encrypted を構成できます。

オブジェクトエクスプローラーで、 [データベース]>[ContosoHRTables]> テーブルを展開します。
[Employees] テーブルを右クリックして [列の暗号化] を選択すると、Always Encrypted ウィザードが起動します。
ウィザードの [概要] ページで [次へ] を選択します。
[列の選択] ページで
1. SSN と給与の列を選択します。 SSN 列の決定論的暗号化と、Salary 列のランダム化された暗号化を選択します。決定論的暗号化では、暗号化された列の等価比較を伴うポイントルックアップ検索などのクエリがサポートされます。ランダム化された暗号化では、暗号化された列の計算はサポートされません。
2. 両方の列の列暗号化キーとして CEK-Auto1 (新規) のままにします。このキーはまだ存在せず、ウィザードによって生成されます。
3. [次へ] を選択します。
[マスターキーの構成] ページで、ウィザードによって生成される新しい列マスターキーを構成します。まず、列マスターキーを格納する場所を選択する必要があります。ウィザードでは、次の 2 種類のキーストアがサポートされています。
- Azure Key Vault - データベースが Azure にある場合にお勧めします
- Windows 証明書ストア
一般に、特にデータベースが Azure にある場合は、Azure Key Vault が推奨されるオプションです。
- Azure Key Vault を使用するには:
  1. [Azure Key Vault]を選択します。
  2. [サインイン] を選択し、Azure へのサインインを完了します。
  3. サインインすると、アクセスできるサブスクリプションとキーコンテナーの一覧がページに表示されます。使用するキーコンテナーを含む Azure サブスクリプションを選択します。
  4. キーコンテナーを選択します。
  5. [次へ] を選択します。
- Windows 証明書ストアを使用するには:
  1. [Windows 証明書ストア] を選択します。
  2. [現在のユーザー] の既定の選択のままにします。これにより、現在のユーザー ストアに証明書 (新しい列マスターキー) を生成するようにウィザードに指示されます。
  3. [次へ] を選択します。
[インプレース暗号化の設定] ページでは、データベースでエンクレーブが有効になっていないため、追加の構成は必要ありません。 [次へ] を選択します。
[実行設定] ページで、暗号化を続行するか、後で実行する PowerShell スクリプトを生成するかを確認するメッセージが表示されます。既定の設定のままにして、[ 次へ] を選択します。
[概要] ページで、ウィザードによって実行されるアクションが通知されます。すべての情報が正しいことを確認し、[完了] を選択します。
[結果]ページでは、ウィザードの操作の進行状況を監視できます。すべての操作が正常に完了するまで待ち、[閉じる] を選択します。
(省略可能)ウィザードによってデータベースに加えられた変更を確認します。
1. [ContosoHR]>[Security]>[Always Encrypted Keys]を展開して、列マスターキーのメタデータオブジェクトと、ウィザードによって作成された列暗号化を調べることができます。
2. キーメタデータを含むシステムカタログビューに対して、以下のクエリを実行することもできます。
```
SELECT * FROM sys.column_master_keys;
SELECT * FROM sys.column_encryption_keys
SELECT * FROM sys.column_encryption_key_values
```
3. オブジェクトエクスプローラーで、[社員] テーブルを右クリックし、[スクリプトテーブル]>[Create To]>[New クエリエディター Window]を選択します。これにより、Employees テーブルの CREATE TABLE ステートメントを含む新しいクエリウィンドウが開きます。 SSN 列と Salary 列の定義に表示される ENCRYPTED WITH 句に注意してください。
4. sys.columns に対して次のクエリを実行して、2 つの暗号化された列の列レベルの暗号化メタデータを取得することもできます。
```
SELECT
[name]
, [encryption_type]
, [encryption_type_desc]
, [encryption_algorithm_name]
, [column_encryption_key_id]
FROM sys.columns
WHERE [encryption_type] IS NOT NULL;
```

キーストアで列マスターキーを作成します。

Azure Key Vault を使用している場合は、次のコマンドを実行して、キーコンテナーに非対称キーを作成します。サブスクリプションの正しい ID、キーコンテナーを含むリソースグループの名前、およびキーコンテナー名を指定してください。

Import-Module "Az"
Connect-AzAccount
$subscriptionId = "<your Azure subscription ID"
$resourceGroup = "your resource group name containing your key vault"
$keyVaultName = "your vault name"
$keyVaultKeyName = "your key name"

# Switch to your subscription.
Set-AzConteXt -SubscriptionId $subscriptionId

# To validate the above key vault settings, get the key vault properties.
Get-AzKeyVault -VaultName $keyVaultName -ResourceGroupName $resourceGroup 

# Create a key in the key vault.
$keyVaultKey = Add-AzKeyVaultKey -VaultName $keyVaultName -Name $keyVaultKeyName -Destination "Software"
$keyVaultKey

Windows 証明書ストアを使用している場合は、次のコマンドを実行して、現在のユーザーストアに証明書を作成します。

$cert = New-SelfSignedCertificate -Subject "HRCMK" -CertStoreLocation Cert:CurrentUser\My -KeyExportPolicy Exportable -Type DocumentEncryptionCert -KeyUsage DataEncipherment -KeySpec KeyExchange

SqlServer PowerShell モジュールを使用して、データベースに接続します。データベースに対して有効な接続文字列を指定してください。
```
$database = Get-SqlDatabase -ConnectionString $connectionString
$database
```

データベースに列マスターキーメタデータオブジェクト (キーストアで作成した物理列マスターキーを参照) をプロビジョニングします。

Azure Key Vault を使用している場合は、次のコマンドを実行します。

# Sign in to Azure for the SqlServer PowerShell module
Add-SqlAzureAuthenticationContext -Interactive

# Create a SqlColumnMasterKeySettings in-memory object referencing the key you've created in your key vault. 
$cmkSettings = New-SqlAzureKeyVaultColumnMasterKeySettings -KeyURL $keyVaultKey.Key.Kid

# Create column master key metadata object (referencing your certificate), named CMK1, in the database.
$cmkName = "CMK1"
New-SqlColumnMasterKey -Name $cmkName -InputObject $database -ColumnMasterKeySettings $cmkSettings

Windows 証明書ストアを使用している場合は、次のコマンドを実行します。

# Create a SqlColumnMasterKeySettings in-memory object referencing your certificate.
$cmkSettings = New-SqlCertificateStoreColumnMasterKeySettings -CertificateStoreLocation "CurrentUser" -Thumbprint $cert.Thumbprint

# Create column master key metadata object, named CMK1, in the database.
$cmkName = "CMK1"
New-SqlColumnMasterKey -Name $cmkName -InputObject $database -ColumnMasterKeySettings $cmkSettings

列暗号化キーを生成し、作成した列マスターキーで暗号化し、データベースで列の暗号化キーのメタデータオブジェクトを作成します。
```
$cekName = "CEK1"
New-SqlColumnEncryptionKey -Name $cekName -InputObject $database -ColumnMasterKey $cmkName
```
Employees テーブルの SSN 列と Salary 列を暗号化します。 SSN 列の決定論的暗号化と、Salary 列のランダム化された暗号化を選択します。決定論的暗号化では、暗号化された列の等価比較を伴うポイントルックアップ検索などのクエリがサポートされます。ランダム化された暗号化では、暗号化された列の計算はサポートされません。
```
# Encrypt the SSN and Salary columns 
$ces = @()
$ces += New-SqlColumnEncryptionSettings -ColumnName "HR.Employees.SSN" -EncryptionType "Deterministic" -EncryptionKey $cekName
$ces += New-SqlColumnEncryptionSettings -ColumnName "HR.Employees.Salary" -EncryptionType "Randomized" -EncryptionKey $cekName
Set-SqlColumnEncryption -InputObject $database -ColumnEncryptionSettings $ces -LogFileDirectory .
```

(省略可能)データベースで行った変更を確認します。

次のコマンドを実行して、作成した列マスターキーと列暗号化キーに関するメタデータを含むシステムカタログビューに対してクエリを実行します。

$query = @'
SELECT * FROM sys.column_master_keys;
SELECT * FROM sys.column_encryption_keys
SELECT * FROM sys.column_encryption_key_values
'@

Invoke-SqlCmd -ConnectionString $connectionString -Query $query

次のコマンドを実行して sys.columns にクエリを実行し、暗号化された 2 つの列の列レベルの暗号化メタデータを取得します。

$query = @'
SELECT
[name]
, [encryption_type]
, [encryption_type_desc]
, [encryption_algorithm_name]
, [column_encryption_key_id]
FROM sys.columns
WHERE [encryption_type] IS NOT NULL;
'@

Invoke-SqlCmd -ConnectionString $connectionString -Query $query

接続に対して Always Encrypted が無効になっている状態でデータベースに接続します。
1. 新しいクエリウィンドウを開きます。
2. クエリウィンドウ内の任意の場所を右クリックし、[接続]>[接続の変更] の順に選択します。 [データベースエンジンへの接続] ダイアログが開きます。
3. [オプション]<< を選択します。 [データベースエンジンへの接続] ダイアログに追加のタブが表示されます。
4. [Always Encrypted] タブを選択します。
5. [Always Encrypted を有効にする (列の暗号化)] が選択されていないことを確認します。
6. [接続] を選択します。
次のクエリを貼り付け、実行します。クエリは、バイナリ暗号化データを返す必要があります。
```
SELECT [SSN], [Salary] FROM [HR].[Employees]
```
接続に対して Always Encrypted を有効にして、データベースに接続する必要があります。
1. クエリウィンドウ内の任意の場所を右クリックし、[接続]>[接続の変更] の順に選択します。 [データベースエンジンへの接続] ダイアログが開きます。
2. [オプション]<< を選択します。 [データベースエンジンへの接続] ダイアログに追加のタブが表示されます。
3. [Always Encrypted] タブを選択します。
4. [Always Encrypted を有効にする]を選択します。
5. [接続] を選択します。
同じクエリを再実行してください。データベース接続に対して Always Encrypted が有効になっているため、SSMS のクライアントドライバーは、両方の暗号化された列に格納されているデータの暗号化解除を試みます。 Azure Key Vault を使用する場合は、Azure へのサインインを求められる場合があります。
[Always Encrypted のパラメーター化]を有効にします。この機能を使用すると、暗号化された列でデータをフィルター処理 (または暗号化された列にデータを挿入) するクエリを実行できます。
1. SSMS のメインメニューから [クエリ] を選択します。
2. [クエリオプション...] を選択します。
3. [実行]>[詳細]の順に移動します。
4. [Always Encryptedのパラメーター化を有効にする] が有効になっていることを確認します。
5. [OK] を選択します。
次のクエリを貼り付けて実行します。このクエリでは、暗号化された SSN 列でデータがフィルター処理されます。クエリは、プレーンテキスト値を含む 1 つの行を返す必要があります。
```
DECLARE @SSN [char](11) = '795-73-9838'
SELECT [SSN], [Salary] FROM [HR].[Employees]
WHERE [SSN] = @SSN
```
必要に応じて、アクセスポリシーアクセス許可モデルで構成された Azure Key Vault を使用している場合は、次の手順に従って、ユーザーがデータを保護する列マスターキーにアクセスせずに、暗号化された列からプレーンテキストデータを取得しようとしたときの動作を確認します。
1. キー unwrap コンテナーのアクセスポリシーで、自分のキーアクセス許可を削除します。詳細については、キーコンテナーへのアクセスポリシーの割り当てに関するページを参照してください。
2. SSMS のクライアントドライバーは、キーコンテナーから取得した列暗号化キーを 2 時間キャッシュするため、SSMS を閉じてもう一度開きます。これにより、キーキャッシュが空になります。
3. 接続に対して Always Encrypted を有効にして、データベースに接続する必要があります。
4. 次のクエリを貼り付け、実行します。必要な unwrap アクセス許可がないことを示すエラーメッセージが表示され、クエリが失敗します。
```
SELECT [SSN], [Salary] FROM [HR].[Employees]
```

Always Encrypted を無効にしてデータベースに接続し、暗号化された列からデータを読み取るクエリを実行します。クエリは、暗号化されたデータをバイナリ配列として返す必要があります。
```
$query = "SELECT [SSN], [Salary] FROM [HR].[Employees]"
Invoke-SqlCmd -ConnectionString $connectionString -Query $query
```
Always Encrypted を有効にしてデータベースに接続し、暗号化された列からデータを読み取るクエリを実行します。暗号化された列を保護する列マスターキーにアクセスできるため、クエリはプレーンテキストデータを返す必要があります。
```
$query = "SELECT [SSN], [Salary] FROM [HR].[Employees]"
Invoke-SqlCmd -ConnectionString "$connectionString; Column Encryption Setting = Enabled" -Query $query
```

注意

Invoke-SqlCmd では、暗号化された列でデータをフィルター処理したり、データを挿入したりできるクエリはサポートされていません。このようなクエリはパラメーター化する必要があり、 Invoke-SqlCmd はパラメーター化されたクエリをサポートしていません。

次のステップ

Always Encrypted を使用したアプリケーションの開発

チュートリアル: Always Encrypted の作業の開始

前提条件

手順 1: データベーススキーマを作成して設定する

手順 2: 列を暗号化する

手順 3: 暗号化された列のクエリを実行する

次のステップ

関連項目

フィードバック

フィードバック

その他のリソース

チュートリアル: Always Encrypted の作業の開始

前提条件

手順 1: データベース スキーマを作成して設定する

手順 2: 列を暗号化する

手順 3: 暗号化された列のクエリを実行する

次のステップ

関連項目

フィードバック

フィードバック

その他のリソース

手順 1: データベーススキーマを作成して設定する