Transparent Data Encryption

[アーティクル]
05/30/2023

セキュリティで保護されたシステムの設計、機密資産の暗号化、データベースサーバーに対するファイアウォールの構築などの、データベースを保護するいくつかの対策を講じることができます。ただし、物理メディア (ドライブやバックアップテープなど) が盗まれるシナリオでは、悪意のある第三者がデータベースを復元するかアタッチするだけでデータを閲覧することができます。解決策の 1 つは、データベース内の機密データを暗号化し、データの暗号化に使用されるキーを証明書で保護することです。これにより、キーを持たない人物によるデータの使用を防止できますが、このような保護は事前に計画する必要があります。

Transparent Data Encryption (TDE) では、データファイルとトランザクション・ログ・ファイル、と特別なPDWログファイルでのリアルタイムのI/O暗号化と復号化の操作が実行されます。暗号化は、復旧中に、可用性のためのデータベースブートレコードに格納されるデータベース暗号化キー (DEK) を使用します。 DEK は、SQL Server PDW のスターデータベースに保存されている証明書を使用して保護される対称キーです。 TDE では、"静止した" データ、つまりデータとログファイルが保護されます。この暗号化は、法律、規制、およびさまざまな業界で確立されているガイドラインの多くに準拠できるようになっています。この機能により、ソフトウェア開発者は、既存のアプリケーションを変更することなく、AES および 3DES 暗号化アルゴリズムを使用してデータを暗号化できます。

重要

TDE では、クライアントと PDW の間を移動するデータの暗号化は提供されません。クライアントと SQL Server PDW の間でデータを暗号化する方法の詳細については、「証明書のプロビジョニング」を参照してください。

TDE では、移動中または使用中のデータは暗号化されません。 SQL Server PDW 内の PDW コンポーネント間の内部トラフィックは暗号化されません。メモリバッファーに一時的に格納されているデータは暗号化されません。このリスクを軽減するには、SQL Server PDW への物理的なアクセスと接続を制御します。

セキュリティで保護されたデータベースは、正しい証明書を使用することで復元できます。

Note

TDE の証明書を作成するときは、関連付けられている秘密キーと共に、すぐにバックアップする必要があります。証明書が使用できなくなった場合、またはデータベースを別のサーバーに復元またはアタッチする必要がある場合に、証明書と秘密キーの両方のバックアップが必要です。これらのバックアップがない場合は、データベースを開けません。暗号化証明書は、データベースで TDE を無効にした場合でも保持する必要があります。データベースが暗号化されていない場合でも、トランザクションログの一部はまだ保護されたままである場合があるため、データベースの完全バックアップが実行されるまでは、一部の操作では証明書が必要な場合があります。有効期限の日付を過ぎた証明書であっても、TDE によりデータを暗号化および暗号化解除できる場合があります。

データベースファイルの暗号化は、ページレベルで実行されます。暗号化されたデータベースのページは、ディスクに書き込まれる前に暗号化され、メモリに読み込まれるときに暗号化解除されます。 TDE では、暗号化されたデータベースのサイズが増えることはありません。

TDE 暗号化のキーの階層を次の図に示します。

Displays the hierarchy

Transparent Data Encryption の使用

TDE を使用するには、次の手順を実行します。最初の 3 つの手順は、TDE をサポートするために SQL Server PDW を準備するときに 1 回だけ実行されます。

マスターデータベースにデータベースマスターキーを作成します。
sp_pdw_database_encryptionを使用して、SQL Server PDW で TDE を有効にします。この操作は、将来の一時データの保護を確保するために一時データベースを変更し、一時テーブルを持つアクティブなセッションがある場合に失敗します。 sp_pdw_database_encryption は、PDW システムログでユーザーデータマスクを有効にします。 (PDW システムログでのユーザーデータマスクの詳細については、sp_pdw_log_user_data_masking を参照してください)。
sp_pdw_add_network_credentials を使用して、証明書のバックアップが格納される共有に対して認証と書き込みを行うことができる資格情報を作成します。目的のストレージサーバーの資格情報が既に存在する場合は、既存の資格情報を使用できます。
マスターデータベースで、マスターキーによって保護された証明書を作成します。
証明書をストレージ共有にバックアップします。
ユーザーデータベースで、データベース暗号化キーを作成し、マスターデータベースに格納されている証明書で保護します。
ALTER DATABASEステートメントを使用して、TDE を使用してデータベースを暗号化します。

次の例では、SQL Server PDW で作成された MyServerCert という名前のサーバーにインストールされた証明書を使用して、AdventureWorksPDW2012 データベースを暗号化しています。

最初: SQL Server PDW で TDE を有効にします。 このアクションは 1 回だけ必要です。

USE master;  
GO  
  
-- Create a database master key in the master database  
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<UseStrongPasswordHere>';  
GO  
  
-- Enable encryption for PDW  
EXEC sp_pdw_database_encryption 1;  
GO  
  
-- Add a credential that can write to the share  
-- A credential created for a backup can be used if you wish  
EXEC sp_pdw_add_network_credentials 'SECURE_SERVER', '<domain>\<Windows_user>', '<password>';

次: スターデータベースでバックアップ証明書を作成し、バックアップを取ります。 このアクションは 1 回だけ必要です。データベースごとに個別の証明書を用意することも (推奨)、1 つの証明書で複数のデータベースを保護することもできます。

-- Create certificate in master  
CREATE CERTIFICATE MyServerCert WITH SUBJECT = 'My DEK Certificate';  
GO  
  
-- Back up the certificate with private key  
BACKUP CERTIFICATE MyServerCert   
    TO FILE = '\\SECURE_SERVER\cert\MyServerCert.cer'  
    WITH PRIVATE KEY   
    (   
        FILE = '\\SECURE_SERVER\cert\MyServerCert.key',  
        ENCRYPTION BY PASSWORD = '<UseStrongPasswordHere>'   
    )   
GO

最後: DEK を作成し、ALTER DATABASE を使用してユーザーデータベースを暗号化します。 このアクションは、TDE によって保護されているデータベースごとに繰り返されます。

USE AdventureWorksPDW2012;  
GO  
  
CREATE DATABASE ENCRYPTION KEY  
WITH ALGORITHM = AES_128  
ENCRYPTION BY SERVER CERTIFICATE MyServerCert;  
GO  
  
ALTER DATABASE AdventureWorksPDW2012 SET ENCRYPTION ON;  
GO

暗号化および暗号化解除の操作は、SQL Server によってバックグラウンドスレッドでスケジュールされます。これらの操作の状態は、この後の記事に示すカタログビューおよび動的管理ビューを使用して確認できます。

注意事項

TDE が有効になっているデータベースのバックアップファイルも、データベース暗号化キーを使用して暗号化されます。このため、このバックアップを復元するときには、データベース暗号化キーを保護している証明書が必要です。つまり、データの損失を防ぐには、データベースをバックアップするだけでなく、サーバー証明書のバックアップも確実に保守する必要があります。証明書が使用できなくなると、データの損失が発生します。

コマンドと関数

TDE の証明書を次に示すステートメントで処理できるようにするには、この証明書をデータベースマスターキーで暗号化する必要があります。

次の表に、TDE のコマンドと関数の説明とリンクを示します。

コマンドまたは関数	目的
CREATE DATABASE ENCRYPTION KEY	データベースの暗号化に使用されるキーを作成します。
ALTER DATABASE ENCRYPTION KEY	データベースの暗号化に使用されるキーを変更します。
DROP DATABASE ENCRYPTION KEY	データベースの暗号化に使用されたキーを削除します。
ALTER DATABASE	TDE を有効にするために使用される ALTER DATABASE オプションについて説明します。

カタログビューと動的管理ビュー

次の表に、TDE のカタログビューと動的管理ビューを示します。

カタログビューまたは動的管理ビュー	目的
sys.databases	データベース情報を表示するカタログビュー
sys.certificates	データベース内の証明書を表示するカタログビュー
sys.dm_pdw_nodes_database_encryption_keys	データベースで使用されている暗号化キー、およびデータベースの暗号化の状態に関するそれぞれのノードの情報を表示する動的管理ビュー

アクセス許可

TDE の各機能とコマンドには、上の表で説明されているように、個別の権限要件があります。

TDE に関係するメタデータを表示するには、証明書に対するCONTROL SERVER権限が必要です。

考慮事項

データベース暗号化操作の再暗号化スキャンが実行されている間は、データベースに対するメンテナンス操作が無効になります。

データベースの暗号化の状態を確認するには、sys.dm_pdw_nodes_database_encryption_keys 動的管理ビューを使用します。詳細については、この記事の前述の「カタログビューと動的管理ビュー」トピックを参照してください。

制限

次の操作は、CREATE DATABASE ENCRYPTION KEY, ALTER DATABASE ENCRYPTION KEY, DROP DATABASE ENCRYPTION KEY, または ALTER DATABASE...SET ENCRYPTION ステートメント中は使用できません。

データベースの削除。
ALTER DATABASE コマンドの使用。
データベースバックアップの開始。
データベースの復元の開始。

次の操作または条件により、CREATE DATABASE ENCRYPTION KEY、ALTER DATABASE ENCRYPTION KEY、DROP DATABASE ENCRYPTION KEY、または ALTER DATABASE...SET ENCRYPTION ステートメントが使用できなくなります。

ALTER DATABASEコマンドが実行されています。
データバックアップが実行されている。

データベースファイルを作成する際には、TDE が有効になっているとファイルの瞬時初期化を使用できません。

TDE によって保護されていない領域

TDE は外部テーブルを保護しません。

TDE は診断セッションを保護しません。ユーザーは、診断セッションの使用中に機密性の高いパラメーターを持つクエリを実行しないように注意する必要があります。機密情報を明らかにする診断セッションは、不要になればすぐに削除する必要があります。

TDE によって保護されたデータは、SQL Server PDW メモリに配置されると復号化されます。メモリダンプは、アプライアンスで特定の問題が発生したときに作成されます。ダンプファイルは、問題の出現時のメモリの内容を表し、暗号化されていない形式で機密データを含めることができます。メモリダンプの内容は、他のユーザーと共有する前に確認する必要があります。

マスターデータベースは TDE で保護されていません。マスターデータベースにはユーザーデータは含まれませんが、ログイン名などの情報が含まれています。

Transparent Data Encryption とトランザクションログ

データベースで TDE の使用を有効にすると、仮想トランザクションログの残りの部分が "ゼロ設定" され、強制的に次の仮想トランザクションログに移行します。これにより、データベースが暗号化対象として設定された後にトランザクションログにクリアテキストが残らないことが保証されます。ログファイルの暗号化の状態を確認するには、次の例のように encryption_state ビュー内のsys.dm_pdw_nodes_database_encryption_keys 列を表示します。

WITH dek_encryption_state AS   
(  
    SELECT ISNULL(db_map.database_id, dek.database_id) AS database_id, encryption_state  
    FROM sys.dm_pdw_nodes_database_encryption_keys AS dek  
        INNER JOIN sys.pdw_nodes_pdw_physical_databases AS node_db_map  
           ON dek.database_id = node_db_map.database_id AND dek.pdw_node_id = node_db_map.pdw_node_id  
        LEFT JOIN sys.pdw_database_mappings AS db_map  
            ON node_db_map .physical_name = db_map.physical_name  
        INNER JOIN sys.dm_pdw_nodes AS nodes  
            ON nodes.pdw_node_id = dek.pdw_node_id  
    WHERE dek.encryptor_thumbprint <> 0x  
)  
SELECT TOP 1 encryption_state  
       FROM dek_encryption_state  
       WHERE dek_encryption_state.database_id = DB_ID('AdventureWorksPDW2012 ')  
       ORDER BY (CASE encryption_state WHEN 3 THEN -1 ELSE encryption_state END) DESC;

データベース暗号化キーを変更する前にトランザクションログに書き込まれたデータは、以前のデータベース暗号化キーで暗号化されます。

PDW アクティビティログ

SQL Server PDW では、トラブルシューティングを目的とした一連のログが保持されます。 (これはトランザクションログ、SQL Server エラーログ、または Windows イベントログではないことに注意してください)。これらの PDW アクティビティログには、クリアテキストの完全なステートメントを含めることができます。その一部にはユーザーデータを含めることができます。一般的な例は、INSERT ステートメントとUPDATE ステートメントです。ユーザーデータのマスクは、sp_pdw_log_user_data_masking を使用して明示的にオンまたはオフにすることができます。 SQL Server PDW で暗号化を有効にすると、ユーザーデータを保護するために、PDW アクティビティログのユーザーデータのマスクが自動的にオンになります。 sp_pdw_log_user_data_masking を使用して TDE を使用しない場合はステートメントをマスクすることもできますが、これは、Microsoft サポートチームが問題を分析する能力を大幅に低下させるので推奨されません。

Transparent Data Encryption と tempdb システムデータベース

tempdb システムデータベースは、sp_pdw_database_encryption を使用して暗号化が有効になっている場合に暗号化されます。これは、データベースで TDE を使用する前に必要です。この場合、同じSQL Server PDW 上にある暗号化されないデータベースのパフォーマンスに影響が生じることがあります。

キーの管理

データベース暗号化キー (DEK) は、マスターデータベースに格納されている証明書で保護されます。これらの証明書は、マスターデータベースのデータベースマスターキー (DMK) で保護されます。 TDE に使用するには、サービスマスターキー (SMK) で、DMK を保護する必要があります。

システムは、人の介入 (パスワードの指定など) を必要とせずにキーにアクセスできます。証明書が使用できない場合、適切な証明書が使用可能になるまで DEK を復号化できないことを説明するエラーが出力されます。

あるアプライアンスから別のアプライアンスにデータベースを移動する場合は、その DEK を保護するために使用される証明書を先に移行先サーバーに復元する必要があります。その後、データベースは通常どおりに復元できます。詳細については、「別の SQL Server への TDE で保護された標準SQL Server ドキュメントの移動」を参照してください。

DEK の暗号化に使用される証明書は、それらを使用するデータベースバックアップがある限り保持する必要があります。秘密キーがないと、証明書をデータベースの復元に使用できないため、証明書のバックアップには証明書の秘密キーを含める必要があります。これらの証明書秘密キーのバックアップは、証明書の復元のために指定する必要があるパスワードで保護された別のファイルに格納されます。

スターデータベースの復元

マスターデータベースは、ディザスターリカバリーの一環として DWConfig を使用して復元できます。

制御ノードが変更されていない場合、つまりマスターデータベースのバックアップが作成されたのと同じ変更されていないアプライアンスでマスターデータベースが復元された場合、DMK とすべての証明書は追加の操作なしで読み取り可能になります。
マスターデータベースが別のアプライアンスに復元されている場合、またはマスターデータベースのバックアップ以降に制御ノードが変更されている場合は、DMK を再生成するために追加の手順が必要になります。
1. DMK を開く
```
OPEN MASTER KEY DECRYPTION BY PASSWORD = '<password>';  
```
2. SMK による暗号化を追加します。
```
ALTER MASTER KEY   
    ADD ENCRYPTION BY SERVICE MASTER KEY;  
```
3. アプライアンスを再起動します。

仮想マシンのアップグレードと交換をします

VM のアップグレードまたは置換が実行されたアプライアンスに DMK が存在する場合は、DMK パスワードをパラメーターとして指定する必要があります。

アップグレードアクションの例。 ********** を、ご利用のDMK パスワードに置き換えます。

setup.exe /Action=ProvisionUpgrade ... DMKPassword='**********'

仮想マシンを置き換えるアクションの例。

setup.exe /Action=ReplaceVM ... DMKPassword='**********'

アップグレード中に、ユーザー DB が暗号化されていて、DMK パスワードが指定されていない場合、アップグレード操作は失敗します。置換中に、DMK が存在するときに正しいパスワードが指定されていない場合、操作は DMK 回復手順をスキップします。他のすべての手順は、VM の置換アクションの最後に完了しますが、アクションは最後にエラーを報告して、追加の手順が必要であることを示します。セットアップログ (\ProgramData\Microsoft\Microsoft SQL Server Parallel Data Warehouse\100\Logs\Setup\\<time-stamp>\Detail-Setup にあります) では、末尾近くに次の警告が表示されます。

*** WARNING \*\*\* DMK is detected in master database, but could not be recovered automatically! The DMK password was either not provided or is incorrect!

DMK を復旧するには、PDW で次のステートメントを手動で実行し、その後アプライアンスを再起動します。

OPEN MASTER KEY DECRYPTION BY PASSWORD = '<DMK password>';  
ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY;

マスターデータベースの復元に関する段落の手順を使用してデータベースを復旧し、アプライアンスを再起動します。

DMK が前に存在していたが、アクションの後に復旧されなかった場合は、データベースの照会時に次のエラーメッセージが表示されます。

Msg 110806;  
A distributed query failed: Database '<db_name>' cannot be opened due to inaccessible files or insufficient memory or disk space. See the SQL Server errorlog for details.

パフォーマンスへの影響

TDE のパフォーマンスへの影響は、使用しているデータの種類、その格納方法、およびSQL Server PDW でのワークロードアクティビティの種類によって異なります。 TDE によって保護されている場合、データの読み取りと復号化、またはデータの暗号化と書き込みに関する I/O は、CPU を大量に消費するアクティビティであり、他の CPU 負荷の高いアクティビティが同時に発生していると、より大きい影響を受けます。 TDE は暗号化されるためtempdb、TDE は暗号化されていないデータベースのパフォーマンスに影響する可能性があります。パフォーマンスを正確に把握するには、データとクエリアクティビティを使用してシステム全体をテストする必要があります。

次のリンクには、SQL Server による暗号化の管理方法に関する一般的な情報が含まれています。これらの記事は SQL Server の暗号化を理解するのに役立ちますが、これらの記事には SQL Server PDW に固有の情報はなく、SQL Server PDW に存在しない機能について説明しています。

参照

ALTER DATABASE
CREATE MASTER KEY
CREATE DATABASE ENCRYPTION KEY
BACKUP CERTIFICATE
sp_pdw_database_encryption
sp_pdw_database_encryption_regenerate_system_keys
sp_pdw_log_user_data_masking
sys.certificates
sys.dm_pdw_nodes_database_encryption_keys

次の方法で共有

Transparent Data Encryption

Transparent Data Encryption の使用

コマンドと関数

カタログビューと動的管理ビュー

アクセス許可

考慮事項

制限

TDE によって保護されていない領域

Transparent Data Encryption とトランザクションログ

PDW アクティビティログ

Transparent Data Encryption と tempdb システムデータベース

キーの管理

スターデータベースの復元

仮想マシンのアップグレードと交換をします

パフォーマンスへの影響

参照

フィードバック

フィードバック

その他のリソース

次の方法で共有

Transparent Data Encryption

Transparent Data Encryption の使用

コマンドと関数

カタログ ビューと動的管理ビュー

アクセス許可

考慮事項

制限

TDE によって保護されていない領域

Transparent Data Encryption とトランザクション ログ

PDW アクティビティ ログ

Transparent Data Encryption と tempdb システム データベース

キーの管理

スター データベースの復元

仮想マシンのアップグレードと交換をします

パフォーマンスへの影響

関連コンテンツ

参照

フィードバック

フィードバック

その他のリソース

カタログビューと動的管理ビュー

Transparent Data Encryption とトランザクションログ

PDW アクティビティログ

Transparent Data Encryption と tempdb システムデータベース

スターデータベースの復元