Delen via

Uitbreidbaar sleutelbeheer met behulp van Azure Key Vault (SQL Server)

Van toepassing op:SQL Server

Met de SQL Server-connector voor Azure Key Vault kan SQL Server-versleuteling de Azure Key Vault-service gebruiken als een EKM-provider (Extensible Key Management) om SQL Server-versleutelingssleutels te beveiligen.

In dit artikel wordt de SQL Server-connector beschreven. Meer informatie is beschikbaar in:

Wat is Extensible Key Management (EKM) en waarom zou u dit gebruiken?

SQL Server biedt verschillende typen versleuteling waarmee gevoelige gegevens worden beschermd, waaronder TDE (Transparent Data Encryption),Encrypt a Column of Data (CLE) en Back-upversleuteling. In al deze gevallen worden de gegevens in deze traditionele sleutelhiërarchie versleuteld met behulp van een symmetrische gegevensversleutelingssleutel (DEK). De symmetrische gegevensversleutelingssleutel wordt verder beveiligd door deze te versleutelen met een hiërarchie van sleutels die zijn opgeslagen in SQL Server.

In plaats van dit model is het alternatief het EKM-providermodel. Met behulp van de EKM-providerarchitectuur kan SQL Server de gegevensversleutelingssleutels beveiligen met behulp van een asymmetrische sleutel die buiten SQL Server is opgeslagen in een externe cryptografische provider. Dit model voegt een extra beveiligingslaag toe en scheidt het beheer van sleutels en gegevens.

In de volgende afbeelding wordt de traditionele sleutelhiërarchie voor servicebeheer vergeleken met het Azure Key Vault-systeem.

Diagram dat de traditionele sleutelhiërarchie voor servicebeheer vergelijkt met het Azure Key Vault-systeem.

De SQL Server-connector fungeert als een brug tussen SQL Server en Azure Key Vault, zodat SQL Server de schaalbaarheid, hoge prestaties en hoge beschikbaarheid van de Azure Key Vault-service kan gebruiken. De volgende afbeelding geeft aan hoe de sleutelhiërarchie werkt in de EKM-providerarchitectuur met Azure Key Vault en SQL Server Connector.

Azure Key Vault kan worden gebruikt met SQL Server-installaties op Azure Virtual Machines en voor on-premises servers. De key vault-service biedt ook de mogelijkheid om nauw beheerde en bewaakte HSM's (Hardware Security Modules) te gebruiken voor een hoger beveiligingsniveau voor asymmetrische versleutelingssleutels. Zie Azure Key Vault voor meer informatie over de sleutelkluis.

Opmerking

Alleen Azure Key Vault en Beheerde HSM van Azure Key Vault worden ondersteund. Azure Cloud HSM wordt niet ondersteund.

In de volgende afbeelding ziet u een overzicht van de processtroom voor EKM met behulp van de key vault. (De processtapnummers in de afbeelding zijn niet bedoeld om overeen te komen met de installatiestapnummers die de afbeelding volgen.)

Schermopname van SQL Server EKM met behulp van Azure Key Vault.

Opmerking

Versies 1.0.0.440 en ouder worden niet meer ondersteund in productieomgevingen. Voer een upgrade uit naar versie 1.0.1.0 of een latere versie door naar het Microsoft Downloadcentrum te gaan en de instructies te gebruiken op de pagina Onderhoud en probleemoplossing van SQL Server Connector onder Upgrade van SQL Server Connector.

Zie Sql Server TDE Extensible Key Management instellen met behulp van Azure Key Vault voor de volgende stap.

Zie SQL Server Connector gebruiken met SQL-versleutelingsfuncties voor gebruiksscenario's.

Verwante inhoud