SQL Server 大数据群集中的 HDFS 加密区域使用指南

适用于：SQL Server 2019 (15.x)

本文介绍如何使用 SQL Server 大数据群集的静态加密功能来使用加密区域对 HDFS 文件夹进行加密。 它还介绍了 HDFS 密钥管理任务。

默认加密区域位于 /securelake，可供使用。 它是使用系统生成的名为 securelakekey 的 256 位密钥创建的。 此密钥可用于创建其他加密区域。

Prerequisites

• 集成了 Active Directory 的 SQL Server 大数据群集 CU8 及更高版本。
• 具有 Kubernetes 管理权限的 SQL Server 大数据群集用户，即 clusterAdmins 角色的成员。 有关详细信息，请参阅在 Active Directory 模式下管理大数据群集访问权限。
• 在 AD 模式下配置并记录到群集中的 Azure Data CLI (azdata)。

使用所提供的系统管理的密钥创建加密区域

1. 使用此 azdata 命令创建 HDFS 文件夹：

   azdata bdc hdfs mkdir --path /user/zone/folder
   

2. 发出加密区域创建命令，以使用 securelakekey 密钥来加密文件夹。

   azdata bdc hdfs encryption-zone create --path /user/zone/folder --keyname securelakekey
   

使用外部提供程序时管理加密区域

有关 SQL Server 大数据群集静态加密使用密钥版本的方式的详细信息，请参阅 HDFS 的主密钥轮换，获取有关如何使用外部密钥提供程序时管理加密区域的端到端示例。

创建自定义新密钥和加密区域

1. 使用以下模式来创建 256 位密钥。

   azdata bdc hdfs key create --name mydatalakekey
   

2. 使用用户密钥创建和加密新的 HDFS 路径。

   azdata bdc hdfs encryption-zone create --path /user/mydatalake --keyname mydatalakekey
   

HDFS 密钥轮换和加密区域重新加密

1. 此方法会创建新版本的 securelakekey，其中包含新的密钥材料。

   azdata hdfs bdc key roll --name securelakekey
   

2. 重新加密与上述密钥关联的加密区域。

   azdata bdc hdfs encryption-zone reencrypt --path /securelake --action start
   

HDFS 密钥和加密区域监视

• 若要监视加密区域重新加密的状态，请使用以下命令：

  azdata bdc hdfs encryption-zone status
  

• 若要获取有关加密区域中的文件的加密信息，请使用以下命令：

  azdata bdc hdfs encryption-zone get-file-encryption-info --path /securelake/data.csv
  

• 若要列出所有加密区域，请使用以下命令：

  azdata bdc hdfs encryption-zone list
  

• 若要列出 HDFS 的所有可用密钥，请使用以下命令：

  azdata bdc hdfs key list
  

• 若要创建 HDFS 加密的自定义密钥，请使用以下命令：

  azdata hdfs key create --name key1 --size 256
  

  可能的大小为 128、192、256。 默认值为 256。

Next steps

将 azdata 与大数据群集一起使用，请参阅 SQL Server 2019 大数据群集简介。

若要使用外部密钥提供程序进行静态加密，请参阅SQL Server 大数据群集 中的外部密钥提供程序。

• SQL Server 大数据群集静态透明数据加密 (TDE) 使用指南
• SQL Server 大数据群集 中的密钥版本