SQL Server ビッグデータクラスターの外部キープロバイダー

2021-07-19

重要

Microsoft SQL Server 2019 ビッグデータクラスターのアドオンは廃止されます。 SQL Server 2019 ビッグデータクラスターのサポートは、2025 年 2 月 28 日に終了します。ソフトウェアアシュアランス付きの SQL Server 2019 を使用する既存の全ユーザーはプラットフォームで完全にサポートされ、ソフトウェアはその時点まで SQL Server の累積更新プログラムによって引き続きメンテナンスされます。詳細については、お知らせのブログ記事と「Microsoft SQL Server プラットフォームのビッグデータオプション」を参照してください。

この記事では、キー管理のために SQL Server ビッグデータクラスターで外部キープロバイダーを構成する方法について詳しく説明します。

SQL Server ビッグデータクラスターでのキーバージョンの使用方法の詳細については、「SQL Server ビッグデータクラスターのキーバージョン」を参照してください。

保存時暗号化の構成と使用方法について詳しく知りたい場合は、以下のガイドを参照してください。

[前提条件]

SQL Server 2019 ビッグデータクラスターのリリースノート。 CU11 以上が必要です。
azdata 20.3.5 以降を含むビッグデータツール。
Kubernetes 管理者特権を持つ SQL Server ビッグデータクラスターユーザー (clusterAdmins ロールのメンバー)。詳細については、「Active Directory モードでビッグデータクラスターアクセスを管理する」を参照してください。
外部プロバイダーテンプレートアプリケーション。静止時のSQL Server BDC 暗号化を参照してください。

外部プロバイダーを使用したルートキー暗号化

SQL Server ビッグデータクラスターに外部キーを取り込む機能により、メイン暗号化キーは、顧客がデプロイするアプリケーションを使用して公開キーをフェッチします。 HDFS キーをローテーションして使用すると、HDFS キーの暗号化を解除する呼び出しがコントロールプレーンに送信され、顧客が提供するキー識別子を使用してアプリケーションにリダイレクトされます。 SQL Server の場合、暗号化要求は、コントロールプレーンによって送信され、実行されます。これは公開キーがあるためです。 SQL Server からデータ暗号化キー (DEK) を復号化する要求もコントロールプレーンに送信され、ハードウェアセキュリティモジュール (HSM) などの外部プロバイダーとインターフェイスするアプリケーションにリダイレクトされます。

図は、カスタマーキーがインストールされた後の状況を表します。

次の図では、コントロールプレーンで外部キーを構成する場合の操作について説明します。

キーがインストールされると、さまざまなペイロードの暗号化と暗号化解除がメイン暗号化キーによって保護されます。この保護は、コントロールプレーンにルーティングされた復号化呼び出しがキー管理サービス (KMS) プラグインアプリにルーティングされる点を除いて、システム管理キーに似ています。 KMS プラグインアプリは、HSM、Hashicorp Vault、または別の製品などの適切な場所に要求をルーティングします。

コンフィギュレーション

提供されるテンプレートアプリケーションは、外部キープロバイダーとのインターフェイスに使用されるプラグインです。選択した外部キープロバイダーとの統合ポイントとして機能するには、このアプリケーションをカスタマイズしてビッグデータクラスターにデプロイする必要があります。

テンプレートアプリケーションでは、 SoftHSM を使用して標準の PKCS11 プロトコルを使用して外部プロバイダーの実装と統合する方法の例があります。 Azure Key Vault と Hashicorp Vault の使用例もあります。テンプレートアプリケーションは、参照実装として as-is 提供されます。

次のセクションでは、SQL Server データベースと HDFS 暗号化ゾーンの暗号化のルートキーとして機能するように外部キープロバイダーを構成するために必要な手順について説明します。

外部キープロバイダーで RSA 2048 キーを作成する

2048 ビット RSA キーを使用して PEM ファイルを作成し、外部キープロバイダーのキー値ストアにアップロードします。

たとえば、キーファイルは パス bdc-encryption-secret の Hashicorp Vault の KV ストアに追加され、シークレットの名前は rsa2048 にすることができます。

ビッグデータクラスターでの統合アプリケーションのカスタマイズとデプロイ

ローカルコンピューターで、ビッグデータクラスター AppDeploy テンプレートアプリケーション kms_plugin_app含まれるフォルダーに移動します。
いずれかのテンプレートを選択し、シナリオに合わせて調整して、アプリケーションをカスタマイズします。
- ファイル custom_softhsm.py には、SoftHSM を使用した参照実装が含まれています
- Azure Key Vault の例を含むファイル custom_akv.py
- ファイル custom_hcv.py に HashiCorp Vault の例が含まれています
注意事項

統合ポイントである関数コントラクトまたはシグネチャは変更しないでください。必要に応じて、関数の実装のみを変更します。
上記のテンプレートから作成するファイルに適宜名前を付けます。たとえば、custom_softhsm.pyをmy_custom_integration_v1.pyとして保存し、カスタマイズを実行します。このアプローチは、次の手順で重要です。
app.py は、アプリケーションを読み込むエントリポイントです。このファイルでは、前の手順の.py拡張子を持たないカスタムファイル名を指すように 11 行目を変更する必要があります。上記の例に従って、次の変更を行います。
```
...
import utils
from json_objects import EncryptDecryptRequest
import custom_softhsm as custom

def handler(operation, payload, pin, key_attributes, version):
...
```
を次の値に設定します。
```
...
import utils
from json_objects import EncryptDecryptRequest
import my_custom_integration_v1 as custom

def handler(operation, payload, pin, key_attributes, version):
...
```
spec.yaml を含むフォルダーから、次のコマンドを使用して、アプリケーションをビッグデータクラスターにデプロイします。
```
azdata app create -s
```
アプリケーションのデプロイが完了するのを待ち、次のコマンドを使用して準備完了状態を確認できます。
```
azdata app list
```

外部キープロバイダーを使用するようにビッグデータクラスターを構成する

AZDATA_EXTERNAL_KEY_PIN環境変数を設定して、外部キープロバイダーへのアクセスを許可するトークンを指定します。
```
export AZDATA_EXTERNAL_KEY_PIN=<your PIN/token here>
```
注

統合アプリケーションのデプロイプロセスでは、トークンを使用して外部キープロバイダーにアクセスします。ただし、 AZDATA_EXTERNAL_KEY_PIN 変数は、アプリケーションで解釈できるように、ビッグデータクラスターコントロールプレーンに暗号化されて保存されます。別の認証メカニズムも使用できますが、アプリケーションを変更する必要があります。 カスタム*.py Python アプリケーションで、使用されている完全な統合ロジックを確認します。
次の azdata コマンド構造を使用して、ビッグデータクラスターのキーを構成します。必要なパラメーターを特定の実装に変更します。次の例では、 custom2.py によって提供される HashiCorp Vault 構造体を使用します。
```
azdata bdc kms update --app-name <YOUR-APP-NAME> --app-version <YOUR-APP-VERSION> \
--key-attributes keypath=<YOUR-KEY-PATH>,vaulturl=http://<YOUR-IP>:<YOUR-PORT>,keyname=<YOUR-KEY-NAME> \
--provider External
```
--provider External パラメーター値は、統合アプリケーションを主要な操作のエンドポイントとして使用するようにビッグデータクラスター KMS を構成します。
次のコマンドを使用して、ルート暗号化キーを外部管理キーとして確認します。
```
azdata bdc kms show
```

新しいキーを使用してデータベースと暗号化ゾーンを暗号化する

構成後も、SQL Server データベースと HDFS 暗号化ゾーンは、前のキー階層によって暗号化されます。外部管理キーを使用して明示的に暗号化する必要があります。

SQL Server では、外部管理キーに基づく新しい非対称キーがインストールされます。これを使用してデータベースを暗号化します。

非対称キーは、次の T-SQL クエリと sys.asymmetric_keys システムカタログビューを使用して確認できます。

USE master;
select * from sys.asymmetric_keys;

非対称キーは、名前付け規則 tde_asymmetric_key_<version>と共に表示されます。その後、SQL Server 管理者は、ALTER DATABASE ENCRYPTION KEY を使用して、DEK の保護機能を非対称キーに変更できます。たとえば、次の T-SQL コマンドを使用します。

USE db1;
ALTER DATABASE ENCRYPTION KEY ENCRYPTION BY SERVER ASYMMETRIC KEY tde_asymmetric_key_0;

次のコマンドを実行して、現在の暗号化キーを確認します。
```
azdata bdc hdfs key describe
```
暗号化ゾーンキーを保護するキーのバージョンに関する情報を取得します。
```
azdata bdc hdfs key describe --name <key name>
```
キーを新しい外部マネージドキーにロールします。
```
azdata bdc hdfs key roll --name <new key name>
```

次のコマンドを使用して暗号化を開始します。

azdata bdc hdfs encryption-zone reencrypt –-path <your EZ path> --action start

次のコマンドを使用して、キー階層を確認します。
```
azdata bdc kms show
azdata bdc hdfs key describe
```

次の方法で共有

SQL Server ビッグ データ クラスターの外部キー プロバイダー

[前提条件]

外部プロバイダーを使用したルート キー暗号化

コンフィギュレーション

外部キー プロバイダーで RSA 2048 キーを作成する

ビッグ データ クラスターでの統合アプリケーションのカスタマイズとデプロイ

外部キー プロバイダーを使用するようにビッグ データ クラスターを構成する