Effectuer une rotation de clés activées pour les enclaves

S’applique à : SQL Server 2019 (15.x) et versions ultérieures sur Windows Azure SQL Database

Dans Always Encrypted, une rotation de clé est le processus de remplacement d’une clé principale de colonne existante ou d’une clé de chiffrement de colonne par une nouvelle clé. Cet article décrit les cas d’utilisation et les considérations relatives à la rotation de clés spécifique à Always Encrypted avec enclaves sécurisées quand la clé initiale et/ou la (nouvelle) clé cible est une clé activée pour les enclaves. Pour obtenir des instructions générales et des processus de gestion des clés Always Encrypted, consultez Vue d’ensemble de la gestion des clés pour Always Encrypted.

Il peut être nécessaire d’effectuer la rotation d’une clé pour des raisons de sécurité ou de conformité. Par exemple, si une clé a été compromise ou si les stratégies de votre organisation vous obligent à remplacer les clés régulièrement. En outre, Always Encrypted utilisant la rotation de clés avec des enclaves sécurisées permet d’activer ou de désactiver les fonctionnalités de l’enclave sécurisée côté serveur pour vos colonnes chiffrées.

• Quand vous remplacez une clé qui n’est pas activée pour les enclaves par une clé qui l’est, vous déverrouillez la fonctionnalité de l’enclave sécurisée qui permet d’interroger les colonnes qui sont protégées par la clé. Pour plus d’informations, consultez Activer Always Encrypted avec enclaves sécurisées pour les colonnes chiffrées existantes.
• Quand vous remplacez une clé qui est activée pour les enclaves par une clé qui ne l’est pas, vous désactivez la fonctionnalité de l’enclave sécurisée qui permet d’interroger les colonnes qui sont protégées par la clé.

Si vous effectuez la rotation d’une clé uniquement pour des raisons de sécurité et/ou de conformité, et non pas pour activer ou désactiver les calculs d’enclaves pour vos colonnes, vérifiez que la clé cible a la même configuration que la clé source concernant les enclaves. Par exemple, si la clé source est activée pour les enclaves, la clé cible doit également être activée pour les enclaves.

Les étapes ci-dessous incluent des liens vers des articles détaillés, selon votre scénario de rotation :

1. Provisionnez une nouvelle clé (une clé principale de colonne ou une clé de chiffrement de colonne).

   • Pour approvisionner une nouvelle clé activée pour les enclaves, consultez Provisionner des clés activées pour les enclaves.
   • Pour provisionner une clé qui n’est pas activée pour les enclaves, consultez Provisionner des clés Always Encrypted avec SQL Server Management Studio et Provisionner des clés Always Encrypted avec PowerShell.

   Remarque

   Lorsque vous utilisez Azure Key Vault comme magasin de clés, la rotation des clés multilocataires gérées par le client n’est pas prise en charge. Vérifiez que la nouvelle clé gérée par le client est dans la même instance que celle existante.

2. Remplacez une clé existante par la nouvelle clé.

   • Si vous effectuez la rotation d’une clé de chiffrement de colonne, et que la clé source et la clé cible sont toutes deux activées pour les enclaves, vous pouvez effectuer la rotation (qui implique le rechiffrement de vos données) sur place. Pour plus d’informations, consultez Configurer le chiffrement de colonne sur place en utilisant Always Encrypted avec enclaves sécurisées.
   • Pour obtenir des instructions détaillées sur la rotation des clés, consultez Effectuer la rotation de clés Always Encrypted avec SQL Server Management Studio et Effectuer la rotation de clés Always Encrypted avec PowerShell.

Contenu connexe

• Exécuter des instructions Transact-SQL à l’aide d’enclaves sécurisées
• Configurer le chiffrement de colonne sur place en utilisant Always Encrypted avec enclaves sécurisées
• Activer Always Encrypted avec enclaves sécurisées pour les colonnes chiffrées existantes
• Développer des applications en utilisant Always Encrypted avec enclaves sécurisées
• Gérer des clés pour Always Encrypted avec enclaves sécurisées