Ключи шифрования столбца (CEK) фактически хранятся в SQL Server вместе с данными, но их нельзя использовать без главного ключа столбца (CMK). Это CMK, который необходим клиентским приложениям для расшифровки данных. CMK может храниться в хранилище сертификатов Windows клиентских компьютеров или в хранилище ключей Azure.
Если вы используете мастер «Шифрование столбцов» в SSMS, он сгенерирует для вас оба типа ключей. Он спросит, где вы хотите хранить CMK (хранилище сертификатов Windows или хранилище ключей Azure), и позволит вам выбрать, использовать ли один CEK для каждого зашифрованного столбца или один CEK, общий для всех столбцов. Он также позволяет повторно использовать существующий CMK, если он есть.
Приложению, которому необходимо расшифровать данные, затем потребуется доступ к CMK (подробнее об этом чуть позже) и следующее дополнение к строке подключения:
Column Encryption Setting=Enabled;
При необходимости этот параметр также можно изменить программно:
connStringBuilder.ColumnEncryptionSetting = SqlConnectionColumnEncryptionSetting.Enabled;
Как приложение получает доступ к CMK, зависит от того, где он хранится:
Если CMK хранится в хранилище сертификатов Windows, драйвер с постоянным шифрованием автоматически получит его (CEK содержит сведения о CMK, необходимые для его использования).
Если CMK хранится в хранилище ключей Azure, то требуется несколько изменений для регистрации поставщика Azure Key Vault.
Я не использовал хранилище сертификатов Windows, но предполагаю, что вы предоставите новому компьютеру доступ к зашифрованным столбцам, экспортировав CMK из хранилища на существующем компьютере и импортировав его в хранилище на новом.
person
Jonathan Sayce
schedule
10.06.2016
