Configurar Transparent Data Encryption com Azure Key Vault para SQL Server

Para conceder permissões de acesso de instância do SQL Server ao cofre de chaves do Azure, você precisa de uma conta de entidade de serviço na ID do Microsoft Entra.

1. Entre no portal do Azure e execute uma das seguintes etapas:

   • Selecione o botão Microsoft Entra ID.

     

   • Selecione Mais serviços e, no painel Todos os serviços, digite Microsoft Entra ID.

2. Registre um aplicativo com Microsoft Entra ID executando as etapas a seguir. Para obter instruções passo a passo detalhadas, consulte a seção Obter uma identidade para o aplicativo da postagem no blog do Azure Key Vault, Azure Key Vault – Passo a passo.

   1. Na seção Gerenciar do recurso Microsoft Entra ID, selecione Registros de aplicativo.

      

   2. Na página Registros de aplicativo, selecione Novo registro.

      

   3. No painel Registrar um aplicativo, insira o nome do aplicativo voltado para o usuário e selecione Registrar.

      

   4. No painel esquerdo, selecione Certificados & segredos>Segredos do cliente>Novo segredo do cliente.

      

   5. Em Adicionar um segredo do cliente, insira uma descrição e uma validade apropriada e selecione Adicionar. Não é possível escolher um período de expiração superior a 24 meses. Para saber mais, confira Adicionar um segredo do cliente.

      

   6. No painel Certificados & segredos, em Valor, selecione o botão Copiar ao lado do valor do segredo do cliente para usá-lo para criar uma chave assimétrica no SQL Server.

      

   7. No painel esquerdo, selecione Visão geral e, na caixa ID do aplicativo (cliente), copie o valor para usá-lo para criar uma chave assimétrica em SQL Server.

      

A partir do SQL Server CU17 (Atualização Cumulativa 17) de 2022 ou SQL Server 2025 habilitado por Azure Arc, as identidades gerenciadas têm suporte para o Gerenciamento extensível de chaves com Azure Key Vault. As identidades gerenciadas são o método de autenticação recomendado para permitir que diferentes serviços de Azure autentiquem o SQL Server sem usar senhas ou segredos. Para obter mais informações sobre identidades gerenciadas, consulte Tipos de identidade gerenciada.

Para conceder permissões de acesso à sua instância do SQL Server ao cofre de chaves do Azure, atenda aos seguintes pré-requisitos.

• SQL Server 2022 CU17 ou posterior em uma VM Azure registrada com a extensão do Agente IaaS do SQL ou SQL Server 2025 habilitada por Azure Arc.
• Você deve configurar a instância de SQL Server com autenticação Microsoft Entra. Para o SQL Server em VMs do Azure, consulte Configurar a autenticação do Microsoft Entra e Configurar identidades gerenciadas em máquinas virtuais (VMs) do Azure. Para SQL Server 2025 habilitado pelo Azure Arc, consulte Configurar a identidade gerenciada e a autenticação Microsoft Entra para SQL Server habilitado pelo Azure Arc.
• A identidade gerenciada primária do SQL Server deve ter a função Key Vault Crypto Service Encryption User no cofre de chaves quando você usa o controle de acesso baseado em função do Azure ou as permissões Desempacotar Chave e Empacotar Chave quando você usa uma política de acesso ao cofre.

Criar um cofre de chaves usando o portal do Azure

Para criar um cofre de chaves usando o portal Azure, consulte Início Rápido: Criar um cofre de chaves usando o portal Azure.

Controle de acesso baseado em papéis do Azure

Use Azure RBAC (controle de acesso baseado em função) para gerenciar o acesso ao Azure Key Vault. Não use políticas de acesso herdadas. As políticas de acesso herdadas têm vulnerabilidades de segurança conhecidas, não têm suporte para Privileged Identity Management (PIM) e não devem ser usadas para cargas de trabalho e dados críticos. Para obter mais informações sobre permissões de RBAC do Azure Key Vault, consulte Funções internas do Azure para operações de plano de dados do Key Vault.

1. Vá para o recurso do cofre de chaves que você criou e selecione a configuração Controle de acesso (IAM).

2. Selecione Adicionar>Adicionar atribuição de função.

   

3. O aplicativo EKM ou a identidade gerenciada precisa da função Key Vault Crypto Service Encryption User para realizar operações de empacotamento e desempacotamento. Procure por Usuário de Criptografia do Serviço Key Vault e selecione a função. Selecione Próximo.

   

4. Na guia Membros, selecione a opção Selecionar membros e pesquise o aplicativo Microsoft Entra ou a identidade gerenciada que você criou na Etapa 1. Selecione o aplicativo ou a identidade gerenciada e, em seguida, o botão Selecionar .

   

5. Clique em Revisar + atribuir duas vezes para concluir a atribuição de função.

Criar uma chave

O usuário que cria a chave precisa da função Administrador do Cofre de Chaves. Assim como nas etapas anteriores, adicione o membro criando a chave e atribua a função.

1. No painel Cofre de Chaves, selecione Chaves e, em seguida, selecione a opção Gerar/Importar. Essa ação abre o painel Criar uma chave . Selecione a opção Gerar e insira um nome exclusivo para a chave. O Conector do SQL Server exige que o nome da chave use somente os caracteres "a-z", "A-Z", "0-9" e "-", com um limite de 26 caracteres.

2. Use o tipo de chave RSA e o tamanho da chave RSA2048. No momento, o EKM oferece suporte apenas a uma chave RSA. Defina as datas de ativação e término conforme apropriado e defina Habilitado como Sim.

   

Criar um cofre de chaves e uma chave usando o PowerShell

Para criar um cofre de chaves, consulte Início Rápido: Criar um cofre de chaves usando o PowerShell.

Controle de acesso baseado em papéis do Azure

Use Azure RBAC (controle de acesso baseado em função) para gerenciar o acesso ao Azure Key Vault. Não use políticas de acesso herdadas. As políticas de acesso herdadas têm vulnerabilidades de segurança conhecidas, não têm suporte para Privileged Identity Management (PIM) e não devem ser usadas para cargas de trabalho e dados críticos. Para obter mais informações sobre permissões de RBAC do Azure Key Vault, consulte Funções internas do Azure para operações de plano de dados do Key Vault.

O aplicativo EKM ou a identidade gerenciada precisa da função Key Vault Crypto Service Encryption User para executar operações de encapsulamento e desencapsulamento. Use o New-AzRoleAssignment cmdlet para atribuir a função RBAC.

New-AzRoleAssignment `
-ObjectId <managed-identity-object-id> `
-RoleDefinitionName "Key Vault Crypto Service Encryption User" `
-Scope "/subscriptions/<sub-id>/resourceGroups/<rg>/providers/Microsoft.KeyVault/vaults/<kv-name>"

Criar uma chave

Gere uma chave assimétrica no cofre de chaves. Você pode fazer isso de duas maneiras: importar uma chave existente ou criar uma.

Importar uma chave existente

Se tiver uma chave protegida por software RSA de 2048 bits, você poderá carregá-la no Azure Key Vault. Por exemplo, se você tem um arquivo PFX salvo em sua unidade C:\ em um arquivo chamado softkey.pfx e deseja carregá-lo para o Azure Key Vault, execute o seguinte comando para definir a variável securepfxpwd com uma senha de 12987553 para o arquivo PFX:

$securepfxpwd = ConvertTo-SecureString -String '12987553' `
  -AsPlainText -Force

Em seguida, execute o comando a seguir para importar a chave do arquivo PFX. O serviço Key Vault protege a chave por hardware (recomendado):

Add-AzKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'DocsFirstKey' -KeyFilePath 'C:\softkey.pfx' `
  -KeyFilePassword $securepfxpwd -Destination 'HSM'

Criar uma nova chave

Como alternativa, você pode criar uma chave de criptografia diretamente no Azure Key Vault e protegê-la por software ou por HSM. Neste exemplo, crie uma chave protegida por software usando o Add-AzKeyVaultKey cmdlet:

Add-AzKeyVaultKey -VaultName 'DocsSampleEKMKeyVault' `
  -Name 'ContosoRSAKey0' -Destination 'Software'

1. Execute sqlcmd ou abra o SQL Server Management Studio.

2. Configure o SQL Server para usar o EKM executando o seguinte script do Transact-SQL:

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. Registre o Conector do SQL Server como um provedor EKM com o SQL Server.

   Crie um provedor criptográfico usando o Conector do SQL Server, que é um provedor EKM do Azure Key Vault. Neste exemplo, o nome do provedor é AzureKeyVault_EKM.

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Note

   O tamanho do caminho do arquivo não pode ultrapassar 256 caracteres.

4. Configure uma credencial do SQL Server para um logon do SQL Server para usar o cofre de chaves.

   Adicione uma credencial a cada logon que executa a criptografia usando uma chave do cofre de chaves. Há um mapeamento um-para-um entre credenciais e logons - cada logon deve ter uma credencial exclusiva.

   Modifique o script Transact-SQL abaixo das seguintes maneiras:

   • Edite o argumento IDENTITY (DocsSampleEKMKeyVault) para apontar para o Cofre de Chaves do Azure.

     • Se estiver usando o Azure global, substitua o argumento IDENTITY pelo nome do seu Azure Key Vault da Etapa 2: Criar um cofre de chaves.
     • Se você estiver usando uma nuvem privada do Azure (por exemplo, Azure Governamental, Microsoft Azure operado pela 21Vianet ou Azure Alemanha), substitua o argumento IDENTITY pelo URI do cofre retornado em Criar um cofre de chaves e uma chave por meio do PowerShell. Não inclua https:// no URI do cofre de chaves.

   • Substitua a primeira parte do SECRET argumento pela ID do cliente Microsoft Entra da Etapa 1: configurar o modelo de autenticação. Nesse exemplo, a ID do Cliente é d956f6b9xxxxxxx.

     Importante

     Remova os hifens da ID do aplicativo (cliente).

   • Conclua a segunda parte do SECRET argumento com o Segredo do Cliente da Etapa 1. A string final é uma longa sequência de letras e números sem hífens (exceto quaisquer hífens no próprio Client Secret).

   USE master;
   CREATE CREDENTIAL sysadmin_ekm_cred
      -- Set IDENTITY to the vault name (public Azure) or full vault hostname without https:// (sovereign clouds / Managed HSM)
      -- See https://dotnet.territoriali.olinfo.it/azure/key-vault/general/about-keys-secrets-certificates#dns-suffixes-for-base-url
      WITH IDENTITY = 'DocsSampleEKMKeyVault',
            --<----Application (Client) ID ---><--Microsoft Entra app (Client) ID secret-->
      SECRET = 'd956f6b9xxxxxxxyrA8X~PldtMCvUZPxxxxxxxx'
   FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   
   -- Add the credential to the SQL Server administrator's domain login
   ALTER LOGIN [<domain>\<login>]
       ADD CREDENTIAL sysadmin_ekm_cred;
   

   Para obter um exemplo de como usar variáveis e remover hifens programaticamente da ID do cliente, consulte CREATE CREDENTIAL.

5. Abra a chave Azure Key Vault em sua instância de SQL Server.

   Se você criou uma nova chave ou importou uma chave assimétrica na Etapa 2: Criar um cofre de chaves, abra a chave em SQL Server usando CREATE ASYMMETRIC KEY.

   Importante

   Conclua os pré-requisitos do Registro antes de executar esta etapa.

   Nos seguintes exemplos:

   • Substitua EKMSampleASYKey pelo nome que você deseja usar no SQL Server.
   • Substitua ContosoRSAKey0 pelo nome da chave em Azure Key Vault ou HSM Gerenciado.

   Use um nome de chave sem versão (recomendado para a maioria dos cenários):

   CREATE ASYMMETRIC KEY EKMSampleASYKey
      FROM PROVIDER [AzureKeyVault_EKM]
      WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
         CREATION_DISPOSITION = OPEN_EXISTING;
   

   Use uma versão de chave específica quando precisar fixar operações em uma versão:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
      FROM PROVIDER [AzureKeyVault_EKM]
      WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
         CREATION_DISPOSITION = OPEN_EXISTING;
   

   Neste exemplo, 1a4d3b9b393c4678831ccc60def75379 é a versão de chave específica que SQL Server usa para operações de banco de dados.

6. Crie um novo logon usando a chave assimétrica no SQL Server que você criou na etapa anterior.

   -- Create a login that associates the asymmetric key with this login
   CREATE LOGIN TDE_Login
       FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. Mova o mapeamento de credenciais do logon do administrador original para o logon criado a partir da chave assimétrica.

   SQL Server usa o logon criado a partir da chave assimétrica (TDE_Login) para operações EKM. Para garantir que SQL Server possa acessar Azure Key Vault durante operações de criptografia e recuperação, mapeie a credencial paraTDE_Login, em vez do logon de instalação original.

   -- Remove the service principal credential from the original setup login
   ALTER LOGIN [<domain>\<login>]
      DROP CREDENTIAL sysadmin_ekm_cred;
   
   -- Map the service principal credential to the login created from the asymmetric key
   ALTER LOGIN TDE_Login
      ADD CREDENTIAL sysadmin_ekm_cred;
   

1. Execute sqlcmd ou abra o SQL Server Management Studio.

2. Configure o SQL Server para usar o EKM executando o seguinte script do Transact-SQL:

   -- Enable advanced options.
   USE master;
   GO
   
   EXEC sp_configure 'show advanced options', 1;
   GO
   RECONFIGURE;
   GO
   
   -- Enable EKM provider
   EXEC sp_configure 'EKM provider enabled', 1;
   GO
   RECONFIGURE;
   

3. Registre o Conector do SQL Server como um provedor EKM com o SQL Server.

   Crie um provedor criptográfico usando o Conector do SQL Server, que é um provedor EKM do Azure Key Vault. Neste exemplo, o nome do provedor é AzureKeyVault_EKM.

   CREATE CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM
   FROM FILE = 'C:\Program Files\SQL Server Connector for Microsoft Azure Key Vault\Microsoft.AzureKeyVaultService.EKM.dll';
   GO
   

   Note

   O tamanho do caminho do arquivo não pode ultrapassar 256 caracteres.

4. Configure uma credencial do SQL Server para um logon do SQL Server para usar o cofre de chaves.

   Adicione uma credencial a cada logon que executa a criptografia usando uma chave do cofre de chaves. Há um mapeamento um-para-um entre credenciais e logons - cada logon deve ter uma credencial exclusiva.

   Ao usar a autenticação de identidade gerenciada, você não precisa de um segredo do cliente. Defina o SECRET argumento como uma cadeia de caracteres vazia. Azure manipula a autenticação automaticamente usando a identidade gerenciada atribuída à VM SQL Server.

   Substitua o argumento IDENTITY pelo nome do seu Azure Key Vault (ou o URI do Managed HSM):

   USE master;
   -- Credential name = full vault hostname without https://
   -- See https://dotnet.territoriali.olinfo.it/azure/key-vault/general/about-keys-secrets-certificates#dns-suffixes-for-base-url
   CREATE CREDENTIAL [DocsSampleEKMKeyVault.vault.azure.net]
      WITH IDENTITY = 'Managed Identity'
   FOR CRYPTOGRAPHIC PROVIDER AzureKeyVault_EKM;
   
   -- Add the credential to the SQL Server administrator's domain login
   ALTER LOGIN [<domain>\<login>]
       ADD CREDENTIAL [DocsSampleEKMKeyVault.vault.azure.net];
   

5. Abra a chave Azure Key Vault em sua instância de SQL Server.

   Se você criou uma nova chave ou importou uma chave assimétrica na Etapa 2: Criar um cofre de chaves, abra a chave em SQL Server usando CREATE ASYMMETRIC KEY.

   Importante

   Conclua os pré-requisitos do Registro antes de executar esta etapa.

   Nos seguintes exemplos:

   • Substitua EKMSampleASYKey pelo nome que você deseja usar no SQL Server.
   • Substitua ContosoRSAKey0 pelo nome da chave em Azure Key Vault ou HSM Gerenciado.

   Use um nome de chave sem versão (recomendado para a maioria dos cenários):

   CREATE ASYMMETRIC KEY EKMSampleASYKey
      FROM PROVIDER [AzureKeyVault_EKM]
      WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0',
         CREATION_DISPOSITION = OPEN_EXISTING;
   

   Use uma versão de chave específica quando precisar fixar operações em uma versão:

   CREATE ASYMMETRIC KEY EKMSampleASYKey
      FROM PROVIDER [AzureKeyVault_EKM]
      WITH PROVIDER_KEY_NAME = 'ContosoRSAKey0/1a4d3b9b393c4678831ccc60def75379',
         CREATION_DISPOSITION = OPEN_EXISTING;
   

   Neste exemplo, 1a4d3b9b393c4678831ccc60def75379 é a versão de chave específica que SQL Server usa para operações de banco de dados.

6. Crie um novo logon usando a chave assimétrica no SQL Server que você criou na etapa anterior.

   -- Create a login that associates the asymmetric key with this login
   CREATE LOGIN TDE_Login
       FROM ASYMMETRIC KEY EKMSampleASYKey;
   

7. Mova o mapeamento de credenciais do logon do administrador original para o logon criado a partir da chave assimétrica.

   SQL Server usa o logon criado a partir da chave assimétrica (TDE_Login) para operações EKM. Para garantir que SQL Server possa acessar Azure Key Vault durante operações de criptografia e recuperação, mapeie a credencial paraTDE_Login, em vez do logon de instalação original.

   -- Remove the managed identity credential from the original setup login
   ALTER LOGIN [<domain>\<login>]
      DROP CREDENTIAL [DocsSampleEKMKeyVault.vault.azure.net];
   
   -- Map the managed identity credential to the login created from the asymmetric key
   ALTER LOGIN TDE_Login
      ADD CREDENTIAL [DocsSampleEKMKeyVault.vault.azure.net];
   

   Substitua [DocsSampleEKMKeyVault.vault.azure.net] pelo nome da credencial de identidade gerenciada.

1. Limpe os objetos de teste que você criou neste procedimento.

   -- CLEAN UP: shared objects + service principal credential
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   DROP LOGIN [TDE_Login];
   GO
   
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   
   DROP CREDENTIAL [sysadmin_ekm_cred];
   GO
   

2. Examine se você deve remover a chave do SQL Server Cryptographic Provider Registro.

   Importante

   A SQL Server Cryptographic Provider chave do Registro não é removida automaticamente depois que você exclui as chaves EKM.

   Exclua essa chave do Registro somente quando você não precisar mais de EKM na instância. Excluí-lo cedo demais pode comprometer o funcionamento do EKM e as operações de recuperação.

   Caminho do registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider

1. Limpe os objetos de teste que você criou neste procedimento.

   Substitua [DocsSampleEKMKeyVault.vault.azure.net] pelo nome da credencial de identidade gerenciada.

   -- CLEAN UP: shared objects + managed identity credential
   USE master;
   GO
   ALTER DATABASE [TestTDE] SET SINGLE_USER WITH ROLLBACK IMMEDIATE;
   DROP DATABASE [TestTDE];
   GO
   
   DROP LOGIN [TDE_Login];
   GO
   
   DROP ASYMMETRIC KEY [EKMSampleASYKey];
   DROP CRYPTOGRAPHIC PROVIDER [AzureKeyVault_EKM];
   GO
   
   DROP CREDENTIAL [DocsSampleEKMKeyVault.vault.azure.net];
   GO
   

2. Examine se você deve remover a chave do SQL Server Cryptographic Provider Registro.

   Importante

   A SQL Server Cryptographic Provider chave do Registro não é removida automaticamente depois que você exclui as chaves EKM.

   Exclua essa chave do Registro somente quando você não precisar mais de EKM na instância. Excluí-lo cedo demais pode comprometer a funcionalidade do EKM e as operações de recuperação.

   Caminho do registro: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SQL Server Cryptographic Provider