SQL Always 加密 CMK 证书存储最佳实践

Question

我正在将 SQL Always Encrypted 部署到我们的数据库，并对存储 CMK 证书的最佳实践方法有疑问。

我们在 Windows Server 2016 机器上托管了 .Net Web 应用程序，每个应用程序都有一个分配为其应用程序池 ID 的不同 AD 服务帐户 (SA)。我们在单独的服务器上有一个 SQL Server 实例。这种方法允许我们隔离和限制每个应用程序对数据库的访问，并且效果良好。

我不想将 CMK 证书导入本地计算机 Windows 证书存储，因为这意味着服务器上的所有用户(主要是服务器管理员)都有权访问该证书，从而能够解密该证书数据库中的数据。

我当前已作为 SA 登录到服务器并在本地用户下安装了证书。这是我能想到的最安全的选项，因为只有 SA 才能解密信息，这又意味着只有应用程序可以解密数据，其他用户不能。然而，我使用这种方法面临的问题是 SA 似乎需要一直登录到服务器，这不是一个可行的长期解决方案(如果服务器重新启动，帐户将被注销，我的帐户将被注销)应用程序将失败)

有没有人找到任何关于安全存储 CMK 的最佳位置的 Microsoft 官方指南？

非常感谢

Answer 1

我建议使用Azure Key Vault作为您的 keystore 提供程序(集中 keystore )，这将是最安全的方式存储您的 key 。

Selecting a Key Store for Column Master Key

据此，

Centralized Key Stores - serve applications on multiple computers. An example of a centralized key store is Azure Key Vault. A centralized key store usually makes key management easier because you don't need to maintain multiple copies of your column master keys on multiple machines. You need to ensure that your applications are configured to connect to the centralized key store

到目前为止集中化 key 存储

您可以轻松manage the users/Application通过 Azure Key Vault 中的访问策略。

Reference