Configurer Always Encrypted à l’aide de PowerShell

S’applique à : SQL Server Azure SQL Database Azure SQL Managed Instance

Le module SqlServer PowerShell fournit des cmdlets pour configurer Always Encrypted dans la base de données Azure SQL ou SQL Server.

Considérations de sécurité sur l’utilisation de PowerShell pour configurer Always Encrypted

L’objectif principal d’Always Encrypted étant de garantir la sécurité des données sensibles chiffrées même si le système de base de données est compromis, l’exécution d’un script PowerShell qui traite des clés ou des données sensibles sur l’ordinateur SQL Server peut réduire ou annuler les avantages de la fonctionnalité. Pour obtenir des recommandations supplémentaires relatives à la sécurité, consultez Considérations en matière de sécurité pour la gestion des clés.

Vous pouvez utiliser PowerShell pour gérer des clés Always Encrypted avec et sans séparation des rôles, ce qui permet de contrôler qui a accès aux clés de chiffrement réelles du magasin de clés et qui a accès à la base de données.

Pour obtenir des recommandations supplémentaires, consultez Considérations en matière de sécurité pour la gestion des clés.

Prérequis

Installez le module SqlServer PowerShell version 22.0.50 ou ultérieure sur un ordinateur sécurisé qui n’est PAS un ordinateur hébergeant votre instance SQL Server. Vous pouvez installer le module directement à partir de PowerShell Gallery. Pour plus d’informations, consultez les instructions de téléchargement.

Importation du module SqlServer

Pour charger le module SqlServer

1. Utilisez l’applet de commande Set-ExecutionPolicy pour définir la stratégie d’exécution de scripts appropriée.
2. Utilisez l’applet de commande Import-Module pour importer le module SqlServer.

Cet exemple charge le module SQL Server.

# Import the SQL Server Module.  
Import-Module "SqlServer" -MinimumVersion 22.0.50

Connexion à une base de données

Certaines des applets de commande Always Encrypted fonctionnent avec des données ou des métadonnées dans la base de données et nécessitent que vous vous connectiez d’abord à la base de données. Il existe deux méthodes recommandées pour se connecter à une base de données lors de la configuration d’Always Encrypted à l’aide du module SqlServer :

1. Se connecter à l’aide de l’applet de commande Get-SqlDatabase.
2. Se connecter à l’aide d’un fournisseur SQL Server PowerShell.

Utilisation de Get-SqlDatabase

L’applet de commande Get-SqlDatabase vous permet de vous connecter à une base de données dans SQL Server ou Azure SQL Database. Elle retourne un objet de base de données, que vous pouvez ensuite passer à l’aide du paramètre InputObject d’une applet de commande qui se connecte à la base de données.

Utilisation de SQL Server PowerShell

# Import the SqlServer module
Import-Module "SqlServer" -MinimumVersion 22.0.50

# Connect to your database
# Set the valid server name, database name and authentication keywords in the connection string
$serverName = "<Azure SQL server name>.database.windows.net"
$databaseName = "<database name>"
$connStr = "Server = " + $serverName + "; Database = " + $databaseName + "; Authentication = Active Directory Integrated"
$database = Get-SqlDatabase -ConnectionString $connStr

# List column master keys for the specified database.
Get-SqlColumnMasterKey -InputObject $database

Vous pouvez également utiliser un canal :

$database | Get-SqlColumnMasterKey

Utilisation du fournisseur SQL Server PowerShell

Le fournisseur SQL Server PowerShell présente la hiérarchie des objets SQL Server dans des chemins semblables aux chemins de système de fichiers. Avec SQL Server PowerShell, vous pouvez parcourir les chemins à l’aide d’alias Windows PowerShell semblables aux commandes que vous utilisez généralement pour parcourir les chemins du système de fichiers. Une fois que vous accédez à l’instance cible et à la base de données, les applets de commande suivantes ciblent cette base de données, comme indiqué dans l’exemple suivant.

# Import the SqlServer module.
Import-Module "SqlServer" -MinimumVersion 22.0.50
# Navigate to the database in the remote instance.
cd SQLSERVER:\SQL\servercomputer\DEFAULT\Databases\yourdatabase
# List column master keys in the above database.
Get-SqlColumnMasterKey

Vous pouvez également spécifier un chemin de base de données à l’aide du paramètre générique Path , au lieu de naviguer dans la base de données.

# Import the SqlServer module.
Import-Module "SqlServer" -MinimumVersion 22.0.50
# List column master keys for the specified database.
Get-SqlColumnMasterKey -Path SQLSERVER:\SQL\servercomputer\DEFAULT\Databases\yourdatabase

Tâches Always Encrypted à l’aide de PowerShell

• Provisionner des clés Always Encrypted à l’aide de PowerShell
• Permuter des clés Always Encrypted à l’aide de PowerShell
• Chiffrer, rechiffrer ou déchiffrer des colonnes avec Always Encrypted à l’aide de PowerShell

Référence des applets de commande Always Encrypted

Les applets de commande PowerShell suivantes sont disponibles pour Always Encrypted :

Voir aussi

• Always Encrypted
• Vue d’ensemble de la gestion des clés pour Always Encrypted
• Configurer Always Encrypted à l’aide de SQL Server Management Studio
• Développer des applications avec Always Encrypted