Set-SqlColumnEncryption

Sintassi

Set-SqlColumnEncryption
   -ColumnEncryptionSettings <SqlColumnEncryptionSettings[]>
   [-UseOnlineApproach]
   [-KeepCheckForeignKeyConstraints]
   [-MaxDowntimeInSeconds <Int32>]
   [-KeyVaultAccessToken <String>]
   [-ManagedHsmAccessToken <String>]
   [-LockTimeoutInSeconds <Int32>]
   [-MaxIterationDurationInDays <Int32>]
   [-MaxDivergingIterations <Int32>]
   [-MaxIterations <Int32>]
   [-EnclaveAttestationProtocol <SqlConnectionAttestationProtocol>]
   [-EnclaveAttestationURL <String>]
   [-LogFileDirectory <String>]
   [-AllowVerboseLogging]
   [-InputObject] <Database>
   [-Script]
   [-AccessToken <PSObject>]
   [-TrustServerCertificate]
   [-HostNameInCertificate <String>]
   [-Encrypt <String>]
   [-ProgressAction <ActionPreference>]
   [<CommonParameters>]

Set-SqlColumnEncryption
   -ColumnEncryptionSettings <SqlColumnEncryptionSettings[]>
   [-UseOnlineApproach]
   [-KeepCheckForeignKeyConstraints]
   [-MaxDowntimeInSeconds <Int32>]
   [-KeyVaultAccessToken <String>]
   [-ManagedHsmAccessToken <String>]
   [-LockTimeoutInSeconds <Int32>]
   [-MaxIterationDurationInDays <Int32>]
   [-MaxDivergingIterations <Int32>]
   [-MaxIterations <Int32>]
   [-EnclaveAttestationProtocol <SqlConnectionAttestationProtocol>]
   [-EnclaveAttestationURL <String>]
   [-LogFileDirectory <String>]
   [-AllowVerboseLogging]
   [[-Path] <String>]
   [-Script]
   [-AccessToken <PSObject>]
   [-TrustServerCertificate]
   [-HostNameInCertificate <String>]
   [-Encrypt <String>]
   [-ProgressAction <ActionPreference>]
   [<CommonParameters>]

Descrizione

Il cmdlet Set-SqlColumnEncryption crittografa, decrittografa o crittografa nuovamente le colonne di database specificate usando la funzionalità Always Encrypted.

Il cmdlet accetta una matrice di SqlColumnEncryptionSettings oggetti, ognuno dei quali specifica la configurazione della crittografia di destinazione per una colonna nel database.

Il cmdlet crittograferà, decrittograferà o crittograferà nuovamente ogni colonna specificata, a seconda della configurazione di crittografia corrente della colonna e delle impostazioni di crittografia di destinazione specificate.

Il cmdlet comunica con gli archivi chiavi che contengono chiavi master delle colonne. Se una chiave master della colonna che protegge le colonne da crittografare, decrittografare o crittografare nuovamente, viene archiviata in Azure, è necessario specificare un token di autenticazione valido per un insieme di credenziali delle chiavi o un modulo di protezione hardware gestito che contiene la chiave. In alternativa, è possibile eseguire l'autenticazione in Azure con Add-SqlAzureAuthenticationContext prima di chiamare questo cmdlet.

Module requirements: version 21+ on PowerShell 5.1; version 22+ on PowerShell 7.x.

Esempio

Esempio 1: applicare le impostazioni di crittografia di destinazione specificate a tre colonne di database.

In questo esempio la colonna dbo.Student.Id viene crittografata usando la crittografia deterministica e la chiave di crittografia della colonna denominata MyCEK.

La colonna dbo.Student.LastName viene crittografata usando la crittografia casuale e la chiave di crittografia della colonna denominata MyCEK.

La colonna dbo.StudentFirstName non è crittografata (se la colonna è inizialmente crittografata, viene decrittografata).

L'esempio usa l'approccio offline, il che significa che la tabella Student rimarrà non disponibile per gli aggiornamenti durante l'operazione. Si supponga che la chiave master della colonna, che protegge MyCEK, non sia archiviata in Azure Key Vault.

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory .

Esempio 2: applicare le impostazioni di crittografia di destinazione specificate alle tre colonne di database (la chiave master della colonna viene archiviata in Azure Key Vault).

Questo esempio è simile a quello precedente; solo la differenza è che la chiave master della colonna che protegge MyCEK viene archiviata in Azure Key Vault.

# Connect to Azure account.
Import-Module Az.Accounts -MinimumVersion 2.2.0
Connect-AzAccount

# Obtain an access token for key vaults.
$keyVaultAccessToken = (Get-AzAccessToken -ResourceUrl https://vault.azure.net).Token

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek' 
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'

# Pass the token to the cmdlet. It will use the token to communicate with Azure Key Vault to obtain the plaintext value of the column encryption key.
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory . -KeyVaultAccessToken $keyVaultAccessToken

Esempio 3: applicare le impostazioni di crittografia di destinazione specificate a tre colonne di database usando l'approccio online.

In questo esempio Student tabella non sarà disponibile per le letture e le scritture per un massimo di 30 secondi (il valore specificato usando il parametro MaxDowntimeInSeconds). Si supponga che la chiave master della colonna, proteggendo MyCEK, venga archiviata all'esterno di Azure (il passaggio di un token di Azure non è obbligatorio).

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -UseOnlineApproach -MaxDowntimeInSeconds 30 -LogFileDirectory .

Esempio 4: applicare le impostazioni di crittografia di destinazione a più colonne usando la crittografia sul posto.

$ces1 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.Id        -EncryptionType 'Randomized' -EncryptionKey 'CEK1' 
$ces2 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.LastName  -EncryptionType 'Randomized' -EncryptionKey 'CEK1' 
$ces3 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.FirstName -EncryptionType 'Randomized' -EncryptionKey 'CEK1'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory . -EnclaveAttestationProtocol 'AAS' -EnclaveAttestationURL 'https://enclavedemoattest.weu.attest.azure.net'

In questo esempio vengono applicate le impostazioni di crittografia di destinazione alle colonne del database che usano la crittografia sul posto, purché vengano soddisfatti tutti i prerequisiti per la crittografia sul posto, ovvero il database ha un enclave abilitato e le chiavi usate nelle operazioni di crittografia, che i trigger del cmdlet, sono abilitati per l'enclave.

Parametri

-AccessToken

-AllowVerboseLogging

-ColumnEncryptionSettings

-EnclaveAttestationProtocol

-EnclaveAttestationURL

-Encrypt

-HostNameInCertificate

-InputObject

-KeepCheckForeignKeyConstraints

-KeyVaultAccessToken

-LockTimeoutInSeconds

-LogFileDirectory

-ManagedHsmAccessToken

-MaxDivergingIterations

-MaxDowntimeInSeconds

-MaxIterationDurationInDays

-MaxIterations

-Path

-ProgressAction

-Script

-TrustServerCertificate

-UseOnlineApproach

Input

Microsoft.SqlServer.Management.Smo.Database

Output

String

Collegamenti correlati

• SQLServer_Cmdlets