チュートリアル: Intel SGX エンクレーブが設定された Always Encrypted を Azure SQL Database で使い始める

1. [Select SQL deployment option](SQL デプロイ オプションの選択) ページを参照します。

2. まだ Azure portal にサインインしていない場合は、求められたらサインインします。

3. [SQL データベース] で、 [リソースの種類] を [単一データベース] に設定し、 [作成] を選択します。

   

4. [SQL データベースの作成] フォームの [基本] タブにある [プロジェクトの詳細] で、目的の Azure [サブスクリプション] を選択します。

5. [リソース グループ] の [新規作成] を選択し、リソース グループの名前を入力し、 [OK] を選択します。

6. [データベース名] に、「ContosoHR」と入力します。

7. [サーバー] で、 [新規作成] を選択し、 [新しいサーバー] フォームに次の値を入力します。

   • [サーバー名] : 「mysqlserver」と入力し、一意にするためにいくつかの文字を追加します。 サーバー名は、サブスクリプション内で一意ではなく、Azure のすべてのサーバーに対してグローバルに一意である必要があるため、正確なサーバー名をここに示すことはできません。 mysqlserver135 のように入力してから、利用可能かどうかをポータルで確認できます。
   • [場所] :ドロップダウン リストから場所を選択します。

     重要

     DCシリーズのハードウェアとMicrosoft Azure Attestationの両方をサポートする場所(Azure リージョン)を選択する必要があります。 DC シリーズをサポートするリージョンの一覧については、DC シリーズの提供リージョンに関する記述を参照してください。 Microsoft Azure Attestation が提供されるリージョンは、こちらでご覧いただけます。

   • [認証方法]: [SQL 認証を使用] を選びます。
   • [サーバー管理者ログイン] : 管理者のログイン名を入力します (例: azureuser)。
   • パスワード:要件を満たすパスワードを入力し、 [パスワードの確認入力] フィールドにもう一度入力します。
   • [OK] を選択します。

8. [SQL エラスティック プールを使用しますか?] を [いいえ] に設定したままにします。

9. [コンピューティングとストレージ] で、[データベースの構成] を選択し、[構成の変更] を選択します。

   

10. [DC シリーズ] ハードウェア構成を選択し、 [OK] を選択します。

    

11. [適用] を選択します。

12. [基本] タブに戻り、 [コンピューティングとストレージ] が [General Purpose] 、 [DC、2 仮想コア、32 GB ストレージ] に設定されていることを確認します。

13. [バックアップ ストレージの冗長性] には [Locally-redundant backup storage] (ローカル冗長バックアップ ストレージ) を選びます。

14. ページの下部にある [Next: Networking](次へ: ネットワーク) を選択します。

    

15. [ネットワーク] タブの [接続方法] で、 [パブリック エンドポイント] を選択します。

16. [ファイアウォール規則] で、 [現在のクライアント IP アドレスを追加する] を [はい] に設定します。 [Azure サービスおよびリソースにこのサーバー グループへのアクセスを許可する] を [いいえ] に設定したままにします。

17. [接続ポリシー] の [接続ポリシー] は [Default - Uses Redirect policy for all client connections originating inside of Azure and Proxy for all client connections originating outside Azure] (既定 - Azure 内部で発生したすべてのクライアント接続にリダイレクト ポリシーを使用し、Azure 外部で発生したすべてのクライアント接続にプロキシを使用します) のままにします

18. [Encrypted connections] (暗号化された接続) の [Minimum TLS version] (最小 TLS バージョン) を [TLS 1.2] に設定したままにします。

19. ページ下部にある [確認と作成] を選択します。

    

20. [確認と作成] ページで、確認後、 [作成] を選択します。

1. PowerShell コンソールを開き、必要なバージョンの Az PowerShell モジュールをインポートします。

   Import-Module "Az" -MinimumVersion "9.3.0"
   

2. Azure にサインインします。 必要に応じて、このチュートリアルに使用するサブスクリプションに切り替えます。

   Connect-AzAccount
   $subscriptionId = "<your subscription ID>"
   $context = Set-AzContext -Subscription $subscriptionId
   

3. 新しいリソース グループを作成する。

   重要

   リソースグループは、DCシリーズのハードウェアとMicrosoft Azure Attestationの両方をサポートするリージョン(場所)に作成する必要があります。 DC シリーズをサポートするリージョンの一覧については、DC シリーズの提供リージョンに関する記述を参照してください。 Microsoft Azure Attestation が提供されるリージョンは、こちらでご覧いただけます。

   $resourceGroupName = "<your new resource group name>"
   $location = "<Azure region supporting DC-series and Microsoft Azure Attestation>"
   New-AzResourceGroup -Name $resourceGroupName -Location $location
   

4. Azure SQL 論理サーバーを作成します。 プロンプトが表示されたら、サーバー管理者名とパスワードを入力します。 管理者の名前とパスワードを忘れないようにしてください。後でサーバーに接続するときに必要になります。

   $serverName = "<your server name>" 
   New-AzSqlServer -ServerName $serverName -ResourceGroupName $resourceGroupName -Location $location -SqlAdministratorCredentials (Get-Credential)
   

5. 指定された IP 範囲からのアクセスを許可するサーバー ファイアウォール規則を作成します。

   $startIp = "<start of IP range>"
   $endIp = "<end of IP range>"
   $serverFirewallRule = New-AzSqlServerFirewallRule -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -FirewallRuleName "AllowedIPs" -StartIpAddress $startIp -EndIpAddress $endIp
   

6. DC シリーズ データベースを作成します。

   $databaseName = "ContosoHR"
   $edition = "GeneralPurpose"
   $vCore = 2
   $generation = "DC"
   New-AzSqlDatabase -ResourceGroupName $resourceGroupName `
    -ServerName $serverName `
    -DatabaseName $databaseName `
    -Edition $edition `
    -Vcore $vCore `
    -ComputeGeneration $generation
   

1. [構成証明プロバイダーの作成] ページに移動します。

2. [Create attestation provider](構成証明プロバイダーの作成) ページで、次の情報を入力します。

   • [サブスクリプション] : Azure SQL 論理サーバーを作成したのと同じサブスクリプションを選択します。
   • [リソース グループ] : Azure SQL 論理サーバーで作成したのと同じリソース グループを選択します。
   • [名前] : 「myattestprovider」と入力し、一意にするためにいくつか文字を追加します。 名前はグローバルに一意である必要があるため、正確な構成証明プロバイダー名を指定して使用することはできません。 そのため、myattestprovider12345 のように入力して、それが利用可能かどうかをポータルで確認できます。
   • [場所]: Azure SQL 論理サーバーと同じ場所を選択します。
   • [ポリシー署名者証明書ファイル]: 署名されていないポリシーを構成する場合は、このフィールドは空のままにします。

3. 必要な情報を入力したら、 [確認と作成] を選択します。

   

4. [作成] を選択します。

5. 構成証明プロバイダーが作成されたら、[リソースに移動] を選択します。

6. 構成証明プロバイダーの [概要] タブで、Attest URI プロパティの値をクリップボードにコピーし、ファイルに保存します。 これは構成証明の URL です。後の手順で必要になります。

   

7. 下部のペインまたはウィンドウの左側のリソース メニューで [ポリシー] を選択します。

8. [構成証明の種類] を [SGX-IntelSDK] に設定します。

9. 上部のメニューにある [構成] を選択します。

   

10. [ポリシーの形式] を [テキスト] に 設定します。 [ポリシー オプション] は [ポリシーの入力] に設定されたままにします。

11. [ポリシーのテキスト] フィールドで、既定のポリシーを下のポリシーに置き換えます。 次のポリシーについては、「構成証明プロバイダーを作成して構成する」を参照してください。

version= 1.0;
authorizationrules 
{
       [ type=="x-ms-sgx-is-debuggable", value==false ]
        && [ type=="x-ms-sgx-product-id", value==4639 ]
        && [ type=="x-ms-sgx-svn", value>= 2 ]
        && [ type=="x-ms-sgx-mrsigner", value=="e31c9e505f37a58de09335075fc8591254313eb20bb1a27e5443cc450b6e33e5"] 
    => permit();
};

1. [保存] を選択します。

   

2. 上部のメニューにある [Refresh](最新の情報に更新) をクリックして、構成済みのポリシーを表示します

1. 次の構成証明ポリシーをコピーし、そのポリシーをテキストファイル (txt) に保存します。 次のポリシーについては、「構成証明プロバイダーを作成して構成する」を参照してください。

version= 1.0;
authorizationrules 
{
       [ type=="x-ms-sgx-is-debuggable", value==false ]
        && [ type=="x-ms-sgx-product-id", value==4639 ]
        && [ type=="x-ms-sgx-svn", value>= 2 ]
        && [ type=="x-ms-sgx-mrsigner", value=="e31c9e505f37a58de09335075fc8591254313eb20bb1a27e5443cc450b6e33e5"] 
    => permit();
};

1. 構成証明プロバイダーを作成します。

   $attestationProviderName = "<your attestation provider name>" 
   New-AzAttestationProvider -Name $attestationProviderName -ResourceGroupName $resourceGroupName -Location $location
   

2. 構成証明プロバイダーの構成証明の共同作成者ロールを自分に割り当てて、構成証明ポリシーを構成する権限があることを確認します。

   New-AzRoleAssignment -SignInName $context.Account.Id `
    -RoleDefinitionName "Attestation Contributor" `
    -ResourceName $attestationProviderName `
    -ResourceType "Microsoft.Attestation/attestationProviders" `
    -ResourceGroupName $resourceGroupName
   

3. 構成証明ポリシーを構成します。

   $policyFile = "<the pathname of the file from step 1 in this section>"
   $teeType = "SgxEnclave"
   $policyFormat = "Text"
   $policy=Get-Content -path $policyFile -Raw
   Set-AzAttestationPolicy -Name $attestationProviderName `
    -ResourceGroupName $resourceGroupName `
    -Tee $teeType `
    -Policy $policy `
    -PolicyFormat  $policyFormat
   

4. 構成証明 URL (構成証明プロバイダーの構成証明 URI) を取得します。

   $attestationUrl = (Get-AzAttestationProvider -Name $attestationProviderName -ResourceGroupName $resourceGroupName).AttestUri
   Write-Host "Your attestation URL is: $attestationUrl"
   

   この構成証明 URL は、https://myattestprovider12345.eus.attest.azure.net のようになります。