Set-SqlColumnEncryption

Set-SqlColumnEncryption
    [-InputObject] <Database>
    -ColumnEncryptionSettings <SqlColumnEncryptionSettings[]>
    [-UseOnlineApproach]
    [-KeepCheckForeignKeyConstraints]
    [-MaxDowntimeInSeconds <Int32>]
    [-KeyVaultAccessToken <String>]
    [-ManagedHsmAccessToken <String>]
    [-LockTimeoutInSeconds <Int32>]
    [-MaxIterationDurationInDays <Int32>]
    [-MaxDivergingIterations <Int32>]
    [-MaxIterations <Int32>]
    [-EnclaveAttestationProtocol <SqlConnectionAttestationProtocol>]
    [-EnclaveAttestationURL <String>]
    [-LogFileDirectory <String>]
    [-AllowVerboseLogging]
    [-DisableFallBackToClientSide]
    [-Script]
    [-AccessToken <PSObject>]
    [-TrustServerCertificate]
    [-HostNameInCertificate <String>]
    [-Encrypt <String>]
    [<CommonParameters>]

Set-SqlColumnEncryption
    [[-Path] <String>]
    -ColumnEncryptionSettings <SqlColumnEncryptionSettings[]>
    [-UseOnlineApproach]
    [-KeepCheckForeignKeyConstraints]
    [-MaxDowntimeInSeconds <Int32>]
    [-KeyVaultAccessToken <String>]
    [-ManagedHsmAccessToken <String>]
    [-LockTimeoutInSeconds <Int32>]
    [-MaxIterationDurationInDays <Int32>]
    [-MaxDivergingIterations <Int32>]
    [-MaxIterations <Int32>]
    [-EnclaveAttestationProtocol <SqlConnectionAttestationProtocol>]
    [-EnclaveAttestationURL <String>]
    [-LogFileDirectory <String>]
    [-AllowVerboseLogging]
    [-DisableFallBackToClientSide]
    [-Script]
    [-AccessToken <PSObject>]
    [-TrustServerCertificate]
    [-HostNameInCertificate <String>]
    [-Encrypt <String>]
    [<CommonParameters>]

Set-SqlColumnEncryption コマンドレットは、Always Encrypted 機能を使用して、指定されたデータベース列の暗号化、暗号化解除、または再暗号化を行います。

このコマンドレットは 、SqlColumnEncryptionSettings オブジェクトの配列を受け入れます。各オブジェクトは、データベース内の 1 つの列のターゲット暗号化構成を指定します。

コマンドレットは、列の現在の暗号化構成と指定されたターゲット暗号化設定に応じて、指定された各列の暗号化、暗号化解除、または再暗号化を行います。

コマンドレットは、列マスター キーを保持するキー ストアと通信します。 暗号化、暗号化解除、または再暗号化する列を保護する列マスター キーが Azure に格納されている場合は、キー コンテナーまたはキーを保持するマネージド HSM の有効な認証トークンを指定する必要があります。 または、このコマンドレットを呼び出す前に、 Add-SqlAzureAuthenticationContext を 使用して Azure に対して認証を行うことができます。

Module requirements: version 21+ on PowerShell 5.1; version 22+ on PowerShell 7.x.

この例では、 dbo.Student.Id 列は確定的暗号化と列暗号化キー ( MyCEK という名前) を使用して暗号化されます。

dbo.Student.LastName列は、ランダム化された暗号化と、MyCEKという名前の列暗号化キーを使用して暗号化されます。

dbo.StudentFirstName列は暗号化されません (列が最初に暗号化されている場合、暗号化が解除されます)。

この例ではオフラインアプローチを使用しています。つまり、Student テーブルは操作全体を通じて更新できません。 MyCEKを保護する列マスター キーが Azure Key Vault に格納されていないとします。

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory .

この例は上記の例のようになります。唯一の違いは、 MyCEK を保護する列マスター キーが Azure Key Vault に格納されていることです。

# Connect to Azure account.
Import-Module Az.Accounts -MinimumVersion 2.2.0
Connect-AzAccount

# Obtain an access token for key vaults.
$keyVaultAccessToken = (Get-AzAccessToken -ResourceUrl https://vault.azure.net).Token

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'

# Pass the token to the cmdlet. It will use the token to communicate with Azure Key Vault to obtain the plaintext value of the column encryption key.
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory . -KeyVaultAccessToken $keyVaultAccessToken

この例では Student テーブルは最大 30 秒間読み取りと書き込みに使用できません ( MaxDowntimeInSeconds パラメーターを使用して指定された値)。 MyCEKを保護する列マスター キーが Azure の外部に格納されているとします (Azure トークンを渡す必要はありません)。

$ces1 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.Id'        -EncryptionType 'Deterministic' -EncryptionKey 'MyCek'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.LastName'  -EncryptionType 'Randomized'    -EncryptionKey 'MyCek'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName 'dbo.Student.FirstName' -EncryptionType 'Plaintext'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -UseOnlineApproach -MaxDowntimeInSeconds 30 -LogFileDirectory .

$ces1 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.Id        -EncryptionType 'Randomized' -EncryptionKey 'CEK1'
$ces2 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.LastName  -EncryptionType 'Randomized' -EncryptionKey 'CEK1'
$ces3 = New-SqlColumnEncryptionSettings -ColumnName dbo.Student.FirstName -EncryptionType 'Randomized' -EncryptionKey 'CEK1'
Set-SqlColumnEncryption -ColumnEncryptionSettings $ces1,$ces2,$ces3 -LogFileDirectory . -EnclaveAttestationProtocol 'AAS' -EnclaveAttestationURL 'https://enclavedemoattest.weu.attest.azure.net'

この例では、インプレース暗号化のすべての前提条件が満たされている場合、つまり、データベースにエンクレーブが有効になっており、コマンドレットによってトリガーされる暗号化操作で使用されるキーがエンクレーブ対応である場合に、インプレース暗号化を使用してデータベース列にターゲット暗号化設定を適用します。

このコマンドレットでは、一般的なパラメーター -Debug、-ErrorAction、-ErrorVariable、-InformationAction、-InformationVariable、-OutBuffer、-OutVariable、-PipelineVariable、-ProgressAction、-Verbose、-WarningAction、-WarningVariable の各パラメーターがサポートされています。 詳細については、about_CommonParametersを参照してください。