Always Encrypted と .NET Framework Data Provider for SQL Server を使用する

[アーティクル]
04/26/2023

適用対象: SQL Server Azure SQL データベース Azure SQL Managed Instance

この記事では、Always Encrypted またはセキュリティで保護されたエンクレーブが設定された Always Encrypted、セキュリティで保護されたエンクレーブを持つ Always Encrypted、.NET Framework データプロバイダー、SQL Server (System.Data.SqlClient) を使用して、.NET アプリケーションを開発する方法について説明します。

Note

.NET Framework Data Provider for SQL Server (System.Data.SqlClient) の使用は、新しい開発には推奨されません。詳細については、System.Data.SqlClient を参照してください。

Always Encrypted を使用すると、クライアントアプリケーションは SQL Server または Azure SQL データベースにデータまたは暗号化キーを開示することなく、機密データを暗号化することができます。 .NET Framework Data Provider for SQL Server など、Always Encrypted が有効のドライバーは、クライアントアプリケーション内の機密データを透過的に暗号化および暗号化解除することで、この処理を実行します。ドライバーは、どのクエリパラメーターが機密データベース列 (Always Encrypted を使用して保護される) に対応するかを自動的に決定し、SQL Server または Azure SQL データベースにデータを渡す前にこれらのパラメーターの値を暗号化します。同様に、ドライバーは、クエリ結果内の暗号化されたデータベース列から取得されたデータを透過的に暗号化解除します。詳しくは、「Always Encrypted を使用したアプリケーションの開発」および「セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用してアプリケーションを開発する」をご覧ください。

Note

.NET Framework Data Provider for SQL Server (System.Data.SqlClient) では、構成証明なしで VBS エンクレーブを使用することはできません。

前提条件

データベースで Always Encrypted を構成します。この処理には、Always Encrypted キーのプロビジョニング、および選択したデータベース列の暗号化の設定が含まれます。 Always Encrypted が構成されたデータベースがまだない場合は、「チュートリアル: Always Encrypted の作業の開始」の手順に従います。
セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用する場合は、他の前提条件について、「セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用するアプリケーションを開発する」を参照してください。
開発用コンピューターに .NET Framework バージョン 4.6.1 以降がインストールされていることを確認します。詳細については、「 .NET Framework 4.6」を参照してください。また、開発環境内でターゲットの .NET Framework バージョンとして .NET Framework バージョン 4.6 以降が構成されていることも確認する必要があります。 Visual Studio を使用している場合は、「.NET Framework のバージョンをターゲットにするには」を参照してください。

Note

.NET Framework の特定のバージョンでは、Always Encrypted のサポートレベルが異なります。 Always Encrypted API のリファレンスについては、次のセクションを参照してください。

アプリケーションクエリで Always Encrypted を有効にする

パラメーターの暗号化と、暗号化された列をターゲットとするクエリ結果の暗号化解除を有効にする最も簡単な方法としては、Column Encryption Setting 接続文字列キーワードの値を enabledに設定します。

Always Encrypted を有効にする接続文字列の例を次に示します。

string connectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true; Column Encryption Setting=enabled";
SqlConnection connection = new SqlConnection(connectionString);

SqlConnectionStringBuilder.ColumnEncryptionSetting プロパティを使用した同等の例を次に示します。

SqlConnectionStringBuilder strbldr = new SqlConnectionStringBuilder();
strbldr.DataSource = "server63";
strbldr.InitialCatalog = "Clinic";
strbldr.IntegratedSecurity = true;
strbldr.ColumnEncryptionSetting = SqlConnectionColumnEncryptionSetting.Enabled;
SqlConnection connection = new SqlConnection(strbldr.ConnectionString);

Always Encrypted は、個々のクエリに対しても有効にすることができます。以下の「 Always Encrypted のパフォーマンスの影響を制御する 」セクションを参照してください。暗号化または暗号化解除を正常に行うには、Always Encrypted を有効にするだけでは不十分です。次のことを確認する必要もあります。

アプリケーションが、データベース内の Always Encrypted キーに関するメタデータへのアクセスに必要な VIEW ANY COLUMN MASTER KEY DEFINITION および VIEW ANY COLUMN ENCRYPTION KEY DEFINITION データベース権限を持っている。詳細については、「Always Encrypted (データベースエンジン)」の「 Permissions (権限)」セクションを参照してください。
アプリケーションが、列暗号化キーを保護する列マスターキーにアクセスでき、クエリされたデータベース列を暗号化する。

セキュリティで保護されたエンクレーブが設定された Always Encrypted を有効にする

.NET Framework バージョン4.7.2 以降のドライバーでは、セキュリティで保護されたエンクレーブが設定された Always Encrypted がサポートされています。

エンクレーブの計算とエンクレーブの構成証明におけるクライアントドライバーの役割に関する一般的な情報については、「セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用してアプリケーションを開発する」をご覧ください。

アプリケーションを構成するには:

前のセクションで説明したように、アプリケーションクエリに対して Always Encrypted を有効にします。
Microsoft.SqlServer.Management.AlwaysEncrypted.EnclaveProviders NuGet パッケージとお使いのアプリケーションを統合します。 NuGet はエンクレーブプロバイダーのライブラリであり、構成証明のプロトコルと、セキュリティで保護されたエンクレーブが設定されたセキュリティで保護されたチャネルを確立するための、クライアント側ロジックが実装されています。
アプリケーションの構成を (たとえば、web.config や app.config で) 更新して、データベース用に構成されたエンクレーブ型と、エンクレーブプロバイダーの間のマッピングを定義します。
1. SQL Server とホストガーディアンサービス (HGS) を使用している場合は、VBS エンクレーブの型を、NuGet パッケージの Microsoft.SqlServer.Management.AlwaysEncrypted.EnclaveProviders.HostGuardianServiceEnclaveProvider クラスにマップする必要があります。
2. Azure SQL Database と Microsoft Azure Attestation を使用している場合は、SGX エンクレーブの型を、NuGet パッケージの Microsoft.SqlServer.Management.AlwaysEncrypted.EnclaveProviders.AzureAttestationEnclaveProvider クラスにマップする必要があります。
アプリケーション構成を編集する方法の詳細については、「チュートリアル: セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用して.NET Framework アプリケーションを開発する」を参照してください。
データベース接続文字列の Enclave Attestation URL キーワードを、構成証明 URL (構成証明サービスエンドポイント) に設定します。構成証明サービス管理者から、ご利用の環境用の構成証明 URL を取得する必要があります。
1. SQL Server とホストガーディアンサービス (HGS) を使用している場合は、「HGS 構成証明 URL を確認して共有する」を参照してください。
2. Azure SQL データベースと Microsoft Azure Attestation を使用している場合は、「構成証明ポリシーの構成証明 URL を確認する」を参照してください。

詳しいチュートリアルについては、「チュートリアル: セキュリティで保護されたエンクレーブが設定された Always Encrypted を使用して .NET Framework アプリケーションを開発する」を参照してください。

暗号化された列のデータを取得および変更する

アプリケーションクエリに対して Always Encrypted を有効にすると、標準の ADO.NET API (「 ADO.NET でのデータの取得および変更」を参照)、または .NET Framework Data Provider for SQL Server API ( System.Data.SqlClient 名前空間で定義) を使用して、暗号化されたデータベース列のデータを取得または変更することができます。 NET Framework Data Provider for SQL Server は、アプリケーションが必要なデータベース権限を持っており、列マスターキーにアクセスできると仮定して、暗号化された列をターゲットとするすべてのクエリパラメーターを暗号化し、暗号化された列から取得されたデータを暗号化解除します。これにより、データベーススキーマ内の列用に設定された SQL Server データ型に対応する、.NET 型のプレーンテキスト値を返します。 Always Encrypted が有効でない場合、暗号化された列をターゲットとするパラメーターを含むクエリは失敗します。暗号化された列をターゲットとするパラメーターがクエリにない場合、クエリでは、暗号化された列からデータを取得できます。ただし、.NET Framework Data Provider for SQL Server では、暗号化された列から取得された値の暗号化解除は試みられず、アプリケーションは、暗号化されたバイナリデータを (バイト配列として) 受け取ります。

次の表は、Always Encrypted が有効かどうかに応じたクエリの動作をまとめたものです。

クエリの特性	Always Encrypted が有効になっており、アプリケーションがキーとキーメタデータにアクセスできる	Always Encrypted が有効になっており、アプリケーションがキーまたはキーメタデータにアクセスできない	Always Encrypted が無効になっている
暗号化された列をターゲットとするパラメーターを含むクエリ。	パラメーター値は透過的に暗号化されます。	エラー	エラー
暗号化された列をターゲットとするパラメーターを含まず、暗号化された列からデータを取得するクエリ。	暗号化された列の結果は透過的に暗号化解除されます。アプリケーションは、暗号化された列用に構成された SQL Server 型に対応する、.NET データ型のプレーンテキスト値を受け取ります。	エラー	暗号化された列の結果は暗号化解除されません。アプリケーションは、暗号化された値をバイト配列 (byte[]) として受け取ります。

次の例は、暗号化された列のデータを取得および変更する方法を示しています。この例では、下のスキーマを含むターゲットテーブルを想定しています。 SSN 列と BirthDate 列は暗号化されています。

CREATE TABLE [dbo].[Patients]([PatientId] [int] IDENTITY(1,1), 
 [SSN] [char](11) COLLATE Latin1_General_BIN2 
 ENCRYPTED WITH (ENCRYPTION_TYPE = DETERMINISTIC, 
 ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256', 
 COLUMN_ENCRYPTION_KEY = CEK1) NOT NULL,
 [FirstName] [nvarchar](50) NULL,
 [LastName] [nvarchar](50) NULL, 
 [BirthDate] [date] 
 ENCRYPTED WITH (ENCRYPTION_TYPE = RANDOMIZED, 
 ALGORITHM = 'AEAD_AES_256_CBC_HMAC_SHA_256', 
 COLUMN_ENCRYPTION_KEY = CEK1) NOT NULL
 PRIMARY KEY CLUSTERED ([PatientId] ASC) ON [PRIMARY])
 GO

データの挿入の例

この例では、Patients テーブルに列を挿入します。次の点に注意してください。

このサンプルコードの暗号化に固有のものは何もありません。 .NET Framework Data Provider for SQL Server は、暗号化された列をターゲットとする paramSSN および paramBirthdate パラメーターを自動的に検出し、暗号化します。これにより、アプリケーションに対して暗号化が透過的に実行されます。
暗号化された列を含め、データベース列に挿入された値は、 SqlParameter オブジェクトとして渡されます。 SqlParameter の使用は、暗号化されていない列に値を送信する場合は省略可能ですが (ただし、SQL インジェクションを防ぐのに役立つので、強くお勧めします)、暗号化された列をターゲットとする値に対しては必須です。 SSN 列または BirthDate 列に挿入された値が、クエリステートメントに埋め込まれているリテラルとして渡された場合、クエリは失敗します。これは、.NET Framework Data Provider for SQL Server が、暗号化されたターゲットの列の値を決定できず、値を暗号化できないためです。その結果、サーバーはこれらの値を、暗号化された列と互換性がないと見なして拒否します。
SSN 列をターゲットとするパラメーターのデータ型は、ANSI (非 Unicode) 文字列に設定され、char/varchar SQL Server データ型にマップされます。パラメーターの型が Unicode 文字列 (String) に設定された場合、これらは nchar/nvarchar にマップされ、クエリは失敗します。これは、暗号化された nchar/nvarchar 値から暗号化された char/varchar 値への変換が、Always Encrypted でサポートされていないためです。データ型のマッピングについては、「 SQL Server データ型のマッピング」を参照してください。
BirthDate 列に挿入されるパラメーターのデータ型は、 SqlParameter.DbType プロパティの使用時に適用される SQL Server データ型への .NET 型の暗黙的なマッピングに依存することなく、 SqlParameter.SqlDbType プロパティを使用してターゲット SQL Server データ型に明示的に設定されます。既定では、 DateTime 構造体は datetime の SQL Server データ型にマップされます。 BirthDate 列のデータ型は date であり、暗号化された datetime 値から暗号化された date 値への変換は Always Encrypted でサポートされていないので、既定のマッピングを使用するとエラーになります。

string connectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true; Column Encryption Setting=enabled";
using (SqlConnection connection = new SqlConnection(strbldr.ConnectionString))
{
   using (SqlCommand cmd = connection.CreateCommand())
   {
      cmd.CommandText = @"INSERT INTO [dbo].[Patients] ([SSN], [FirstName], [LastName], [BirthDate]) VALUES (@SSN, @FirstName, @LastName, @BirthDate);";

      SqlParameter paramSSN = cmd.CreateParameter();
      paramSSN.ParameterName = @"@SSN";
      paramSSN.DbType = DbType.AnsiStringFixedLength;
      paramSSN.Direction = ParameterDirection.Input;
      paramSSN.Value = "795-73-9838";
      paramSSN.Size = 11;
      cmd.Parameters.Add(paramSSN);

      SqlParameter paramFirstName = cmd.CreateParameter();
      paramFirstName.ParameterName = @"@FirstName";
      paramFirstName.DbType = DbType.String;
      paramFirstName.Direction = ParameterDirection.Input;
      paramFirstName.Value = "Catherine";
      paramFirstName.Size = 50;
      cmd.Parameters.Add(paramFirstName);

      SqlParameter paramLastName = cmd.CreateParameter();
      paramLastName.ParameterName = @"@LastName";
      paramLastName.DbType = DbType.String;
      paramLastName.Direction = ParameterDirection.Input;
      paramLastName.Value = "Abel";
      paramLastName.Size = 50;
      cmd.Parameters.Add(paramLastName);

      SqlParameter paramBirthdate = cmd.CreateParameter();
      paramBirthdate.ParameterName = @"@BirthDate";
      paramBirthdate.SqlDbType = SqlDbType.Date;
      paramBirthdate.Direction = ParameterDirection.Input;
      paramBirthdate.Value = new DateTime(1996, 09, 10);
      cmd.Parameters.Add(paramBirthdate);

      cmd.ExecuteNonQuery();
   } 
}

プレーンテキストデータの取得の例

次の例は、暗号化された値に基づいてデータをフィルター処理し、暗号化された列からプレーンテキストデータを取得する方法を示しています。次の点に注意してください。

SSN 列に対してフィルター処理するために WHERE 句で使用される値は、.NET Framework Data Provider for SQL Server がデータベースに送信する前に透過的に暗号化できるよう、SqlParameter を使用して渡す必要があります。
.NET Framework Data Provider for SQL Server は、SSN 列と BirthDate 列から取得されたデータを透過的に暗号化解除するので、プログラムで印刷される値はすべてプレーンテキストになります。

Note

決定論的暗号化を使用して列が暗号化される場合、クエリは列に対して等価比較を実行できます。詳しくは、「明確な暗号化またはランダム化された暗号化の選択」をご覧ください。

string connectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true; Column Encryption Setting=enabled";
    
using (SqlConnection connection = new SqlConnection(strbldr.ConnectionString))
 {
    using (SqlCommand cmd = connection.CreateCommand())
 {

 cmd.CommandText = @"SELECT [SSN], [FirstName], [LastName], [BirthDate] FROM [dbo].[Patients] WHERE SSN=@SSN";
 SqlParameter paramSSN = cmd.CreateParameter();
 paramSSN.ParameterName = @"@SSN";
 paramSSN.DbType = DbType.AnsiStringFixedLength;
 paramSSN.Direction = ParameterDirection.Input;
 paramSSN.Value = "795-73-9838";
 paramSSN.Size = 11;
 cmd.Parameters.Add(paramSSN);
 using (SqlDataReader reader = cmd.ExecuteReader())
 {
   if (reader.HasRows)
 {
 while (reader.Read())
 {
    Console.WriteLine(@"{0}, {1}, {2}, {3}", reader[0], reader[1], reader[2], ((DateTime)reader[3]).ToShortDateString());
 }

暗号化されたデータの取得の例

Always Encrypted が有効になっていない場合でも、暗号化された列をターゲットとするパラメーターをクエリが含んでいなければ、クエリでは、暗号化された列からデータを取得できます。

次の例は、暗号化された列から暗号化されたバイナリデータを取得する方法を示しています。次の点に注意してください。

接続文字列で Always Encrypted が有効になっていないので、クエリは、SSN と BirthDate の暗号化された値がバイト配列として返されます (プログラムによって値が文字列に変換されます)。
Always Encrypted が無効の状態で、暗号化された列からデータを取得するクエリは、暗号化された列をターゲットとするパラメーターがない場合に限り、パラメーターを含むことができます。上記のクエリでは、データベースで暗号化されていない LastName によるフィルター処理が行われます。クエリが SSN または BirthDate によってフィルター処理を行った場合、クエリは失敗します。

string connectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true";
                
using (SqlConnection connection = new SqlConnection(connectionString))
{
   connection.Open();
   using (SqlCommand cmd = connection.CreateCommand())
   {
      cmd.CommandText = @"SELECT [SSN], [FirstName], [LastName], [BirthDate] FROM [dbo].[Patients] WHERE [LastName]=@LastName";
      SqlParameter paramLastName = cmd.CreateParameter();
      paramLastName.ParameterName = @"@LastName";
      paramLastName.DbType = DbType.String;
      paramLastName.Direction = ParameterDirection.Input;
      paramLastName.Value = "Abel";
      paramLastName.Size = 50;
      cmd.Parameters.Add(paramLastName);
      using (SqlDataReader reader = cmd.ExecuteReader())
      {
         if (reader.HasRows)
         {
            while (reader.Read())
         {
         Console.WriteLine(@"{0}, {1}, {2}, {3}", BitConverter.ToString((byte[])reader[0]), reader[1], reader[2], BitConverter.ToString((byte[])reader[3]));
      }
   }
}

暗号化された列をクエリする際の一般的な問題を回避する

ここでは、暗号化された列を .NET アプリケーションからクエリする際のエラーの一般的なカテゴリと、その対処方法に関するいくつかのガイドラインを示します。

サポートされていないデータ型の変換エラー

Always Encrypted では、暗号化されたデータ型に対するいくつかの変換がサポートされています。サポートされている型の変換の詳細な一覧については、「Always Encrypted」をご覧ください。データ型の変換エラーを回避するには、次の操作を行います。

パラメーターの SQL Server データ型が、ターゲット列の型とまったく同じになるか、またはパラメーターの SQL Server データ型から列のターゲット型への変換がサポートされるように、暗号化された列をターゲットとするパラメーターの型を設定する。 SqlParameter.SqlDbType プロパティを使用して、特定の SQL Server データ型への .NET データ型の目的のマッピングを適用できます。
10 進数と数値の SQL Server データ型の列をターゲットとするパラメーターの有効桁数と小数点以下桁数が、ターゲット列に対して構成された有効桁数と小数点以下桁数と同じであることを確認する。
ターゲット列の値を変更するクエリで、datetime2、datetimeoffset、または time の SQL Server データ型の列をターゲットとするパラメーターの有効桁数が、ターゲット列の有効桁数以下であることを確認する。

暗号化された値の代わりにプレーンテキストを渡すことによるエラー

暗号化された列をターゲットとするすべての値は、アプリケーションの内部で暗号化される必要があります。暗号化された列でプレーンテキスト値を挿入/変更したり、この値によってフィルター処理を行おうとすると、次のようなエラーになります。

System.Data.SqlClient.SqlException (0x80131904): Operand type clash: varchar is incompatible with varchar(8000) encrypted with (encryption_type = 'DETERMINISTIC', encryption_algorithm_name = 'AEAD_AES_256_CBC_HMAC_SHA_256', column_encryption_key_name = 'CEK_Auto1', column_encryption_key_database_name = 'Clinic') collation_name = 'SQL_Latin1_General_CP1_CI_AS'

このようなエラーを防ぐには、次のことを確認してください。

Always Encrypted が、暗号化された列をターゲットとするアプリケーションクエリに対して有効になっている (接続文字列で、または特定のクエリの SqlCommand オブジェクトで)。
SqlParameter を使用して、暗号化された列をターゲットとするデータを送信すること。次の例は、SqlParameter オブジェクト内のリテラルを渡す代わりに、暗号化された列 (SSN) でリテラル/定数によって不正なフィルター処理を行うクエリを示しています。

using (SqlCommand cmd = connection.CreateCommand())
{
   cmd.CommandText = @"SELECT [SSN], [FirstName], [LastName], [BirthDate] FROM [dbo].[Patients] WHERE SSN='795-73-9838'";
cmd.ExecuteNonQuery();
}

列マスターキーストアを操作する

パラメーター値を暗号化するか、クエリ結果内のデータを暗号化解除するために、.NET Framework Data Provider for SQL Server は、ターゲット列に対して構成された列暗号化キーを取得する必要があります。列暗号化キーは、データベースのメタデータに暗号化された形式で格納されています。各列暗号化キーには、列暗号化キーの暗号化に使用された対応する列マスターキーが含まれます。データベースのメタデータには、列マスターキーは格納されず、特定の列マスターキーとキーストア内のキーの場所を含む、キーストアに関する情報のみが含まれます。

列暗号化キーのプレーンテキスト値を取得するために、.NET Framework Data Provider for SQL Server は、まず列暗号化キーとその対応する列マスターキーの両方に関するメタデータを取得してから、メタデータ内の情報を使用して、列マスターキーを含むキーストアと交信するとともに、暗号化された列暗号化キーを暗号化解除します。 .NET Framework Data Provider for SQL Server は、SqlColumnEncryptionKeyStoreProvider クラスから派生したクラスのインスタンスである列マスターキーストアプロバイダーを使用して、キーストアと交信します。

列暗号化キーを取得するプロセスは次のとおりです。

クエリで Always Encrypted が有効になっている場合、.NET Framework Data Provider for SQL Server は透過的に sys.sp_describe_parameter_encryption を呼び出し、暗号化された列をターゲットとするパラメーターの暗号化メタデータを取得します (クエリにパラメーターがある場合)。クエリ結果に含まれる暗号化されたデータの場合、SQL Server は自動的に暗号化メタデータをアタッチします。列マスターキーに関する情報には、以下のものが含まれます。
- 列マスターキーを含むキーストアをカプセル化する、キーストアプロバイダーの名前。
- キーストア内の列マスターキーの場所を指定するキーパス。
列暗号化キーに関する情報には、以下のものが含まれます。
- 列暗号化キーの暗号化された値。
- 列暗号化キーの暗号化に使用されたアルゴリズムの名前。
.NET Framework Data Provider for SQL Server は、列マスターキーストアプロバイダーの名前を使用して、内部データ構造でプロバイダーオブジェクト (SqlColumnEncryptionKeyStoreProvider クラスから派生したクラスのインスタンス) を検索します。
列暗号化キーを復号化するために、.NET Framework Data Provider for SQL Server は SqlColumnEncryptionKeyStoreProvider.DecryptColumnEncryptionKey メソッドを呼び出します。その場合、暗号化された列暗号化キーの生成に使用される、列マスターキーパス、列暗号化キーの暗号化された値と暗号化アルゴリズムの名前を渡します。

組み込み列マスターキーストアプロバイダーを使用する

.NET Framework Data Provider for SQL Server には、次の組み込み列マスターキーストアプロバイダーが付属しており、これらは特定のプロバイダー名 (プロバイダーの検索に使用) で事前に登録されています。

クラス	説明	プロバイダー (検索) 名
SqlColumnEncryptionCertificateStoreProvider クラス	Windows 証明書ストアのプロバイダー。	MSSQL_CERTIFICATE_STORE
SqlColumnEncryptionCngProvider クラス注: このプロバイダーは、.NET Framework 4.6.1 以降のバージョンで利用可能です。	Microsoft Cryptography API:Next Generation (CNG) API をサポートするキーストアのプロバイダー。通常、このタイプのストアは、デジタルキーを保護および管理し、暗号化処理を提供する物理デバイスである、ハードウェアセキュリティモジュールです。	MSSQL_CNG_STORE
SqlColumnEncryptionCspProvider クラス注: このプロバイダーは、.NET Framework 4.6.1 以降のバージョンで利用可能です。	Microsoft Cryptography API (CAPI)をサポートするキーストアのプロバイダー。通常、このタイプのストアは、デジタルキーを保護および管理し、暗号化処理を提供する物理デバイスである、ハードウェアセキュリティモジュールです。	MSSQL_CSP_PROVIDER

これらのプロバイダーを使用するために、アプリケーションコードを変更する必要はありませんが、次の詳細にご注意ください。

ユーザー (またはデータベース管理者) は、列マスターキーのメタデータで構成されているプロバイダー名が正しいこと、および列マスターキーパスが、特定のプロバイダーに対して有効なキーパス形式に準拠していることを確認する必要があります。 CREATE COLUMN MASTER KEY (Transact-SQL) ステートメントを発行する際に有効なプロバイダー名とキーパスを自動的に生成する、SQL Server Management Studio などのツールを使用してキーを構成することをお勧めします。詳細については、「 SQL Server Management Studio を使用した Always Encrypted の構成」および「 PowerShell を使用した Always Encrypted の構成」を参照してください。
アプリケーションがキーストア内のキーにアクセスできることを確認します。これには、キーストアに応じてキーまたはキーストアへのアクセスをアプリケーションに許可したり、その他のキーストア固有の構成手順を実行するプロセスが含まれる場合があります。たとえば、CNG または CAPI (ハードウェアセキュリティモジュールなど) を実装するキーストアにアクセスするには、ストアに対して CNG または CAPI を実装するライブラリがアプリケーションコンピューターにインストールされていることを確認する必要があります。詳しくは、「Always Encrypted の列マスターキーを作成して保存する」をご覧ください。

Azure Key Vault プロバイダーを使用する

Azure Key Vault は、特にアプリケーションが Azure でホストされている場合、Always Encrypted の列マスターキーの格納と管理に便利なオプションです。 .NET Framework Data Provider for SQL Server には、Azure Key Vault の組み込み列マスターキーストアプロバイダーは含まれていませんが、アプリケーションと容易に統合できる NuGet パッケージとして使用できます。詳細については、次の情報を参照してください。

カスタム列マスターキーストアプロバイダーを実装する

既存のプロバイダーでサポートされていないキーストアに列マスターキーを格納する場合は、SqlColumnEncryptionCngProvider クラスを拡張し、SqlConnection.RegisterColumnEncryptionKeyStoreProviders メソッドでプロバイダーを登録すると、カスタムプロバイダーを実装できます。

public class MyCustomKeyStoreProvider : SqlColumnEncryptionKeyStoreProvider
    {
        public override byte[] EncryptColumnEncryptionKey(string masterKeyPath, string encryptionAlgorithm, byte[] columnEncryptionKey)
        {
            // Logic for encrypting a column encrypted key.
        }
        public override byte[] DecryptColumnEncryptionKey(string masterKeyPath, string encryptionAlgorithm, byte[] EncryptedColumnEncryptionKey)
        {
            // Logic for decrypting a column encrypted key.
        }
    }  
    class Program
    {
        static void Main(string[] args)
        {
            Dictionary\<string, SqlColumnEncryptionKeyStoreProvider> providers =
               new Dictionary\<string, SqlColumnEncryptionKeyStoreProvider>();
            providers.Add("MY_CUSTOM_STORE", customProvider);
            SqlConnection.RegisterColumnEncryptionKeyStoreProviders(providers);
            providers.Add(SqlColumnEncryptionCertificateStoreProvider.ProviderName, customProvider);
            SqlConnection.RegisterColumnEncryptionKeyStoreProviders(providers); 
	   // ...
        }

    }

プログラムによるキーのプロビジョニングに列マスターキーストアプロバイダーを使用する

.NET Framework Data Provider for SQL Server は、暗号化された列にアクセスする際に、列暗号化キーを暗号化解除するための適切な列マスターキーストアプロバイダーを透過的に検索して呼び出します。一般的に、通常のアプリケーションコードは列マスターキーストアプロバイダーを直接呼び出しません。ただし、プロバイダーを明示的にインスタンス化して呼び出し、プログラムを使用して Always Encrypted キーをプロビジョニングおよび管理することができます。これにより、(たとえば、一部の列マスターキーの回転として) 暗号化された列暗号化キーを生成したり、列暗号化キーを暗号化解除することができます。詳しくは、「Always Encrypted のキー管理の概要」をご覧ください。カスタムキーストアプロバイダーを使用する場合に限り、独自のキー管理ツールの実装が必要になることがあります。組み込みのプロバイダーが存在するキーストア、または Azure Key Vault に格納されたキーを使用する場合は、SQL Server Management Studio や PowerShell などの既存のツールを使用してキーを管理およびプロビジョニングすることができます。次の例は、列暗号化キーを生成し、 SqlColumnEncryptionCertificateStoreProvider クラスを使用して証明書でキーを暗号化する方法を示しています。

using System.Security.Cryptography;
static void Main(string[] args)
{
    byte[] EncryptedColumnEncryptionKey = GetEncryptedColumnEncryptonKey(); 
    Console.WriteLine("0x" + BitConverter.ToString(EncryptedColumnEncryptionKey).Replace("-", "")); 
    Console.ReadKey();
}

static byte[]  GetEncryptedColumnEncryptonKey()
{
    int cekLength = 32;
    String certificateStoreLocation = "CurrentUser";
    String certificateThumbprint = "698C7F8E21B2158E9AED4978ADB147CF66574180";
    // Generate the plaintext column encryption key.
    byte[] columnEncryptionKey = new byte[cekLength];
    RNGCryptoServiceProvider rngCsp = new RNGCryptoServiceProvider();
    rngCsp.GetBytes(columnEncryptionKey);

    // Encrypt the column encryption key with a certificate.
    string keyPath = String.Format(@"{0}/My/{1}", certificateStoreLocation, certificateThumbprint);
    SqlColumnEncryptionCertificateStoreProvider provider = new SqlColumnEncryptionCertificateStoreProvider();
    return provider.EncryptColumnEncryptionKey(keyPath, @"RSA_OAEP", columnEncryptionKey); 
}

Always Encrypted のパフォーマンスの影響を制御する

Always Encrypted はクライアント側暗号化テクノロジであるため、ほとんどのパフォーマンスオーバーヘッドは、データベースではなくクライアント側で発生します。暗号化および暗号化解除の操作のコストとは別に、クライアント側のパフォーマンスオーバーヘッドのその他の原因を次に示します。

クエリパラメーターのメタデータを取得するためのデータベースへの追加のラウンドトリップ。
列マスターキーにアクセスするための列マスターキーストアの呼び出し。

このセクションでは、.NET Framework Provider for SQL Server の組み込みのパフォーマンス最適化、および上記の 2 つの要因によるパフォーマンスへの影響を制御する方法について説明します。

クエリパラメーターのメタデータを取得するためのラウンドトリップを制御する

既定では、接続に対して Always Encrypted が有効になっている場合、.NET Framework Data Provider for SQL Server は、各パラメーター化クエリに対して sys.sp_describe_parameter_encryption を呼び出し、クエリステートメント (パラメーター値を除く) を SQL Server に渡します。 sys.sp_describe_parameter_encryption はクエリステートメントを分析して、パラメーターを暗号化する必要があるかどうかを判断し、必要がある場合は、これらの各パラメーターに対して暗号化関連の情報を返します。この情報により、.NET Framework Data Provider for SQL Server はパラメーター値を暗号化できます。上記の動作により、クライアントアプリケーションに対する高度な透明性が確保されます。 SqlParameter オブジェクトで、暗号化された列をターゲットとする値が .NET Framework Data Provider for SQL Server に渡される限り、アプリケーション (およびアプリケーション開発者) は、暗号化された列にどのクエリがアクセスするかを認識する必要はありません。

クエリメタデータキャッシュ

.NET Framework 4.6.2 以降では、.NET Framework Data Provider for SQL Server はクエリステートメントごとに sys.sp_describe_parameter_encryption の結果をキャッシュします。したがって、同じクエリステートメントが複数回実行される場合、ドライバーは sys.sp_describe_parameter_encryption を 1 回だけ呼び出します。クエリステートメントの暗号化メタデータキャッシュにより、データベースからメタデータをフェッチする場合のパフォーマンスコストが大幅に削減されます。キャッシュは既定で有効になっています。 SqlConnection.ColumnEncryptionQueryMetadataCacheEnabled プロパティを false に設定して、パラメーターメタデータキャッシュを無効にできますが、以下に示すようなまれなケースを除き、無効にすることはお勧めできません。

データベースに s1 と s2 という 2 つの異なるスキーマがあるとします。各スキーマには、t という同じ名前のテーブルが含まれています。 s1.t と s2.t の各テーブルの定義は同じですが、暗号化関連のプロパティは異なります。つまり、s1.t の c という名前の列は暗号化されませんが、s2.t では暗号化されます。データベースには u1 と u2 という 2 人のユーザーがいます。 u1 ユーザーの既定のスキーマは s1 です。 u2 の既定のスキーマは s2 です。 .NET アプリケーションによってデータベースへの 2 つの接続が開かれ、一方の接続では u1 ユーザーが借用され、もう一方の接続では u2 ユーザーが借用されます。アプリケーションにより、ユーザー u1 の接続経由で c 列をターゲットとするパラメーターを含むクエリが送信されます (クエリではスキーマが指定されないため、既定のユーザー設定とみなされます)。次に、アプリケーションで、u2 ユーザーの接続経由で同じクエリが送信されます。クエリメタデータキャッシュが有効になっている場合は、最初のクエリの後で、c 列 (クエリパラメーターのターゲット) が暗号化されていないことを示すメタデータがキャッシュに格納されます。 2 番目のクエリのクエリステートメントが同じであるため、キャッシュに格納されている情報が使用されます。その結果、ドライバーにより、パラメーターが暗号化されずにクエリが送信されて (ターゲット列 s2.t.c は暗号化対象であるため、この動作は正しくありません)、サーバーにパラメーターのプレーンテキスト値がリークします。サーバーはその非互換性を検出し、ドライバーに強制的にキャッシュを更新させるため、アプリケーションはパラメーター値が正しく暗号化されたクエリを透過的に再送します。このような場合は、キャッシュを無効にして、サーバーへの機微な値のリークを防ぐ必要があります。

クエリレベルで Always Encrypted を設定する

パラメーター化クエリに対して暗号化メタデータを取得することによるパフォーマンスへの影響を制御するには、Always Encrypted を接続に対して設定する代わりに、個々のクエリに対して有効にします。これにより、暗号化された列をターゲットとするパラメーターを含むことがわかっているクエリに対してのみ、 sys.sp_describe_parameter_encryption が呼び出されるように設定できます。ただし、これにより、暗号化の透明度が損なわれることに注意してください。データベース列の暗号化プロパティを変更する場合は、スキーマの変更に合わせてアプリケーションコードの変更が必要になる可能性があります。

Note

クエリレベルで Always Encrypted を設定すると、パラメーター暗号化メタデータキャッシュを実装する、.NET 4.6.2 以降のバージョンにおけるパフォーマンスの利点が限られてしまいます。

個々のクエリの Always Encrypｔed 動作を制御するには、 SqlCommand および SqlCommandColumnEncryptionSettingのこのコンストラクターを使用する必要があります。有用なガイドラインを次に示します。

クライアントがデータベース接続を介して送信するほとんどのクエリが、暗号化された列にアクセスする場合:
- Column Encryption Setting 接続文字列キーワードを [有効] に設定します。
- 暗号化された列にアクセスしない個々のクエリに対して、SqlCommandColumnEncryptionSetting.Disabled を設定します。これにより、sys.sp_describe_parameter_encryption の呼び出しと、結果セット内の値を暗号化解除しようとする試みの両方が無効になります。
- 暗号化を必要とするパラメーターを含まないが、暗号化された列からデータを取得する個々のクエリに対して、SqlCommandColumnEncryptionSetting.ResultSet を設定します。これにより、sys.sp_describe_parameter_encryption の呼び出しと、パラメーターの暗号化が無効になります。クエリは、暗号化列の結果を暗号化解除できます。
クライアントアプリケーションがデータベース接続を介して送信するほとんどのクエリが、暗号化された列にアクセスしない場合:
- Column Encryption Setting 接続文字列キーワードを [無効] に設定します。
- 暗号化を必要とするパラメーターを含む個々のクエリに対して、 SqlCommandColumnEncryptionSetting.Enabled を設定します。これにより、sys.sp_describe_parameter_encryption の呼び出しと、暗号化された列から取得されたクエリ結果の暗号化解除の両方が有効になります。
- 暗号化を必要とするパラメーターを含まないが、暗号化された列からデータを取得するクエリに対して、 SqlCommandColumnEncryptionSetting.ResultSet を設定します。これにより、sys.sp_describe_parameter_encryption の呼び出しと、パラメーターの暗号化が無効になります。クエリは、暗号化列の結果を暗号化解除できます。

次の例では、データベース接続に対して Always Encrypted が無効になっています。アプリケーションが発行するクエリに、暗号化されていない LastName 列をターゲットとするパラメーターが含まれています。このクエリは、どちらも暗号化されている SSN 列と BirthDate 列からデータを取得します。このような場合、暗号化メタデータを取得するために sys.sp_describe_parameter_encryption を呼び出す必要はありません。ただし、アプリケーションが 2 つの暗号化された列からプレーンテキスト値を受け取ることができるよう、クエリ結果の暗号化解除を有効にする必要があります。これを確実に行うために、SqlCommandColumnEncryptionSetting.ResultSet 設定が使用されます。

string connectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true";
using (SqlConnection connection = new SqlConnection(connectionString))
{
    connection.Open();
    using (SqlCommand cmd = new SqlCommand(@"SELECT [SSN], [FirstName], [LastName], [BirthDate] FROM [dbo].[Patients] WHERE [LastName]=@LastName",
connection, null, SqlCommandColumnEncryptionSetting.ResultSetOnly))
    {
        SqlParameter paramLastName = cmd.CreateParameter();
        paramLastName.ParameterName = @"@LastName";
        paramLastName.DbType = DbType.String;
        paramLastName.Direction = ParameterDirection.Input;
        paramLastName.Value = "Abel";
        paramLastName.Size = 50;
        cmd.Parameters.Add(paramLastName);
        using (SqlDataReader reader = cmd.ExecuteReader())
            {
               if (reader.HasRows)
               {
                  while (reader.Read())
                  {
                     Console.WriteLine(@"{0}, {1}, {2}, {3}", reader[0], reader[1], reader[2], ((DateTime)reader[3]).ToShortDateString());
                  }
               }
            }
  } 
}

列暗号化キーのキャッシュ

列暗号化キーを暗号化解除するための列マスターキーストアの呼び出し回数を減らすために、.NET Framework Data Provider for SQL Server は、プレーンテキストの列暗号化キーをメモリにキャッシュします。暗号化された列暗号化キー値をデータベースメタデータから受け取った後、ドライバーは、暗号化されたキー値に対応するプレーンテキストの列暗号化キーをまず見つけようとします。ドライバーは、暗号化された列の暗号化キー値がキャッシュ内に見つからない場合にのみ、列マスターキーを含むキーストアを呼び出します。

Note

.NET Framework 4.6 および 4.6.1 では、キャッシュ内の列暗号化キーのエントリは削除されません。つまり、暗号化された特定の列暗号化キーでは、ドライバーはアプリケーションの有効期間中に 1 回だけキーストアと交信します。

.NET Framework 4.6.2 以降では、セキュリティ上の理由から構成可能な有効期間後にキャッシュエントリが削除されます。既定の有効期間の値は 2 時間です。アプリケーションで列暗号化キーをプレーンテキストでキャッシュできる期間について、より厳密なセキュリティ要件がある場合は、 SqlConnection.ColumnEncryptionKeyCacheTtl プロパティを使用して変更できます。

侵害された SQL Server の追加保護を有効にする

既定では、 .NET Framework Data Provider for SQL Server は、データベースの暗号化対象の列と暗号化の方法に関するメタデータを提供する場合にデータベースシステム (SQL Server または Azure SQL データベース) に依存します。暗号化メタデータを使用することで、.NET Framework Data Provider for SQL Server はクエリパラメーターを暗号化し、アプリケーションからの入力なしでクエリ結果を復号化できます。これにより、アプリケーションで必要な変更の数が大幅に削減されます。ただし、SQL Server プロセスが侵害され、SQL Server が .NET Framework Data Provider for SQL Server に送信したメタデータを攻撃者が改ざんした場合、その攻撃者は機密情報を盗める可能性があります。このセクションでは、透明度は損なわれますが、この種の攻撃に対する追加の保護レベルを提供するのに役立つ API について説明します。

パラメーターの暗号化の強制適用

.NET Framework Data Provider for SQL Server は、SQL Server にパラメーター化されたクエリを送信する前に、 sys.sp_describe_parameter_encryptionを呼び出して、SQL Server にクエリステートメントを分析し、暗号化する必要があるクエリのパラメーターに関する情報を提供するよう要求します。実際にはデータベースの列が暗号化されていても、SQL Server インスタンスが侵害され、パラメーターが暗号化された列をターゲットにしていないことを示すメタデータが送信され、.NET Data Provider for SQL Server の誤動作を誘発する場合があります。その結果、.NET Framework Data Provider for SQL Server は、パラメーターの値を暗号化せずに、侵害された SQL Server インスタンスにプレーンテキストとして値を送信すします。

このような攻撃を防ぐために、アプリケーションはパラメーターの SqlParameter.ForceColumnEncryption プロパティを true に設定することができます。これにより、.NET Framework Data Provider for SQL Server は、サーバーから受信したメタデータにパラメーターを暗号化する必要がないと示されている場合に、例外をスローします。

SqlParameter.ForceColumnEncryption プロパティの使用はセキュリティの向上に役立ちますが、クライアントアプリケーションに対する暗号化の透明度が損なわれます。データベーススキーマを更新して暗号化された列のセットを変更する場合は、アプリケーションの変更も必要になることがあります。

以下に、 SqlParameter.ForceColumnEncryption プロパティ を使用して、社会保障番号がデータベースにプレーンテキストで送信されないようにする場合のコードサンプルを示します。

SqlCommand cmd = _sqlconn.CreateCommand(); 

// Use parameterized queries to access Always Encrypted data. 
 
cmd.CommandText = @"SELECT [SSN], [FirstName], [LastName], [BirthDate] FROM [dbo].[Patients] WHERE [SSN] = @SSN;"; 

SqlParameter paramSSN = cmd.CreateParameter(); 
paramSSN.ParameterName = @"@SSN"; 
paramSSN.DbType = DbType.AnsiStringFixedLength; 
paramSSN.Direction = ParameterDirection.Input; 
paramSSN.Value = ssn; 
paramSSN.Size = 11; 
paramSSN.ForceColumnEncryption = true; 
cmd.Parameters.Add(paramSSN); 

SqlDataReader reader = cmd.ExecuteReader();

信頼された列マスターキーパスの構成

SQL Server が返す、暗号化された列をターゲットとするクエリパラメーターと暗号化列から取得された結果に関する暗号化メタデータには、キーストアとキーストア内のキーの場所を識別する列マスターキーのキーパスが示されます。 SQL Server インスタンスは、侵害された場合、攻撃者によって制御される場所に .NET Framework Data Provider for SQL Server を誘導するキーパスを送信する可能性があります。これにより、アプリケーションの認証を必要とするキーストアの場合、キーストアの資格情報がリークされる可能性があります。

このような攻撃を防ぐために、アプリケーションは、 SqlConnection.ColumnEncryptionTrustedMasterKeyPaths プロパティを使用して、特定のサーバーに対して信頼されたキーパスの一覧を指定することができます。 .NET Framework Data Provider for SQL Server は、信頼されたキーパス一覧にないキーパスを受信した場合、例外をスローします。

信頼されたキーパスを設定するとアプリケーションのセキュリティが向上しますが、列マスターキーのローテーション (列マスターキーパスの変更) を行うたびに、アプリケーションのコードや構成を変更する必要があります。

次の例では、信頼された列マスターキーパスを構成する方法を示します。

// Configure trusted key paths to protect against fake key paths sent by a compromised SQL Server instance 
// First, create a list of trusted key paths for your server 
List<string> trustedKeyPathList = new List<string>(); 
trustedKeyPathList.Add("CurrentUser/my/425CFBB9DDDD081BB0061534CE6AB06CB5283F5Ea"); 

// Register the trusted key path list for your server 

SqlConnection.ColumnEncryptionTrustedMasterKeyPaths.Add(serverName, trustedKeyPathList);

SqlBulkCopy を使用して、暗号化されたデータをコピーする

SqlBulkCopy を使用して、データの暗号化解除を行うことなく、既に暗号化されて 1 つのテーブルに格納されているデータを別のテーブルにコピーできます。その手順を次に示します。

ターゲットテーブルの暗号化構成が、ソーステーブルの構成と同じであることを確認します。具体的には、両方のテーブルで同じ列が暗号化されており、同じ暗号化タイプおよび同じ暗号化キーを使用してこれらの列が暗号化されている必要があります。注: いずれかのターゲット列が、対応するソース列と異なる方法で暗号化されている場合、コピー操作の後でターゲットテーブル内のデータの暗号化を解除することはできません。データは破損します。
Always Encrypted を有効にせずに、ソーステーブルとターゲットテーブルへの両方のデータベース接続を構成します。
AllowEncryptedValueModifications オプションを設定します (「 SqlBulkCopyOptions」を参照)。注: データベースが破損する可能性があるので、AllowEncryptedValueModifications を指定する際には注意が必要です。これは、データが実際に暗号化されているかどうか、またはターゲット列と同じ暗号化のタイプ、アルゴリズム、およびキーを使用して正しく暗号化されているかどうかを、.NET Framework Data Provider for SQL Server がチェックしないためです。

.NET Framework 4.6.1 以降のバージョンでは、AllowEncryptedValueModifications オプションを使用できます。

次の例は、テーブル間でデータをコピーする方法を示しています。 SSN 列と BirthDate 列は暗号化されていると仮定します。

static public void CopyTablesUsingBulk(string sourceTable, string targetTable)
{
   string sourceConnectionString = "Data Source=server63; Initial Catalog=Clinic; Integrated Security=true";
   string targetConnectionString = "Data Source= server64; Initial Catalog=Clinic; Integrated Security=true";
   using (SqlConnection connSource = new SqlConnection(sourceConnectionString))
   {
      connSource.Open();
      using (SqlCommand cmd = new SqlCommand(string.Format("SELECT [PatientID], [SSN], [FirstName], [LastName], [BirthDate] FROM {0}", sourceTable), connSource))
      {
         using (SqlDataReader reader = cmd.ExecuteReader())
         {
            SqlBulkCopy copy = new SqlBulkCopy(targetConnectionString, SqlBulkCopyOptions.KeepIdentity | SqlBulkCopyOptions.AllowEncryptedValueModifications);
            copy.EnableStreaming = true;
            copy.DestinationTableName = targetTable;
            copy.WriteToServer(reader);
         }
      }
}

Always Encrypted API リファレンス

名前空間: System.Data.SqlClient

アセンブリ: System.Data (System.Data.dll)

名前	説明	導入された .NET バージョン
SqlColumnEncryptionCertificateStoreProvider クラス	Windows 証明書ストアのキーストアプロバイダー。	4.6
SqlColumnEncryptionCngProvider クラス	Microsoft Cryptography API: Next Generation (CNG) のキーストアプロバイダー。	4.6.1
SqlColumnEncryptionCspProvider クラス	Microsoft CAPI ベースの暗号化サービスプロバイダー (CSP) のキーストアプロバイダー。	4.6.1
SqlColumnEncryptionKeyStoreProvider クラス	キーストアプロバイダーの基本クラス。	4.6
SqlCommandColumnEncryptionSetting 列挙体	データベース接続の暗号化と暗号化解除を有効にするための設定。	4.6
SqlConnectionColumnEncryptionSetting 列挙体	個々のクエリの Always Encrypted の動作を制御するための設定。	4.6
SqlConnectionStringBuilder.ColumnEncryptionSetting プロパティ	接続文字列で、Always Encrypted を取得して設定します。	4.6
SqlConnection.ColumnEncryptionQueryMetadataCacheEnabled プロパティ	暗号化クエリメタデータキャッシュの有効化と無効化を行います。	4.6.2
SqlConnection.ColumnEncryptionKeyCacheTtl プロパティ	列暗号化キーキャッシュ内のエントリの有効期間の取得と設定を行います。	4.6.2
SqlConnection.ColumnEncryptionTrustedMasterKeyPaths プロパティ	データベースサーバーの信頼されたキーパスの一覧を設定できます。アプリケーションクエリの処理中に、一覧にないキーパスをドライバーが受け取った場合、クエリは失敗します。このプロパティを使用すると、セキュリティが侵害され、偽のキーパスを提供し、キーストアの資格情報漏洩につながるおそれがある SQL Server を含めたセキュリティ攻撃に対して、セキュリティ保護がさらに強化されます。	4.6
SqlConnection.RegisterColumnEncryptionKeyStoreProviders メソッド	カスタムキーストアプロバイダーを登録できます。これは、キーストアプロバイダー名をキーストアプロバイダー実装にマップするディクショナリです。	4.6
SqlCommand コンストラクター (String、SqlConnection、SqlTransaction、SqlCommandColumnEncryptionSetting)	個々のクエリの Always Encrypted の動作を制御できます。	4.6
SqlParameter.ForceColumnEncryption プロパティ	パラメーターの暗号化を強制的に適用します。パラメーターの暗号化が不要であることが SQL Server からドライバーに通知された場合、このパラメーターを使用するクエリは失敗します。攻撃を受けた SQL Server がクライアントに不正な暗号化メタデータを提供すると、データ漏えいが引き起こされる可能性がありますが、このプロパティにより、そのようなセキュリティ攻撃に対する保護が強化されます。	4.6
新しい接続文字列キーワード: `Column Encryption Setting=enabled`	接続に対して Always Encrypted 機能を有効または無効にします。	4.6

次の方法で共有

Always Encrypted と .NET Framework Data Provider for SQL Server を使用する

前提条件

アプリケーションクエリで Always Encrypted を有効にする

セキュリティで保護されたエンクレーブが設定された Always Encrypted を有効にする

暗号化された列のデータを取得および変更する

データの挿入の例

プレーンテキストデータの取得の例

暗号化されたデータの取得の例

暗号化された列をクエリする際の一般的な問題を回避する

サポートされていないデータ型の変換エラー

暗号化された値の代わりにプレーンテキストを渡すことによるエラー

列マスターキーストアを操作する

組み込み列マスターキーストアプロバイダーを使用する

Azure Key Vault プロバイダーを使用する

カスタム列マスターキーストアプロバイダーを実装する

プログラムによるキーのプロビジョニングに列マスターキーストアプロバイダーを使用する

Always Encrypted のパフォーマンスの影響を制御する

クエリパラメーターのメタデータを取得するためのラウンドトリップを制御する

クエリメタデータキャッシュ

クエリレベルで Always Encrypted を設定する

列暗号化キーのキャッシュ

侵害された SQL Server の追加保護を有効にする

パラメーターの暗号化の強制適用

信頼された列マスターキーパスの構成

SqlBulkCopy を使用して、暗号化されたデータをコピーする

Always Encrypted API リファレンス

関連項目

フィードバック

その他のリソース

次の方法で共有

Always Encrypted と .NET Framework Data Provider for SQL Server を使用する

前提条件

アプリケーション クエリで Always Encrypted を有効にする

セキュリティで保護されたエンクレーブが設定された Always Encrypted を有効にする

暗号化された列のデータを取得および変更する

データの挿入の例

プレーンテキスト データの取得の例

暗号化されたデータの取得の例

暗号化された列をクエリする際の一般的な問題を回避する

サポートされていないデータ型の変換エラー

暗号化された値の代わりにプレーンテキストを渡すことによるエラー

列マスター キー ストアを操作する

組み込み列マスター キー ストア プロバイダーを使用する

Azure Key Vault プロバイダーを使用する

カスタム列マスター キー ストア プロバイダーを実装する

プログラムによるキーのプロビジョニングに列マスター キー ストア プロバイダーを使用する

Always Encrypted のパフォーマンスの影響を制御する

クエリ パラメーターのメタデータを取得するためのラウンド トリップを制御する

クエリ メタデータ キャッシュ

クエリ レベルで Always Encrypted を設定する

列暗号化キーのキャッシュ

侵害された SQL Server の追加保護を有効にする

パラメーターの暗号化の強制適用

信頼された列マスター キー パスの構成

SqlBulkCopy を使用して、暗号化されたデータをコピーする

Always Encrypted API リファレンス

関連項目

フィードバック

その他のリソース

アプリケーションクエリで Always Encrypted を有効にする

プレーンテキストデータの取得の例

列マスターキーストアを操作する

組み込み列マスターキーストアプロバイダーを使用する

カスタム列マスターキーストアプロバイダーを実装する

プログラムによるキーのプロビジョニングに列マスターキーストアプロバイダーを使用する

クエリパラメーターのメタデータを取得するためのラウンドトリップを制御する

クエリメタデータキャッシュ

クエリレベルで Always Encrypted を設定する

信頼された列マスターキーパスの構成