对包中敏感数据的访问控制

适用于：SQL Server Azure 数据工厂中的 SSIS Integration Runtime

为了保护 Integration Services 包中的数据，可以设置保护级别，以帮助仅保护包中的敏感数据或包中的所有数据。 另外，可以采用密码或用户密钥对数据加密，或依靠数据库对数据进行加密。 另外，您对包所采用的保护级别不一定是静态的，而是在包的整个生命周期内可能变化。 通常，您可以在包开发阶段设置一个保护级别，在包部署阶段设置另一个保护级别。

定义敏感信息

在 Integration Services 包中，下列信息定义为“敏感” 信息：

• 连接字符串的密码部分。 但是，如果选择加密所有数据的选项，则整个连接字符串都将被视为敏感信息。

• 标记为敏感的任务生成的 XML 节点。 XML 节点的标记由 Integration Services 控制，用户无法更改。

• 标记为敏感的所有变量。 标记的变量由 Integration Services控制。

Integration Services 认为属性是否敏感，主要取决于 Integration Services 组件（连接管理器或任务）的开发人员是否将该属性指定为敏感。 用户不能向被视为敏感的属性列表添加属性，也不能从该列表删除属性。

加密

加密（包保护级别所使用的加密）是通过使用 Microsoft 数据保护 API (DPAPI) 来执行的，DPAPI 是 Cryptography API (CryptoAPI) 的一部分。

使用密码加密包的包保护级别还要求您提供密码。 如果将保护级别从不使用密码的级别更改为使用密码的级别，则系统将提示您输入密码。

另外，对于使用密码的保护级别， Integration Services 会使用 Triple DES 加密算法（其密钥长度为 192 位）， .NET Framework 类库 (FCL) 中提供该算法。

保护级别

下表介绍 Integration Services 提供的保护级别。 括号中的值是来自 DTSProtectionLevel 枚举的值。 在 SQL Server Data Tools (SSDT)中处理包时，这些值出现在用来配置包属性的“属性”窗口中。

保护级别设置和 SSISDB 目录

SSISDB 目录使用 ServerStorage 保护级别。 在向 Integration Services 服务器部署 Integration Services 项目时，该目录会自动对包数据和敏感值加密。 该目录还会在检索数据时自动解密数据。

若将项目（.ispac 文件）从 Integration Services 服务器导出到文件系统，该系统会将保护级别自动更改为 EncryptSensitiveWithUserKey。 如果使用 中的 “Integration Services 导入项目向导” SQL Server Data Tools (SSDT)导入项目， “属性” 窗口中的 ProtectionLevel 属性将显示值 EncryptSensitiveWithUserKey。

基于包的生命周期设置保护级别

在 SQL Server Data Tools (SSDT) 中初次开发 SQL Server Integration Services 包时，可以设置该包的保护级别。 以后当部署包时，在 Integration Services 中将包导入 SQL Server Management Studio或从中导出包时，或者在将包从 SQL Server Data Tools (SSDT) 复制到 SQL Server、 SSIS 包存储区或文件系统时，都可以更新包的保护级别。 例如，如果在计算机上使用某个用户密钥保护级别选项创建并保存包，则在将包提供给其他用户时，很可能需要更改保护级别，否则，他们将无法打开该包。

通常，您可以按下面列出的步骤更改保护级别：

1. 在部署期间，将包的保护级别保留为默认值 EncryptSensitiveWithUserKey。 此设置可以保证只有开发人员可以看到包中的敏感值。 或者，您可以考虑使用 EncryptAllWithUserKey或 DontSaveSensitive。

2. 部署包时，您需要将保护级别更改为不依靠开发人员用户密钥的保护级别。 因此，通常需要选择 EncryptSensitiveWithPassword或 EncryptAllWithPassword。 通过分配一个生产环境中运营团队也知道的临时强密码来加密包。

3. 在将包部署到生产环境后，运营团队可以通过分配一个只有他们自己知道的强密码来重新加密部署的包。 他们也可以通过选择 EncryptSensitiveWithUserKey 或 EncryptAllWithUserKey，并使用要运行包的帐户的本地凭据来加密部署的包。

设置或更改包的保护级别

若要控制对包内容以及其中包含的敏感值（如密码）的访问，请设置 ProtectionLevel 属性的值。 项目中所含的包需要具有与项目相同的保护级别才能生成项目。 如果更改项目的 ProtectionLevel 属性设置，需要为包手动更新该属性设置。

有关 Integration Services 中安全功能的概述，请参阅安全概览 (Integration Services)。

本主题中的过程介绍如何使用 SQL Server Data Tools (SSDT) 或 dtutil 命令提示实用工具来更改 ProtectionLevel 属性的值。

在 SQL Server Data Tools 中设置或更改包的保护级别

1. 在保护级别一节中查看 ProtectionLevel 属性的可用值，然后确定包的对应值。

2. 在 SQL Server Data Tools (SSDT)中，打开包含该包的 Integration Services 项目。

3. 在 SSIS 设计器中打开包。

4. 如果“属性”窗口未显示包的属性，请单击设计图面。

5. 在“属性”窗口中的 “安全性” 组，为 ProtectionLevel 属性选择相应的值。

   如果选择的保护级别需要密码，请输入密码作为 PackagePassword 属性的值。

6. 在 “文件” 菜单上，选择 “保存选定项” 以保存修改的包。

在命令提示符下设置或更改包的保护级别

1. 在保护级别一节中查看 ProtectionLevel 属性的可用值，然后确定包的对应值。

2. 在主题 dtutil Utility 中查看 Encrypt选项的映射，然后确定要用作所选 ProtectionLevel 属性的值的相应整数。

3. 打开命令提示符窗口。

4. 在命令提示符下，导航到您要为其设置 ProtectionLevel 属性的包所在的文件夹。

   下面步骤中所示的语法示例假设此文件夹是当前文件夹。

5. 使用与下列示例之一相类似的命令，设置或更改包的保护级别。

   • 下面的命令将文件系统中的单个包的 ProtectionLevel 属性设置为级别 2“使用密码加密敏感数据”，密码为“strongpassword”：

     dtutil.exe /file "C:\Package.dtsx" /encrypt file;"C:\Package.dtsx";2;strongpassword

   • 下面的命令将文件系统中特定文件夹内所有包的 ProtectionLevel 属性设置为级别 2“使用密码加密敏感数据”，密码为“strongpassword”：

     for %f in (*.dtsx) do dtutil.exe /file %f /encrypt file;%f;2;strongpassword

     如果您在批文件中使用类似的命令，则请输入文件占位符“%f”作为批文件中的“%%f”。

“包项目保护级别”对话框

可以使用 “包保护级别” 对话框更新包的保护级别。 保护级别决定保护包时所使用的方法、密码或用户密钥以及作用域。 可以保护所有数据，也可以只保护敏感数据。

若要了解包安全性的要求和选项，参阅安全概览 (Integration Services) 可能有所帮助。

选项

“包保护级别”
从列表中选择保护级别。

密码
如果使用“使用密码加密敏感数据”或“使用密码加密所有数据”保护级别，请键入密码。

重新键入密码
再次键入该密码。

“包密码”对话框

可以使用 “包密码” 对话框为使用密码加密的包提供包密码。 如果包使用 “使用密码加密敏感数据”或 “使用密码加密所有数据” 保护级别，则必须提供密码。

选项

密码
输入密码。

另请参阅

Integration Services (SSIS) 包
安全概览 (Integration Services)
dtutil 实用工具