Когда мне нужно сделать резервную копию мастер-ключа?

Я читаю некоторую документацию и технический документ о прозрачном шифровании данных. В некоторых документах также упоминается резервное копирование главного ключа службы (для пояснения я не говорю о главном ключе базы данных). Я просто не совсем понимаю, почему это необходимо, потому что я смог выполнить резервное копирование / восстановление базы данных с шифрованием TDE с сервера A (резервное копирование) на сервер B (восстановление) без использования мастер-ключа службы.

В каком сценарии мне нужно восстановить мастер-ключ службы?

sql-server encryption transparent-data-encryption

— gsharp
источник

Вы уверены, что включили шифрование в своей базе данных? Кроме того, вы создали резервную копию базы данных после включения TDE?

— Томас Стрингер

Да. Мне понадобился сертификат и ключ, чтобы восстановить его на сервере B. (Я сделал резервную копию сертификата и ключа). Однако в BI создал новый мастер-ключ (не восстановленный на сервере A) и смог восстановить мою базу данных.

— gsharp

Если вы восстановили сертификат TDE и закрытый ключ на сервере B, он сможет расшифровать базу данных TDE. Можете ли вы указать на документ, где вы прочитали требование для SMK? Может быть, это что-то более нюансированное ...

— Ремус Русану

Я согласен с @RemusRusanu. Сертификат - это то, что управляет шифрованием. Что касается сервисного мастер-ключа, то это всего лишь общая лучшая административная практика, подтверждающая это (что-то, что должно было быть сделано изначально) для DR, я считаю.

— Томас Стрингер

@gsharp: это документ, как сделать резервную копию SMK. Меня заинтересовала документация, объясняющая, почему резервная копия SMK требуется при передаче зашифрованной БД TDE.

— Ремус Русану

Ответы:

Если вы говорите о главном ключе службы SQL, то в редких случаях вам действительно нужно его восстановить.

Я думаю о нескольких сценариях, где вам нужно восстановить SMK ...

Каким-то образом это испортилось.
Вы перестраиваете свой SQL-сервер и планируете восстановить из резервной копии каждую базу данных, включая системные базы данных. Обычно в этом случае вам также может не потребоваться восстановление SMK, если вы используете ту же учетную запись службы SQL и пароль.

В TDE вам не нужно восстанавливать SMK. Как все говорили, вам нужен только сертификат и закрытый ключ. Вам не нужно иметь один и тот же главный ключ базы данных, так как при создании сертификата из резервной копии он шифруется DMK конечного компьютера.

— Arijit
источник

Когда вы перемещаете базу данных TDE в новый экземпляр, вам необходимо убедиться, что соответствующий сертификат (или асимметричный ключ) также находится в masterбазе данных назначения. Если вы этого не сделаете, вы получите следующую ошибку:

Сообщение 33111, уровень 16, состояние 3, строка 2 Не удается найти сертификат сервера с отпечатком пальца '0xA085414434DB4A36B29 ..................'.

Это не служебный главный ключ, который нужно перемещать с резервной копией базы данных с поддержкой TDE, но это будет сертификат. Например, скажем, вы создали свой DEK (ключ шифрования базы данных) с сертификатом с masterименем MyTDECert . Без этого сертификата в целевом экземпляре вы не сможете восстановить свою базу данных.

— Томас Стрингер
источник

Да это понятно. Мой вопрос больше, почему есть необходимость (или для какой цели) сделать резервную копию главного ключа службы. См. Technet.microsoft.com/en-us/library/aa337561

— gsharp

-1

Один из случаев, когда вам необходимо выполнить резервное копирование и восстановление SMK, - это обновление топологии репликации.

— JYatesDBA
источник