Підготовка TDE: резервне копіювання ключа / сертифікату для відновлення

Я працюю в середовищі розробників, щоб краще зрозуміти TDEшифрування. У мене це працює разом із резервними копіями та відновленнями на іншому сервері. У мене було кілька запитань, я знаю, що мені потрібно створити резервну копію сертифіката відповідним приватним ключем.

USE master; 
GO 
BACKUP CERTIFICATE Test
TO FILE = 'C:\Test.cer'
WITH PRIVATE KEY
(FILE = 'C:\Test.pvk',
ENCRYPTION BY PASSWORD = 'Example12#')

Їх потрібно перемістити / відновити на новому сервері у разі відмови. Чи є ще щось, що мені потрібно створити резервну копію з вихідного сервера, що було б потрібно в разі необхідності відновлення на інший сервер?

Також якісь пропозиції щодо зберігання приватних ключів? На даний момент я думаю про те, щоб створити резервну копію сертифіката, приватного ключа та пароля в базі даних KeePass, яка резервна копія створена окремо і відтворена поза сайтом.

Однак це залишає питання, куди слід створити резервну копію приватного ключа KeePass?

Якщо ви хочете відновити на іншому сервері, ви повинні зробити це за допомогою сертифікатів, приватного ключа та резервних файлів резервної копії бази даних.

Коли сертифікат створюється в будь-якій базі даних SQL Server, він є частиною ієрархії шифрування . Сам сертифікат у головній базі даних містить лише відкритий ключ, який не потребує захисту, однак головна база даних також буде містити окремий, але пов'язаний з математикою приватний ключ, який потрібно захистити. Метод захисту приватного ключа полягає в шифруванні його за допомогою головного ключа бази даних, який ви створили в головній базі даних до створення сертифіката. Наступним шаром в ієрархії шифрування є те, що DMK шифрується за допомогою головного ключа служби. У системі є лише один SMK і він знаходиться в головній базі даних.

Незважаючи на те, що вам не потрібні DMK та SMK для відновлення зашифрованої резервної копії на іншому сервері, я б створив резервну копію цих двох ключів, так як це робить відновлення набагато гнучкішим.

Коли ви відновите сертифікат резервного шифрування в основній базі даних, те, що відбувається за кадром, полягає в тому, що приватний ключ зчитується з файлу, розшифровується за допомогою пароля, який ви вводите в команді відновлення, а потім шифрується за допомогою головного ключа бази даних та зберігається. Як відомо, приватний ключ із сертифіката потім може бути використаний для розшифрування ключа шифрування бази даних у файлі резервного копіювання та успішного відновлення бази даних.

У мене немає конкретних рекомендацій щодо зберігання сертифікатів та ключових файлів резервного копіювання, але вони повинні бути доступні вам і тим, хто робить відновлення після аварій у вашій організації.

У книзі Денні Черрі Захист SQL Server я знайшов найкращу практику безпеки для резервного копіювання сертифікатів:

• Запишіть резервні копії сертифікатів на два різних компакт-дисках
• Помістіть кожен компакт-диск у запечатаний та підписаний конверт
• Позначте конверт, для якої системи ці сертифікати
• Помістіть один компакт-диск в офісний сейф менеджера компанії
• Зберігайте другий компакт-диск CD в іншому захищеному місці