Коли мені потрібно створити резервну копію головного сервісного ключа?

Я читаю деяку документацію та довідку про прозоре шифрування даних. Деяка документація згадує також резервне копіювання Service Master Key (для уточнення я не говорю про Master Key Database). Я просто не точно розумію, чому це необхідно, тому що мені вдалося створити резервну копію / відновлення бази даних за допомогою шифрування TDE з сервера A (резервне копіювання) на сервері B (відновлення) без використання жодного сервісного головного ключа.

У якому сценарії мені потрібно відновити Service Service Key?

sql-server encryption transparent-data-encryption

— gsharp
джерело

Ви впевнені, що ввімкнули шифрування у вашій базі даних? Також ви створили резервну копію бази даних після ввімкнення TDE?

— Томас Стрінгер

Так. Мені знадобився сертифікат і ключ, щоб відновити його на сервері B. (я зробив резервну копію сертифіката та ключа). Однак у BI створили новий головний ключ (не відновив сервер A) і змогли відновити мою базу даних.

— gsharp

Якщо ви відновили сертифікат TDE та приватний ключ на сервері B, він повинен мати можливість розшифрувати базу даних TDE. Чи можете ви вказати на документ, де ви прочитали вимогу до SMK? Можливо, є щось більш

— нюансове

Я згоден з @RemusRusanu. Сертифікат - це те, що керує шифруванням. Що стосується сервісу Master Key, я вважаю, що це просто загальна адміністративна найкраща практика - це те, що потрібно було зробити спочатку) для DR.

— Томас Стрінгер

@gsharp: це документи, як створити резервну копію SMK. Мене зацікавила документація, яка пояснює, чому потрібна резервна копія SMK при передачі зашифрованої БД TDE.

— Рем Русану

Відповіді:

Якщо ви говорите про головний ключ служби SQL, то рідкісний випадок, коли вам справді потрібно відновити його.

Я думаю про кілька сценаріїв, коли потрібно відновити SMK ...

Якось він зіпсувався.
Ви відновлюєте свій SQL-сервер і плануєте відновити кожну базу даних, включаючи бази даних із резервного копіювання. Зазвичай у цьому випадку вам також не знадобиться відновлювати SMK, якщо ви використовуєте той самий обліковий запис і пароль служби SQL.

У TDE вам не потрібно відновлювати SMK. Як усі казали, вам просто потрібен сертифікат і приватний ключ. Не потрібно мати той самий головний ключ бази даних, як і коли ви створюєте сертифікат із резервної копії, він шифрується DMK машини призначення.

— Арійіт
джерело

Коли ви переміщуєте базу даних TDE до нового примірника, вам потрібно переконатися, що належний сертифікат (або асиметричний ключ) також знаходиться в masterбазі даних призначення. Якщо цього не зробити, ви отримаєте таку помилку:

Msg 33111, рівень 16, стан 3, рядок 2 Неможливо знайти сертифікат сервера з відбитком пальців "0xA085414434DB4A36B29 ..................".

Це не головний сервісний ключ, який потрібно переміщувати із резервною копією бази даних, що підтримує TDE, але це буде сертифікат. Наприклад, скажіть, що ви створили свій DEK (ключ шифрування бази даних) із сертифікатом на masterім'я MyTDECert . Без цього сертифікату у вашому екземплярі призначення ви не зможете відновити свою базу даних.

— Томас Стрінгер
джерело

Так, це зрозуміло. Моє запитання більше, чому виникає необхідність (або з якою метою) для резервного копіювання головного ключа служби. Див technet.microsoft.com/en-us/library/aa337561

— gsharp

-1

Один з випадків, коли вам потрібно створити резервну копію та відновити SMK, - це коли ви оновлюєте топологію реплікації.

— JYatesDBA
джерело