Kapan saya perlu membuat cadangan Kunci Master Layanan?

Saya membaca beberapa dokumentasi dan whitepaper tentang Enkripsi Data Transparan. Beberapa dokumentasi menyebutkan untuk membuat cadangan Service Master Key juga (Untuk klarifikasi saya tidak berbicara tentang Database Master Key). Saya hanya tidak mengerti persis mengapa ini diperlukan, karena saya dapat membuat cadangan / memulihkan Database dengan Enkripsi TDE dari Server A (cadangan) ke Server B (memulihkan) tanpa menggunakan Kunci Master Layanan.

Dalam skenario apa saya perlu mengembalikan Kunci Master Layanan?

sql-server encryption transparent-data-encryption

— gsharp
sumber

Apakah Anda yakin Anda mengaktifkan enkripsi pada basis data Anda? Juga, apakah Anda membuat cadangan basis data setelah TDE diaktifkan?

— Thomas Stringer

Ya saya lakukan. Saya membutuhkan sertifikat dan kunci untuk memulihkannya di Server B. (Saya melakukan backup Sertifikat dan Kunci). Namun pada BI membuat Master Key baru (tidak dipulihkan dari Server A) dan dapat mengembalikan database saya.

— gsharp

Jika Anda mengembalikan sertifikat TDE dan kunci pribadi di server B, itu harus dapat mendekripsi basis data TDE. Bisakah Anda menunjukkan dokumen tempat Anda membaca persyaratan untuk SMK? Mungkin sesuatu yang lebih bernuansa ...

— Remus Rusanu

Saya setuju dengan @RemusRusanu. Sertifikat inilah yang mendorong enkripsi. Adapun Kunci Master Layanan, itu hanya praktik terbaik administrasi umum untuk mendukung itu (sesuatu yang seharusnya dilakukan pada awalnya) untuk DR, saya percaya.

— Thomas Stringer

@ gsharp: yang mendokumentasikan cara membuat cadangan SMK. Saya tertarik pada dokumentasi yang menjelaskan mengapa cadangan SMK diperlukan saat mentransfer DB terenkripsi TDE.

— Remus Rusanu

Jawaban:

Jika Anda berbicara tentang kunci master layanan SQL, maka ada kejadian langka di mana Anda benar-benar perlu mengembalikannya.

Saya sedang memikirkan beberapa skenario di mana Anda perlu mengembalikan SMK ...

Entah bagaimana itu rusak.
Anda sedang membangun kembali server SQL Anda dan berencana untuk memulihkan setiap basis data termasuk basis data sistem dari cadangan. Biasanya dalam kasus ini juga Anda mungkin tidak perlu mengembalikan SMK jika Anda menggunakan akun layanan dan kata sandi SQL yang sama.

Di TDE Anda tidak perlu mengembalikan SMK. Seperti yang dikatakan semua orang, Anda hanya perlu sertifikat dan kunci pribadi. Anda tidak perlu memiliki kunci master basis data yang sama, juga seperti ketika Anda membuat sertifikat dari cadangan itu akan dienkripsi oleh DMK mesin tujuan.

— Arijit
sumber

Saat Anda memindahkan basis data TDE ke instance baru, yang perlu Anda pastikan adalah bahwa sertifikat yang tepat (atau kunci asimetris) juga ada di masterbasis data tujuan . Jika Anda gagal melakukan ini, Anda akan menerima kesalahan berikut:

Msg 33111, Level 16, Negara 3, Jalur 2 Tidak dapat menemukan sertifikat server dengan cap jempol '0xA085414434DB4A36B29 ..................'.

Itu bukan Service Master Key yang perlu dipindahkan dengan cadangan basis data yang diaktifkan TDE, tetapi itu akan menjadi sertifikat. Misalnya, Anda membuat DEK (kunci enkripsi basis data) dengan sertifikat masterbernama MyTDECert . Tanpa sertifikat itu pada instance tujuan Anda, Anda tidak akan dapat memulihkan database Anda.

— Thomas Stringer
sumber

Ya itu jelas. Pertanyaan saya lebih lanjut mengapa ada kebutuhan (atau untuk tujuan apa) untuk membuat cadangan kunci master Layanan. Lihat technet.microsoft.com/en-us/library/aa337561

— gsharp

-1

Satu kasus di mana Anda perlu membuat cadangan dan memulihkan SMK adalah ketika Anda meningkatkan topologi replikasi.

— JYatesDBA
sumber