¿Cuándo necesito hacer una copia de seguridad de la clave maestra de servicio?

Estoy leyendo algunos documentos y documentos sobre el cifrado de datos transparente. Algunos documentos mencionan también la copia de seguridad de la clave maestra de servicio (para aclarar, no estoy hablando de la clave maestra de la base de datos). Simplemente no entiendo exactamente por qué esto es necesario, porque pude hacer una copia de seguridad / restaurar una base de datos con cifrado TDE del servidor A (copia de seguridad) al servidor B (restaurar) sin usar ninguna clave maestra de servicio.

¿En qué escenario necesito restaurar la clave maestra de servicio?

sql-server encryption transparent-data-encryption

— gsharp
fuente

¿Está seguro de que habilitó el cifrado en su base de datos? Además, ¿creó la copia de seguridad de la base de datos después de habilitar TDE?

— Thomas Stringer

Sí, lo hice. Necesitaba el certificado y la clave para restaurarlo en el Servidor B. (Hice una copia de seguridad del Certificado y la Clave). Sin embargo, en BI creó una nueva clave maestra (no restaurada la del servidor A) y pude restaurar mi base de datos.

— gsharp

Si restauró el certificado TDE y la clave privada en el servidor B, debería poder descifrar la base de datos TDE. ¿Puede señalar el documento donde ha leído el requisito para SMK? Tal vez sea algo más matizado ...

— Remus Rusanu

Estoy de acuerdo con @RemusRusanu. El certificado es lo que impulsa el cifrado. En cuanto a la clave maestra de servicio, creo que es una buena práctica administrativa general respaldar eso (algo que debería haberse hecho inicialmente) para DR.

— Thomas Stringer

@gsharp: eso documenta cómo hacer una copia de seguridad de SMK. Estaba interesado en una documentación que explica por qué se requiere la copia de seguridad SMK cuando se transfiere una base de datos cifrada TDE.

— Remus Rusanu

Respuestas:

Si está hablando de la clave maestra del servicio SQL, es muy raro que realmente necesite restaurarla.

Estoy pensando en un par de escenarios en los que necesita restaurar el SMK ...

De alguna manera se corrompió.
Está reconstruyendo su servidor SQL y planea restaurar todas las bases de datos, incluidas las bases de datos del sistema desde la copia de seguridad. Por lo general, en este caso también es posible que no necesite restaurar el SMK si está utilizando la misma cuenta y contraseña del servicio SQL.

En TDE no necesita restaurar el SMK. Como todos dijeron, solo necesita el certificado y la clave privada. No necesita tener la misma clave maestra de la base de datos, ya que cuando crea el certificado a partir de la copia de seguridad, el DMK de la máquina de destino lo cifra.

— Arijit
fuente

Cuando mueva una base de datos TDE a una nueva instancia, lo que debe asegurarse es que el certificado adecuado (o clave asimétrica) también esté en la masterbase de datos del destino . Si no lo hace, recibirá el siguiente error:

Mensaje 33111, Nivel 16, Estado 3, Línea 2 No se puede encontrar el certificado del servidor con la huella digital '0xA085414434DB4A36B29 ..................'.

No es la clave maestra del servicio la que necesita moverse con la copia de seguridad de la base de datos habilitada para TDE, pero sería el certificado. Por ejemplo, supongamos que creó su DEK (clave de cifrado de la base de datos) con un certificado masterdenominado MyTDECert . Sin ese certificado en su instancia de destino, no podrá restaurar su base de datos.

— Thomas Stringer
fuente

Si, eso está claro. Mi pregunta es más por qué existe la necesidad (o con qué propósito) de hacer una copia de seguridad de la clave maestra del servicio. Consulte technet.microsoft.com/en-us/library/aa337561

— gsharp el

-1

Un caso en el que necesita hacer una copia de seguridad y restaurar el SMK es cuando está actualizando una topología de replicación.

— JYatesDBA
fuente