Przygotowanie TDE: kopia zapasowa klucza / certyfikatu do przywracania

Pracuję w środowisku deweloperskim, aby lepiej zrozumieć TDEszyfrowanie. Mam to działa wraz z kopiami zapasowymi i przywraca na innym serwerze. Miałem kilka pytań, wiem, że muszę wykonać kopię zapasową certyfikatu odpowiednim kluczem prywatnym.

USE master; 
GO 
BACKUP CERTIFICATE Test
TO FILE = 'C:\Test.cer'
WITH PRIVATE KEY
(FILE = 'C:\Test.pvk',
ENCRYPTION BY PASSWORD = 'Example12#')

W razie awarii należy je przenieść / przywrócić na nowym serwerze. Czy jest coś jeszcze, co muszę wykonać kopię zapasową z serwera źródłowego, które byłyby potrzebne w przypadku konieczności przywrócenia na inny serwer?

Również jakieś sugestie dotyczące przechowywania klucza prywatnego? W tej chwili myślę o utworzeniu kopii zapasowej certyfikatu, klucza prywatnego i hasła do bazy danych KeePass, która jest tworzona osobno i replikowana poza witryną.

Pozostaje pytanie, gdzie wykonać kopię zapasową klucza prywatnego KeePass?

Jeśli chcesz przywrócić na innym serwerze, powinieneś być w stanie to zrobić za pomocą certyfikatu, klucza prywatnego i plików kopii zapasowej bazy danych.

Kiedy certyfikat jest tworzony w dowolnej bazie danych w SQL Server, jest on częścią hierarchii szyfrowania . Certyfikat w samej głównej bazie danych zawiera tylko klucz publiczny, który nie wymaga ochrony, jednak główna baza danych będzie również zawierać osobny, lecz matematycznie powiązany klucz prywatny, który należy chronić. Metodą ochrony klucza prywatnego jest zaszyfrowanie go za pomocą klucza głównego bazy danych utworzonego w głównej bazie danych przed utworzeniem certyfikatu. Kolejną warstwą w hierarchii szyfrowania jest to, że DMK jest szyfrowany przez główny klucz usługi. W systemie jest tylko jeden SMK i znajduje się on w głównej bazie danych.

Nawet jeśli nie potrzebujesz DMK i SMK, aby przywrócić zaszyfrowaną kopię zapasową na innym serwerze, i tak utworzę kopię zapasową tych dwóch kluczy, ponieważ dzięki temu odzyskiwanie jest znacznie bardziej elastyczne.

Podczas przywracania kopii zapasowej certyfikatu szyfrowania do głównej bazy danych dzieje się za kulisami to, że klucz prywatny jest odczytywany z pliku, odszyfrowywany za pomocą hasła podanego w poleceniu przywracania, a następnie szyfrowany za pomocą głównego klucza bazy danych i zapisywany. Jak wiadomo, klucza prywatnego z certyfikatu można następnie użyć do odszyfrowania klucza szyfrowania bazy danych w pliku kopii zapasowej i pomyślnego przywrócenia bazy danych.

Nie mam konkretnych zaleceń dotyczących przechowywania certyfikatu i plików kopii zapasowych kluczy, ale muszą one być dostępne dla Ciebie i każdego, kto dokonuje odzyskiwania po awarii w Twojej organizacji.

W książce Denny Cherry Securing SQL Server znalazłem najlepszą praktykę bezpieczeństwa do tworzenia kopii zapasowych certyfikatów:

• Nagraj kopie zapasowe certyfikatu na dwóch różnych płytach CD
• Umieść każdą płytę CD w zapieczętowanej i podpisanej kopercie
• Zaznacz kopertę, dla której systemu są przeznaczone te certyfikaty
• Umieść jedną płytę CD w sejfie biurowym kierownika firmy
• Drugą płytę CD przechowuj w innym bezpiecznym miejscu