Verschieben einer TDE-geschützten Datenbank auf einen anderen SQL-Server

Geben Sie im Abfrage-Editor die folgenden Transact-SQL-Befehle ein, um einen Datenbankhauptschlüssel und ein Zertifikat in der Masterdatenbank zu erstellen.

Sicherheitshinweis
Ersetzen Sie die Sternchen durch ein Kennwort. Verwenden Sie kein leeres Kennwort. Verwenden Sie ein sicheres Kennwort.

USE master ;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '**************';
GO
CREATE CERTIFICATE TestSQLServerCert 
WITH SUBJECT = 'Certificate to protect TDE key'
GO

Erstellen Sie eine Sicherung des Serverzertifikats in der Masterdatenbank. Ohne das Zertifikat zum Schutz des Verschlüsselungsschlüssels für die Datenbank kann nicht auf die Daten in einer TDE-geschützten Datenbank zugegriffen werden. Im folgenden Beispiel werden die Sicherung des Zertifikats und die Datei mit dem privaten Schlüssel am Standardort für Daten dieser Instanz von SQL Server gespeichert (C:\Programme\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA).

Sicherheitshinweis
Bewahren Sie Kopien der Zertifikatdatei und der Datei mit dem privaten Schlüssel auf, um das Zertifikat wiederherzustellen. Das Kennwort für den privaten Schlüssel muss nicht mit dem Kennwort für den Datenbankhauptschlüssel übereinstimmen.

BACKUP CERTIFICATE TestSQLServerCert 
TO FILE = 'TestSQLServerCert'
WITH PRIVATE KEY 
(
    FILE = 'SQLPrivateKeyFile',
    ENCRYPTION BY PASSWORD = '**************'
);
GO

Erstellen Sie eine Datenbank für den TDE-Schutz.

CREATE DATABASE CustRecords ;
GO

Wechseln Sie zur neuen Datenbank. Erstellen Sie einen Verschlüsselungsschlüssel für die Datenbank, der vom Serverzertifikat in der Masterdatenbank geschützt wird. Ändern Sie anschließend die neue Datenbank, um die Datenbank anhand von TDE zu verschlüsseln.

USE CustRecords;
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128
ENCRYPTION BY SERVER CERTIFICATE TestSQLServerCert;
GO
ALTER DATABASE CustRecords
SET ENCRYPTION ON;
GO

Hinweis

So führen Sie diesen Schritt anhand von SQL Server Management Studio aus: Klicken Sie im Objekt-Explorer mit der rechten Maustaste auf die Datenbank, zeigen Sie auf die Option für Tasks, und klicken Sie auf Datenbankverschlüsselung verwalten. Verwenden Sie das Dialogfeld Datenbankverschlüsselung verwalten, um einen Verschlüsselungsschlüssel für die Datenbank auszuwählen und die Datenbankverschlüsselung zu aktivieren.

Erstellen Sie eine einfache Tabelle. Geben Sie Daten in die Tabelle ein, und wählen Sie entsprechende Daten in der Tabelle aus, um die Datenbank zu testen.

CREATE TABLE CustomerRecord
    (CustomerID int PRIMARY KEY,
    SecretData nvarchar(100) NOT NULL) ;
GO
INSERT CustomerRecord (CustomerID,SecretData)
VALUES (23997, 'Plain text data') ;
GO
SELECT CustomerID, SecretData FROM CustomerRecord ;
GO

Trennen Sie die TDE-geschützte Datenbank vom Quellserver.

USE master ;
GO
EXEC master.dbo.sp_detach_db @dbname = N'CustRecords';
GO

Hinweis
So führen Sie diesen Schritt anhand von Management Studio aus: Klicken Sie im Objekt-Explorer mit der rechten Maustaste auf die Datenbank, zeigen Sie auf die Option für Tasks, und klicken Sie auf Trennen. Klicken Sie auf OK.

Verwenden Sie Windows Explorer, um Datenbankdateien vom Quellserver an den gleichen Ort auf dem Zielserver zu verschieben oder zu kopieren.

Hinweis
Normalerweise befinden sich die beiden Datenbankdateien (CustomerRecords.mdf und CustomerRecords_log.LDF) am Standardort C:\Programme\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA. Die Dateinamen und -orte können individuell abweichen.

Verwenden Sie Windows Explorer, um die Sicherung des Serverzertifikats und die Datei mit dem privaten Schlüssel vom Quellserver an den gleichen Ort auf dem Zielserver zu verschieben oder zu kopieren. In diesem Beispiel befinden sich die Dateien im standardmäßigen Datenordner unter C:\Programme\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA.

Erstellen Sie für die Zielinstanz von SQL Server einen Datenbank-Hauptschlüssel. Das Kennwort muss nicht mit dem Kennwort für den Quellserver übereinstimmen.

USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '**************';
GO

Erstellen Sie anhand der entsprechenden Sicherungsdatei das Serverzertifikat neu. Das Kennwort muss mit dem bei der Erstellung der Sicherung verwendeten Kennwort übereinstimmen.

CREATE CERTIFICATE TestSQLServerCert 
FROM FILE = 'TestSQLServerCert'
WITH PRIVATE KEY 
(
    FILE = 'SQLPrivateKeyFile',
    DECRYPTION BY PASSWORD = '**************'
);
GO

Fügen Sie die verschobene Datenbank an. Der Pfad der Datenbankdateien muss auf den Ort verweisen, an dem die Datenbankdateien gespeichert wurden.

CREATE DATABASE [CustRecords] ON 
( FILENAME = N'C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA\CustRecords.mdf' ),
( FILENAME = N'C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA\CustRecords_log.LDF' )
FOR ATTACH ;
GO

Hinweis
So führen Sie diesen Schritt anhand von Management Studio aus: Klicken Sie im Objekt-Explorer mit der rechten Maustaste auf die Datenbanken, und klicken Sie auf Anfügen. Klicken Sie auf Hinzufügen, navigieren Sie zur Datei CustRecords.mdf, und klicken Sie auf OK.

Wählen Sie Tabellendaten aus, um den Zugriff auf die Datenbank zu testen.

USE CustRecords ;
GO
SELECT CustomerID, SecretData FROM CustomerRecord ;
GO

[Nach oben]