主页 / dba / 问题 / 184805
Accepted
Hannah Vernon
Asked: 2017-09-01 06:13:06 +0800 CST

BACKUP MASTER KEY 失败，找不到对称主密钥，因为它不存在

  • 772

我正在尝试备份 TDE 数据库的主密钥，但 SQL Server 说没有。这有点奇怪，但我确定我只是做错了什么。我是服务器上的系统管理员，所以我应该能够看到所有内容。

这是失败的语句：

USE [my_db];
BACKUP MASTER KEY
TO FILE = 'C:\master_key'
ENCRYPTION BY PASSWORD = 'some_killer_password';

并返回错误消息：

消息 15151，级别 16，状态 1，第 11 行
找不到对称密钥“主密钥”，因为它不存在或您没有权限。

我使用以下内容查看了有关数据库加密密钥和相关证书的详细信息，但是sys.certificates表中的证书详细信息为空。

USE [my_db];
SELECT DatabaseName = d.name
    , ddek.encryptor_type
    , ddek.opened_date
    , c.name
    , c.cert_serial_number
    , c.pvt_key_encryption_type_desc
    , c.subject
FROM sys.dm_database_encryption_keys ddek
    INNER JOIN sys.databases d ON ddek.database_id = d.database_id
    LEFT JOIN sys.certificates c ON ddek.encryptor_thumbprint = c.thumbprint
WHERE d.name <> 'tempdb' /* tempdb is auto-encrypted by SQL Server */

╔══════════════╦════════════════╦═════════════════ ════════╦══════╦════════════════════╦═════════════ ═════════════════╦═════════╗
║ DatabaseName ║ encryptor_type ║ opens_date ║ 名称 ║ cert_serial_number ║ pvt_key_encryption_type_desc ║ 主题 ║
╠══════════════╬════════════════╬═════════════════ ════════╬══════╬════════════════════╬═════════════ ═════════════════╬═════════╣
║ my_db ║ 证书 ║ 2017-09-20 11:24:13.590 ║ NULL ║ NULL ║ NULL ║ NULL ║
╚══════════════╩════════════════╩═════════════════ ════════╩══════╩════════════════════╩═════════════ ═════════════════╩═════════╝

那么，我可以在 中看到数据库加密密钥[my_db]，并且可以看到它是由证书加密的，但是证书不存在？

sql-server transparent-data-encryption

1 个回答

  1. Best Answer

    TDE用来加密数据库加密密钥的证书实际上是存储在数据库中的，而数据库中存储的master又是加密的。database master keymaster

    查看哪个证书用于解密my_dbTDE 加密数据库的查询应该是：

    SELECT DatabaseName = d.name
    , ddek.encryptor_type
    , ddek.opened_date
    , c.name
    , c.cert_serial_number
    , c.pvt_key_encryption_type_desc
    , c.subject
FROM sys.dm_database_encryption_keys ddek
    INNER JOIN sys.databases d ON ddek.database_id = d.database_id
    LEFT JOIN master.sys.certificates c ON ddek.encryptor_thumbprint = c.thumbprint
WHERE d.name <> 'tempdb' /* tempdb is auto-encrypted by SQL Server */

    注意，唯一的变化是sys.certificates在master数据库中引用。

    该查询的结果显示：

    ╔══════════════╦════════════════╦═════════════════ ════════╦════════════════════╦════════════════════ ╦══════════════════════════════╦══════════════════ ═════════╗
║ DatabaseName ║ encryptor_type ║ opens_date ║ CertName ║ cert_serial_number ║ pvt_key_encryption_type_desc ║ Certsubject ║
╠══════════════╬════════════════╬═════════════════ ════════╬════════════════════╬════════════════════ ╬══════════════════════════════╬══════════════════ ═════════╣
║ my_db ║ 证书 ║ 2017-09-20 11:24:13.590 ║ db_encryption_cert ║ <redacted> ║ ENCRYPTED_BY_MASTER_KEY ║ DB 加密证书 ║
╚══════════════╩════════════════╩═════════════════ ════════╩════════════════════╩════════════════════ ╩══════════════════════════════╩══════════════════ ═════════╝

    请注意，查询显示证书是ENCRYPTED_BY_MASTER_KEY- 此处引用的主密钥是master数据库的主密钥。

    为了恢复my_db到另一台服务器，您需要备份用于加密数据库的证书（及其私钥），然后将其恢复到目标 SQL Server。

    这应该发生在源 SQL Server 上：

    BACKUP CERTIFICATE db_encryption_cert
TO FILE = 'C:\db_encryption_cert'
WITH PRIVATE KEY (
    FILE = 'C:\db_encryption_cert_private_key'
    , ENCRYPTION BY PASSWORD = 'new private key password'
    );

    将生成的证书文件和私钥及其密码存储在异地的安全文件系统中。

    这应该发生在目标 SQL Server 上：

    CREATE CERTIFICATE db_encryption_cert
FROM FILE = 'C:\db_encryption_cert'
WITH PRIVATE KEY (
    FILE = 'C:\db_encryption_cert_private_key'
    , DECRYPTION BY PASSWORD = 'new private key password'
    );

    在目标服务器上创建证书后，您应该能够毫无问题地还原数据库。

    如果您正在准备灾难恢复，并且打算能够恢复源 SQL Server 的主数据库等，您还应该备份服务主密钥和主数据库主密钥：

    USE master;
GO
BACKUP SERVICE MASTER KEY 
TO FILE = 'C:\service_master_key'
ENCRYPTION BY PASSWORD = 'new service master key password';

BACKUP MASTER KEY
TO FILE = 'C:\master_database_master_key'
ENCRYPTION BY PASSWORD = 'new master database master key password';

    这些密钥及其相关的加密密码应存储在场外的安全位置。

    • 7

相关问题