Estou tentando descobrir quais efeitos indesejáveis o uso de uma gMSA como conta de serviço para MS SQL Server pode ter ao usar certificados TDE para criptografar bancos de dados.
Pelo que entendi, existe uma hierarquia de criptografia no SQL Server. No nível superior está a Service Master Key, que é gerada automaticamente quando a instância do SQL Server é iniciada pela primeira vez. A chave mestra de serviço é criptografada com uma chave, mais ou menos baseada nas credenciais do Windows da conta de serviço do SQL Server e nas credenciais do computador. A chave mestra de serviço, por sua vez, criptografa a chave mestra do banco de dados.
A chave mestra do banco de dados, por sua vez, é usada para proteger as chaves privadas dos certificados.
Ao usar certificados TDE para criptografar bancos de dados, é uma prática recomendada criar um backup desse certificado e da chave privada.
Uma característica especial de um gMSA é que a senha será gerenciada pelo diretório ativo. Pelo que sei, parte desse gerenciamento é que o Active Directory altera essa senha regularmente.
Então minhas perguntas são:
- O que acontece quando a senha do gMSA for alterada pelo diretório ativo em relação à chave mestra de serviço, chave mestra de banco de dados e certificados existentes?
- Os bancos de dados (criptografados com certificados TDE) nesta instância do SQL Server ainda podem ser descriptografados?
- O backup do certificado e sua chave privada ainda podem ser usados para anexar bancos de dados criptografados com esses certificados em outra instância do SQL Server?
Fiz algumas pesquisas sobre esse tópico, mas foi um pouco difícil encontrar informações precisas sobre como toda a hierarquia de criptografia é afetada quando a senha da conta de serviço é alterada. Este artigo, por exemplo, afirma que a chave mestra de serviço ficará inutilizável: https://www.sqlserverscience.com/security/data-security/filesystem-security-tde-keys-certificates/?utm_medium=referral&utm_source=dba.stackexchange.com&utm_campaign= 232330
Por outro lado, é difícil acreditar que usar um gMSA - que normalmente é uma boa escolha como conta de serviço para SQL Server - possa causar tais problemas.
Então, eu ficaria muito grato pela ajuda neste tópico. Agradeço antecipadamente!