Aktivieren von TDE mit EKM

Artikel
11/10/2015

In diesem Thema wird beschrieben, wie die transparente Datenverschlüsselung (TDE) in SQL Server 2012 aktiviert wird, um einen Verschlüsselungsschlüssel für die Datenbank mithilfe eines asymmetrischen in einem erweiterbaren Schlüsselverwaltungsmodul mit (EKM) Transact-SQL gespeicherten Schlüssels zu aktivieren.

TDE verschlüsselt den Speicher einer ganze Datenbank mithilfe dieses symmetrischen Schlüssels, der als Verschlüsselungsschlüssel für die Datenbank bezeichnet wird. Der Verschlüsselungsschlüssel für die Datenbank kann auch mithilfe eines Zertifikats geschützt werden, das mit dem Datenbank-Hauptschlüssel der Masterdatenbank geschützt wird. Weitere Informationen über das Schützen des Verschlüsselungsschlüssels für die Datenbank mit dem Datenbank-Hauptschlüssel finden Sie unter Transparente Datenverschlüsselung (TDE).

In diesem Thema

Vorbereitungen:

Begrenzungen und Einschränkungen

Sicherheit
So aktivieren Sie TDE unter Verwendung von EKM mit Transact-SQL

Vorbereitungen

Begrenzungen und Einschränkungen

Sie müssen ein Benutzer mit hohen Privilegien (z. B. ein Systemadministrator) sein, um einen Verschlüsselungsschlüssel für die Datenbank erstellen und eine Datenbank verschlüsseln zu können. Dieser Benutzer muss vom EKM-Modul authentifiziert werden können.
Beim Starten muss Datenbankmodul die Datenbank öffnen. Dafür sollten Sie Anmeldeinformationen erstellen, die vom EKM authentifiziert werden, und sie einer Anmeldung hinzufügen, die auf einem asymmetrischen Schlüssel basiert. Benutzer können sich mit dieser Anmeldung nicht anmelden, Datenbankmodul ist aber in der Lage, sich beim EKM-Gerät selbst zu authentifizieren.
Wenn der im EKM-Modul gespeicherte asymmetrische Schlüssel verloren geht, kann die Datenbank nicht von SQL Server geöffnet werden. Wenn der Anbieter für erweiterbare Schlüsselverwaltung eine Sicherung des asymmetrischen Schlüssels erlaubt, sollten Sie eine Sicherung erstellen und diese an einem sicheren Ort aufbewahren.
Die für Ihren EKM-Anbieter erforderlichen Optionen und Parameter können sich von denen im unten angegebenen Codebeispiel unterscheiden. Weitere Informationen erhalten Sie vom Anbieter für erweiterbare Schlüsselverwaltung.

Sicherheit

Berechtigungen

In diesem Thema werden die folgenden Berechtigungen verwendet:

Zum Ändern einer Konfigurationsoption und Ausführen der RECONFIGURE-Anweisung muss Ihnen die ALTER SETTINGS-Berechtigung auf Serverebene erteilt worden sein. Die ALTER SETTINGS-Berechtigung ist in den festen Serverrollen sysadmin und serveradmin implizit eingeschlossen.
Erfordert die ALTER ANY CREDENTIAL-Berechtigung.
Erfordert die ALTER ANY LOGIN-Berechtigung.
Erfordert die CREATE ASYMMETRIC KEY-Berechtigung.
Erfordert die CONTROL-Berechtigung für die Datenbank, um die Datenbank zu verschlüsseln.

Pfeilsymbol, dass mit dem Link "Zurück zum Anfang" verwendet wird [Top]

Transact-SQL

So aktivieren Sie TDE unter Verwendung von EKM

Kopieren Sie die Dateien, die vom Anbieter für erweiterbare Schlüsselverwaltung bereitgestellt wurden, an einen geeigneten Speicherort auf dem Computer mit SQL Server. In diesem Beispiel wird der Ordner C:\EKM verwendet.

Installieren Sie Zertifikate auf dem Computer, die ggf. vom Anbieter für erweiterbare Schlüsselverwaltung benötigt werden.

Hinweis
SQL Server stellt keinen Anbieter für erweiterbare Schlüsselverwaltung zur Verfügung. Jeder Anbieter für erweiterbare Schlüsselverwaltung kann über andere Prozeduren zum Installieren, Konfigurieren und Autorisieren von Benutzern verfügen. Schlagen Sie in der Dokumentation Ihres Anbieters für erweiterbare Schlüsselverwaltung nach, um diesen Schritt auszuführen.

Stellen Sie im Objekt-Explorer eine Verbindung mit einer Datenbankmodul-Instanz her.
Klicken Sie in der Standardleiste auf Neue Abfrage.

Kopieren Sie das folgende Beispiel, fügen Sie es in das Abfragefenster ein, und klicken Sie auf Ausführen.

-- Enable advanced options.
sp_configure 'show advanced options', 1 ;
GO
RECONFIGURE ;
GO
-- Enable EKM provider
sp_configure 'EKM provider enabled', 1 ;
GO
RECONFIGURE ;
GO
-- Create a cryptographic provider, which we have chosen to call "EKM_Prov," based on an EKM provider

CREATE CRYPTOGRAPHIC PROVIDER EKM_Prov 
FROM FILE = 'C:\EKM_Files\KeyProvFile.dll' ;
GO

-- Create a credential that will be used by system administrators.
CREATE CREDENTIAL sa_ekm_tde_cred 
WITH IDENTITY = 'Identity1', 
SECRET = 'q*gtev$0u#D1v' 
FOR CRYPTOGRAPHIC PROVIDER EKM_Prov ;
GO

-- Add the system administrator credential to a high privileged user such as your own domain login in the format  [DOMAIN\login].
ALTER LOGIN UCBERKELEY\shcooper
ADD CREDENTIAL sa_ekm_tde_cred ;
GO
-- create an asymmetric key stored inside the EKM provider
USE master ;
GO
CREATE ASYMMETRIC KEY ekm_login_key 
FROM PROVIDER [EKM_Prov]
WITH ALGORITHM = RSA_512,
PROVIDER_KEY_NAME = 'SQL_Server_Key' ;
GO

-- Create a credential that will be used by the Database Engine.
CREATE CREDENTIAL ekm_tde_cred 
WITH IDENTITY = 'Identity2' 
, SECRET = 'jeksi84&sLksi01@s' 
FOR CRYPTOGRAPHIC PROVIDER EKM_Prov ;

-- Add a login used by TDE, and add the new credential to the login.
CREATE LOGIN EKM_Login 
FROM ASYMMETRIC KEY ekm_login_key ;
GO
ALTER LOGIN EKM_Login 
ADD CREDENTIAL ekm_tde_cred ;
GO

-- Create the database encryption key that will be used for TDE.
USE AdventureWorks2012 ;
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM  = AES_128
ENCRYPTION BY SERVER ASYMMETRIC KEY ekm_login_key ;
GO

-- Alter the database to enable transparent data encryption.
ALTER DATABASE AdventureWorks2012 
SET ENCRYPTION ON ;
GO

Weitere Informationen finden Sie unter den folgenden Links:

Pfeilsymbol, dass mit dem Link "Zurück zum Anfang" verwendet wird [Top]

Siehe auch

Konzepte

Extensible Key Management Using Azure Key Vault (SQL Server)

Freigeben über