Biztonsági másolat titkosítása

A következőkre vonatkozik:SQL Server

Ez a cikk áttekintést nyújt az SQL Server biztonsági mentéseinek titkosítási lehetőségeiről. A cikk részletesen ismerteti a biztonsági mentés során történő titkosítással kapcsolatos használatot, előnyöket és ajánlott eljárásokat.

Áttekintés

Az SQL Server 2014-től kezdve (12.x) az SQL Server képes titkosítani az adatokat biztonsági mentés létrehozásakor. A titkosítási algoritmus és a titkosító (tanúsítvány vagy aszimmetrikus kulcs) megadásával biztonsági mentés létrehozásakor létrehozhat egy titkosított biztonsági mentési fájlt. Minden tárolási célhely: a helyszíni és az Azure Storage támogatott. Emellett a titkosítási beállítások konfigurálhatók az SQL Server által felügyelt biztonsági mentéshez a Microsoft Azure-műveletekhez, amely az SQL Server 2014-ben bevezetett új funkció (12.x).

A biztonsági mentés során történő titkosításhoz meg kell adnia egy titkosítási algoritmust és egy titkosítót a titkosítási kulcs védelméhez. A támogatott titkosítási lehetőségek a következők:

• Titkosítási algoritmus: A támogatott titkosítási algoritmusok a következők: AES 128, AES 192, AES 256 és Triple DES

• Encryptor: Tanúsítvány vagy aszimmetrikus kulcs

Caution

Nagyon fontos, hogy készítsen biztonsági másolatot a tanúsítványról vagy az aszimmetrikus kulcsról, és lehetőleg a titkosításhoz használt biztonsági mentési fájltól eltérő helyre. A tanúsítvány vagy az aszimmetrikus kulcs nélkül nem állíthatja vissza a biztonsági másolatot, így a biztonsági mentési fájl használhatatlanná válik. A tárolt rendszeradatbázisban tárolt tanúsítványokról is biztonsági másolatot kell készíteni.

A titkosított biztonsági mentés visszaállítása: Az SQL Server visszaállításához nincs szükség titkosítási paraméterek megadására a visszaállítás során. Ehhez szükséges, hogy a biztonsági mentési fájl titkosításához használt tanúsítvány vagy aszimmetrikus kulcs elérhető legyen azon a példányon, amelybe visszaállítja a fájlt. A visszaállítást végző felhasználói fióknak rendelkeznie VIEW DEFINITION kell a tanúsítványra vagy kulcsra vonatkozó engedélyekkel. Ha a titkosított biztonsági másolatot egy másik példányra állítja vissza, győződjön meg arról, hogy a tanúsítvány elérhető az adott példányon.
A titkosított adatbázisok új helyre való visszaállításának sorrendje a következő:

1. BACKUP CERTIFICATE (Transact-SQL) a régi adatbázisban
2. CREATE MASTER KEY (Transact-SQL) az új helyadatbázisban master
3. CREATE CERTIFICATE (Transact-SQL) a régi adatbázis biztonsági másolati tanúsítványából, amelyet az új kiszolgálón lévő helyre importáltak
4. Adatbázis visszaállítása új helyre (SQL Server)

Ha egy TDE-titkosított adatbázisból állít vissza biztonsági másolatot, a TDE-tanúsítványnak elérhetőnek kell lennie azon a példányon, amelyre a visszaállítást végzi. További információ: TDE által védett adatbázis áthelyezése egy másik SQL Serverre.

Előnyök

1. Az adatbázis biztonsági mentéseinek titkosítása segít az adatok védelmében: az SQL Server lehetővé teszi a biztonsági mentési adatok titkosítását biztonsági mentés létrehozásakor.

2. A titkosítás tDE használatával titkosított adatbázisokhoz is használható.

3. A titkosítás támogatott az SQL Server által felügyelt biztonsági mentések esetében a Microsoft Azure-ba, amely további biztonságot nyújt a helyszíni biztonsági mentésekhez.

4. Ez a funkció legfeljebb 256 bites AES titkosítási algoritmusokat támogat. Ez lehetővé teszi a követelményeknek megfelelő algoritmus kiválasztását.

5. A titkosítási kulcsokat integrálhatja az Extensible Key Management (EKM) szolgáltatókkal.

Előfeltételek

A biztonsági mentés titkosításának előfeltételei a következők:

1. Adatbázis főkulcsának master létrehozása: Az adatbázis főkulcsa (DMK) egy szimmetrikus kulcs, amely az adatbázisban található tanúsítványok és aszimmetrikus kulcsok titkos kulcsainak védelmére szolgál. További információt az SQL Server és az adatbázis-titkosítási kulcsok (adatbázismotor) című témakörben talál.

2. Hozzon létre egy tanúsítványt vagy aszimmetrikus kulcsot a biztonsági mentés titkosításához. További információ a tanúsítvány létrehozásáról: CREATE CERTIFICATE (Transact-SQL). Az aszimmetrikus kulcsok létrehozásáról további információt a CREATE ASZIMMETRIKUS KULCS (Transact-SQL) című témakörben talál.

   Fontos

   Csak az extensible Key Managementben (EKM) található aszimmetrikus kulcsok támogatottak.

Korlátozások

A titkosítási beállításokra a következő korlátozások vonatkoznak:

• Ha aszimmetrikus kulcsot használ a biztonsági mentési adatok titkosításához, csak az EKM-szolgáltatóban található aszimmetrikus kulcsok támogatottak.

• Az SQL Server Express és az SQL Server Web nem támogatja a titkosítást a biztonsági mentés során. A titkosított biztonsági másolatból azonban az SQL Server Express vagy az SQL Server Web egy példányára történő visszaállítás támogatott.

• Az SQL Server korábbi verziói nem tudják olvasni a titkosított biztonsági másolatokat.

• A meglévő biztonsági mentési csoporthoz való hozzáfűzés nem támogatott a titkosított biztonsági másolatok esetében.

Permissions

A titkosított adatbázisok biztonsági mentési műveleteit kezelő fiókhoz meghatározott engedélyek szükségesek.

• db_backupoperator biztonsági mentés alatt álló adatbázis adatbázisszintű szerepkörét. Ez titkosítástól függetlenül kötelező.

• VIEW DEFINITION a tanúsítványra vonatkozó engedély az master adatbázisban.

  Az alábbi példa a tanúsítvány megfelelő engedélyeit adja meg.

  USE [master]
  GO
  GRANT VIEW DEFINITION ON CERTIFICATE::[<SERVER_CERT>] TO [<db_account>]
  GO
  

Megjegyzés:

A TDE-tanúsítványhoz való hozzáférés nem szükséges a TDE által védett adatbázisok biztonsági mentéséhez vagy visszaállításához.

Biztonsági mentési titkosítási módszerek

Az alábbi szakaszok röviden ismertetik az adatok biztonsági mentés során történő titkosításának lépéseit. A biztonsági mentés Transact-SQL használatával történő titkosításának különböző lépéseit ismertető teljes útmutatót a Titkosított biztonsági mentés létrehozása című témakörben talál.

Az SQL Server Management Studio használata

Az adatbázis biztonsági mentésének létrehozásakor az alábbi párbeszédpanelek bármelyikén titkosíthatja a biztonsági mentést:

1. Adatbázis biztonsági mentése (Biztonsági mentési beállítások lap) A Biztonsági mentési beállítások lapon kiválaszthatja a Titkosítás lehetőséget, és megadhatja a titkosításhoz használni kívánt titkosítási algoritmust és tanúsítványt vagy aszimmetrikus kulcsot.

2. A Karbantartási terv varázsló használata Amikor kiválaszt egy biztonsági mentési feladatot, a Biztonsági mentés ()feladat definiálása lap Beállítások lapján kiválaszthatja a Biztonsági másolat titkosítása lehetőséget, és megadhatja a titkosításhoz használni kívánt titkosítási algoritmust és tanúsítványt vagy kulcsot.

Használd a Transact-SQL-t

Az alábbiakban egy minta Transact-SQL utasítást a biztonsági mentési fájl titkosításához:

BACKUP DATABASE [MYTestDB]
TO DISK = N'C:\Program Files\Microsoft SQL Server\MSSQL13.MSSQLSERVER\MSSQL\Backup\MyTestDB.bak'
WITH
  COMPRESSION,
  ENCRYPTION
   (
   ALGORITHM = AES_256,
   SERVER CERTIFICATE = BackupEncryptCert
   ),
  STATS = 10
GO

A teljes Transact-SQL utasításszintaxisért lásd: BACKUP (Transact-SQL).

Használja a PowerShellt

Ez a példa létrehozza a titkosítási beállításokat, és paraméterértékként használja a parancsmagban Backup-SqlDatabase egy titkosított biztonsági mentés létrehozásához.

$encryptionOption = New-SqlBackupEncryptionOption -Algorithm Aes256 -EncryptorType ServerCertificate -EncryptorName "BackupCert"

Backup-SqlDatabase -ServerInstance . -Database "<myDatabase>" -BackupFile "<myDatabase>.bak" -CompressionOption On -EncryptionOption $encryptionOption

Ajánlott eljárások

Készítsen biztonsági másolatot a titkosítási tanúsítványról és a kulcsról a helyi gépétől eltérő helyre, ahol a példány telepítve van. A vészhelyreállítási forgatókönyvek figyelembe vételével érdemes lehet biztonsági másolatot készíteni a tanúsítványról vagy a kulcsról egy helyszíni helyre. A titkosított biztonsági másolatok nem állíthatók vissza a biztonsági mentés titkosításához használt tanúsítvány nélkül.

A titkosított biztonsági mentés visszaállításához a biztonsági másolat készítésekor használt eredeti tanúsítványnak elérhetőnek kell lennie a visszaállított példányon. Ezért a tanúsítványt nem szabad megújítani a lejáratkor vagy bármilyen módon módosítani. A megújítás azt eredményezheti, hogy a tanúsítvány frissítése aktiválja az ujjlenyomat módosítását, ezért a tanúsítvány érvénytelen lesz a biztonsági mentési fájlhoz. A visszaállítást végző fióknak VIEW DEFINITION-engedélyekkel kell rendelkeznie a tanúsítványon vagy a biztonsági mentés során történő titkosításhoz használt aszimmetrikus kulcson.

A rendelkezésre állási csoport adatbázisának biztonsági mentése általában az előnyben részesített biztonsági mentési replikán történik. Ha a biztonsági másolatot nem a biztonsági másolat készítésének helyén állítja vissza, győződjön meg arról, hogy a biztonsági mentéshez használt eredeti tanúsítvány elérhető a visszaállított replikán.

Ha az adatbázis TDE-kompatibilis, a biztonság növelése érdekében válasszon különböző tanúsítványokat vagy aszimmetrikus kulcsokat az adatbázis és a biztonsági mentés titkosításához.

Kapcsolódó tartalom

• Titkosított biztonsági mentés létrehozása
• Bővíthető kulcskezelés az Azure Key Vault (SQL Server) használatával
• biztonsági mentés áttekintése (SQL Server)