Включение использования сертификатов для исходящих соединений в конечной точке зеркального отображения базы данных (Transact-SQL)

  • Статья

В этом подразделе описаны этапы настройки экземпляров сервера для использования сертификатов проверки подлинности исходящих соединений при зеркальном отображении базы данных. Конфигурацию исходящих соединений необходимо выполнить до настройки входящих соединений.

ПримечаниеПримечание

Все соединения зеркального отображения на экземпляре сервера используют одну конечную точку зеркального отображения базы данных, поэтому при ее создании необходимо указать метод проверки подлинности экземпляра сервера.

Конфигурирование исходящих соединений включает следующие шаги.

  1. В базе данных master создайте главный ключ базы данных.

  2. В базе данных master создайте зашифрованный сертификат экземпляра сервера.

  3. Создайте конечную точку для экземпляра сервера при использовании его сертификата.

  4. Создайте резервную копию сертификата в файле и защищенным образом скопируйте этот файл на другие системы.

Все эти шаги необходимо выполнить для каждого из участников, а также для следящего сервера, если он есть.

Ниже эти шаги описаны подробно. Для каждого шага приведен пример настройки экземпляра сервера в системе с именем HOST_A. В соответствующем разделе «Пример» показаны те же шаги для другого экземпляра сервера в системе с именем HOST_B.

Процедура

Настройка экземпляров сервера на исходящие соединения зеркального отображения (на HOST_A)

  1. В базе данных master создайте главный ключ базы данных, если он еще не создан. Для просмотра существующих ключей базы данных предназначено представление каталога sys.symmetric_keys.

    Создание главного ключа базы данных производится следующей инструкцией Transact-SQL:

    CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<1_Strong_Password!>';
GO

    Используйте уникальный надежный пароль, запишите его и храните в надежном месте.

    Дополнительные сведения см. в разделах CREATE MASTER KEY (Transact-SQL) и Создание главного ключа базы данных.

  2. В базе данных master создайте зашифрованный сертификат экземпляра сервера, он будет использоваться для исходящих соединений этого экземпляра при зеркальном отображении базы данных.

    Например, чтобы создать сертификат для системы HOST_A.

    Важное примечаниеВажно!

    Если планируется использование сертификата в течение срока, превышающего один год, укажите дату истечения срока действия в формате UTC с помощью параметра EXPIRY_DATE инструкции CREATE CERTIFICATE. Кроме того, рекомендуется использовать среду SQL Server Management Studio для создания правила управления на основе политик, чтобы получать предупреждения при завершении срока действия сертификатов. В диалоговом окне Создание нового условия создайте это правило в поле @ExpirationDate аспекта Certificate. Дополнительные сведения см. в разделах Администрирование серверов с помощью управления на основе политик и Обеспечение безопасности SQL Server.

    		 
    USE master;
CREATE CERTIFICATE HOST_A_cert 
   WITH SUBJECT = 'HOST_A certificate for database mirroring', 
   EXPIRY_DATE = '11/30/2013';
GO

    Дополнительные сведения см. в разделе Инструкция CREATE CERTIFICATE (Transact-SQL).

    Просмотр сертификатов в базе данных master можно выполнить с помощью следующих инструкций Transact-SQL:

    USE master;
SELECT * FROM sys.certificates;

    Дополнительные сведения см. в разделе sys.certificates (Transact-SQL).

  3. Убедитесь, что в каждом экземпляре сервера существует конечная точка зеркального отображения базы данных.

    Если конечная точка уже имеется для данного экземпляра сервера, она используется для всех сеансов, устанавливаемых для этого экземпляра. Чтобы определить, существует ли конечная точка зеркального отображения базы данных в экземпляре сервера и просмотреть ее конфигурацию, выполните следующую инструкцию:

    SELECT name, role_desc, state_desc, connection_auth_desc, encryption_algorithm_desc 
   FROM sys.database_mirroring_endpoints;

    Если конечная точка не существует, создайте конечную точку, которая использует этот сертификат для исходящих соединений и его учетные данные для проверки на других системах. Это конечная точка на уровне сервера, используемая всеми зеркальными сеансами, в которых участвует экземпляр сервера.

    Например, чтобы создать конечную точку зеркального отображения для экземпляра сервера HOST_A.

    CREATE ENDPOINT Endpoint_Mirroring
   STATE = STARTED
   AS TCP (
      LISTENER_PORT=7024
      , LISTENER_IP = ALL
   ) 
   FOR DATABASE_MIRRORING ( 
      AUTHENTICATION = CERTIFICATE HOST_A_cert
      , ENCRYPTION = REQUIRED ALGORITHM AES
      , ROLE = ALL
   );
GO

    Дополнительные сведения см. в разделе CREATE ENDPOINT (Transact-SQL).

  4. Создайте резервную копию сертификата и скопируйте ее на другую систему или системы. Она понадобится при конфигурировании на них входящих соединений.

    BACKUP CERTIFICATE HOST_A_cert TO FILE = 'C:\HOST_A_cert.cer';
GO

    Дополнительные сведения см. в разделе BACKUP CERTIFICATE (Transact-SQL).

    Скопируйте этот сертификат любым безопасным способом. Отнеситесь с особым вниманием к хранению сертификатов в безопасном месте.

Программный код примеров на предыдущих шагах конфигурирует исходящие соединения на HOST_A.

Необходимо выполнить аналогичные шаги для настройки исходящего соединения для HOST_B. Они показаны в следующем разделе примеров.

Пример

В следующем примере показано конфигурирование исходящих соединений на HOST_Б.

USE master;
--Create the database Master Key, if needed.
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<Strong_Password_#2>';
GO
-- Make a certifcate on HOST_B server instance.
CREATE CERTIFICATE HOST_B_cert 
   WITH SUBJECT = 'HOST_B certificate for database mirroring', 
   EXPIRY_DATE = '11/30/2013';
GO
--Create a mirroring endpoint for the server instance on HOST_B.
CREATE ENDPOINT Endpoint_Mirroring
   STATE = STARTED
   AS TCP (
      LISTENER_PORT=7024
      , LISTENER_IP = ALL
   ) 
   FOR DATABASE_MIRRORING ( 
      AUTHENTICATION = CERTIFICATE HOST_B_cert
      , ENCRYPTION = REQUIRED ALGORITHM AES
      , ROLE = ALL
   );
GO
--Backup HOST_B certificate.
BACKUP CERTIFICATE HOST_B_cert TO FILE = 'C:\HOST_B_cert.cer';
GO 
--Using any secure copy method, copy C:\HOST_B_cert.cer to HOST_A.

Скопируйте этот сертификат в другую систему любым безопасным способом. Отнеситесь с особым вниманием к хранению сертификатов в безопасном месте.

Важное примечаниеВажно!

После настройки исходящих соединений необходимо настроить входящие соединения на каждом экземпляре сервера для остальных экземпляров сервера. Дополнительные сведения см. в разделе Включение использования сертификатов для входящих соединений в конечной точке зеркального отображения базы данных (Transact-SQL).

Дополнительные сведения о создании зеркальной базы данных, содержащей пример Transact-SQL, см. в разделе Подготовка зеркальной базы данных к зеркальному отображению (SQL Server).

Пример запроса Transact-SQL, устанавливающий сеанс с режимом высокой производительности, см. в разделе Пример. Настройка зеркального отображения базы данных при помощи сертификатов (язык Transact-SQL).

Безопасность

За исключением случаев, когда можно гарантировать безопасность сети, для соединений зеркального отображения базы данных рекомендуется использовать шифрование.

При копировании сертификата на другую систему используйте безопасный метод копирования.

См. также

Справочник

ALTER ENDPOINT (Transact-SQL)

Основные понятия

Выбор алгоритма шифрования

Подготовка зеркальной базы данных к зеркальному отображению (SQL Server)

Пример. Настройка зеркального отображения базы данных при помощи сертификатов (язык Transact-SQL)

Конечная точка зеркального отображения базы данных (SQL Server)

Диагностика конфигурации зеркального отображения базы данных (SQL Server)

Настройка зашифрованной зеркальной базы данных