BACKUP MASTER KEY 失败，无法找到对称主密钥，因为它不存在

Question

我正在尝试备份 TDE 数据库的主密钥，但 SQL Server 说没有。这有点奇怪，但我确定我只是做错了什么。我是服务器上的系统管理员，所以我应该能够看到所有内容。

这是失败的声明：

USE [my_db];
BACKUP MASTER KEY
TO FILE = 'C:\master_key'
ENCRYPTION BY PASSWORD = 'some_killer_password';

并返回错误消息：

消息 15151，级别 16，状态 1，第 11 行
找不到对称密钥“主密钥”，因为它不存在或您没有权限。

我已使用以下内容查看有关数据库加密密钥和关联证书的详细信息，但是sys.certificates表中的证书详细信息为空。

USE [my_db];
SELECT DatabaseName = d.name
    , ddek.encryptor_type
    , ddek.opened_date
    , c.name
    , c.cert_serial_number
    , c.pvt_key_encryption_type_desc
    , c.subject
FROM sys.dm_database_encryption_keys ddek
    INNER JOIN sys.databases d ON ddek.database_id = d.database_id
    LEFT JOIN sys.certificates c ON ddek.encryptor_thumbprint = c.thumbprint
WHERE d.name <> 'tempdb' /* tempdb is auto-encrypted by SQL Server */

?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????
? 数据库名称 ？加密器类型？open_date ? 姓名 ？cert_serial_number ? pvt_key_encryption_type_desc ？主题 ？
?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????
? 我的数据库？证书 ？2017-09-20 11:24:13.590？空值 ？空值 ？空值 ？空值 ？
?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????

所以，我可以在 中看到数据库加密密钥[my_db]，我可以看到它是由证书加密的，但证书不存在？

Answer 1

TDE 用来加密数据库加密密钥的证书实际上存储在master数据库中，而数据库又由database master key存储在master数据库中的密钥加密。

查看哪个证书用于解密my_dbTDE 加密数据库的查询应该是：

SELECT DatabaseName = d.name
    , ddek.encryptor_type
    , ddek.opened_date
    , c.name
    , c.cert_serial_number
    , c.pvt_key_encryption_type_desc
    , c.subject
FROM sys.dm_database_encryption_keys ddek
    INNER JOIN sys.databases d ON ddek.database_id = d.database_id
    LEFT JOIN master.sys.certificates c ON ddek.encryptor_thumbprint = c.thumbprint
WHERE d.name <> 'tempdb' /* tempdb is auto-encrypted by SQL Server */

请注意，唯一的变化是sys.certificates在master数据库中引用。

该查询的结果显示：

?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ？？？？？？？？？
? 数据库名称 ？加密器类型？open_date ? 证书名称 ? cert_serial_number ? pvt_key_encryption_type_desc ？证书主题 ?
?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ？？？？？？？？？
? 我的数据库？证书 ？2017-09-20 11:24:13.590？db_encryption_cert ？<已编辑> ? ENCRYPTED_BY_MASTER_KEY ？数据库加密证书？
?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ?????????????????????????????????????????????????????? ？？？？？？？？？

请注意，查询显示的证书是ENCRYPTED_BY_MASTER_KEY- 此处引用的主密钥是master数据库的主密钥。

为了恢复my_db到另一台服务器，您需要备份用于加密数据库的证书（及其私钥），然后将其恢复到目标 SQL Server。

这应该发生在源 SQL Server 上：

BACKUP CERTIFICATE db_encryption_cert
TO FILE = 'C:\db_encryption_cert'
WITH PRIVATE KEY (
    FILE = 'C:\db_encryption_cert_private_key'
    , ENCRYPTION BY PASSWORD = 'new private key password'
    );

将生成的证书文件和私钥及其密码存储在安全的异地文件系统上。

这应该发生在目标 SQL Server 上：

CREATE CERTIFICATE db_encryption_cert
FROM FILE = 'C:\db_encryption_cert'
WITH PRIVATE KEY (
    FILE = 'C:\db_encryption_cert_private_key'
    , DECRYPTION BY PASSWORD = 'new private key password'
    );

在目标服务器上创建证书后，您应该能够毫无问题地恢复数据库。

如果你正在准备容灾，并且打算能够恢复源SQL Server的主数据库等，你还应该备份服务主密钥和主数据库主密钥：

USE master;
GO
BACKUP SERVICE MASTER KEY 
TO FILE = 'C:\service_master_key'
ENCRYPTION BY PASSWORD = 'new service master key password';

BACKUP MASTER KEY
TO FILE = 'C:\master_database_master_key'
ENCRYPTION BY PASSWORD = 'new master database master key password';

这些密钥及其相关的加密密码应存储在场外的安全位置。