想到TDE(Transparent Data Encryption)。
TDE MSDN 說明:
“透明數據加密”(TDE) 可對數據和日志文件執行實時 I/O 加密和解密。這種加密使用數據庫加密密鑰 (DEK)，該密鑰存儲在數據庫引導記錄中以供恢復時使用。DEK 是使用存儲在服務器的 master 數據庫中的證書保護的對稱密鑰，或者是由 EKM 模塊保護的非對稱密鑰。TDE 保護“處于休眠狀態”的數據，即數據和日志文件。它提供了遵從許多法律、法規和各個行業建立的準則的能力。軟件開發人員籍此可以使用 AES 和 3DES 加密算法來加密數據，且無需更改現有的應用程序。
其實吸引我的是“無需更改現有的應用程序”，因為我需要加密的庫服務于一個非常穩定的系統，而且這樣做所有事情DBA可控。
TDE加密體系結構：
測試過程：
復制代碼 代碼如下:
--創建主密鑰(Master Key)
USE master
GO
--DROP MASTER KEY
CREATE MASTER KEY ENCRYPTION BY PASSWORD=N'1qaz@WSX';
GO
--備份主密鑰
BACKUP MASTER KEY TO FILE=N'C:\master_key.cer'
ENCRYPTION BY PASSWORD=N'!QAZ2wsx'
GO
--創建基于主密鑰的證書。用于保護數據庫加密密鑰(Database Encryption Key)
--DROP CERTIFICATE SDB_Cert
CREATE CERTIFICATE SDB_Cert
WITH SUBJECT=N'Certificate for SecretDB'
go
--使用私鑰加密的方式備份主密鑰的證書
BACKUP CERTIFICATE SDB_Cert
TO FILE=N'C:\SDB_Cert.cer'
WITH PRIVATE KEY
(
FILE =N'C:\SDB_Cert.pvk',
ENCRYPTION BY PASSWORD='!QAZ2wsx'
)
GO
--創建測試庫SecretDB
USE master
GO
CREATE DATABASE SecretDB
GO
USE SecretDB
GO
CREATE TABLE SDB_TB
(ID INT,VAL NVARCHAR(20));
INSERT INTO SDB_TB
VALUES (1,N'A'),(2,N'B'),(3,N'C');
GO
USE SecretDB
go
--創建數據庫加密密鑰
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM=AES_128
ENCRYPTION BY SERVER CERTIFICATE SDB_Cert;
GO
--啟用數據庫加密
USE SecretDB
go
ALTER DATABASE SecretDB SET ENCRYPTION ON
go
--備份SecretDB,用于后續的異機還原測試
USE master
go
BACKUP DATABASE SecretDB TO DISK=N'D:\SecretDB.bak'
go
在完成這些后，SecretDB庫已經加密，并且得到其加密后的備份文件，接下來需要在另臺還原這個備份。
我把SecretDB.bak,SDB_Cert.cer,SDB_Cert.pvk拷到別一臺機。直接還原的話，會報錯。需要創建原來用于加密的證書來還原數據庫備份。我的目的達到了！
--在異機上恢復SecretDB的備份
USE master
GO
CREATE DATABASE SecretDB
GO
RESTORE DATABASE SecretDB
FROM DISK=N'D:\SecretDB.bak'
WITH REPLACE
GO
--消息 33111，級別 16，狀態 3，第 1 行
--找不到指紋為 '0x0106000000000009010000009C529FFD5C7FD72FD0AAE9EDF46C5F69946FFED0' 的服務器 證書。
--消息 3013，級別 16，狀態 1，第 1 行
--RESTORE DATABASE 正在異常終止。
創建證書并還原。
USE master
GO
CREATE CERTIFICATE SDB_Cert
FROM FILE=N'C:\SDB_Cert.cer'
WITH PRIVATE KEY
(
FILE=N'C:\SDB_Cert.pvk',
DECRYPTION BY PASSWORD=N'!QAZ2wsx'
)
GO
RESTORE DATABASE SecretDB
FROM DISK=N'D:\SecretDB.bak'
WITH REPLACE
GO
總結：
其實在做TDE前應該仔細閱讀BOL的說明：ms-help://MS.SQLCC.v10/MS.SQLSVR.v10.zh-CHS/s10de_4deptrbl/html/c75d0d4b-4008-4e71-9a9d-cee2a566bd3b.htm
其中說到：
如果使用 TDE 對數據庫進行加密，備份壓縮將無法顯著壓縮備份存儲。
復制不會以加密形式從啟用了 TDE 的數據庫中自動復制數據。如果您想保護分發和訂閱服務器數據庫，則必須單獨啟用 TDE。
某些限制和注意事項，會影響TDE的部署和使用。
