Déplacement d'une base de données protégée par le chiffrement transparent des données vers un autre SQL Server

Dans l'éditeur de requête, entrez les commandes Transact-SQL suivantes pour créer une clé principale de base de données et un certificat dans la base de données master.

Remarque relative à la sécurité
Remplacez les astérisques par un mot de passe. N'utilisez pas de mot de passe vide. Utilisez un mot de passe fort.

USE master ;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '**************';
GO
CREATE CERTIFICATE TestSQLServerCert 
WITH SUBJECT = 'Certificate to protect TDE key'
GO

Créez une sauvegarde du certificat de serveur dans la base de données master. Si le certificat utilisé pour protéger la clé de chiffrement de base de données est perdu, vous ne serez pas en mesure d'accéder aux données d'une base de données protégée par le chiffrement transparent des données. L'exemple suivant stocke la sauvegarde du certificat et le fichier de clé privée, dans l'emplacement par défaut des données de cette instance de SQL Server (C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA).

Remarque relative à la sécurité
Vous devez conserver des copies du fichier de certificat et du fichier de clé privée pour permettre la récupération du certificat. Le mot de passe de la clé privée ne doit pas forcément être le même que le mot de passe de la clé principale de la base de données.

BACKUP CERTIFICATE TestSQLServerCert 
TO FILE = 'TestSQLServerCert'
WITH PRIVATE KEY 
(
    FILE = 'SQLPrivateKeyFile',
    ENCRYPTION BY PASSWORD = '**************'
);
GO

Créez une base de données à protéger par le chiffrement transparent des données.

CREATE DATABASE CustRecords ;
GO

Basculez sur la nouvelle base de données. Créez une clé de chiffrement de base de données, protégée par le certificat de serveur dans la base de données master. Modifiez ensuite la nouvelle base de données pour chiffrer la base de données à l'aide du chiffrement transparent des données.

USE CustRecords;
GO
CREATE DATABASE ENCRYPTION KEY
WITH ALGORITHM = AES_128
ENCRYPTION BY SERVER CERTIFICATE TestSQLServerCert;
GO
ALTER DATABASE CustRecords
SET ENCRYPTION ON;
GO

Créez une table simple. Introduisez les données dans la table puis faites une sélection dans la table pour tester la base de données.

CREATE TABLE CustomerRecord
    (CustomerID int PRIMARY KEY,
    SecretData nvarchar(100) NOT NULL) ;
GO
INSERT CustomerRecord (CustomerID,SecretData)
VALUES (23997, 'Plain text data') ;
GO
SELECT CustomerID, SecretData FROM CustomerRecord ;
GO

Détachez du serveur source la base de données protégée par le chiffrement transparent des données.

USE master ;
GO
EXEC master.dbo.sp_detach_db @dbname = N'CustRecords';
GO

À l'aide de l'Explorateur Windows, déplacez ou copiez les fichiers de base de données depuis le serveur source vers le même emplacement sur le serveur de destination.

À l'aide de l'Explorateur Windows, déplacez ou copiez la sauvegarde du certificat de serveur et le fichier de clé privée depuis le serveur source vers le même emplacement sur le serveur de destination. Dans notre exemple, ces fichiers sont stockés dans le dossier de données par défaut dans C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA.

Créez une clé principale de base de données sur l'instance de destination de SQL Server. Le mot de passe ne doit pas forcément être le même que le serveur source.

USE master;
GO
CREATE MASTER KEY ENCRYPTION BY PASSWORD = '**************';
GO

Recréez le certificat de serveur à l'aide du fichier de sauvegarde du certificat de serveur d'origine. Le mot de passe doit être le même que le mot de passe qui a été utilisé lorsque la sauvegarde a été créée.

CREATE CERTIFICATE TestSQLServerCert 
FROM FILE = 'TestSQLServerCert'
WITH PRIVATE KEY 
(
    FILE = 'SQLPrivateKeyFile',
    DECRYPTION BY PASSWORD = '**************'
);
GO

Attachez la base de données déplacée. Le chemin d'accès des fichiers de base de données doit correspondre à l'emplacement dans lequel vous avez stocké les fichiers de base de données.

CREATE DATABASE [CustRecords] ON 
( FILENAME = N'C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA\CustRecords.mdf' ),
( FILENAME = N'C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA\CustRecords_log.LDF' )
FOR ATTACH ;
GO

Testez l'accès à la base de données en sélectionnant des données de la table.

USE CustRecords ;
GO
SELECT CustomerID, SecretData FROM CustomerRecord ;
GO

[Haut de la page]