Procedura: Impostazione del mirroring del database per l'utilizzo di certificati per le connessioni in uscita (Transact-SQL)

1. Nel database master creare la chiave master del database, se non è già presente. Per visualizzare le chiavi esistenti per un database, utilizzare la vista del catalogo sys.symmetric_keys.

   Per creare la chiave master del database, utilizzare il comando Transact-SQL seguente:

   CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<1_Strong_Password!>';
   GO
   

   Utilizzare una password complessa univoca e archiviarla in una posizione sicura.

   Per ulteriori informazioni, vedere CREATE MASTER KEY (Transact-SQL) e Procedura: Creazione della chiave master di un database.

2. Nel database master creare un certificato crittografato nell'istanza del server da utilizzare per le connessioni in uscita per il mirroring del database.

   Per creare, ad esempio, un certificato per il sistema HOST_A:

   Importante

   Se si intende usare il certificato per più di un anno, specificare la data di scadenza nel formato ora UTC utilizzando l'opzione EXPIRY_DATE nell'istruzione CREATE CERTIFICATE. Inoltre, si raccomanda di utilizzare SQL Server Management Studio per creare una regola di gestione basata su criteri per ricevere l'avviso di scadenza dei certificati. Usando la finestra di dialogo Crea nuova condizione di Gestione criteri, creare questa regola nel campo @ExpirationDate del facet Certificato. Per ulteriori informazioni, vedere Amministrazione di server tramite la gestione basata su criteri, Esercitazione: Amministrazione di server tramite la gestione basata su criteri e Sicurezza di SQL Server.

   USE master;
   CREATE CERTIFICATE HOST_A_cert 
      WITH SUBJECT = 'HOST_A certificate for database mirroring', 
      EXPIRY_DATE = '11/30/2013';
   GO
   

   Per ulteriori informazioni, vedere CREATE CERTIFICATE (Transact-SQL).

   Per visualizzare i certificati nel database master, utilizzare le istruzioni Transact-SQL seguenti:

   USE master;
   SELECT * FROM sys.certificates;
   

   Per ulteriori informazioni, vedere sys.certificates (Transact-SQL).

3. Verificare che in ognuna delle istanze del server sia presente l'endpoint del mirroring del database.

   Se per l'istanza del server è già presente un endpoint del mirroring del database, riutilizzare tale endpoint per tutte le altre sessioni avviate nella stessa istanza. Per determinare se in un'istanza del server è presente un endpoint del mirroring del database e per visualizzarne la configurazione, utilizzare l'istruzione seguente:

   SELECT name, role_desc, state_desc, connection_auth_desc, encryption_algorithm_desc 
      FROM sys.database_mirroring_endpoints;
   

   Se non sono presenti endpoint, creare un endpoint che utilizzi questo certificato per le connessioni in uscita e che utilizzi le credenziali del certificato per la verifica nell'altro sistema. Si tratta di un endpoint valido per l'intero server, utilizzato da tutte le sessioni di mirroring a cui partecipa l'istanza del server.

   Per creare, ad esempio, un endpoint del mirroring per l'istanza del server di esempio in HOST_A.

   CREATE ENDPOINT Endpoint_Mirroring
      STATE = STARTED
      AS TCP (
         LISTENER_PORT=7024
         , LISTENER_IP = ALL
      ) 
      FOR DATABASE_MIRRORING ( 
         AUTHENTICATION = CERTIFICATE HOST_A_cert
         , ENCRYPTION = REQUIRED ALGORITHM AES
         , ROLE = ALL
      );
   GO
   

   Per ulteriori informazioni, vedere CREATE ENDPOINT (Transact-SQL).

4. Eseguire il backup del certificarlo e copiarlo nell'altro o negli altri sistemi. Si tratta di un'operazione necessaria per configurare le connessioni in ingresso nell'altro sistema.

   BACKUP CERTIFICATE HOST_A_cert TO FILE = 'C:\HOST_A_cert.cer';
   GO
   

   Per ulteriori informazioni, vedere BACKUP CERTIFICATE (Transact-SQL).

   Copiare questo certificato utilizzando un metodo che ne garantisca la protezione. Fare molta attenzione a garantire la protezione dei certificati.

Tramite il codice di esempio del passaggio precedente vengono configurate le connessioni in uscita in HOST_A.

A questo punto, è necessario eseguire i passaggi equivalenti per la configurazione delle connessioni in uscita per HOST_B. Questi passaggi sono illustrati nella sezione Esempio seguente.