HCL AppScan Enterprise 中文文檔 10.0.1 安裝后任務—— 在 SQL Server Enterprise Edition 上啟用 TDE
在 SQL Server Enterprise Edition 上啟用 TDE
對 SQL Server 數據庫啟用透明數據加密
SQL Server 具有內置的加密 TDE（透明數據加密）機制，該機制對駐留在數據庫中或駐留在物理介質上的備份中的數據進行加密。
開始之前
TDE 僅在 Microsoft? SQL Server 2008 和更高版本的 Enterprise Edition 上可用。對于 Standard Edition 選項是 Microsoft Windows 的一個功能部件，它使您能夠以加密格式在硬盤上存儲信息。EFS 支持使用高級的標準密碼算法對文件進行透明加密和解密。如果您具有 SQL Server Standard Edition 2008、2008 SP3、2008 R2 SP2 、2012 和 2014，請使用此方法加密數據庫文件。”)。
關于此任務
要在 SQL Server 上啟用 TDE，您必須擁有與在主數據庫中創建數據庫主密鑰和證書相關聯的正常許可權。您還必須擁有對用戶數據庫的 CONTROL 許可權。
啟用加密對于數據庫管理員是一項常見任務；為了方便起見，我們提供了要使用的 SQL 腳本（適合于典型 SQL Server 配置）：EnableTDE.zip。（如果文件無法下載，請右鍵單擊鏈接并將文件保存到硬盤驅動器。）
注： 對于升級用戶：
- 要提高數據庫升級性能，請在數據庫升級完成后啟用 TDE。
- 盡管您可以隨時執行這些步驟，但是在完成這些步驟之前，將不會加密數據庫。在升級過程之前啟用 TDE 將在整個升級過程中以及此過程之后保護您的數據庫。
過程
打開您所安裝的 SQL Server 2008、2008R2、2012 或 2014 的 SQL Management Studio。
連接到您要加密的數據庫。這將有助于確保數據庫已創建并且可用。
轉至您下載了 EnableTDE.zip 文件的位置。解壓縮此文件并打開腳本（文件 > 打開 > 文件）。您將注意到將在服務器上執行的若干命令。
在執行腳本之前，必須針對您的環境設置三個字段。在腳本的注釋部分中，這些字段全部都標記為“ACTION REQUIRED”：
- DECLARE @MKPassword：用于在 [master] 數據庫中創建主密鑰的主密鑰密碼
- DECLARE *@DatabaseName *：要對其啟用加密的數據庫的名稱。
- (Optional) DECLARE @BackupPassword：證書備份密碼。此密碼用于保護證書備份，并且在其他機器上復原證書時需要此密碼。
在這些字段已更新之后，啟動腳本（查詢 > 執行）腳本如何在 SQL Server 上啟用 TDE。
在腳本已完成后，結果將顯示在 SQL Management Studio 的“消息”窗口中。
注： 您也可以通過 SQL Management Studio 進行驗證。右鍵單擊“數據庫名稱 -> 任務 -> 管理數據庫加密”。您將看到已選中“開啟數據庫加密”的復選框。
結果
重要： 完成后，確保寫下腳本中使用的密碼，并創建證書備份副本。證書備份包含兩個文件：AppScanEntCert.bak 和 AppScanEntCert.pvk。缺省情況下，這兩個文件將與數據庫 .mdf 文件一起存儲在以下文件夾中：
- (SQL 2014) C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA
- (SQL 2012) C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA
- (SQL 2008) C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA
- (SQL 2008 R2) C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\DATA
腳本如何在 SQL Server 上啟用 TDE
通過腳本，可方便地執行在用戶數據庫上配置 TDE 所需的端到端步驟。
根據需要創建主密鑰。
TDE 要求在 [master] 數據庫中創建主密鑰。各數據庫服務器只能具有一個在所有用戶數據庫之間共享的主密鑰。在此步驟中，必須在腳本內提供密碼。如果主密鑰尚不存在，那么將通過所提供的密碼來創建主密鑰。
打開主密鑰。
主密鑰必須打開才能執行后續步驟。此步驟確保在繼續之前主密鑰處于打開狀態。在數據庫服務器上已存在主密鑰的情況下，此步驟驗證輸入的密碼與用于初始創建主密鑰的密碼是否匹配。
創建“AppScan”證書。
將創建證書以供此數據庫服務器上的所有 AppScan? Enterprise 數據庫使用。該證書的名稱為“APPSCAN_ENT_CERT”。
一旦創建證書，便會立即將其備份。此步驟生成兩個文件：AppScanEntCert.bak 和 AppScanEntCert.pvk。文件與數據庫 .mdf 文件一起存儲在相關位置：
- (SQL 2014) C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA
- (SQL 2012) C:\Program Files\Microsoft SQL Server\MSSQL11.MSSQLSERVER\MSSQL\DATA
- (SQL 2008) C:\Program Files\Microsoft SQL Server\MSSQL10.MSSQLSERVER\MSSQL\DATA
- (SQL 2008 R2) C:\Program Files\Microsoft SQL Server\MSSQL10_50.MSSQLSERVER\MSSQL\DATA
將 AppScan 證書與 AppScan Enterprise 數據庫關聯。
此步驟根據步驟 3 中創建的證書在數據庫上創建加密密鑰。
啟用加密。
此步驟將對 AppScan 數據庫啟用加密。
測試并顯示結果
將向 SQL Management Studio 中的“消息”視圖輸出消息，指示先前步驟是否成功，并顯示 TDE 完成百分比。
將 TDE 保護的數據庫移至其他 SQL Server
當需要復原 TDE 保護的數據庫或將其移至其他服務器時，請遵循以下步驟進行操作。
開始之前
將此壓縮文件下載到 SQL Server 機器：RestoreDBCertificate.zip。（如果文件無法下載，請右鍵單擊鏈接并將文件保存到硬盤驅動器。）
過程
- 將在 對 SQL Server 數據庫啟用透明數據加密任務中創建的兩個證書文件（AppScanEntCert.bak 和 AppScanEntCert.pvk）復制到您機器上的某個位置（例如 C:\Certificate\）。
- 打開 SQL Server 2008 或 2012 安裝的 SQL Management Studio。
- 轉至已下載 RestoreTDECertificate.zip 文件的位置。解壓縮此文件并打開腳本（文件 > 打開 > 文件）。您將注意到將在服務器上執行的若干命令。
- 執行腳本之前，必須針對您的環境設置三個字段（在腳本的注釋部分中全部標記為“ACTION REQUIRED”）：
- DECLARE @MKPassword：用于在啟用了 TDE 的 [master] 數據庫中創建主密鑰的主密鑰密碼
- DECLARE @BackupPassword：用于備份證書的密碼（如果其與 @MKPassword 不同）
- DECLARE @Path：AppScanEntCert.bak 和 AppScanEntCert.pvk 這兩個文件復制到的位置的路徑
- 更新這些字段后，單擊查詢 > 執行以啟動腳本。
結果
在腳本已完成后，結果將顯示在 SQL Management Studio 的“消息”窗口中。如果您看到這個消息：“此證書已復原成功，您可以復原數據庫。”，那您應該可以在 SQL Server 中復原數據庫。
通過 EFS 加密、備份和復原 SQL Server 數據庫
加密文件系統 (EFS) 是 Microsoft? Windows? 的一個功能部件，它使您能夠以加密格式在硬盤上存儲信息。EFS 支持使用高級的標準密碼算法對文件進行透明加密和解密。如果您具有 SQL Server Standard Edition 2008、2008 SP3、2008 R2 SP2 、2012 和 2014，請使用此方法加密數據庫文件。
開始之前
此任務假設您：
為滿足以下條件的 SQL Server 服務選擇服務帳戶：
- 在已加密的數據庫及其備份的生存期內保持可用。
- 根據需要可用于在網絡中傳輸數據庫或其備份。
注：
- 此服務帳戶可以與用于 AppScan? Enterprise 的服務帳戶相同或不同。
- 使用一個服務帳戶登錄到 SQL Server 服務并加密通過該服務托管的任何數據庫。
- SQL Server 服務帳戶在這些指示信息中將稱為“服務帳戶”。
找到數據庫的文件路徑（如果不同于此處所列的缺省位置）。您將需要此信息以用于步驟 3。您可以通過打開 Microsoft SQL Server Management Studio 來查找缺省位置。右鍵單擊托管數據庫的 SQL Server。單擊屬性 > 數據庫設置 > 數據庫缺省位置。
關于此任務
運行配置向導之前，必須完成此過程；否則，將無法訪問數據庫。
過程
轉至開始 > 管理工具 > 服務，并停止用于托管要加密的 AppScan Enterprise 數據庫的 SQL Server 服務。缺省服務為 SQL Server (MSSQLSERVER)。
右鍵單擊服務的名稱以打開屬性對話框。在登錄選項卡上，選擇此帳戶，輸入服務帳戶的憑證，然后單擊確定。
在 Windows 資源管理器中，右鍵單擊數據庫所在的文件夾，然后轉至屬性 > 安全性為服務帳戶提供對 <databasename.mdf> 文件和父文件夾的讀取和執行以及讀取訪問權。
注： 已登錄的用戶的憑證將用于加密數據庫。如果您未以服務帳戶形式登錄，請立即進行登錄。
右鍵單擊包含 <databasename.mdf> 文件的文件夾，然后轉至屬性 > 常規 > 高級屬性。選中加密內容以便保護數據復選框并單擊確定。
注：
如果文件夾尚未加密，請在提示時選擇將更改應用于該文件夾、子文件夾和文件。如果在運行服務器配置向導后選擇此選項，那么不會加密數據庫。如果在運行服務器配置向導后將此過程應用于數據庫和對應的日志文件，那么數據庫可能會進入“恢復暫掛”狀態。然后，已加密數據庫在 SQL Server Management 工具和 AppScan Enterprise 中不可訪問。
在“服務”窗口中，啟動用于托管 AppScan Enterprise 數據庫的 SQL Server。
結果
DATA 文件夾 C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA（如果在 Microsoft SQL Server 2014 Standard 安裝期間使用了缺省值）加密后在 Windows 資源管理器中將顯示為綠色。在此過程后添加的任何數據庫（包括服務器配置向導創建的 AppScan Enterprise 數據庫）都會加密。
注： 只有對文件進行了加密的用戶才能將其解密。您可以在屬性 > 高級屬性窗口上的“詳細信息”部分中確定加密了特定文件的人員。已加密的數據庫的備份將不會自動加密。遵循備份和復原 EFS 加密的數據庫中的步驟進行操作。
備份和復原 EFS 加密的數據庫
您可將已加密的備份數據庫文件移至在同一 Windows 版本上托管的網絡共享位置以保留文件加密。可以從已加密的數據庫文件存儲所在的任何位置復原數據庫。當復原到 SQL Server 中時，該 Server 的服務應該是通過已加密數據庫的用戶的服務帳戶憑證來運行。但是，已復原的數據庫文件未加密，因此必須使用上述任務中的步驟將其加密。
過程
在 Windows 資源管理器中，展開數據庫備份所在的文件夾，然后為服務帳戶提供對 <databasename.bak> 文件的讀取和執行以及讀取訪問權。
注： 已登錄的用戶的憑證將用于加密數據庫。如果您未以服務帳戶形式登錄，請立即進行登錄。
右鍵單擊 <databasename.bak> 文件并轉至屬性 > 常規 > 高級 > 加密內容以便保護數據，然后單擊確定。
分離、加密并連接通過 EFS 加密的數據庫
可能在某些情況下，您不希望在數據庫加密期間停止 SQL Server 服務；例如，有若干數據庫在該服務上運行，并且您希望這些數據庫可用。您可以改為分離、加密并連接數據庫。
開始之前
必須使用“服務帳戶”來登錄到 SQL Server 服務以及對同一 SQL Server 上的任何其他數據庫進行加密。
過程
- 轉至開始 > 管理工具 > 服務，并停止用于托管要加密的 AppScan? Enterprise 數據庫的 SQL Server 服務。缺省服務為 SQL Server (MSSQLSERVER)。
- 右鍵單擊服務的名稱以打開屬性對話框。在登錄選項卡上，選擇此帳戶，輸入服務帳戶的憑證，然后單擊確定。
- 在“服務”窗口中，啟動用于托管 AppScan Enterprise 數據庫的 SQL Server。
- 在 Windows? 資源管理器中，右鍵單擊 <databasename.mdf> 文件并轉至屬性 > 常規 > 高級 > 加密內容以便保護數據，然后單擊確定。
- 打開 Microsoft? SQL Server Management Studio 并連接到為該數據庫提供服務的 SQL Server。
- 在“數據庫”樹下，右鍵單擊要加密的數據庫，然后單擊任務 > 分離。
- 在“分離數據庫”窗口中，如果有打開的連接，請選中斷開連接復選框，然后單擊確定。
- 在 Windows 資源管理器中，右鍵單擊 <databasename.mdf> 文件并轉至屬性 > 常規 > 高級 > 加密內容以便保護數據，然后單擊確定。
- 對 <databasename.ldf> 文件重復步驟 3 和 4。
- 在 Microsoft SQL Server Management Studio 中，右鍵單擊數據庫樹，然后選擇連接。
- 在“連接數據庫”窗口中，單擊添加，然后瀏覽至已加密的 <databasename.mdf> 文件。將其選定并單擊確定 > 確定
- 對 <databasename.ldf> 文件重復步驟 11。
推薦文章：