SQL सर्वर 2014 में बैकअप एन्क्रिप्शन

इस बार हम एक और सुधार के बारे में बात करेंगे जो एसक्यूएल सर्वर 2014 बैकअप बनाने के संदर्भ में प्रदान करता है, अर्थात् पूर्ण एन्क्रिप्शन की संभावना। एक पासवर्ड के साथ बैकअप की सुरक्षा करने की क्षमता ताकि गलत लोग समय से ठीक न हो सकें, और जो लोग लंबे समय से SQL सर्वर के साथ काम कर रहे हैं, उन्हें BACKUP कमांड के लिए PASSWORD विकल्प को याद रखना चाहिए। हालाँकि, इस पद्धति ने मजबूत सुरक्षा प्रदान नहीं की, और, जैसा कि mssqltips पर उल्लेख किया गया है , हालांकि यह सुरक्षा के स्तर को जोड़ता है यदि कोई व्यक्ति वास्तव में उन पासवर्ड को क्रैक करना चाहता है जो उन्हें एक रास्ता मिल जाएगा, तो अपने डेटा को सुरक्षित करने के लिए अतिरिक्त तरीके देखें । व्यवहार में, SQL Server 2008 TDE में प्रस्तुत बैकअप, अर्थात। इसका बैकअप बनाने से पहले डेटाबेस को पारदर्शी रूप से एन्क्रिप्ट किया गया था। इसलिए, SQL सर्वर 2012 से शुरू करते हुए, बैकअप बनाते समय PASSWORD और MEDIAPASSWORD मापदंडों का उपयोग नहीं किया जाता है । पासवर्ड का उपयोग करके बनाए गए बैकअप को पुनर्स्थापित करना संभव है।
हालांकि, डेटा एन्क्रिप्शन और बैकअप एन्क्रिप्शन उनके इच्छित उद्देश्य के लिए दो अलग-अलग परिदृश्य हैं। जाहिर है, जब एक बैकअप को अलग करते हुए, अच्छे रूप का नियम इसकी रक्षा करना है। उदाहरण के लिए, यदि हम संचार चैनलों या किसी अन्य तरीके से प्रसारण के दौरान एक रिसाव को खत्म करने के लिए आधार को दूसरे डेटा सेंटर में स्थानांतरित करते हैं। हालाँकि, एन्क्रिप्शन ओवरहेड की ओर इशारा करता है, और यदि डेटाबेस को स्थानीय डेटा सेंटर में सुरक्षित रूप से संग्रहीत किया जाता है, तो इसे केवल बैकअप बनाने के लिए एन्क्रिप्ट क्यों किया जाता है? सौभाग्य से, SQL सर्वर 2014 में यह दो स्वतंत्र प्रक्रियाएं बन गईं। डेटा एन्क्रिप्शन की तरह, एक बैकअप को एक प्रमाण पत्र या एक असममित कुंजी के आधार पर एन्क्रिप्ट किया जा सकता है। एन्क्रिप्शन एल्गोरिदम एईएस 128, एईएस 192, एईएस 256 और ट्रिपल डेस समर्थित हैं।

एक उदाहरण के रूप में, मैं स्थानीय SQL Server 2014 CTP2 पर अपने पसंदीदा एडवेंचरवर्क्स डेटाबेस का एक एन्क्रिप्टेड बैकअप बनाऊंगा और क्लाउड-आधारित वर्चुअल मशीन में इससे पुनर्प्राप्त करूंगा।
बैकअप की सुरक्षा के लिए, आपको एक एनक्रिप्शन बनाने की ज़रूरत है: एक असममित कुंजी या प्रमाण पत्र, जिसे तब लक्ष्य SQL सर्वर पर स्थानांतरित किया जाएगा, जहां बहाली होगी। ऐसा करने के लिए, एनकोडर को SQL सर्वर के स्रोत उदाहरण से निर्यात किया जाना चाहिए और लक्ष्य पर आयात किया जाना चाहिए। इस संबंध में प्रमाण पत्र के साथ कोई समस्या नहीं है। असममित कुंजी कठिन हैं। यह देखते हुए कि BACKUP ASYMMETRIC KEY कमांड अभी तक सामने नहीं आई है, और सममित कुंजी के विपरीत एक असममित कुंजी को डुप्लिकेट करना असंभव है, एकमात्र उचित तरीका SQL सर्वर के बाहर एक असममित कुंजी बनाना है, उदाहरण के लिए, sn.exe उपयोगिता का उपयोग करके, खींचें इसके अंदर, ASATEMMETRIC KEY ... FROM FILE = '.... sn' की तरह, स्रोत उदाहरण पर बैकअप को एन्क्रिप्ट करें, उसी स्नेक फ़ाइल से गंतव्य उदाहरण पर एक असममित कुंजी बनाएं, जिस पर एन्क्रिप्टेड बैकअप को पुनर्स्थापित करना है। असममित कुंजी के साथ बवासीर नहीं करने के लिए, इस उदाहरण में हम एक प्रमाण पत्र का उपयोग करेंगे, क्योंकि आदर्श रूप में यह एक ही सार्वजनिक / निजी कुंजी जोड़ी है।

एक सर्वर सर्टिफिकेट बनाएं जिसका उपयोग बैकअप को एन्क्रिप्ट करने के लिए किया जाएगा।

use master if exists (select 1 from sys.certificates where name = '') drop certificate  create certificate  with subject = '    ' 

लिपि १

चूँकि हमने किसी ENCRYPTION को निर्दिष्ट नहीं किया है, इसका मतलब है कि प्रमाणपत्र को डेटाबेस की मास्टर कुंजी द्वारा संरक्षित किया जाएगा, जो वास्तव में आवश्यक है। केवल एक मास्टर कुंजी के साथ हस्ताक्षरित प्रमाणपत्र बैकअप एन्क्रिप्ट करने के लिए उपयुक्त हैं। यदि आप प्रमाण पत्र की रक्षा करते हैं, उदाहरण के लिए, एक पासवर्ड (पासवर्ड द्वारा पासवर्ड = 'बहुत मजबूत पासवर्ड))
जब आप उनके बैकअप को एन्क्रिप्ट करने का प्रयास करते हैं, तो प्रमाणपत्र 'TestCert' त्रुटि का उपयोग नहीं कर सकता, क्योंकि इसकी निजी कुंजी मौजूद नहीं है या यह डेटाबेस मास्टर कुंजी द्वारा संरक्षित नहीं है।
एक नियमित रूप से एक एन्क्रिप्टेड बैकअप, डिस्क पर या एज़्योर स्टोरेज में पारंपरिक रूप से बनाया जा सकता है। बैकअप फ़ाइल को स्थानांतरित करने के साथ परेशान न करने के लिए, हम दूसरी विधि का उपयोग करेंगे, जिसे हमने नोट किया है <a href= पूरे habrahabr.ru/company/microsoft/blog/201568> में Windows Azure में SQL Server 2014 RTP2 डेटाबेस की बैकअप प्रतियां बनाना।

 if exists (select 1 from sys.credentials where name = '') drop credential  create credential  with identity= 'bakstorage' , secret = '<        ,      >' backup database AdventureWorks to url = 'http://bakstorage.blob.core.windows.net/container1/AdventureWorks2.bak' with credential = '' , format, compression, stats = 10 , encryption (algorithm = aes_256, server certificate = ) 

लिपि २


चित्र 1

यदि आपने पहले से ही एक ही कंटेनर में एक ही नाम के साथ बैकअप बनाया है, तो आपको एक त्रुटि (412) मिल सकती है वर्तमान में बूँद पर एक पट्टा है और अनुरोध में कोई लीज़ आईडी निर्दिष्ट नहीं किया गया था ... ऐसा इसलिए है क्योंकि इसे बनाते या पुनर्स्थापित करते समय Windows Azure बैकअप SQL सर्वर को एक विशेष पट्टे पर प्रदान करता है, जो कि बूँद तक विशेष पहुँच को अवरुद्ध करता है। बैकअप या पुनर्स्थापना प्रक्रिया के सफल समापन पर, पट्टा रद्द कर दिया जाता है। लेकिन अगर यह विफल हो जाता है या नेटवर्क विफलता होती है या कुछ और गलत हो जाता है, तो पट्टा लटका रहता है, जिससे बैकअप बूँद को ओवरराइट या हटाए जाने से रोका जा सकता है। सक्रिय किराए के साथ ब्लब्स को हटाने के लिए PowerShell स्क्रिप्ट यहां दी गई है । मैं इसे आसान करूंगा। चूंकि बैकअप वाले कंटेनर में और कुछ नहीं है, इसलिए मैं कंटेनर को हटा दूंगा और फिर से बनाऊंगा। यदि कंटेनर को एक ही नाम से बनाया गया है, तो आपको यह ध्यान रखना होगा कि नाम को मुक्त करने के लिए Windows Azure को कुछ मिनट लगेंगे।

SSMS GUI में भी ऐसा ही किया जा सकता है:


Fig.2


3 चित्र

स्क्रिप्ट 2 कमांड के निष्पादन पर, ऑर्डर किए गए कंटेनर में बैकअप के साथ एक बूँद बनती है:


चित्र 4

बेशक, बैकअप एन्क्रिप्शन पूरी तरह से लागू होता है जब डेटाबेस की बैकअप प्रतिलिपि क्लाउड में नहीं, बल्कि एक पारंपरिक स्थानीय फ़ाइल में बनाई जाती है। ऐसा करने के लिए, बैकअप डेटाबेस कमांड (स्क्रिप्ट 2) की पहली पंक्ति को बदलना चाहिए

 backup database AdventureWorks to disk = 'c:\Temp\AdventureWorks.bak' ... 

यह फ़ाइल SQL सर्वर के उदाहरण से देखी जानी चाहिए जिस पर हम इसे पुनर्स्थापित करने की योजना बनाते हैं। हमारे मामले में, यह क्लाउड वर्चुअल मशीन पर SQL सर्वर है। आप बैकअप फ़ाइल को इसे कॉपी कर सकते हैं, या इसे Azure Storage में अपलोड कर सकते हैं, बैकअप डेटाबेस को विभाजित कर सकते हैं ... दो चरणों में url करने के लिए: बैकअप डेटाबेस ... डिस्क पर और फिर बैकअप को बूँद कंटेनर में लोड करने के लिए। विजुअल स्टूडियो 2012 से हाथ से डाउनलोड किया जा सकता है | 2013 (सर्वर एक्सप्लोरर), जिस पर आपको सबसे पहले एज़्योर एसडीके स्थापित करने की आवश्यकता है।


चित्रा 5

हालाँकि, यह ध्यान में रखना चाहिए कि पुनर्स्थापना डेटाबेस ... url कमांड से (डायरेक्ट डेटाबेस रिकवरी Azure स्टोरेज से) केवल तभी किया जा सकता है जब यह बैकअप भी Storage में किया गया था। यदि बैकअप डिस्क पर किया गया था और फिर क्लाउड ब्लॉब के रूप में स्थानांतरित किया गया था, तो इसे गंतव्य सर्वर पर एक फ़ाइल में परिवर्तित करने और डेटाबेस से पुनर्स्थापित डेटाबेस ... डिस्क के रूप में पुनर्स्थापित करने की आवश्यकता होगी।

अब, बैकअप विधि की परवाह किए बिना, हमारे मामले में, SQL सर्वर पर जाएं, Windows Azure में वर्चुअल मशीन पर इंस्टॉल किया गया है। यह दूरस्थ डेस्कटॉप के माध्यम से किया जा सकता है या स्थानीय एसएसएमएस से इसे कनेक्ट कर सकता है, जैसा कि यहां वर्णित है ।


चित्रा 6

जहां 5555 क्लाउड वर्चुअल मशीन के अंतिम बिंदु पर सार्वजनिक टीसीपी पोर्ट है, जो 1433 के अनुरूप है


चित्र 7

विंडोज फ़ायरवॉल क्लाउड वर्चुअल में पूर्व-खोला गया


चित्र 8

हम इसे अज़ुरोव कहानी के लिए क्रेडिट के निर्माण पर दोहराते हैं, जैसे कि स्क्रिप्ट 2 के पहले भाग में:

 if exists (select 1 from sys.credentials where name = N'') drop credential  create credential  with identity= 'bakstorage' ... 

और उबरने की कोशिश कर रहा है

 restore database AdventureWorks from url = 'http://bakstorage.blob.core.windows.net/container1/AdventureWorks.bak' with replace, stats = 10, credential = 'AzureStorageCredential' 

लिपि ४

मैं आपको याद दिला दूं कि यदि यह बैकअप डिस्क में बनाया गया था, और फिर एज़्योर स्टोरेज में लोड किया गया है, तो इसे फिर से एक बेक फ़ाइल के रूप में प्रस्तुत किया जाना चाहिए और डिस्क से एडवेंचरवेट एडवेंचरवर्क्स को रन करना चाहिए।
दोनों ही मामलों में, हमें स्वाभाविक रूप से, एक गंदगी मिलती है, क्योंकि बैकअप एन्क्रिप्टेड है
Msg 33111, Level 16, State 3, Line 5
Cannot find server certificate with thumbprint '0...'.
Msg 3013, Level 16, State 1, Line 5
RESTORE DATABASE is terminating abnormally.


बैकअप के अलावा, रहस्य को गंतव्य सर्वर को प्रेषित किया जाना आवश्यक है, जिसके माध्यम से इसे एन्क्रिप्ट किया गया था। प्रमाणपत्रों के लिए, असममित कुंजियों के विपरीत, बैकअप / पुनर्स्थापना प्रमाणपत्र आदेश प्रदान किए जाते हैं। TDE के मामले में , स्रोत उदाहरण पर बैकअप प्रमाणपत्र को निजी कुंजी के साथ एक साथ निर्यात किया जाना चाहिए, अन्यथा एक त्रुटि सामने आती है:
Msg 15507, Level 16, State 30, Line 5
A key required by this operation appears to be corrupted.
Msg 3013, Level 16, State 1, Line 5
RESTORE DATABASE is terminating abnormally.


 backup certificate  to file = 'c:\Temp\BackupCert.cer' with private key (file = 'c:\Temp\BackupCert.pvk', encryption by password = 'Abra@Cadabra') 

लिपि ४

हम .cer और .pvk फ़ाइलों को गंतव्य सर्वर पर स्थानांतरित करते हैं और बैकअप से पुनर्प्राप्ति के लिए उस पर एक प्रमाण पत्र बनाते हैं। चूंकि वर्चुअल मशीन ताज़ा है, इसलिए आपको पहले मास्टर डेटाबेस के लिए एक मास्टर कुंजी बनाने की आवश्यकता है। जिस पासवर्ड से यह सुरक्षित है उसका सोर्स सर्वर पर मौजूद मास्टर की पासवर्ड से कोई लेना-देना नहीं है। संरक्षित सामग्री को स्थानांतरित करते समय एसक्यूएल सर्वर से एसक्यूएल सर्वर को किस कुंजी / प्रमाण पत्र की कहानी और कैसे हस्तांतरित किया जाए, इसकी जानकारी से विचलित न होने के लिए, मैं डेटाबेस मास्टर कीज का उपयोग करने वाले आर्टिकल माइग्रेटिंग SQL सर्वर डेटाबेस की सलाह देता हूं।

 use master create master key encryption by password = 'Passw0rd1' if exists (select 1 from sys.certificates where name = N'') drop certificate  create certificate  from file = 'c:\Temp\BackupCert.cer' with private key (file = 'c:\Temp\BackupCert.pvk', decryption by password = 'Abra@Cadabra') 

स्क्रिप्ट 5

उसके बाद हम डेटाबेस रिकवरी कमांड को दोहराते हैं और देखते हैं कि अब यह सफलतापूर्वक पूरा होता है:

 restore database AdventureWorks from disk = 'd:\Temp\AdventureWorks.bak' with move 'AdventureWorks2012_Data' to 'C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA\AdvnetureWorks_Data.mdf', move 'AdventureWorks2012_Log' to 'C:\Program Files\Microsoft SQL Server\MSSQL12.MSSQLSERVER\MSSQL\DATA\AdvnetureWorks_Log.ldf', replace, stats = 10 

लिपि ६


चित्र 9