CREATE MASTER KEY (Transact-SQL) CREATE MASTER KEY (Transact-SQL)

Применимо к: Applies to: SQL Server SQL Server (все поддерживаемые версии) SQL Server SQL Server (all supported versions) База данных SQL Azure Azure SQL Database База данных SQL Azure Azure SQL Database Управляемый экземпляр SQL Azure Azure SQL Managed Instance Управляемый экземпляр SQL Azure Azure SQL Managed Instance Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Параллельное хранилище данных Parallel Data Warehouse Параллельное хранилище данных Parallel Data Warehouse Применимо к: Applies to: SQL Server SQL Server (все поддерживаемые версии) SQL Server SQL Server (all supported versions) База данных SQL Azure Azure SQL Database База данных SQL Azure Azure SQL Database Управляемый экземпляр SQL Azure Azure SQL Managed Instance Управляемый экземпляр SQL Azure Azure SQL Managed Instance Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Параллельное хранилище данных Parallel Data Warehouse Параллельное хранилище данных Parallel Data Warehouse

Создает главный ключ базы данных в базе данных master. Creates a database master key in the master database.

Синтаксические обозначения в Transact-SQL Transact-SQL Syntax Conventions

Синтаксис Syntax

Ссылки на описание синтаксиса Transact-SQL для SQL Server 2014 и более ранних версий, см. в статье Документация по предыдущим версиям. To view Transact-SQL syntax for SQL Server 2014 and earlier, see Previous versions documentation.

Аргументы Arguments

PASSWORD =’password‘ — это пароль, используемый для шифрования главного ключа базы данных. PASSWORD =’password‘ Is the password that is used to encrypt the master key in the database. password должен соответствовать требованиям политики паролей Windows применительно к компьютеру, на котором запущен экземпляр SQL Server SQL Server . password must meet the Windows password policy requirements of the computer that is running the instance of SQL Server SQL Server . Аргумент password является необязательным в База данных SQL SQL Database и Azure Synapse Analytics Azure Synapse Analytics . password is optional in База данных SQL SQL Database and Azure Synapse Analytics Azure Synapse Analytics .

Remarks Remarks

Главный ключ базы данных — это симметричный ключ, который применяется для защиты закрытых ключей сертификатов и асимметричный ключей, которые есть в базе данных. The database master key is a symmetric key used to protect the private keys of certificates and asymmetric keys that are present in the database. При создании этот главный ключ зашифровывается с помощью алгоритма AES_256 и предоставленного пользователем пароля. When it is created, the master key is encrypted by using the AES_256 algorithm and a user-supplied password. В SQL Server 2008 SQL Server 2008 и SQL Server 2008 R2 SQL Server 2008 R2 используется алгоритм Triple DES. In SQL Server 2008 SQL Server 2008 and SQL Server 2008 R2 SQL Server 2008 R2 , the Triple DES algorithm is used. Чтобы обеспечить возможность автоматического расшифровывания главного ключа, его копия шифруется с помощью главного ключа службы и хранится в текущей базе данных и базе данных master. To enable the automatic decryption of the master key, a copy of the key is encrypted by using the service master key and stored in both the database and in master. Как правило, копия, которая хранится в базе данных master, обновляется без взаимодействия с пользователем при каждом изменении главного ключа. Typically, the copy stored in master is silently updated whenever the master key is changed. Это действие, заданное по умолчанию, можно изменить с помощью параметра DROP ENCRYPTION BY SERVICE MASTER KEY инструкции ALTER MASTER KEY. This default can be changed by using the DROP ENCRYPTION BY SERVICE MASTER KEY option of ALTER MASTER KEY. Главный ключ, который не зашифрован с помощью главного ключа службы, следует открывать с помощью инструкции OPEN MASTER KEY и пароля. A master key that is not encrypted by the service master key must be opened by using the OPEN MASTER KEY statement and a password.

Столбец is_master_key_encrypted_by_server в представлении каталога sys.databases базы данных master показывает, зашифрован ли главный ключ базы данных с помощью главного ключа службы. The is_master_key_encrypted_by_server column of the sys.databases catalog view in master indicates whether the database master key is encrypted by the service master key.

Сведения о главном ключе базы данных доступны в представлении каталога sys.symmetric_keys. Information about the database master key is visible in the sys.symmetric_keys catalog view.

Для SQL Server и Parallel Data Warehouse главный ключ обычно защищен с помощью главного ключа службы и по меньшей мере одного пароля. For SQL Server and Parallel Data Warehouse, the master key is typically protected by the service master key and at least one password. При физическом перемещении на другой сервер (доставка журналов, восстановление резервной копии и т. д.) база данных будет содержать копию главного ключа, зашифрованную с помощью главного ключа службы сервера-источника (если это шифрование не было явным образом удалено с помощью ALTER MASTER KEY DDL ), и его копию, зашифрованную с помощью каждого пароля, указанного во время операции CREATE MASTER KEY или последующих операций ALTER MASTER KEY DDL . In case of the database being physically moved to a different server (log shipping, restoring backup, etc.), the database will contain a copy of the master key encrypted by the original server service master key (unless this encryption was explicitly removed using ALTER MASTER KEY DDL ), and a copy of it encrypted by each password specified during either CREATE MASTER KEY or subsequent ALTER MASTER KEY DDL operations. Чтобы восстановить главный ключ и все данные, зашифрованные с его помощью в качестве корневого в иерархии ключей, после перемещения базы данных, пользователю потребуется использовать инструкцию OPEN MASTER KEY с одним из паролей, использовавшихся для защиты главного ключа, восстановить резервную копию главного ключа или резервную копию исходного главного ключа службы на новом сервере. In order to recover the master key, and all the data encrypted using the master key as the root in the key hierarchy after the database has been moved, the user will have either use OPEN MASTER KEY statement using one of the passwords used to protect the master key, restore a backup of the master key, or restore a backup of the original service master key on the new server.

Для База данных SQL SQL Database и Azure Synapse Analytics Azure Synapse Analytics защита паролем не считается надежным механизмом безопасности для предотвращения потери данных в случае, когда база данных перемещается с одного сервера на другой, так как защитой главного ключа службы в главном ключе управляет платформа Microsoft Azure. For База данных SQL SQL Database and Azure Synapse Analytics Azure Synapse Analytics , the password protection is not considered to be a safety mechanism to prevent a data loss scenario in situations where the database may be moved from one server to another, as the Service Master Key protection on the Master Key is managed by Microsoft Azure platform. Таким образом, пароль главного ключа является необязательным в База данных SQL SQL Database и Azure Synapse Analytics Azure Synapse Analytics . Therefore, the Master Key password is optional in База данных SQL SQL Database and Azure Synapse Analytics Azure Synapse Analytics .

Следует создать резервную копию главного ключа с помощью инструкции BACKUP MASTER KEY и хранить ее в безопасном месте вне данного веб-сайта. You should back up the master key by using BACKUP MASTER KEY and store the backup in a secure, off-site location.

Главный ключ службы и главный ключ базы данных защищаются алгоритмом шифрования AES-256. The service master key and database master keys are protected by using the AES-256 algorithm.

Разрешения Permissions

Требует разрешения CONTROL для базы данных. Requires CONTROL permission on the database.

Примеры Examples

В следующем примере создается главный ключ для базы данных master . Use the following example to create a database master key in the master database. Ключ зашифрован с помощью пароля 23987hxJ#KL95234nl0zBe . The key is encrypted using the password 23987hxJ#KL95234nl0zBe .

OPEN MASTER KEY (Transact-SQL) OPEN MASTER KEY (Transact-SQL)

Применимо к: Applies to: SQL Server SQL Server (все поддерживаемые версии) SQL Server SQL Server (all supported versions) База данных SQL Azure Azure SQL Database База данных SQL Azure Azure SQL Database Управляемый экземпляр SQL Azure Azure SQL Managed Instance Управляемый экземпляр SQL Azure Azure SQL Managed Instance Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Параллельное хранилище данных Parallel Data Warehouse Параллельное хранилище данных Parallel Data Warehouse Применимо к: Applies to: SQL Server SQL Server (все поддерживаемые версии) SQL Server SQL Server (all supported versions) База данных SQL Azure Azure SQL Database База данных SQL Azure Azure SQL Database Управляемый экземпляр SQL Azure Azure SQL Managed Instance Управляемый экземпляр SQL Azure Azure SQL Managed Instance Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Azure Synapse Analytics Параллельное хранилище данных Parallel Data Warehouse Параллельное хранилище данных Parallel Data Warehouse

Открывает главный ключ текущей базы данных. Opens the Database Master Key of the current database.

Синтаксические обозначения в Transact-SQL Transact-SQL Syntax Conventions

Синтаксис Syntax

Этот синтаксис не поддерживается бессерверным пулом SQL в Azure Synapse Analytics. This syntax is not supported by serverless SQL pool in Azure Synapse Analytics.

Ссылки на описание синтаксиса Transact-SQL для SQL Server 2014 и более ранних версий, см. в статье Документация по предыдущим версиям. To view Transact-SQL syntax for SQL Server 2014 and earlier, see Previous versions documentation.

Аргументы Arguments

‘password‘ ‘password‘
Пароль, которым был зашифрован главный ключ базы данных. The password with which the Database Master Key was encrypted.

Комментарии Remarks

Если главный ключ базы данных был зашифрован с помощью главного ключа службы, то он автоматически будет открываться при необходимости расшифровать или зашифровать ключ. If the database master key was encrypted with the service master key, it will be automatically opened when it is needed for decryption or encryption. В этом случае инструкцию OPEN MASTER KEY использовать не нужно. In this case, it is not necessary to use the OPEN MASTER KEY statement.

При первом присоединении базы данных к новому экземпляру SQL Server SQL Server или ее восстановлении копия главного ключа базы данных (зашифрованная главным ключом службы) еще не хранится на сервере. When a database is first attached or restored to a new instance of SQL Server SQL Server , a copy of the database master key (encrypted by the service master key) is not yet stored in the server. Необходимо расшифровать главный ключ базы данных с помощью инструкции OPEN MASTER KEY. You must use the OPEN MASTER KEY statement to decrypt the database master key (DMK). Как только главный ключ базы данных будет расшифрован, появится возможность разрешить автоматическую расшифровку в будущем с помощью инструкции ALTER MASTER KEY REGENERATE, чтобы оставить на сервере копию главного ключа базы данных, зашифрованного с помощью главного ключа службы. Once the DMK has been decrypted, you have the option of enabling automatic decryption in the future by using the ALTER MASTER KEY REGENERATE statement to provision the server with a copy of the DMK, encrypted with the service master key (SMK). После обновления базы данных с переходом от более ранней версии главный ключ базы данных должен быть создан повторно для использования нового алгоритма шифрования AES. When a database has been upgraded from an earlier version, the DMK should be regenerated to use the newer AES algorithm. Дополнительные сведения о повторном создании главного ключа базы данных см. в статье ALTER MASTER KEY (Transact-SQL). For more information about regenerating the DMK, see ALTER MASTER KEY (Transact-SQL). Время, необходимое для повторного создания главного ключа базы данных с обновлением до алгоритма шифрования AES, зависит от числа объектов, защищаемых главным ключом базы данных. The time required to regenerate the DMK key to upgrade to AES depends upon the number of objects protected by the DMK. Повторное создание главного ключа базы данных с обновлением до алгоритма шифрования AES необходимо произвести только один раз. Это никак не повлияет на последующие операции повторного создания, выполняемые в соответствии со стратегией смены ключей. Regenerating the DMK key to upgrade to AES is only necessary once, and has no impact on future regenerations as part of a key rotation strategy.

При помощи инструкции ALTER MASTER KEY с параметром DROP ENCRYPTION BY SERVICE MASTER KEY можно запретить автоматическое управление главным ключом определенной базы данных. You can exclude the Database Master Key of a specific database from automatic key management by using the ALTER MASTER KEY statement with the DROP ENCRYPTION BY SERVICE MASTER KEY option. После этого необходимо явно открыть главный ключ базы данных с помощью пароля. Afterward, you must explicitly open the Database Master Key with a password.

При откате транзакции, в которой главный ключ базы данных был явно открыт, этот ключ останется открытым. If a transaction in which the Database Master Key was explicitly opened is rolled back, the key will remain open.

Разрешения Permissions

Требует разрешения CONTROL для базы данных. Requires CONTROL permission on the database.

Примеры Examples

В приведенном далее примере открывается главный ключ базы данных AdventureWorks2012 , зашифрованный с помощью пароля. The following example opens the Database Master Key of the AdventureWorks2012 database, which has been encrypted with a password.

Примеры: Azure Synapse Analytics Azure Synapse Analytics и Параллельное хранилище данных Parallel Data Warehouse Examples: Azure Synapse Analytics Azure Synapse Analytics and Параллельное хранилище данных Parallel Data Warehouse

В приведенном далее примере открывается база данных master, зашифрованная с помощью пароля. The following example opens the database master, which has been encrypted with a password.