TDE: Подготовка к использованию прозрачного шифрования

Контроль доступа к конфиденциальной информации, находящейся внутри базы данных на диске, это основная функция TDE. При этом гарантируется, что процесс шифрования данных не может быть изменен никем, кроме тех пользователей, у которых есть соответствующий доступ.

У каждой зашифрованной базы данных есть единственный уникальный главный ключ - DMK. Этот ключ создается и настраивается администратором и хранится в хранилище ключей отдельно от базы данных. Хранилище ключей - это независимый объект, который обеспечивает безопасное хранение ключей шифрования данных.

Шифрование объектов базы данных осуществляется с помощью, так называемых политик шифрования. Для их создания необходимо определить объекты базы данных, которые будут шифроваться, и выбрать нужный шифр для каждого такого объекта. Политики шифрования хранятся в базе данных в области с именем «Encryption Policy Area», которая должна быть создана заранее. Политики используют виртуальные ключи шифрования, которые формируются на основе DMK и указанного шифра. Ключ шифрования для каждого зашифрованного объекта базы данных всегда уникален. Схема процесса шифрования представлена на Рисунке 1.

Рисунок 1 Общая схема процесса шифрования