Microsoft SQL Server 2016 実践シリーズ （HTML 版）
「SQL Server 2016 への移行とアップグレードの実践」

5.20　TDE（透過的なデータ暗号化）の移行

SQL Server 2008 からの新機能である TDE（透過的なデータ暗号化）を設定したデータベースは、master データベース内にあるサーバー証明書を利用した機能なので、移行を行うには、サーバー証明書の移行（バックアップと復元）も必要になります。

TDE を設定したデータベースのバックアップを、別のマシン（移行先の SQL Server 2016）でリストアしようとすると、次のようにエラーが発生します。

これは、サーバー証明書が存在しないので、リストアができないというエラーになっています。TDE では、バックアップ ファイルが持ち出されたとしても、別のマシンでは簡単にはリストアできないようにするために、サーバー証明書が利用されています。

◆ サーバー証明書の移行（バックアップとリストア）

サーバー証明書を移行するには、移行元の SQL Server で、次のように BACKUP CERTIFICATE ステートメントを利用して、サーバー証明書（と秘密キー）のバックアップを実行しておきます。

このステートメントでは、サーバー証明書をファイルへバックアップすることができ、WITH PRIVATE KEY オプションを付けることで、秘密キーもバックアップできます。このときに ENCRYPTION BY PASSWORD で指定するパスワードには、推測されにくい強固なパスワードを設定して、そのパスワードが簡単に漏れないように注意しておく必要があります。

バックアップしたファイル（サーバー証明書と秘密キー）は、移行先となる SQL Server 2016 に物理的にコピーして、次のように CREATE CERTIFICATE ステートメントを利用して、リストア（インポート）することができます。

サーバー証明書のリストア（ファイルからの作成）には、データベース マスター キーを作成しておく必要があるので、まずデータベース マスター キーを作成しています。

サーバー証明書のリストア時（CREATE CERTIFICATE ステートメントの実行時）には、DECRYPTION BY PASSWORD に、複合化のためのパスワードを、バックアップ時に指定したのと同じものを指定します。これで、サーバー証明書のリストアが完了です。

このように同じサーバー証明書がリストアされている環境であれば、透過的なデータ暗号化（TDE）を設定したデータベースをリストアして、データを参照することができるようになります。

その他、TDE の詳細（アーキテクチャなど）については、オンライン ブックの以下のトピックがお勧めです。

透過的なデータ暗号化（TDE）
http://msdn.microsoft.com/ja-jp/library/bb934049.aspx