Database Engine защищает данные при помощи иерархических уровней шифрования и инфраструктуры управления ключами. Каждый уровень защищает следующий за ним уровень шифрования, используя комбинацию сертификатов, асимметричных и симметричных ключей (рис. 12.1).

Главный сервисный ключ на рис. 12.1 задает ключ, который управляет всеми другими ключами и сертификатами. Сервисный главный ключ создается автоматически, когда вы инсталлируете Database Engine. Этот ключ зашифрован с использованием Windows Data Protection API (DPAPI).

Важным свойством сервисного главного ключа является то, что он управляется системой. Хотя системный администратор может выполнять некоторые задачи обслуживания, существует только одна задача, которая должна быть выполнена - копирование сервисного главного ключа, так что вы можете восстановить ключ при его разрушении.

Как вы можете видеть на рис. 12.1, главный ключ базы данных является корневым объектом шифрования для всех ключей, сертификатов и данных на уровне базы данных. Каждая база данных имеет один главный ключ базы данных, который создается при использовании оператора create master key. Поскольку главный ключ базы данных защищен главным сервисным ключом, для системы есть возможность автоматически дешифровать главный ключ базы данных.

Так как существует главный ключ базы данных, пользователи могут его использовать для создания пользовательских ключей, которые создаются и поддерживаются пользователями. Существуют три формы пользовательских ключей: симметричные ключи, асимметричные ключи и сертификаты. Следующие подразделы описывают пользовательские ключи.