SQL Server TDE: Certificate Kaybı, Master Key ve Veritabanı Kurtarma

-- 1. Yeni sunucuda Database Master Key oluşturun (yoksa)
USE master;
IF NOT EXISTS (SELECT * FROM sys.symmetric_keys WHERE name = '##MS_DatabaseMasterKey##')
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'GucluSifre123!_MasterKey_2026';
    BACKUP MASTER KEY TO FILE = 'D:\TDE_Backup\MasterKey.key'
    ENCRYPTION BY PASSWORD = 'GucluSifre123!_Backup_2026';
END

-- 2. Sertifikayı private key ile birlikte restore edin
CREATE CERTIFICATE TDECert_MyDB
FROM FILE = 'D:\TDE_Backup\TDECert_MyDB.cer'
WITH PRIVATE KEY (
  FILE = 'D:\TDE_Backup\TDECert_MyDB.pvk',
  DECRYPTION BY PASSWORD = 'GucluSifre123!_CertPrivKey_2026'
);

-- 3. Thumbprint doğrulaması yapın
SELECT name, thumbprint FROM sys.certificates WHERE name = 'TDECert_MyDB';

-- 4. Veritabanını kurtarın veya restore işlemini tamamlayın
RESTORE DATABASE MyDB_TDE FROM DISK = 'D:\Backups\MyDB_TDE.bak' WITH RECOVERY;
-- veya ALTER DATABASE MyDB_TDE SET ONLINE;

-- 1. Yeni sertifika oluşturun
USE master;
CREATE CERTIFICATE TDECert_MyDB_New
WITH SUBJECT = 'TDE Cert Renewed 2026-2028',
EXPIRY_DATE = '2028-11-05';

-- 2. Derhal yedekleyin!
BACKUP CERTIFICATE TDECert_MyDB_New
TO FILE = 'D:\TDE_Backup\TDECert_MyDB_New.cer'
WITH PRIVATE KEY (
  FILE = 'D:\TDE_Backup\TDECert_MyDB_New.pvk',
  ENCRYPTION BY PASSWORD = 'GucluSifre123!_New_2026'
);

-- 3. Veritabanı şifreleme anahtarını yeni sertifikaya geçirin
USE MyDB_TDE;
ALTER DATABASE ENCRYPTION KEY
ENCRYPTION BY SERVER CERTIFICATE TDECert_MyDB_New;

-- 4. Eski sertifikayı HEMEN SİLMEYİN! Eski transaction log yedekleri eski sertifikaya ihtiyaç duyar.
-- En az 90 gün sonra: DROP CERTIFICATE TDECert_MyDB_Old;

-- Key Vault bağlantısını kontrol edin
SELECT * FROM sys.dm_azure_key_vault_keys;

-- Asymmetric key'i yeniden oluşturun
CREATE ASYMMETRIC KEY TDE_AK_MyDB
FROM PROVIDER AzureKeyVault_EKM
WITH PROVIDER_KEY_NAME = 'TDEKey-MyDB', CREATION_DISPOSITION = OPEN_EXISTING;