SQL Server数据库还原时如何隐藏打开主密钥的密码

这确实是SQL Server自动化运维里的典型安全痛点——把数据库主密钥（DMK）的密码明文写在脚本里，很容易造成泄露风险。下面给你几个可行的方案，帮你安全地处理这个问题：

1. 用SQL Server凭据加密存储密码 #

你可以创建一个加密的系统凭据来保存DMK的密码，然后在脚本中通过读取凭据来获取密码，完全避免明文暴露：

• 首先创建凭据（替换YourDMKPasswordHere为你的实际DMK密码）：

CREATE CREDENTIAL DMK_Encrypted_Credential
WITH IDENTITY = 'DMK_Password_Store',  -- 这个标识只是一个名称，可自定义
SECRET = 'YourDMKPasswordHere';

• 然后在自动化脚本里，通过系统视图读取凭据的密码，再执行DMK操作：

DECLARE @dmk_password NVARCHAR(128);
SELECT @dmk_password = CONVERT(NVARCHAR(128), secret)
FROM sys.credentials
WHERE name = 'DMK_Encrypted_Credential';

OPEN MASTER KEY DECRYPTION BY PASSWORD = @dmk_password;
ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY;
CLOSE MASTER KEY;

⚠️ 重要提醒：一定要严格限制这个凭据的访问权限，只给执行自动化脚本的SQL账户授予读取权限，别让无关人员能查到。

2. 结合SQL Server代理作业+代理账户 #

如果你的数据库还原是通过SQL Server Agent自动化执行的，建议创建一个专用的代理账户来处理DMK操作：

• 先按上面的步骤创建凭据，然后创建一个代理账户，把这个凭据关联到代理账户上；
• 在Agent作业的执行步骤里，指定用这个代理账户来运行DMK操作脚本，脚本里通过凭据获取密码，全程不用明文。
  这种方式能把权限控制得更细，减少密码泄露的可能。

3. 提前备份DMK并在目标实例预加密（适合提前规划的场景） #

如果在备份源数据库的时候你能提前操作，可以把DMK也备份出来，然后在目标实例上直接用目标实例的服务主密钥（SMK）加密，这样还原后就不用手动打开DMK了：

• 在源数据库备份DMK：

BACKUP MASTER KEY TO FILE = 'D:\Backup\MyDB_DMK.key'
ENCRYPTION BY PASSWORD = 'TempBackupPass123';  -- 临时备份密码，用完可丢弃

• 在目标实例还原数据库后，直接还原DMK并绑定到目标SMK：

RESTORE MASTER KEY FROM FILE = 'D:\Backup\MyDB_DMK.key'
DECRYPTION BY PASSWORD = 'TempBackupPass123'
ENCRYPTION BY SERVICE MASTER KEY;

这样后续这个数据库的DMK会自动用目标实例的SMK解密，再也不用手动输入密码了。

4. 用PowerShell加密存储密码（适合跨环境自动化） #

如果你的自动化是用PowerShell脚本驱动的，可以用Windows DPAPI加密存储密码，只有特定账户能解密：

• 先运行一次PowerShell命令，把DMK密码加密保存到文件（只有当前执行命令的Windows账户能解密）：

Read-Host "输入DMK密码" -AsSecureString | ConvertFrom-SecureString | Out-File "C:\Secure\DMK_Pass.txt"

• 然后在自动化脚本里读取加密密码，再执行SQL命令：

$encryptedPass = Get-Content "C:\Secure\DMK_Pass.txt" | ConvertTo-SecureString
$plainPass = [System.Net.NetworkCredential]::new("", $encryptedPass).Password

Invoke-SqlCmd -ServerInstance "YourSQLInstance" -Database "RestoredDB" -Query "OPEN MASTER KEY DECRYPTION BY PASSWORD = '$plainPass'; ALTER MASTER KEY ADD ENCRYPTION BY SERVICE MASTER KEY; CLOSE MASTER KEY;"

这种方式下，密码是以加密形式存在文件里的，其他账户就算拿到文件也解不开。

内容的提问来源于stack exchange，提问作者Rahul