Preparação TDE: backup de chave / certificado para restaurações

Estou trabalhando em um ambiente de desenvolvimento para entender melhor a TDEcriptografia. Eu tenho que trabalhar junto com backups e restaura em outro servidor. Com algumas perguntas, sei que preciso fazer backup do certificado com a chave privada correspondente.

USE master; 
GO 
BACKUP CERTIFICATE Test
TO FILE = 'C:\Test.cer'
WITH PRIVATE KEY
(FILE = 'C:\Test.pvk',
ENCRYPTION BY PASSWORD = 'Example12#')

Eles precisam ser movidos / restaurados no novo servidor no caso de uma falha. Há mais alguma coisa que eu precise fazer backup do servidor de origem que seria necessário no caso de precisar restaurar para outro servidor?

Também tem alguma sugestão sobre armazenamento de chave privada? Meu pensamento no momento é fazer backup do certificado, chave privada e senha em um banco de dados do KeePass que é copiado separadamente e replicado externamente.

Isso deixa a questão de onde fazer backup da chave privada do KeePass?

Se você deseja restaurar em um servidor diferente, poderá fazê-lo com o certificado, a chave privada e os arquivos de backup do banco de dados.

Quando um certificado é criado em qualquer banco de dados no SQL Server, ele faz parte de uma hierarquia de criptografia . O certificado no próprio banco de dados mestre contém apenas uma chave pública, que não precisa de proteção; no entanto, o banco de dados mestre também conterá uma chave privada separada, mas matematicamente relacionada, que precisa ser protegida. O método de proteger a chave privada é criptografá-la usando a chave mestre do banco de dados criada no banco de dados mestre antes da criação do certificado. A próxima camada na hierarquia de criptografia é que o DMK é criptografado pela chave mestra de serviço. Há apenas um SMK no sistema e ele está no banco de dados mestre.

Mesmo que você não precise do DMK e do SMK para restaurar um backup criptografado para outro servidor, eu faria o backup dessas duas chaves de qualquer maneira, pois isso torna a recuperação muito mais flexível.

Quando você restaura o certificado de criptografia de backup no banco de dados mestre, o que acontece nos bastidores é que a chave privada é lida no arquivo, descriptografada usando a senha fornecida no comando restore e depois criptografada usando a chave mestra do banco de dados e salva. Como você sabe, a chave privada do certificado pode ser usada para descriptografar a Chave de Criptografia de Banco de Dados no arquivo de backup e restaurar com êxito o banco de dados.

Não tenho uma recomendação específica para armazenar o certificado e os arquivos de backup da chave, mas eles precisam estar disponíveis para você e para quem faz a recuperação de desastres em sua organização.

No livro de Denny Cherry, Protegendo o SQL Server, encontrei uma prática recomendada de segurança para fazer backup dos certificados:

• Grave os backups de certificado em dois CDs diferentes
• Coloque cada CD em um envelope lacrado e assinado
• Marque o envelope com o qual esses certificados são para o sistema
• Coloque um CD no escritório seguro do gerente da empresa
• Armazene o segundo CD fora do local em outro local seguro