建立加密数据库（译文）

10.5支持本地数据库加密（即Db2 native database encryption），可是目前文档还不够完善，没有提供具体的命令和参考配置以方便用户快速入手。

正如Db2信息中心所说，建立一个本地加密库，有两个必不可少的步骤：

1. 建立keystore文件
   

2. 使用'ENCRYPT'选项建立数据库

下面是具体的步骤及命令：

1. 建立keystore文件

   1.1 使用stash文件建立keystore文件

        $ /home2/db2ins35/sqllib/gskit/bin/gsk8capicmd_64 -keydb -create -db ccardskeystore.p12 -pw Str0ngPassw0rd -strong -type pkcs12 -stash

   1.2 下面是建立的stash文件和keystore文件

/home2/db2ins35/tst_encrypt> ls -al

total 16

drwxr-xr-x    2 db2ins35 db2iadm         256 Nov 16 09:45 .

drwxr-xr-x   12 db2ins35 db2iadm        4096 Nov 16 09:45 ..

-rw-------    1 db2ins35 db2iadm           0 Nov 16 09:37 ccardskeystore.p12

-rw-------    1 db2ins35 db2iadm         129 Nov 16 09:37 ccardskeystore.sth

   1.3 更新dbm cfg使用上上面建立的keystore文件： 

/home2/db2ins35/tst_encrypt> db2 "update dbm cfg using keystore_type pkcs12 keystore_location /home2/db2ins35/tst_encrypt/ccardskeystore.p12"

DB20000I  The UPDATE DATABASE MANAGER CONFIGURATION command completed

successfully.

/home2/db2ins35/tst_encrypt> db2 get dbm cfg | grep -i keystore

Keystore type                           (KEYSTORE_TYPE) = PKCS12

Keystore location                   (KEYSTORE_LOCATION) = /home2/db2ins35/tst_encrypt/ccardskeystore.p12

2. 使用'ENCRYPT'选项建立数据库

注意：

1) 使用'ENCRYPT'建立数据库时，Db2会自动为该数据库产生master key并加入到keystore文件

2)  目前不支持对现有数据的加密。若是要对一个现有的数据库加密，能够先备份，而后使用加密选项把备份恢复到一个新库。

  2.1  建立加密数据库

 /home2/db2ins35/tst_encrypt> db2 create db mydb encrypt

DB20000I  The CREATE DATABASE command completed successfully.

 2.2  你能够看到自动设置的ENCRLIB和ENCROPTS值：

/home2/db2ins35/tst_encrypt> db2 get db cfg for mydb | grep -i encr

Encryption Library for Backup                 (ENCRLIB) = libdb2encr.a

Encryption Options for Backup                (ENCROPTS) = CIPHER=AES:MODE=CBC:KEY LENGTH=256

Encrypted database                                      = YES

原文连接：
https://www.ibm.com/developerworks/community/blogs/IMSupport/entry/Hands_on_example_for_a_new_encrypted_database?lang=en