创建加密数据库（译文）

10.5支持本地数据库加密（即Db2 native database encryption），但是目前文档还不够完善，没有提供具体的命令和参考配置以方便用户快速入手。

正如Db2信息中心所说，创建一个本地加密库，有两个必不可少的步骤：

1. 创建keystore文件
   

2. 使用'ENCRYPT'选项创建数据库

下面是具体的步骤及命令：

1. 创建keystore文件

1.1 使用stash文件创建keystore文件

$ /home2/db2ins35/sqllib/gskit/bin/gsk8capicmd_64 -keydb -create -db ccardskeystore.p12 -pw Str0ngPassw0rd -strong -type pkcs12 -stash

1.2 下面是创建的stash文件和keystore文件

/home2/db2ins35/tst_encrypt> ls -al

total 16

drwxr-xr-x 2 db2ins35 db2iadm 256 Nov 16 09:45 .

drwxr-xr-x 12 db2ins35 db2iadm 4096 Nov 16 09:45 ..

-rw------- 1 db2ins35 db2iadm 0 Nov 16 09:37 ccardskeystore.p12

-rw------- 1 db2ins35 db2iadm 129 Nov 16 09:37 ccardskeystore.sth

1.3 更新dbm cfg使用上上面创建的keystore文件：

/home2/db2ins35/tst_encrypt> db2 "update dbm cfg using keystore_type pkcs12 keystore_location /home2/db2ins35/tst_encrypt/ccardskeystore.p12"

DB20000I The UPDATE DATABASE MANAGER CONFIGURATION command completed

successfully.

/home2/db2ins35/tst_encrypt> db2 get dbm cfg | grep -i keystore

Keystore type (KEYSTORE_TYPE) = PKCS12

Keystore location (KEYSTORE_LOCATION) = /home2/db2ins35/tst_encrypt/ccardskeystore.p12

2. 使用'ENCRYPT'选项创建数据库

注意：

1) 使用'ENCRYPT'创建数据库时，Db2会自动为该数据库产生master key并加入到keystore文件

2) 目前不支持对现有数据的加密。如果要对一个现有的数据库加密，可以先备份，然后使用加密选项把备份恢复到一个新库。

2.1 创建加密数据库

/home2/db2ins35/tst_encrypt> db2 create db mydb encrypt

DB20000I The CREATE DATABASE command completed successfully.

2.2 你可以看到自动设置的ENCRLIB和ENCROPTS值：

/home2/db2ins35/tst_encrypt> db2 get db cfg for mydb | grep -i encr

Encryption Library for Backup (ENCRLIB) = libdb2encr.a

Encryption Options for Backup (ENCROPTS) = CIPHER=AES:MODE=CBC:KEY LENGTH=256

Encrypted database = YES

原文链接：
https://www.ibm.com/developerworks/community/blogs/IMSupport/entry/Hands_on_example_for_a_new_encrypted_database?lang=en