TDE使用的最佳实践

前提条件

注意事项

• 如果您使用阿里云提供的服务密钥，开通TDE后生成的备份不能直接恢复到本地。您可以参见TDE使用的最佳实践教程内的方案解决。

• 开启TDE后，会对数据库性能产生一定影响。具体体现如下：

  • 性能影响范围：根据微软官方文档，TDE对数据库总体性能影响约在3~5%之间。

  • 内存中数据的影响较小：如果访问的大部分数据已经被存储在内存中，TDE对性能的影响会明显降低。

  • CPU使用率和I/O的影响：TDE加密是一个CPU密集型过程，且在I/O上执行。

    当服务器或应用程序的I/O操作较少（低I/O负载）且CPU使用率本就不高时，TDE带来的性能下降会较小；相反对于高CPU使用率的应用程序而言，启用TDE将产生较大的性能损失（估计约为28%）。

    因此即使是高I/O的应用程序或服务器，如果CPU使用率足够低，性能也不会受到太大影响。

使用限制

• 开启TDE后，实例将不再支持2008 R2（高性能本地盘）升级为2012或2016操作。

• 开启TDE后，实例生成的备份数据可用于恢复到新实例（克隆实例），但不支持将备份数据恢复到已有实例；且无法用于在实例进入回收站后通过备份进行重建恢复。

操作步骤

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 在左侧菜单栏中单击数据安全性。

3. 在TDE页签单击未开通左边滑块。

   说明

   仅特定实例支持TDE功能，请参见前提条件。

4. 选择密钥类型，单击确定，开通TDE。

   使用自动生成的密钥

   选中需要加密的数据库，单击图标，并单击确定。

   在TDE 设置对话框中，依次完成以下操作：

   1. 在可选数据库面板中勾选目标数据库（如 zht_ssl）。

   2. 单击中间的向右箭头>按钮，将所选数据库移至已保护数据库面板。

   3. 单击确定。

   使用自带SQL Server密钥加密

   1. 上传证书及私钥文件到OSS。具体操作，请参见上传文件。

      上传文件到 OSS 的建议：

      • 单个文件建议通过 OSS 控制台上传。

      • 多个文件建议采用断点续传方式并调用 OSS OpenAPI。

      • 可利用客户端形式上传文件到 OSS。

   2. 单击下一步，配置密钥相关参数。

      参数	取值及说明
      OSS Bucket	选择上传证书及私钥文件所在的OSS Bucket。
      证书	选择您上传到OSS的证书文件。
      私钥	选择您上传到OSS的私钥文件。
      密码	输入您自有SQL Server密钥的密码。

   3. 单击下一步进入授权数据库。

      选中需要加密的数据库，单击图标，并单击确定。

      1. 在可选数据库面板中勾选需要加密的数据库（如 tb1 和 tb2）。

      2. 单击>按钮将所选数据库移至已保护数据库面板。

      3. 单击确定。

1. 访问RDS实例列表，在上方选择地域，然后单击目标实例ID。

2. 在左侧菜单栏中单击数据安全性。

3. 在TDE页签下，单击TDE设置。

4. 在对话框右侧的已保护数据库中，选中需要解除TDE加密的数据库，单击图标，并单击确定。

SELECT 
    db_name(database_id) AS DatabaseName, 
    encryption_state, 
    percent_complete 
FROM 
    sys.dm_database_encryption_keys;