TDE使用的最佳实践

TDE加密在计算机各个层级的体现大致如下：

步骤一：关闭TDE

在RDS控制台实例详情页的数据安全性页面中，将想要备份的数据库从TDE功能中移除。

SELECT 
    db_name(database_id) AS DatabaseName, 
    encryption_state, 
    percent_complete 
FROM 
    sys.dm_database_encryption_keys;

步骤二：执行一次全量备份

关闭TDE后，还存在部分未解密的事务日志，此时下载的备份文件仍处于加密状态，无法直接用于恢复，因此在关闭TDE后还需再完成一次全量备份。更多信息，请参见Database Encryption in SQL Server 2008 Enterprise Edition。

您可以手动备份生成一个全量备份。具体操作，请参见手动备份SQL Server。

步骤三：下载备份并恢复到本地

在RDS实例详情页的备份恢复页面中将最新生成的全量备份下载到本地，再使用压缩包中的.bak文件自行恢复即可。下载方法，请参见下载备份。

步骤一：创建主密钥

首先使用自定义的密码在目标服务器实例上的master库中创建数据库主密钥，密码无需与源服务器中用于创建主密钥的密码相同。

以下SQL会先检查目标服务器实例中是否已存在主密钥，如果已存在则不会创建新的主密钥，您直接执行步骤二即可；如果不存在则会创建新密钥。

USE master; 
GO 
IF NOT EXISTS (SELECT * FROM sys.symmetric_keys WHERE symmetric_key_id = 101)
BEGIN
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YourPassword'; --此处自定义密码
END;

步骤二：创建证书

使用开启TDE时自带的证书和私钥创建证书，并应用到目标服务器实例。

USE MASTER;
GO
CREATE CERTIFICATE TDE_Certificate
FROM FILE = 'C:\cert\tde_cert.cer' --此处修改为证书实际路径
WITH PRIVATE KEY (FILE = 'C:\cert\tde_privatekey.pvk', --此处修改为私钥实际路径
DECRYPTION BY PASSWORD = 'YourTDEPassword' ); --此处修改为实际密码

步骤三：下载备份并恢复到本地

在RDS实例详情页的备份恢复页面中找到目标备份集，将目标备份下载到本地，再使用压缩包中的.bak文件自行恢复即可。下载方法，请参见下载备份。