ApsaraDB RDS:Bonnes pratiques pour TDE

Fonctionnement de TDE

TDE protège les données au niveau du stockage sans nécessiter de modification du code applicatif ni de la logique de connexion. Les applications et utilisateurs authentifiés lisent les données en clair comme d'habitude ; le chiffrement et le déchiffrement s'opèrent de manière transparente dans le chemin d'E/S de SQL Server.

TDE repose sur une hiérarchie de clés à plusieurs niveaux. Chaque niveau chiffre le niveau inférieur :

OS layer
└── Data Protection API (DPAPI)          — Windows built-in API; root of the hierarchy
    └── Service Master Key (SMK)         — root key for the SQL Server engine; generated at instance creation
        └── Database Master Key (DMK)    — symmetric key stored in the master database
            └── Certificate              — stored in the master database; created from the DMK
                └── Database Encryption Key (DEK)  — stored in the user database; encrypts data files

La base de données master stocke la DMK et le certificat. Les bases de données utilisateur stockent la DEK, chiffrée par le certificat. Lors de la lecture ou de l'écriture de données, SQL Server utilise la clé privée du certificat pour déchiffrer la DEK en mémoire, puis exploite cette DEK pour chiffrer ou déchiffrer les fichiers de données en temps réel.

En cas d'absence du certificat dans la base de données master, la DEK reste indéchiffrable. Les fichiers de sauvegarde de la base concernée deviennent alors inaccessibles.

Considérations sur les performances

Selon les références officielles Microsoft, TDE réduit les performances globales de la base de données d'environ 3 % à 5 % sous des charges de travail typiques. En cas d'utilisation élevée du CPU, l'impact peut atteindre environ 28 %.

Prérequis

Avant d'activer TDE, vérifiez que les conditions suivantes sont remplies :

• L'instance RDS appartient à la famille d'instances general-purpose ou dedicated. Les instances partagées ne sont pas prises en charge. Consultez la rubrique Familles d'instances.

• La méthode de facturation est subscription ou pay-as-you-go. Les instances ApsaraDB RDS Serverless ne sont pas prises en charge. Consultez la rubrique Instances ApsaraDB RDS pour SQL Server Serverless.

• L'instance exécute l'une des versions suivantes de SQL Server : SQL Server 2019 SE, SQL Server 2022 SE ou SQL Server EE.

• Votre compte Alibaba Cloud a autorisé l'instance RDS à accéder à Key Management Service (KMS). Consultez la rubrique Autoriser ApsaraDB RDS à accéder à KMS.

• (BYOK uniquement) Obtenez le fichier de certificat, le fichier de clé privée et le mot de passe avant de commencer.

Les instances en lecture seule ne prennent pas en charge TDE.

Limites

Activer ou désactiver TDE

SELECT
    db_name(database_id) AS DatabaseName,
    encryption_state,
    percent_complete
FROM
    sys.dm_database_encryption_keys;

Restauration locale : clé Alibaba Cloud

Suivez cette procédure si TDE a été activé avec une clé de service managée par Alibaba Cloud. Étant donné que la clé de service est gérée par Alibaba Cloud et n'est pas exportable, les fichiers de sauvegarde chiffrés ne peuvent pas être utilisés directement. La procédure de contournement consiste à désactiver TDE au préalable, puis à créer une nouvelle sauvegarde complète.

Restauration locale : BYOK

Si TDE a été activé avec votre propre clé SQL Server (BYOK), vous pouvez restaurer la sauvegarde chiffrée sur un serveur SQL Server local à l'aide de votre propre certificat et de votre propre clé privée.

Vous pouvez également suivre la procédure avec clé Alibaba Cloud en appliquant l'approche « désactiver puis sauvegarder ».

Connectez-vous à votre instance RDS à l'aide d'un client SQL Server avant d'exécuter les instructions suivantes. Consultez la rubrique Se connecter à une instance ApsaraDB RDS pour SQL Server .

USE master;
GO
IF NOT EXISTS (
    SELECT * FROM sys.symmetric_keys WHERE symmetric_key_id = 101
)
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<your-mek-password>'; -- Replace with your custom password.
END;

USE master;
GO
CREATE CERTIFICATE TDE_Certificate
FROM FILE = 'C:\cert\tde_cert.cer'         -- Replace with the actual path to your certificate file.
WITH PRIVATE KEY (
    FILE = 'C:\cert\tde_privatekey.pvk',   -- Replace with the actual path to your private key file.
    DECRYPTION BY PASSWORD = '<your-tde-password>'  -- Replace with the password used when enabling TDE.
);

Étapes suivantes

Pour découvrir les autres options de chiffrement des données disponibles dans ApsaraDB RDS pour SQL Server, consultez la rubrique Sécurité des données et chiffrement.