ApsaraDB RDS:Best practices for TDE

Como a TDE funciona

A TDE protege os dados na camada de armazenamento sem exigir alterações no código da aplicação ou na lógica de conexão. Aplicações e usuários autenticados leem dados em texto simples normalmente. A criptografia e a descriptografia ocorrem de forma transparente no caminho de E/S do SQL Server.

A TDE utiliza uma hierarquia de chaves em camadas. Cada camada criptografa a camada abaixo dela:

OS layer
└── Data Protection API (DPAPI)          — Windows built-in API; root of the hierarchy
    └── Service Master Key (SMK)         — root key for the SQL Server engine; generated at instance creation
        └── Database Master Key (DMK)    — symmetric key stored in the master database
            └── Certificate              — stored in the master database; created from the DMK
                └── Database Encryption Key (DEK)  — stored in the user database; encrypts data files

O banco de dados master armazena a DMK e o certificado. Os bancos de dados de usuário armazenam a DEK, criptografada pelo certificado. Quando o SQL Server lê ou grava dados, ele usa a chave privada do certificado para descriptografar a DEK na memória. Em seguida, utiliza a DEK para criptografar ou descriptografar arquivos de dados em tempo real.

Se o certificado estiver ausente no banco de dados master, a DEK não poderá ser descriptografada. Os arquivos de backup do banco de dados afetado tornar-se-ão inacessíveis.

Considerações sobre desempenho

A TDE reduz o desempenho geral do banco de dados em aproximadamente 3% a 5% sob cargas de trabalho típicas, com base em benchmarks oficiais da Microsoft. Sob alta utilização de CPU, o impacto pode chegar a cerca de 28%.

Pré-requisitos

Antes de ativar a TDE, certifique-se de que as seguintes condições sejam atendidas:

• A instância RDS pertence à família de instâncias general-purpose ou dedicated. Instâncias compartilhadas não são suportadas. Consulte Famílias de instâncias.

• O método de faturamento é subscription ou pay-as-you-go. Instâncias Serverless do ApsaraDB RDS não são suportadas. Consulte Instâncias Serverless do ApsaraDB RDS for SQL Server.

• A instância executa uma das seguintes versões do SQL Server: SQL Server 2019 SE, SQL Server 2022 SE ou SQL Server EE.

• Sua conta Alibaba Cloud autorizou a instância RDS a acessar o Key Management Service (KMS). Consulte Autorizar o ApsaraDB RDS a acessar o KMS.

• (Apenas BYOK) Obtenha o arquivo de certificado, o arquivo de chave privada e a senha antes de começar.

Instâncias somente leitura não suportam TDE.

Limitações

Ativar ou desativar a TDE

SELECT
    db_name(database_id) AS DatabaseName,
    encryption_state,
    percent_complete
FROM
    sys.dm_database_encryption_keys;

Restauração local: chave da Alibaba Cloud

Utilize este procedimento se a TDE foi ativada com uma chave de serviço gerenciada pela Alibaba Cloud. Como a chave de serviço é gerenciada pela Alibaba Cloud e não pode ser exportada, os arquivos de backup criptografados não podem ser usados diretamente. A solução alternativa consiste em desativar a TDE primeiro e, depois, realizar um novo backup completo.

Restauração local: BYOK

Se a TDE foi ativada com sua própria chave do SQL Server (BYOK), você pode restaurar o backup criptografado em um SQL Server local usando seu próprio certificado e chave privada.

Você também pode usar o procedimento com chave da Alibaba Cloud como alternativa, utilizando a abordagem de desativar e depois fazer backup.

Conecte-se à sua instância RDS usando um cliente SQL Server antes de executar as instruções a seguir. Consulte Conectar-se a uma instância do ApsaraDB RDS for SQL Server .

USE master;
GO
IF NOT EXISTS (
    SELECT * FROM sys.symmetric_keys WHERE symmetric_key_id = 101
)
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<your-mek-password>'; -- Replace with your custom password.
END;

USE master;
GO
CREATE CERTIFICATE TDE_Certificate
FROM FILE = 'C:\cert\tde_cert.cer'         -- Replace with the actual path to your certificate file.
WITH PRIVATE KEY (
    FILE = 'C:\cert\tde_privatekey.pvk',   -- Replace with the actual path to your private key file.
    DECRYPTION BY PASSWORD = '<your-tde-password>'  -- Replace with the password used when enabling TDE.
);

Próximos passos

Para outras opções de criptografia de dados disponíveis no ApsaraDB RDS for SQL Server, consulte Segurança e criptografia de dados.