ApsaraDB RDS：TDE使用的最佳實務

TDE加密在電腦各個層級的體現大致如下：

步驟一：關閉TDE

在RDS控制台執行個體詳情頁的資料安全性頁面中，將想要備份的資料庫從TDE功能中移除。

SELECT 
    db_name(database_id) AS DatabaseName, 
    encryption_state, 
    percent_complete 
FROM 
    sys.dm_database_encryption_keys;

步驟二：執行一次全量備份

關閉TDE後，還存在部分未解密的交易記錄，此時下載的備份檔案仍處於加密狀態，無法直接用於恢複，因此在關閉TDE後還需再完成一次全量備份。更多資訊，請參見Database Encryption in SQL Server 2008 Enterprise Edition。

您可以手動備份產生一個全量備份。具體操作，請參見手動備份SQL Server。

步驟三：下載備份並恢複到本地

在RDS執行個體詳情頁的備份恢複頁面中將最新產生的全量備份下載到本地，再使用壓縮包中的.bak檔案自行恢複即可。下載方法，請參見下載備份。

步驟一：建立主要金鑰

首先使用自訂的密碼在目標伺服器執行個體上的master庫中建立資料庫主要金鑰，密碼無需與原始伺服器中用於建立主要金鑰的密碼相同。

以下SQL會先檢查目標伺服器執行個體中是否已存在主要金鑰，如果已存在則不會建立新的主要金鑰，您直接執行步驟二即可；如果不存在則會建立新密鑰。

USE master; 
GO 
IF NOT EXISTS (SELECT * FROM sys.symmetric_keys WHERE symmetric_key_id = 101)
BEGIN
CREATE MASTER KEY ENCRYPTION BY PASSWORD = 'YourPassword'; --此處自訂密碼
END;

步驟二：建立認證

使用開啟TDE時內建的認證和私密金鑰建立認證，並應用到目標伺服器執行個體。

USE MASTER;
GO
CREATE CERTIFICATE TDE_Certificate
FROM FILE = 'C:\cert\tde_cert.cer' --此處修改為認證實際路徑
WITH PRIVATE KEY (FILE = 'C:\cert\tde_privatekey.pvk', --此處修改為私密金鑰實際路徑
DECRYPTION BY PASSWORD = 'YourTDEPassword' ); --此處修改為實際密碼

步驟三：下載備份並恢複到本地

在RDS執行個體詳情頁的備份恢複頁面中找到目標備份組，將目標備份下載到本地，再使用壓縮包中的.bak檔案自行恢複即可。下載方法，請參見下載備份。