ApsaraDB RDS:Best practices for TDE

TDE nasıl çalışır

TDE, uygulama kodunda veya bağlantı mantığında değişiklik gerektirmeden verileri depolama katmanında korur. Kimlik doğrulaması yapılmış uygulamalar ve kullanıcılar düz metin verilerini her zamanki gibi okur; şifreleme ve şifre çözme işlemleri SQL Server G/Ç yolunda şeffaf bir şekilde gerçekleşir.

TDE çok katmanlı bir anahtar hiyerarşisi kullanır. Her katman, altındaki katmanı şifreler:

OS layer
└── Data Protection API (DPAPI)          — Windows built-in API; root of the hierarchy
    └── Service Master Key (SMK)         — root key for the SQL Server engine; generated at instance creation
        └── Database Master Key (DMK)    — symmetric key stored in the master database
            └── Certificate              — stored in the master database; created from the DMK
                └── Database Encryption Key (DEK)  — stored in the user database; encrypts data files

Master veritabanı DMK'yı ve sertifikayı depolar. Kullanıcı veritabanları, sertifika tarafından şifrelenen DEK'yı depolar. SQL Server veri okuduğunda veya yazdığında, bellekteki DEK'yı çözmek için sertifikanın özel anahtarını kullanır ve ardından veri dosyalarını gerçek zamanlı olarak şifrelemek veya şifresini çözmek için DEK'yı kullanır.

Sertifika master veritabanından eksikse DEK çözülemez. Etkilenen veritabanının yedekleme dosyalarına erişilemez hale gelir.

Performans değerlendirmesi

Resmi Microsoft kıyaslamalarına göre, tipik iş yüklerinde TDE genel veritabanı performansını yaklaşık %3–%5 oranında azaltır. Yüksek CPU kullanımında etki yaklaşık %28'e ulaşabilir.

Ön koşullar

TDE'yi etkinleştirmeden önce aşağıdaki koşulların karşılandığından emin olun:

• RDS örneği general-purpose veya dedicated örnek ailesine aittir. Paylaşılan örnekler desteklenmez. Bkz. Örnek aileleri.

• Faturalandırma yöntemi subscription veya pay-as-you-go olmalıdır. Serverless ApsaraDB RDS örnekleri desteklenmez. Bkz. Serverless ApsaraDB RDS for SQL Server örnekleri.

• Örnek aşağıdaki SQL Server sürümlerinden birini çalıştırır: SQL Server 2019 SE, SQL Server 2022 SE veya SQL Server EE.

• Alibaba Cloud hesabınız, RDS örneğinin Key Management Service (KMS) hizmetine erişmesine izin vermiştir. Bkz. ApsaraDB RDS'in KMS hizmetine erişimini yetkilendirme.

• (Yalnızca BYOK) Başlamadan önce sertifika dosyasını, özel anahtar dosyasını ve parolayı edinin.

Salt okunur örnekler TDE'yi desteklemez.

Sınırlamalar

TDE'yi etkinleştirin veya devre dışı bırakın

SELECT
    db_name(database_id) AS DatabaseName,
    encryption_state,
    percent_complete
FROM
    sys.dm_database_encryption_keys;

Yerele geri yükleme: Alibaba Cloud anahtarı

TDE, Alibaba Cloud tarafından yönetilen bir hizmet anahtarıyla etkinleştirildiyse bu prosedürü kullanın. Hizmet anahtarı Alibaba Cloud tarafından yönetildiği ve dışa aktarılamadığı için şifrelenmiş yedekleme dosyaları doğrudan kullanılamaz. Geçici çözüm, önce TDE'yi devre dışı bırakmak ve ardından yeni bir tam yedekleme almaktır.

Yerele geri yükleme: BYOK

TDE, kendi SQL Server anahtarınızla (BYOK) etkinleştirildiyse şifrelenmiş yedeği kendi sertifikanız ve özel anahtarınızı kullanarak yerel bir SQL Server sunucusuna geri yükleyebilirsiniz.

Bunun yerine, devre dışı bırakıp sonra yedekleme yaklaşımını kullanarak Alibaba Cloud anahtarı prosedürünü de kullanabilirsiniz.

Aşağıdaki deyimleri çalıştırmadan önce bir SQL Server istemcisi kullanarak RDS örneğinize bağlanın. Bkz. Bir ApsaraDB RDS for SQL Server örneğine bağlanma .

USE master;
GO
IF NOT EXISTS (
    SELECT * FROM sys.symmetric_keys WHERE symmetric_key_id = 101
)
BEGIN
    CREATE MASTER KEY ENCRYPTION BY PASSWORD = '<your-mek-password>'; -- Replace with your custom password.
END;

USE master;
GO
CREATE CERTIFICATE TDE_Certificate
FROM FILE = 'C:\cert\tde_cert.cer'         -- Replace with the actual path to your certificate file.
WITH PRIVATE KEY (
    FILE = 'C:\cert\tde_privatekey.pvk',   -- Replace with the actual path to your private key file.
    DECRYPTION BY PASSWORD = '<your-tde-password>'  -- Replace with the password used when enabling TDE.
);

Sonraki adımlar

ApsaraDB RDS for SQL Server'da bulunan diğer veri şifreleme seçenekleri için bkz. Veri güvenliği ve şifreleme.