关于透明数据加密的澄清

Question

这是我们第一次在至关重要的生产数据库上应用 TDE，我有以下问题。

当 TDE 正在进行时：

1. 我们仍然可以使用连接字符串访问正在该数据库上运行的应用程序吗？
2. 如果 TDE 在加密数据库时失败，是否会破坏 .mdf 文件？我将如何恢复数据库？
3. .ldf 和 .mdf 是否仍然可以访问，我们可以读取和写入这些文件吗？
4. TDE进行过程中哪些数据库操作会受到影响？
5. TDE 会对磁盘使用产生影响吗？
6. TDE对数据库备份有影响吗？如果启用 TDE，.bak、.trn 文件是否都会自动加密？
7. 在应用TDE的过程中，我们需要重点关注哪些方面？是否需要停电？
8. 对 SQL Server 服务包或累积更新会有影响吗？

相关平台是具有可用性组的 SQL Server 2014 SP2 GDR。

Answer 1

1. 我们仍然可以使用连接字符串访问正在该数据库上运行的应用程序吗？

是的。TDE仅在存储层实现。从磁盘读取数据时会对其进行解密。因此，存储层之外的任何内容都不会受到影响。

2. 如果 TDE 在加密数据时失败，加密是否会失败并破坏 .mdf 文件。我将如何恢复数据库？

为了安全起见，我强烈建议在加密之前进行完整备份。但是，发生损坏数据库或使其无法使用的问题的可能性极小。

3. .ldf 和 .mdf 是否仍然可以访问并且我们可以读取和写入该文件？

As mentioned previously, the encryption/decryption is done at the storage layer, and the system uses the .mdf and .ldf files in the same way that it uses them for unencrypted databases. It simply encrypts data before writing, and decrypts data after reading.

4. What are the database operations that will be affected while the TDE is in progress?

The system will use significant CPU and disk I/O as it has to read, encrypt, and write every data page in the database.

5. Will TDE have affect on disk usage?

No, the size of the database will stay the same. If you're using compression or other technologies it will continue to work with it at TDE is done only when reading and writing pages to disk.

6. Will TDE have any impact on database backups? Are both the .bak and .trn files encrypted automatically if TDE is enabled?

The backups may be somewhat slower depending on a varying number of factors and the backup files will be somewhat larger if you were previously using compressed backups. How much will depend on the type of data and version of SQL Server (latest versions support compression on TDE databases). Yes, the data in the .bak and .trn files will be encrypted.

7. What are the areas that we need to concentrate on while TDE is being applied? Is an outage needed?

I would recommend concentrating on a nice cup of tea or coffee. While you are enjoying the beverage of your choice, keep an eye on the SQL Server error log. An outage is not required, but due to the resource utilization required to encrypt the database, having a maintenance window is ideal.

8. Will there be any affect on SQL Server service packs or cumulative updates?

一般来说，答案是“不”。但是，如果发现仅影响 TDE 的缺陷，则建议安装包含修复程序的 CU。我们无法预见未来，但无论是否使用 TDE，您都将安装相同的 CU 和服务包。它只是数据库引擎的一个功能，因此对数据库引擎的所有更新都将包含所有 TDE 功能。