TDE - 大型数据库上的加密

Question

我正在研究 VLDB 上的 TDE 实现，想知道是否有人拥有在生产服务器上启用加密的实际经验。

我可以期待什么样的问题（如果有的话）？我的测试显示在测试环境中影响很小，但我担心在生产环境中设置需要多长时间。任何反馈表示赞赏。

我在某处读到我需要在加密过程中禁用备份和数据库维护。这是真的？

这非常令人担忧，因为我的测试花了大约 4 天的时间来完成加密。

Answer 1

我们最近在运行 SQL Server 2014 的生产环境中实现了 TDE 和 AlwaysON。

在我们的应用程序中，我们注意到CPU 利用率略有增加(1-3%) 。您的环境不同，因此请使用一些真实的 PROD 数据大小进行彻底的负载测试。

拥抱 TDE 的收获：

• 备份压缩和 TDE不能齐头并进，即当您启用 TDE 时，您将无法利用备份压缩。这意味着您的 VLDB 备份将是巨大的！

• 启用 TDE 时，即时文件初始化不可用。

• 将数据库从PROD 还原到其他环境（例如UAT 等）时，需要导出证书，以便还原数据库。

• 您需要妥善保管用于启用 TDE 的安全和备份证书。

• 在 VLDB 上启用 TDE 需要时间。您可以使用此脚本列出数据库、加密状态以及其他有用信息。

  请记住：TDE 将仅加密静态数据（在磁盘上）。您仍然必须使用加密（例如强制加密）来保护传输中的数据。

编辑：

SQL Server 2016现在支持对启用 TDE 的数据库进行备份压缩

在备份启用 TDE 的数据库时，只有在 BACKUP 命令中指定了 MAXTRANSFERSIZE 时，才会开始压缩。此外，MAXTRANSFERSIZE 的值必须大于 65536 (64 KB)。