云数据库 SQL Server 透明数据加密

这里说明云数据库 SQL Server 透明数据加密功能。

一、功能概述

透明数据加密（Transparent Data Encryption，以下简称 TDE）功能，指数据的加解密操作对用户透明，TDE 提供文件级别的加密，支持对数据文件进行实时 I/O 加密和解密，可以做到对数据库上层的应用透明，用户不需要修改业务代码，在数据写入磁盘前进行加密，存储在磁盘上的数据是加密的，从磁盘读取内存时进行解密，即对磁盘数据读取和写入时透明地进行加解密，TDE 不会增加数据文件的大小，可满足静态数据加密的合规性要求。

二、应用场景

TDE 常用于解决一些安全合规问题，如符合 PCI DSS、等级安全保护等标准对静态数据保护的要求。

三、注意事项

开启透明数据加密时，需要选择密钥来源，当前支持选择密钥来源为“由腾讯云提供”，以及“由用户自定义”。如果选择为“由用户自定义”，需要已开通 密钥管理服务 KMS，如未开通，可在开启透明数据加密的过程中根据指引开通；还需要已授予 KMS 密钥权限，如未授权，可在开启透明数据加密的过程中根据指引进行授权。

四、计费说明

云数据库 SQL Server 的透明数据加密功能不会额外收费，但加密使用的密钥来源如果是“由用户自定义”，由于该由 密钥管理服务 KMS 产生和管理，因此密钥管理服务 KMS 有可能产生额外费用，请参考 计费概述。

五、加密算法说明

在2026年4月28日前，TDE 加密算法默认值为 AES_128，在2026年4月28日之后，云数据库 SQL Server 对 TDE 加密算法进行了升级，其默认值为 AES_256。

六、功能限制

·密钥不支持下载。

·实例级别的 TDE 只能开通，无法关闭。即开通 TDE 后，实例上的密钥无法删除。数据库级别的 TDE 可以开通或关闭。

·同一个账号（UIN）下仅所有实例的加密密钥相同时，才可以进行实例间的备份恢复及回档。

·同一个账号（UIN）下的全部实例，密钥来源仅能选择同一种。即：仅能全部选择“由腾讯云提供”，或者全部选择“由用户自定义”。具体两种密钥来源的说明和对比，请参考 密钥来源说明。

·不同账号（UIN）下的实例，如需进行备份恢复及回档，需要密钥来源选择使用腾讯云提供的密钥，并引用相同的密钥。

·商业智能服务实例不支持开通 TDE 功能。

七、密钥来源说明

八、密钥场景架构图

由腾讯云提供密钥场景的架构图由用户自定义提供密钥场景的架构图

九、功能说明

·引用相同加密证书的实例，在备份恢复和数据迁移中，如果源数据库使用了 TDE 加密，而目标实例未开通实例级 TDE 功能，在同一账号（UIN）的情况下，目标实例会自动开通实例级 TDE 功能，此操作不影响业务。

·若云数据库 SQL Server 实例分布在腾讯云不同账号（UIN）下，且后续需要进行跨账号备份恢复，开通 TDE 时，密钥来源请选择由腾讯云提供 > 引用其他账号的密钥，即需要保证不同账号下的实例开启 TDE 的密钥一致。即一个主账号（UIN）仅能有一个密钥，一个密钥可能会被多个主账号（UIN）所使用。

·如果实例关联只读实例，只需主动开通主实例的 TDE 功能即可，其只读实例的透明数据加密会一并开通。

·对于双节点架构的实例而言，要对实例开启/关闭数据库维度的 TDE 功能，则此实例不能关联有只读实例或发布订阅，需先解除只读实例或发布订阅后，再开启/关闭数据库维度的 TDE 功能，然后再重新添加只读实例和发布订阅；对于多节点架构的实例而言，无论是否开启备节点只读，对实例开启/关闭数据库维度的 TDE 功能，均无需先删除只读节点。

·开通 TDE 功能后，不支持使用备份文件在线下恢复数据，若想恢复数据到本地，需要先关闭 TDE 功能，然后创建手动备份后，再通过备份文件恢复数据。

·线下加密的数据库无法直接迁移上云数据库 SQL Server 实例，需要先关闭线下数据库级别的 TDE 功能，再进行迁移。

·开通 TDE 功能后，可提高数据安全性，但同时会影响访问加密数据库的读写性能，也会明显增加实例 CPU 使用率，请谨慎选择开启 TDE 功能。此外，CPU 小于4核的实例不建议开启 TDE 功能。

·开启/关闭数据库维度的 TDE 功能的持续时间可能会比较久，过程中请不要对实例进行以下任务操作，否则数据库 TDE 可能会开启/关闭失败，建议在业务低峰期进行。包括但不限于以下操作：

·修改、删除数据库，使数据库脱机、分离数据库。

·将数据库或文件组转换为 READ ONLY 状态。

·数据库备份。

·数据库回档/还原。

·变更数据捕获 CDC。

·更改跟踪 CT。

·收缩数据库。

·数据库克隆。

·修改数据库权限。

注意：若用户有多个主账号（UIN），且全部需要开启 TDE 功能，且不同主账号（UIN）之间后续需要进行跨账号备份恢复/迁移/回档等操作，请务必保证所有主账号引用相同的密钥。即在账号1中的实例开启 TDE 功能后，账号2、账号3、账号4……中的实例在开启 TDE 功能时，密钥来源需务必选择为“由腾讯云提供”，并且引用账号1的加密密钥，否则后续将无法进行跨账号操作（包括但不限于：跨账号回档、跨账号备份恢复、跨账号迁移等）。

十、场景一、当前账号下没有实例开启透明数据加密

1. 登录 SQL Server 控制台。

2. 选择地域，在实例列表单击需要开启 TDE 的实例 ID 或操作列的管理。

3. 在实例管理页选择数据安全 > TDE 数据加密。

4. 选择密钥来源，然后单击立即开通。

注意：说明：

注意：同一账号（UIN）下的全部实例，密钥来源仅能选择为同一种，即：仅能全部选择“由腾讯云提供”，或者全部选择“由用户自定义”，其他实例开启时不可更换。

密钥来源为腾讯云时操作参考密钥来源为用户自定义时操作参考

1. 选择密钥来源，支持选择为当前账号或其他账号。

2. 若选择为当前账号，密钥会默认设置为当前账号下的密钥，然后单击确定。

3. 若密钥来源选择为其他账号，请在引用密钥后选择其他账号下的目标密钥，然后单击确定。

1. 单击前往开通，开通 KMS 服务，若已开通则此步骤跳过。2. 单击前往授权，进行 KMS 密钥授权，若已授权则此步骤跳过。3. 选择密钥所在地域，选择密钥，单击确定。如需使用其他自定义密钥，请 前往创建。注意：若需支持同账号（UIN）备份恢复、回档、迁移，则不同实例的密钥需要保持一致。

5. 成功开启透明数据加密后，TDE 加密状态后会显示已开通（不可关闭）。

十一、场景二、当前账号下已有实例开启透明数据加密，且密钥来源为腾讯云

1. 登录 SQL Server 控制台。

2. 选择地域，在实例列表单击需要开启 TDE 的实例 ID 或操作列的管理。

3. 在实例管理页选择数据安全 > TDE 数据加密。

4. 由于当前账号下已有实例在开启加密时选择了密钥来源为“由腾讯云提供”，所以此时的密钥来源将默认为“由腾讯云提供”，你可直接单击立即开通。

5. 在弹窗下确认密钥后单击确定。

注意：说明：

注意：在此步骤无需选择引用密钥为当前账号（UIN）或其他账号（UIN），因为当前账号（UIN）下已有实例开启过透明数据加密，所以此时引用的密钥将默认和已开启实例保持一致。

6. 成功开启透明数据加密后，TDE 加密状态后会显示已开通（不可关闭）。

十二、场景三、当前账号下已有实例开启透明数据加密，且密钥来源为用户自定义

1. 登录 SQL Server 控制台。

2. 选择地域，在实例列表单击需要开启 TDE 的实例 ID 或操作列的管理。

3. 在实例管理页选择数据安全 > TDE 数据加密。

4. 由于当前账号下已有实例在开启加密时选择了密钥来源为“由用户自定义”，所以此时的密钥来源将默认为“由用户自定义”，你可直接单击立即开通。

5. 在弹窗下，若已开通 KMS 服务，已进行 KMS 密钥授权，你可选择密钥所在地域，选择密钥，单击确定。若之前取消了 KMS 相关的开通和授权，可根据弹窗下的提示重新开通和授权，然后再选择密钥所在地域，选择密钥，单击确定。

6. 成功开启透明数据加密后，TDE 加密状态后会显示已开通（不可关闭）。

十三、开启或关闭加密数据库

注意：说明：

1. 登录 SQL Server 控制台。

2. 选择地域，在实例列表单击目标实例的实例 ID 或操作列的管理。

3. 在实例管理页选择数据安全 > TDE 数据加密，然后在加密数据库后单击设置。

4. 在弹窗下，在左侧未加密数据库里勾选需要的数据库，表示对该数据库开启加密，在右侧已加密数据库里删除数据库，表示对该数据库关闭加密，根据需要操作后单击确认。

5. 开启数据库维度的 TDE 功能指定数据库后，在数据库管理下可根据字段 TDE 加密状态查看开启或关闭加密功能的数据库。

十四、查看任务

在你开启实例级透明数据加密功能、开启或关闭加密数据库时，可通过控制台右上角的任务图标了解当前任务进度。

十五、开启 TDE 功能的云上数据库在回档、备份恢复、迁移、克隆数据库时的限制说明

十六、相关 API