TDE в управляемом экземпляре SQL Azure

Question

TDE не включен в MI по умолчанию. Я вручную включил TDE, установив для шифрования значение true в свойствах db. Шифрование БД заняло около 20 минут, и ниже приведен вывод из таблицы sys.dm_database_encryption_keys.

1. Как мы можем проверить, включен ли TDE в управляемом экземпляре или нет? Поскольку ни Azure не предоставляет доступ к автоматическим резервным копиям MI, ни я не могу вручную создать резервную копию, когда TDE включен в MI.

2. Хотели бы получить доступ к автоматическим резервным копиям (функция 7-дневного резервного копирования) и проверить, могут ли файлы быть восстановлены или нет. Предоставьте процедуру.

3. Надеемся, что резервные копии зашифрованы, поскольку TDE включен в моей БД, поэтому как их можно расшифровать, поскольку Azure не предоставляет никаких ключей для расшифровки.

Answer 1

Используйте следующий запрос для поиска зашифрованной базы данных:

select name, is_encrypted from sys.databases

Вы не можете напрямую получить доступ к файлам резервных копий; однако вы можете запустить восстановление на определенный момент времени, чтобы убедиться, что любая предыдущая резервная копия может быть восстановлена ​​как новая база данных (у вас есть кнопка восстановления на портале для каждой базы данных или вы можете использовать PowerShell, см. - https://blogs.msdn.microsoft.com/sqlserverstorageengine/2018/06/28/point-in-time-restore-of-a-database-on-azure-sql-managed-instance-using-azurerm-sql-powershell-library/)

Восстановление на определенный момент времени является единственным способом восстановления зашифрованных автоматических резервных копий, и Azure автоматически дешифрует резервную копию при восстановлении. Вы не можете восстановить резервную копию из MI на SQL Server, потому что MI всегда имеет более высокую версию, чем SQL-сервер. Поэтому, даже если вы расшифруете файл резервной копии, вы не сможете использовать его на SQL Server, и если вы хотите восстановить его в управляемом экземпляре, MI найдет ключ.