如何检查Azure SQL Database中TDE是否已启用且正常运行

如何验证TDE确实对数据完成加密 #

你无法通过SSMS或常规SQL查询直接看到加密形态的原始数据，这是TDE（透明数据加密）的设计特性：加解密过程完全在SQL存储引擎层面自动执行，内存中的运算数据、返回给客户端的查询结果都是解密后的明文，对管理员和应用完全透明。
你可以通过以下权威方法验证加密生效：

• 运行系统视图查询
  在SSMS中连接到你的Azure SQL服务器，执行如下SQL语句，即可直接获取所有数据库的加密状态：

SELECT 
    d.name AS 数据库名称,
    CASE 
        WHEN dek.encryption_state = 3 THEN '已完成加密'
        WHEN dek.encryption_state = 2 THEN '加密进行中'
        ELSE '未加密'
    END AS 加密状态,
    dek.key_algorithm AS 加密算法,
    dek.key_length AS 密钥长度
FROM sys.dm_database_encryption_keys dek
RIGHT JOIN sys.databases d ON dek.database_id = d.database_id
WHERE d.name NOT IN ('master', 'model', 'msdb', 'tempdb')

当查询结果的加密状态显示为已完成加密时，即证明所有静态存储的数据库数据已经被TDE加密。如果你能拿到底层存储的原始数据文件副本，直接打开后会显示为无意义的乱码，也可以作为加密生效的直接证明。 #

非BYOK的默认TDE配置是否需要额外操作 #

默认平台托管密钥的TDE模式下，所有加密相关的核心操作都由Azure平台完全托管，你不需要做任何额外操作即可保证数据库静态数据始终处于加密保护状态，包括：

• 加密密钥的生成、存储、定期轮换完全由平台自动完成，不会影响数据库正常访问
• 密钥的多副本备份、灾备恢复也由平台自动处理，不需要你手动维护
  仅在以下场景你需要额外调整配置：
• 你有合规要求需要自主掌控加密密钥的生命周期、有权限自行销毁密钥实现数据不可访问，此时需要切换为BYOK模式
• 传输层加密需要你在应用连接字符串中配置Encrypt=Yes，保证数据在客户端和数据库之间传输时也处于加密状态

内容的提问来源于stack exchange，提问作者CodeMonkey