Azure SQL Database 的透明数据加密（TDE）又进化了——现在除了传统的 RSA 非对称密钥，还可以用 AES 对称密钥来保护你的数据加密密钥（DEK），目前处于公测阶段。
这听起来好像只是多了一种密钥类型？但实际上，背后牵扯的是整个行业在为后量子时代做准备的大趋势。
🔐 为什么 AES 密钥这么重要？
量子计算的威胁离我们并不遥远
先说一个冷知识：目前破解 RSA-2048 用经典计算机需要几十亿年，但如果量子计算机足够强大，Shor 算法可以大幅缩短这个时间。而 AES 作为对称加密算法，不受 Shor 算法影响，即使面对量子攻击，AES-256 的安全性仍然非常高。
美国 NSA 的 CNSA 2.0 安全建议已经明确指出，机构应该开始为量子抗性密码学做准备。这次 Azure SQL 支持 AES 密钥，就是给用户一个实实在在的过渡路径——不用等量子计算机来了再手忙脚乱。
简单对比一下
| 特性 | RSA（现有方案） | AES（新增方案） | |------|-----------------|-----------------| | 密钥类型 | 非对称 | 对称 | | 量子抗性 | 弱（Shor 算法可破） | 强（Grover 算法影响有限，AES-256 足够安全） | | 密钥来源 | Azure Key Vault / Managed HSM | Azure Key Vault Managed HSM | | 合规导向 | 现行标准 | NSA CNSA 2.0 / 后量子准备 |
⚙️ 工作原理（快速了解）
TDE 的整体机制没变：
- DEK（数据库加密密钥）加密数据库数据文件和日志文件
- TDE Protector 加密 DEK
- TDE Protector 存储在 Azure Key Vault 或 Managed HSM 中
变化在于：以前 TDE Protector 只能是 RSA 密钥，现在可以换成 AES 密钥了。
🚀 怎么上手？
前提条件
- 已启用客户管理的 TDE 的 Azure SQL Database 逻辑服务器
- 支持 AES 密钥的 Azure Key Vault Managed HSM
- Key Vault 上启用了软删除和清除保护
- Azure SQL Database 访问密钥的必要权限
PowerShell 配置示例
# 在 Managed HSM 中创建 AES-256 密钥
Add-AzKeyVaultKey `
-HsmName "MyHSM" `
-Name "TDE-AES-Key" `
-KeyType oct-HSM `
-Size 256
# 获取密钥 URI
$key = Get-AzKeyVaultKey -HsmName "MyHSM" -Name "TDE-AES-Key"
# 注册到 SQL 服务器
Add-AzSqlServerKeyVaultKey `
-ResourceGroupName "my-rg" `
-ServerName "my-sql-server" `
-KeyId $key.Id
# 设置为 TDE protector
Set-AzSqlServerTransparentDataEncryptionProtector `
-ResourceGroupName "my-rg" `
-ServerName "my-sql-server" `
-Type AzureKeyVault `
-KeyId $key.Id
验证加密状态
SELECT
DB_NAME(database_id) AS DatabaseName,
encryption_state_desc,
encryptor_type
FROM sys.dm_database_encryption_keys
WHERE database_id <> 2;
如果加密已启用，你会看到 ENCRYPTED 状态，encryptor_type 显示为 SYMMETRIC_KEY。
国内用户关注点
和现有的 RSA 方案能共存吗？
可以。两种方案是独立的 TDE Protector 类型，你可以根据安全策略选择使用哪一种，也可以在同一服务器上管理不同类型的密钥。
国内合规怎么考虑？
- 等保 2.0 对数据加密有明确要求，TDE 本身满足"数据存储加密"的要求
- 密码模块合规：如果使用 Azure 全球区的 Managed HSM，需要确认是否符合国内密码管理要求；Azure 中国区的情况需关注后续支持
- 密钥管理合规：客户管理的密钥（CMK）比平台管理的密钥在审计和合规方面更有优势
和国内云数据库对比
- 阿里云 RDS SQL Server：TDE 默认使用云 KMS，密钥类型选择相对有限，AES-256 是主流但后量子考量较少提及
- 腾讯云 CDB for SQL Server：类似情况，TDE 支持 KMS 托管密钥，但对量子抗性的规划目前公开信息较少
Azure SQL 在这方面走在了前面——提前为后量子时代布局，对有前瞻性安全需求的企业值得关注。
公测须知
- 目前处于 Public Preview 阶段，功能逐步在各 Azure 区域上线
- Azure SQL Database 是首个支持该功能的 SQL 产品，其他 SQL 平台后续跟进
- 建议在测试环境先验证，反馈给产品团队
- 公测功能受 Azure 预览补充条款约束
小结
如果你在使用 Azure SQL Database 的客户管理 TDE，这次更新给了你一个面向未来的选择：
- 不需要改变 TDE 的运维方式，配置流程和 RSA 基本一致
- 安全合规向前迈一步，NSA CNSA 2.0 合规有了具体路径
- 量子抗性提前布局，不用等量子计算机来了再焦虑
对于关注数据安全和合规的团队来说，这个功能值得现在就开始评估。
📎 原文链接：https://techcommunity.microsoft.com/t5/azure-sql-blog/transparent-data-encryption-in-azure-sql-database-now-supports/ba-p/4523240 📅 发布日期：2026-06-02
