客户端连接启用TDE的SQL Server无需额外配置，因TDE是服务端静态加密功能，不影响认证、连接字符串或传输加密；常见登录失败与TDE无关，而是权限、数据库状态或证书缺失所致。
连接启用了 TDE 的 SQL Server 实例时，客户端不需要额外配置
sql server 的透明数据加密（tde）是服务端功能，只影响数据库文件（mdf、ldf）和备份文件的磁盘存储层。只要实例正常运行、证书未过期且数据库已解密（即处于 online 状态），客户端用标准方式连接即可，sqlcmd、pyodbc、ado.net 都无需改连接字符串或加特殊参数。
常见错误现象：Login failed for user 'xxx' 或 Cannot open database requested by the login —— 这跟 TDE 无关，通常是权限或数据库状态问题。
- TDE 不改变认证流程：Windows 身份验证、SQL 登录、连接加密（TLS）都独立运作
- 如果数据库处于
RECOVERY_PENDING或OFFLINE状态，可能是因为 TDE 证书丢失或私钥不可访问，此时需 DBA 恢复证书，不是客户端能解决的 - 备份文件（
.bak）启用 TDE 后，还原时必须先在目标实例上创建同名数据库加密密钥（DEK）并绑定到相同证书，否则报错Msg 33111, Level 16, State 3: Cannot find server certificate
检查 TDE 是否真正生效，别只看“已启用”状态
执行 SELECT db.name, dek.encryption_state, dek.encryptor_type FROM sys.databases db LEFT JOIN sys.dm_database_encryption_keys dek ON db.database_id = dek.database_id，关键看 encryption_state 值：
-
3= 已加密（ENCRYPTED）—— 正常 -
2= 加密中（ENCRYPTION_IN_PROGRESS）—— 大库可能耗时数小时，期间 I/O 压力上升，但连接不受影响 -
1= 未加密（UNENCRYPTED）—— 即使你执行过ALTER DATABASE ... SET ENCRYPTION ON，也可能因证书不可用卡住
容易踩的坑：sys.dm_database_encryption_keys 视图需要 VIEW DATABASE STATE 权限；若查不到记录，不表示没开 TDE，而是当前数据库没关联 DEK（比如刚建库还没设加密）。
备份与还原 TDE 数据库时，证书管理是唯一关键依赖
TDE 本身不加密传输中的数据，所以备份文件是加密的，但还原时必须让目标 SQL Server 实例能访问原始证书的私钥。这不是“授权”问题，是证书链是否完整的问题。
- 导出证书需同时导出私钥：
BACKUP CERTIFICATE MyTDECert TO FILE = 'MyTDECert.cer' WITH PRIVATE KEY (FILE = 'MyTDECert.pvk', ENCRYPTION BY PASSWORD = 'xxx') - 还原端必须先用
CREATE CERTIFICATE导入证书，再用CREATE DATABASE ENCRYPTION KEY绑定到数据库——顺序不能反 - 若证书用服务主密钥（SMK）加密，而目标实例 SMK 已重建（如重装 SQL Server），则原证书无法自动解密，必须用密码显式打开私钥
性能影响：TDE 对 CPU 有约 3%~5% 开销（取决于 IO 密度），但不会拖慢单次连接建立或查询解析。
应用层看到的“安全策略”其实是 TLS/SSL，和 TDE 完全无关
用户常把“连接加密”和“TDE”混淆。TDE 是静态数据加密（at rest），而连接加密是动态数据加密（in transit），由 SQL Server 的 TLS 配置控制。两者开关独立：
- 强制加密连接：设置 SQL Server 配置项
Force Encryption = Yes，并绑定有效证书到协议 - 客户端需在连接字符串里加
Encrypt=yes;TrustServerCertificate=no;，否则会报SSL Provider: The certificate chain was issued by an authority that is not trusted - 即使 TDE 关闭，只要启用了强制 TLS，连接仍受保护；反之，TDE 开启但 TLS 关闭，数据在网上传输仍是明文
最容易被忽略的地方：TDE 的证书（用于加密数据库）和 TLS 的证书（用于加密连接）是两套完全独立的证书，不能混用，也不能互相替代。运维时常常只管了一半。
