2026年07月27日
[Rds For Sql Server] Amazon RDS for SQL Server now supports restoring TDE databases on Mult-AZ instances
- 公開日: 2026-07-27 (JST)
- カテゴリ: Rds For Sql Server
- リンク: https://aws.amazon.com/about-aws/whats-new/2026/07/rds-sql-server-supports-tde-for-maz/
概要
Amazon RDS for SQL Serverは、Transparent Data Encryption（TDE）有効なデータベースのネイティブバックアップ／リストアを、Multi-AZインスタンスおよび同一リージョン内でリードレプリカを持つインスタンスへ対応しました。従来はSingle-AZのみのサポートでしたが、これにより高可用性を維持したまま暗号化データベースの復元が可能になります。
変更内容・新機能の詳細
新機能により、TDEで暗号化されたSQL Serverデータベースのバックアップを、Amazon S3経由でAmazon RDS for SQL ServerのMulti-AZインスタンスや同一リージョンに構成されたリードレプリカ付きインスタンスへ直接リストアできます。手順の概略は次の通りです：
- 元のSQL ServerからTDE用の証明書と秘密鍵をエクスポート（パスワード保護）してバックアップする。
- 証明書をAmazon S3に格納する。
- ターゲットのRDSインスタンスに対して「TDEオプション」を有効にし、S3から証明書を復元してインポートする。
- Amazon RDS のネイティブバックアップ＆リストア機能を使って、S3上のデータベースバックアップをリストアする。 この流れにより、暗号化（TDE）を維持したままMulti-AZによる高可用性構成へ移行・復旧でき、復元のために一時的にSingle-AZへ切り替えしたりTDEを無効化する必要がなくなります。記事は本機能がAmazon RDS for SQL Serverをサポートするすべてのリージョンで利用可能であると記載しています。
影響範囲・利用シーン
- 対象ユーザー: RDS for SQL Serverを利用するDBA、クラウド/インフラエンジニア、SRE
- 利用シーン: TDEで暗号化された既存データベースのクラウド移行／災害復旧（リストア）時に、Multi-AZ構成や同一リージョン内のリードレプリカ付インスタンスへ直接復元するケース
- 運用効果: 暗号化を維持したまま高可用性構成へ復元できるため、復旧作業の手順簡素化とダウンタイム／運用負荷の低減が期待できる
- 制限影響: リードレプリカのサポートは“同一リージョン”のものに限られる点に注意
技術的な注意点
- 証明書管理: 元SQL ServerからエクスポートするTDE証明書は秘密鍵を含めてパスワード保護しておく必要があり、復元前にRDS側へインポートしておく必要があります
- RDSオプション: ターゲットのRDSインスタンスで「TDEオプション」を有効化する必要があります（RDSのオプショングループ等での設定確認）
- S3と権限: バックアップ（データベースバックアップおよび証明書）を置くS3バケットへのアクセス権（RDSがS3にアクセスできるIAMロール／バケットポリシー）を事前に設定してください
- KMSと暗号化: S3に対してSSE-KMSなどを使う場合は、使用するKMSキーのIAMポリシーでRDS（および実行ユーザー）にDecrypt/Encrypt権限を付与してください
- リージョン制限: 記事によれば『RDS for SQL ServerをサポートするすべてのAWSリージョンで利用可能』とされていますが、クロスリージョンの復元やリージョン間レプリケーションについてはこの記事での言及はなく、別途確認が必要です
- コスト: S3ストレージおよびリクエスト料金、データ転送費用、Multi-AZ構成による追加インスタンス費用が発生します。バックアップ保存期間やリージョン間転送の有無で費用が変動します
- 運用上の注意: 証明書の復元はデータベース復元より先に行う必要があり、順序を誤ると復元できないため手順を確認してください。復元処理中は対象データベースへのサービス影響（ダウンタイム）が発生します