透過的データ暗号化（TDE） とは？

「透過的」というのは「アプリから見えない」という意味だよ。アプリは通常のSQL文を投げるだけで、DBエンジンがディスクへ書く前に自動で暗号化してくれるんだ。アプリのコードを1行も変えなくていい。

そう！読み込むときはDBエンジンが自動で復号してメモリに乗せるから、SQLクエリの結果は普通のデータとして返ってくる。暗号化・復号はDBとストレージの間でだけ起きているんだよ。

ディスクが盗まれたり、バックアップファイルが漏洩したりしても、暗号化キーがなければデータを読めない。物理的な媒体の盗難やクラウドのストレージ誤公開への対策として効果的だよ。

正規の認証情報でDBに接続した人の不正アクセスは防げないよ。TDEはあくまで「ファイルレベルの暗号化」だから、SQLが通る経路では復号された状態になっているんだ。

AWSのKMS（Key Management Service）やHSMで一元管理するのが定石だよ。キー自体をDBと同じサーバーに置くと、サーバーごと盗まれたときに意味がなくなるから注意が必要だね。