Você migrará um banco de dados SQL Server on-premises para uma Instância Gerenciada do Azure SQL e deverá habilitar o Transparent Data Encryption (TDE) gerenciado pelo cliente. Para maximizar a força da criptografia para o protetor TDE, qual algoritmo e comprimento de chave você deve escolher?

A Instância Gerenciada do Azure SQL suporta TDE gerenciado pelo cliente usando chaves armazenadas no Azure Key Vault. Para o protetor TDE, o Azure SQL Managed Instance suporta chaves assimétricas RSA. Das opções fornecidas, RSA 3072 é o maior comprimento de chave RSA suportado atualmente para TDE no Azure SQL Managed Instance que não é excessivo para a maioria dos cenários de segurança e desempenho. RSA 4096 é tecnicamente mais forte, mas não é suportado para TDE no Azure SQL Managed Instance e pode introduzir latência desnecessária. AES 256 é um algoritmo de criptografia simétrica e não é usado como protetor TDE para chaves gerenciadas pelo cliente no Azure SQL Managed Instance, que exige chaves assimétricas. RSA 2048 é suportado, mas RSA 3072 oferece uma força de criptografia superior sem comprometer a compatibilidade ou o desempenho de forma significativa.