Transparente Datenverschlüsselung (TDE)

Auf dieser Seite wird die transparente Datenverschlüsselung (TDE) in Cloud SQL for SQL Server beschrieben.

Cloud SQL for SQL Server unterstützt die Verwendung von TDE, um Daten zu verschlüsseln, die in Ihren Cloud SQL for SQL Server-Instanzen gespeichert sind. TDE verschlüsselt Daten automatisch, bevor sie auf den Speicher geschrieben werden, und entschlüsselt sie automatisch, wenn sie aus dem Speicher gelesen werden.

Die transparente Datenverschlüsselung wird in Szenarien verwendet, in denen zusätzlich zur standardmäßigen Verschlüsselung ruhender Daten und den optionalen vom Kunden verwalteten Verschlüsselungsschlüsseln (Customer-Managed Encryption Keys, CMEK) von Google eine weitere Verschlüsselungsebene erforderlich ist. Insbesondere können Sie TDE verwenden, um gesetzliche Anforderungen wie den Payment Card Industry Data Security Standard (PCI DSS) zu erfüllen oder verschlüsselte Sicherungen zu importieren oder zu exportieren.

Funktionsweise von TDE

TDE für Cloud SQL for SQL Server bietet eine Verschlüsselungsschlüsselverwaltung mit einer zweistufigen Schlüsselarchitektur. Zum Schutz der Datenverschlüsselungsschlüssel wird ein Zertifikat verwendet, das aus dem Primärschlüssel der Datenbank generiert wird. Mit dem Datenbankverschlüsselungsschlüssel werden Daten in der Nutzerdatenbank verschlüsselt und entschlüsselt. Cloud SQL verwaltet sowohl den primären Datenbankschlüssel als auch das TDE-Zertifikat.

  • Für jede berechtigte Cloud SQL for SQL Server-Instanz wird ein eindeutiges TDE-Zertifikat bereitgestellt, das ein Jahr lang gültig ist. Cloud SQL for SQL Server rotiert dieses Zertifikat automatisch jährlich.

  • Sie können externe TDE-Zertifikate in die Instanz importieren, müssen diese aber manuell rotieren.

  • Wenn die Instanz Repliken hat, werden alle TDE-Zertifikate, einschließlich der von Cloud SQL verwalteten und der manuell importierten, automatisch auf alle Repliken verteilt.

  • Bei Instanzen mit aktivierter TDE wird eine interne Datenbank namens gcloud_cloudsqladmin generiert. Diese Datenbank ist für interne Cloud SQL-Prozesse reserviert, nicht für Nutzer zugänglich, speichert nur minimale Daten und verursacht nur vernachlässigbare Speicherkosten.

Beschränkungen

  • Nur in Cloud SQL for SQL Server-Instanzen mit der Datenbankversion SQL Server Enterprise verfügbar.

  • Wenn TDE für eine Instanz mit Replikaten verwendet wird und VPC Service Controls aktiviert sind, müssen sich die primäre Instanz und alle Replikate im selben Dienstperimeter befinden.

    Weitere Informationen finden Sie unter VPC Service Controls konfigurieren und VPC Service Controls.

  • Sie können ein TDE-Zertifikat, das von Cloud SQL verwaltet wird, nicht löschen.

  • Sie können ein TDE-Zertifikat nicht löschen, während es verwendet wird.

  • Externe TDE-Zertifikate können nicht direkt in Replikationsinstanzen importiert werden.

  • Sie können bis zu zehn TDE-Zertifikate pro Instanz importieren. Wenn Sie weitere Zertifikate importieren möchten, löschen Sie alle nicht benötigten Zertifikate mit der gespeicherten Prozedur msdb.dbo.gcloudsql_drop_tde_user_certificate.

Nächste Schritte