Cette page décrit le chiffrement transparent des données (TDE, Transparent Data Encryption) dans Cloud SQL pour SQL Server.
Cloud SQL pour SQL Server permet d'utiliser le chiffrement TDE pour chiffrer les données stockées dans vos instances Cloud SQL pour SQL Server. Le chiffrement côté stockage chiffre automatiquement les données avant qu'elles ne soient écrites dans l'espace de stockage, et les déchiffre automatiquement lorsqu'elles sont lues à partir de l'espace de stockage.
Le chiffrement transparent des données est utilisé dans les scénarios où une autre couche de chiffrement est requise en plus de l'offre par défaut de Google de chiffrement des données au repos et de l'offre facultative de clés de chiffrement gérées par le client (CMEK). Plus précisément, vous pouvez utiliser le chiffrement TDE pour vous aider à respecter les exigences de conformité réglementaire, telles que la norme PCI DSS (Payment Card Industry Data Security Standard), ou lorsque vous importez ou exportez des sauvegardes chiffrées.
Fonctionnement du TDE
Le TDE pour Cloud SQL pour SQL Server fournit une gestion des clés de chiffrement à l'aide d'une architecture de clés à deux niveaux. Un certificat, généré à partir de la clé primaire de la base de données, est utilisé pour protéger les clés de chiffrement des données. La clé de chiffrement de la base de données effectue le chiffrement et le déchiffrement des données dans la base de données utilisateur. Cloud SQL gère à la fois la clé primaire de la base de données et le certificat TDE.
Chaque instance Cloud SQL pour SQL Server éligible est provisionnée avec un certificat TDE unique valable un an. Cloud SQL pour SQL Server effectue automatiquement la rotation de ce certificat chaque année.
Vous pouvez importer des certificats TDE externes dans l'instance, mais vous devez les faire pivoter manuellement.
Si l'instance comporte des réplicas, tous les certificats TDE, y compris ceux gérés par Cloud SQL et ceux que vous avez importés manuellement, sont automatiquement distribués sur tous les réplicas.
Les instances avec TDE activé génèrent une base de données interne appelée
gcloud_cloudsqladmin. Cette base de données est réservée aux processus Cloud SQL internes, n'est pas accessible aux utilisateurs, stocke un minimum de données et présente un coût de stockage négligeable.
Limites
Disponible uniquement dans les instances Cloud SQL pour SQL Server qui disposent de la version de base de données SQL Server Enterprise.
Si le TDE est utilisé pour une instance avec des réplicas et que VPC Service Controls est activé, vous devez vous assurer que l'instance principale et tous les réplicas se trouvent dans le même périmètre de service.
Pour en savoir plus, consultez Configurer VPC Service Controls et Présentation de VPC Service Controls.
Vous ne pouvez pas supprimer un certificat TDE géré par Cloud SQL.
Vous ne pouvez pas supprimer un certificat TDE lorsqu'il est utilisé.
Vous ne pouvez pas importer directement de certificats TDE externes dans les instances répliquées.
Vous pouvez importer jusqu'à 10 certificats TDE par instance. Si vous devez en importer d'autres, supprimez les certificats inutiles à l'aide de la procédure stockée
msdb.dbo.gcloudsql_drop_tde_user_certificate.