Cette page décrit le chiffrement transparent des données (TDE) dans Cloud SQL pour SQL Server.
Cloud SQL pour SQL Server permet d'utiliser TDE pour chiffrer les données stockées dans vos instances Cloud SQL pour SQL Server. TDE chiffre automatiquement les données avant qu'elles ne soient écrites dans le stockage et les déchiffre automatiquement lorsqu'elles sont lues à partir du stockage.
Le chiffrement transparent des données (TDE) est utilisé dans les scénarios où une couche de chiffrement supplémentaire est requise en plus de l'offre par défaut de Google de chiffrement des données au repos et de l'offre facultative de Google de clés de chiffrement gérées par le client (CMEK). Plus précisément, vous pouvez utiliser le TDE pour vous aider à respecter les exigences de conformité réglementaires telles que la norme PCI DSS (Payment Card Industry Data Security Standard) ou lors de l'importation ou de l'exportation de sauvegardes chiffrées.
Fonctionnement du TDE
TDE pour Cloud SQL pour SQL Server fournit une gestion des clés de chiffrement à l'aide d'une architecture de clé à deux niveaux. Un certificat généré à partir de la clé primaire de la base de données est utilisé pour protéger les clés de chiffrement des données. La clé de chiffrement de la base de données chiffre et déchiffre les données de la base de données utilisateur. Cloud SQL gère à la fois la clé primaire de la base de données et le certificat TDE.
Chaque instance Cloud SQL pour SQL Server éligible est provisionnée avec un certificat TDE unique valable un an. Cloud SQL pour SQL Server renouvelle automatiquement ce certificat tous les ans.
Vous pouvez importer des certificats TDE externes dans l'instance, mais vous devez les faire pivoter manuellement.
Si l'instance comporte des répliques, tous les certificats TDE, y compris ceux gérés par Cloud SQL et ceux que vous avez importés manuellement, sont automatiquement distribués sur toutes les répliques.
Les instances pour lesquelles le chiffrement TDE est activé génèrent une base de données interne appelée
gcloud_cloudsqladmin. Cette base de données est réservée aux processus Cloud SQL internes. Elle n'est pas accessible aux utilisateurs, stocke un minimum de données et son coût de stockage est négligeable.Cloud SQL pour SQL Server utilise le préfixe de nommage
gcloud_tde_system_lors du provisionnement d'un certificat TDE.Tous les certificats importés utilisent le préfixe de nommage
gcloud_tde_user_CERT_NAME_UUID.Après avoir importé ou renouvelé un certificat sur une instance sur laquelle le chiffrement TDE et la récupération à un moment précis (PITR) sont activés, l'instance crée une sauvegarde. Cela permet de réduire le risque de perte de certificat si et quand vous souhaitez restaurer une base de données chiffrée à un moment précis avant que le certificat ne soit accessible à l'instance.
Limites
Disponible uniquement dans les instances Cloud SQL pour SQL Server avec les versions de base de données suivantes :
- SQL Server Enterprise
- SQL Server 2019 ou version ultérieure (édition Standard)
Si le chiffrement TDE est utilisé pour une instance avec des répliques et que VPC Service Controls est activé, vous devez vous assurer que l'instance principale et toutes les répliques se trouvent dans le même périmètre de service.
Pour en savoir plus, consultez Configurer VPC Service Controls et Présentation de VPC Service Controls.
Vous ne pouvez pas supprimer un certificat TDE géré par Cloud SQL.
Vous ne pouvez pas supprimer un certificat TDE lorsqu'il est en cours d'utilisation.
Vous ne pouvez pas importer directement des certificats TDE externes dans des instances répliquées.
Vous pouvez importer jusqu'à 10 certificats TDE par instance. Si vous devez en importer d'autres, supprimez les certificats inutiles à l'aide de la procédure stockée
msdb.dbo.gcloudsql_drop_tde_user_certificate.