Halaman ini menjelaskan enkripsi data transparan (TDE) di Cloud SQL untuk SQL Server.
Cloud SQL untuk SQL Server mendukung penggunaan TDE untuk mengenkripsi data yang disimpan di instance Cloud SQL untuk SQL Server Anda. TDE otomatis mengenkripsi data sebelum ditulis ke penyimpanan, dan otomatis mendekripsi data saat data dibaca dari penyimpanan.
TDE digunakan dalam skenario ketika lapisan enkripsi lain diperlukan selain penawaran default Google berupa enkripsi untuk data dalam penyimpanan dan penawaran opsional Google berupa Kunci enkripsi yang dikelola pelanggan (CMEK). Secara khusus, Anda dapat menggunakan TDE untuk membantu memenuhi persyaratan kepatuhan terhadap peraturan seperti Standar Keamanan Data Industri Kartu Pembayaran (PCI DSS) atau saat mengimpor atau mengekspor cadangan terenkripsi.
Cara kerja TDE
TDE untuk Cloud SQL untuk SQL Server menyediakan pengelolaan kunci enkripsi dengan menggunakan arsitektur kunci dua tingkat. Sertifikat, yang dibuat dari kunci primer database, digunakan untuk melindungi kunci enkripsi data. Kunci enkripsi database melakukan enkripsi dan dekripsi data di database pengguna. Cloud SQL mengelola kunci utama database dan sertifikat TDE.
Setiap instance Cloud SQL untuk SQL Server yang memenuhi syarat disediakan dengan sertifikat TDE unik yang berlaku selama satu tahun. Cloud SQL untuk SQL Server secara otomatis mengganti sertifikat ini setiap tahun.
Anda dapat mengimpor sertifikat TDE eksternal ke instance, tetapi Anda harus merotasi sertifikat ini secara manual.
Jika instance memiliki replika, semua sertifikat TDE, termasuk yang dikelola oleh Cloud SQL dan yang Anda impor secara manual, akan otomatis didistribusikan ke semua replika.
Instance dengan TDE yang diaktifkan akan menghasilkan database internal yang disebut
gcloud_cloudsqladmin. Database ini dicadangkan untuk proses Cloud SQL internal, tidak dapat diakses oleh pengguna, menyimpan data minimal, dan memiliki biaya penyimpanan yang dapat diabaikan.Cloud SQL untuk SQL Server menggunakan awalan penamaan
gcloud_tde_system_saat menyediakan sertifikat TDE.Semua sertifikat yang diimpor menggunakan awalan penamaan
gcloud_tde_user_CERT_NAME_UUID.Setelah Anda mengimpor atau merotasi sertifikat pada instance yang mengaktifkan TDE dan pemulihan point-in-time (PITR), instance akan membuat cadangan baru. Hal ini membantu mengurangi risiko kehilangan sertifikat jika dan saat Anda ingin memulihkan database terenkripsi ke titik waktu sebelum sertifikat dapat diakses oleh instance.
Batasan
Hanya tersedia di instance Cloud SQL untuk SQL Server dengan versi database berikut:
- SQL Server Enterprise
- SQL Server 2019 atau yang lebih baru (Edisi Standard)
Jika TDE digunakan untuk instance dengan replika dan Kontrol Layanan VPC diaktifkan, Anda harus memastikan instance utama dan semua replika berada dalam perimeter layanan yang sama.
Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi Kontrol Layanan VPC dan Ringkasan Kontrol Layanan VPC.
Anda tidak dapat menghapus sertifikat TDE yang dikelola oleh Cloud SQL.
Anda tidak dapat menghapus sertifikat TDE saat sedang digunakan.
Anda tidak dapat mengimpor sertifikat TDE eksternal secara langsung ke instance replika.
Anda dapat mengimpor hingga sepuluh sertifikat TDE per instance. Jika Anda perlu mengimpor lebih banyak, hapus sertifikat yang tidak diperlukan menggunakan prosedur tersimpan
msdb.dbo.gcloudsql_drop_tde_user_certificate.