Questa pagina descrive la crittografia trasparente dei dati (TDE) in Cloud SQL per SQL Server.
Cloud SQL per SQL Server supporta l'utilizzo di TDE per criptare i dati archiviati nelle tue istanze Cloud SQL per SQL Server. La crittografia lato client cripta automaticamente i dati prima che vengano scritti nello spazio di archiviazione e li decripta automaticamente quando vengonoletti dallo spazio di archiviazione.
La crittografia lato client viene utilizzata in scenari in cui è richiesto un altro livello di crittografia oltre all'offerta predefinita di Google di crittografia per i dati a riposo e all'offerta facoltativa di Google di chiavi di crittografia gestite dal cliente (CMEK). Nello specifico, puoi utilizzare la crittografia lato client per soddisfare i requisiti di conformità normativa come lo standard PCI DSS (Payment Card Industry Data Security Standard) o per importare o esportare i backup criptati.
Come funziona TDE
TDE per Cloud SQL per SQL Server fornisce la gestione delle chiavi di crittografia utilizzando un'architettura a due livelli. Per proteggere le chiavi di crittografia dei dati viene utilizzato un certificato generato dalla chiave primaria del database. La chiave di crittografia del database esegue la crittografia e la decrittografia dei dati nel database degli utenti. Cloud SQL gestisce sia la chiave primaria del database sia il certificato TDE.
Per ogni istanza Cloud SQL per SQL Server idonea viene eseguito il provisioning di un certificato TDE unico valido per un anno. Cloud SQL per SQL Server ruota automaticamente questo certificato ogni anno.
Puoi importare certificati TDE esterni nell'istanza, ma devi ruotarli manualmente.
Se l'istanza ha delle repliche, tutti i certificati TDE, inclusi quelli gestiti da Cloud SQL e quelli importati manualmente, vengono distribuiti automaticamente su tutte le repliche.
Le istanze con TDE abilitato generano un database interno chiamato
gcloud_cloudsqladmin. Questo database è riservato ai procedimenti Cloud SQL interni, non è accessibile agli utenti, archivia dati minimi e ha un costo di archiviazione trascurabile.
Limitazioni
Disponibile solo nelle istanze Cloud SQL per SQL Server con la versione del database SQL Server Enterprise.
Se TDE viene utilizzato per un'istanza con repliche e i Controlli di servizio VPC sono abilitati, devi assicurarti che l'istanza principale e tutte le repliche si trovino nello stesso perimetro di servizio.
Per ulteriori informazioni, consulta Configurare i Controlli di servizio VPC e Panoramica dei Controlli di servizio VPC.
Non puoi eliminare un certificato TDE gestito da Cloud SQL.
Non puoi eliminare un certificato TDE mentre è in uso.
Non puoi importare direttamente i certificati TDE esterni nelle istanze di replica.
Puoi importare fino a dieci certificati TDE per istanza. Se devi importarne di più, elimina i certificati non necessari utilizzando la procedura memorizzata
msdb.dbo.gcloudsql_drop_tde_user_certificate.